2019年2月6日
個人情報保護委員会委員長

嶋田 実名子様
共通番号・カードの廃止をめざす市民連絡会（共通番号いらないネット）

特定個人情報の無許諾再委託についての質問書
私たちは共通番号に反対する市民・議員・研究者・医療関係者・弁護士などにより結成された、共通番号制度の廃止をめざす緩やかなネットワークです。
昨年来、特定個人情報を取り扱う委託作業において、委託元の許諾がないまま無断で再委託される事態が相次いでいます。昨年(2018年)3月20日に日本年金機構は、平成30年分の扶養親族等申告書と平成29年分の個人番号申出書の合計約1300万人分の入力作業を委託したＳＡＹ企画が、無断で海外の業者に再委託していたことを発表し、大きな社会的関心を集めました。再委託先にマイナンバーは提供されなかったとされていますが、その後4月6日に年金機構が公表した別の恵和ビジネスへの委託では、マイナンバーも再委託先に提供されていたことが明らかにされています。
昨年12月14日にはシステムズ・デザイン株式会社が、国税庁や地方自治体から委託されたマイナンバーを含む税個人情報の入力を無許諾で再委託していたことを公表しました。無許諾再委託は東京と大阪の国税局の約70万件で、国税庁発表ではうちマイナンバーが記載された件数は約55万件と推計されています。契約に反して134件のデータを保存もしていました。
また国税庁以外にも違法再委託があり、再委託先の１社は暗号化して海外センターに送信し入力業務を行っていました。さらに12月18日にはその他約171万件を無断で再委託先したことを明らかにし、さいたま市、川崎市、台東区、墨田区、豊島区、江戸川区が無許諾再委託されたことを公表していますが、未だ全容は不明です。
さらに今年(2019年)1月8日にはＡＧＳ株式会社が、本庄市、東松山市、羽生市、深谷市、和光市、幸手市から委託された税情報入力業務で、約46万件を無断再委託していたことを発表しています。マイナンバー制度の開始以降、行政機関等からの委託だけでなく事業者も、個人番号関係事務のため従業員や顧客のマイナンバーの収集・管理を代行会社に委託していますが、ＡＧＳ社とシステムズ・デザイン社はこの収集管理代行サービスも行っています。
番号法では、再委託する際は委託元による許諾と再委託先の監督が必要とされ、許諾のない無断再委託は違法です。委託元が知らずに再委託先に流出した時点で漏えいであり、悪用は防げません。影響を受ける可能性のある本人への連絡や事実関係等の速やかな公表が必要です。発覚した違法再委託は氷山の一角ではないかと疑われ、大量の特定個人情報が委託元の監督をうけずに流出していることは、マイナンバー制度への信頼を大きく損なっています。
しかしマイナンバー制度の個人情報保護措置の要というべき貴委員会がこの事態にどう対応しているのか、私たち市民に明らかではありません。許諾なき再委託は大量のマイナンバーの付いた個人情報が監督の外に流出するという危険な事態ですが、貴委員会は「提供された中にマイナンバーが含まれていなければ、番号法や特定個人情報保護評価書の違反ではない」とか「再委託先から外部には流出していない」など事態の深刻さを軽視し、対応が後手後手に回っているように思われます。
１月９日の委員会で嶋田新委員長は、マイナンバーに係る業務の再委託問題等、新たな問
1

題も発生しているので速やかに対応していきたいと挨拶されていますが、その対応を市民に明らかにしていただくことはマイナンバー制度の信頼回復のために必要不可欠と考えます。
つきましては以下の質問をしますので、 ２月２８日までに末尾記載の連絡先まで回答をお願いします。なお質問と回答は、末尾記載の私たちのサイトで公開する予定です。
【１】日本年金機構の無断再委託に対する委員会の対応について
平成30年度上半期における個人情報保護委員会の活動実績では、日本年金機構及び厚生労働省に対して、３月に改善を要する事項を２点求め、６月に特別監査の実施や外部委託業務のあり方の見直し等を行ったことなどの報告を受けるとともに、外部委託業務のあり方の見直しへの対応について確実に履行等するよう指導を行い、特別監査の実施状況等について確認を行うとともに、９月に外部委託等に関して実施すべき事項を通知したと報告されていますが、具体的対応がわかりません。
１）2018年1月22日に年金機構から貴委員会に報告された後、委員会としてどのような調査をしましたか。
２）マイナンバー違憲東京訴訟において、7月9日付で番号法33条による指導助言を日本年金機構と厚生労働大臣に通知したことが明らかにされていますが、この指導助言については何時の委員会で審議し決定しましたか。
３）９月に通知した「外部委託等に関して実施すべき事項」とは何ですか。
４）平成30年3月22日の内閣府番号制度担当室と総務省大臣官房個人番号企画室の事務連絡により、年金関係の情報連携はシステム上抑止されています。その際、年金関係の情報連携を実施するに当たって対処すべき課題として、
１．外部委託事業者に対する監督体制の在り方の見直し
２．機関間試験において把握された課題（適切に情報照会できない不都合）
３．年金制度が複雑で情報項目の解釈が難しく情報照会機関における事務運用上の懸念があげられています。今後情報連携を実施する際に、委員会としてこれらの課題の解決をいつ、どのように検証する予定ですか。
【２】2018年11月9日付の個人番号利用事務等の委託に関する通知について
貴委員会は平成30年11月9日に「個人番号利用事務等の委託に関する適切な取扱いについて」を、都道府県・指定都市宛に通知しています。
１）平成30年11月9日にこの通知を行った理由は何ですか。
２）この取扱いを、都道府県・指定都市以外に通知した先はどこですか。
３）「委託元の許諾を得ることなく再委託をしていることが判明した場合には、特定個人情報の漏えい事案等が発生した場合の対応として、当委員会に報告すること」と書かれています。個人番号利用事務等の委託において、無許諾の再委託が発生した時点で、漏えい事案と同様の対応を求めていると理解してよろしいですか。
【３】システムