【更新 2026-08-10】本記事を見直し、修正しました。主な修正点：公表日を2026年8月6日から県プレスリリースの日付である2026年7月24日に訂正し（8月6日は専門メディアの掲載日でした）、県の発表資料を出典に追加。入札情報側の件数を7月6日時点の暫定値から7月24日公表の調査結果に更新。あわせて、図面の作成時期について一部に要確認の注記を追加しました。
長野県は2026年7月24日、窓口で一般に閲覧させていた道路台帳・下水道管路台帳の図面に、沿線住宅の所有者などの氏名や地番の一部が記載されたままだったと公表しました。対象は計5万4294人分（道路台帳4万9660人分、下水道管路台帳4634人分）。1975年ごろから2013年ごろまでに作成された図面が、修正されないまま2026年7月まで閲覧できる状態にあったとされています。
ポイントは件数の多さではなく、「40年間、誰も再点検しなかった」という構造です。しかもこれは自治体固有の話ではありません。ルールが整備される前に作られた文書が、当時のまま公開資産として残り続ける——民間企業でもごく普通に起きます。
この記事でわかること
- 長野県で何が起きたのか（対象・件数・期間）
- 発端となった7月の入札情報漏えいから、本件が芋づる式に判明した経緯
- 40年間発覚しなかった3つの構造的な理由
- 自社の「公開済み資産」に同じリスクがないかを確認する視点
何が起きたのか
報道によると、県が管理する道路や下水道管路の沿線にある住宅の所有者などについて、氏名と地番の一部が図面上に記載されていました。これらの図面は建設事務所や流域下水道事務所の窓口に紙で備え置かれ、希望者が閲覧できる運用でした。主な閲覧者は建築業者や不動産業者だったとされています。
| 項目 | 内容 |
|---|---|
| 公表日 | 2026年7月24日（県プレスリリース） |
| 対象 | 道路台帳図面／下水道管路台帳図面（紙） |
| 件数 | 計5万4294人分（道路4万9660／下水道4634） |
| 記載内容 | 沿線住宅の所有者などの氏名、地番の一部 |
| 作成時期 | |
| 閲覧可能だった期間 | 2026年7月ごろまで |
| 閲覧場所 | 建設事務所・流域下水道事務所の窓口 |
| 県の対応 | 氏名のマスキングの徹底、職員研修の実施、問い合わせフォーム設置、デジタル化による個人情報保護の検討 |
本件に起因した情報の悪用等の被害は確認されていないと県は説明しています。上記の件数・記載内容・閲覧場所・再発防止策は、長野県（建設部・環境部）が2026年7月24日に公表したプレスリリースで確認できます（出典参照）。一方、図面の作成時期のように県の発表資料に記載がなく、報道のみが伝えている項目もあります。
発端は7月の入札情報 — 調査を広げたら本丸が出た
この件は、単独で見つかったわけではありません。県が入札情報システム上で公開していた設計図面に地権者の氏名が含まれていた問題が先にあり、その調査を業務用図面全体へ広げた結果、窓口の台帳図面でも同じ状態が判明した、という流れです。
| 時期 | 出来事 |
|---|---|
| 2026年6月25日 | 職員が入札情報システム上の図面に個人情報の記載があることを発見 |
| 2026年7月2日 | 県ウェブサイトでの入札情報等の公開を一時停止 |
| 2026年7月6日 | 入札情報に個人情報が含まれていたと公表。調査進捗35%時点で219件・1590人分（対象は2021年度以降）。入札手続き中の11件を中止 |
| 2026年7月24日 | 調査完了。入札情報1107件・9799人分、公共事業評価58件・775人分（合わせて1万574人分）と公表 |
| 2026年7月24日 | 同日、窓口の紙台帳図面でも同種の記載を確認したと別途公表。計5万4294人分 |
この「1件の発覚を起点に、同じ原因を持つ資産をすべて洗い直した」動き自体は、インシデント対応として妥当です。むしろ評価すべき点でしょう。ただし裏を返せば、調査範囲を広げなければ、紙の台帳は今も気づかれないままだったということでもあります。
なぜ40年も気づかれなかったのか
ルールができる前に作られた資産が残り続けたから
報道では、台帳作成の要領が整備されるまでの期間に作られた図面が問題になっています。つまり「今のルールでは氏名を書かない」運用に切り替わった後も、切り替え前に作られた既存分は遡って直されなかった。新しい手順を定めるとき、既存資産の遡及是正まで作業計画に入っていたかどうかが分かれ目です。ルール制定は「これから作るもの」に効きますが、「すでにあるもの」には自動では効きません。
紙は資産棚卸の網から漏れやすいから
情報資産管理台帳は、実務ではサーバ・端末・クラウドサービスといったIT資産に寄りがちです。窓口に置いてある紙のファイルは「システム」ではないため、脆弱性管理やアクセス権レビューのサイクルに乗りません。定期的に見直される仕組みがなければ、置かれた状態のまま数十年が過ぎます。紙媒体の管理の難しさは、台車に置いた患者書類が紛失｜紙媒体の漏えい対策でも触れたとおりです。
「公開してよい資料」の判定が一度きりだったから
台帳図面は、そもそも一般の閲覧に供することを前提とした資料です。公開すること自体は正当な業務でした。問題は、「公開してよい」という判断が作成時の一度しか行われず、中身が判断基準を満たし続けているかを再確認しなかった点にあります。公開対象であることは、中身の適切さを保証しません。
民間企業でも同じことが起きるのか
起きます。公開資料に意図しない個人情報が残る事故は、自治体特有ではありません。典型的なのは次のようなケースです。
- 図面・写真の写り込み：CAD図面の属性情報、施工写真に写った表札・車両ナンバー、社内報の集合写真
- ファイル内の「見えない」データ：Excelの非表示行・列やシート、PowerPointのスライド外オブジェクト、PDFの下に残る元テキスト、Officeファイルの作成者・編集履歴などのプロパティ
- 公開後に基準が変わった過去資料：数年前にサイトへ載せた採用実績・導入事例・議事録などで、当時は問題視されなかった個人名が残っている
特に2つ目は事故として頻発しており、当サイトでも非表示データの削除漏れで個人情報4363件を誤送信した事例を取り上げました。また、外部から指摘されて初めて閲覧可能状態に気づく展開も珍しくありません（生保協会3.7万件閲覧可能、外部指摘で発覚の教訓）。
現場目線の課題
率直に言って、これは情シスにとって最もやりにくい種類の問題です。理由は3つあります。
第一に、対象が自分の管理下にない。ウェブサイトに載っているPDFの中身を作ったのは事業部門であり、窓口に置いてある紙を管理しているのは所管課です。情シスは「公開する仕組み」は持っていても、「公開される中身」の当事者ではありません。それでも事故が起きれば呼ばれるのは情シスです。
第二に、過去分の点検は誰も予算化しない。数十年分の公開済み資料を全部開いて確認する作業は、新規プロジェクトのような成果が見えません。「今は問題が起きていないもの」に工数を割く決裁は通りにくい。今回の長野県も、入札情報の問題が表面化して初めて全面調査に踏み切っています。
第三に、機械的に検出しづらい。氏名と地番が並んでいるだけの図面は、ツールで一律に弾けるものではありません。結局は目視と、作成者本人の「これは載せてよいか」という判断に依存します。だからこそ、公開前チェックを個人の注意力ではなく手順に落とし込むしかない、という平凡な結論に戻ってきます。
情シスはどうすべきか
自前で長大なチェックリストを作る前に、公的機関の指針を土台にするのが早道です。
- 公開前チェックの手順化：IPAの中小企業の情報セキュリティ対策ガイドラインには、情報資産の洗い出しと管理のひな形が付属しています。「公開資料」というカテゴリを資産台帳に立てるところから始められます。
- 作成者への啓発：ファイルの非表示データやプロパティに個人情報が残る話は、実際に手を動かす担当者が知らなければ防げません。IPAの対策のしおりのような短い教材を、部門の研修に組み込むのが現実的です。地味ですが、公開資料の事故はここが効きます。
- 発生時の報告義務の確認：漏えい等が起きた場合の報告・本人通知の要否は、個人情報保護委員会の漏えい等の対応とお役立ち資料で確認できます。外部への流出が確認できなくても報告対象になりうる点は、CRM開発会社が侵害、漏えいなしでも報告義務で整理しています。
- ルール変更時の遡及是正をセットにする：新しい記載ルールを定めたら、「既存分をいつまでに、誰が直すか」を同じ起案の中に書く。今回の教訓を1行に圧縮するなら、これに尽きます。
中長期の視点：デジタル化は解決策ではない
長野県は再発防止として台帳のデジタル化推進を挙げていますが、デジタル化そのものは個人情報の記載を消しません。むしろ、紙で窓口に来た人だけが見られた情報が、オンラインで誰でも取得できるようになるという意味では、中身の是正を伴わないデジタル化はリスクを拡大させます。実際、今回の発端は紙ではなくウェブ公開された入札情報の側でした。
デジタル化を進めるなら、移行そのものを「全件を一度は人の目で見る」機会として設計するのが合理的です。どのみち全部スキャンするなら、そのタイミングで判定する。これは民間の文書電子化プロジェクトでも同じことが言えます。
まとめ
- 長野県が2026年7月24日、窓口閲覧用の道路・下水道管路台帳図面に計5万4294人分の氏名・地番の一部が記載されていたと公表。1975年ごろ〜2013年ごろ作成分が、今年7月まで是正されないまま残っていた。
- 7月に発覚した入札情報の個人情報記載を起点に調査範囲を広げた結果、判明した。逆に言えば、契機がなければ紙の台帳は点検対象に入らなかった。
- 教訓は「記載ルールを新設したら、既存資産の遡及是正まで同時に計画する」こと。公開資料の中身は、公開してよい判断を一度したきりで放置されがちで、これは民間企業の公開PDF・図面・写真でも同じ。
出典
- 道路台帳及び下水道管路台帳の図面を個人情報が表示された状態で閲覧に供していたことが判明しました（長野県、2026年7月24日）
- 公開している入札情報等において個人情報が含まれる図面を掲載していた件の調査結果をお知らせします（長野県、2026年7月24日）
- 公開している入札情報等において個人情報が含まれる図面を掲載していたことが判明しました（長野県、2026年7月6日）
- 窓口で公開している台帳図面に個人情報 – 長野県（Security NEXT、2026年8月）
- 長野県、入札情報で1590人分の個人情報漏えい（信濃毎日新聞デジタル）
- 5万4000人分が黒塗りされず閲覧可能状態（SBC信越放送）
- 個人情報が記載された図面が閲覧可能な状態に…5万4294人分（テレビ信州）
- 長野県の個人情報保護（長野県）
- 漏えい等の対応とお役立ち資料（個人情報保護委員会）
- 中小企業の情報セキュリティ対策ガイドライン（IPA）
- 対策のしおり（IPA）
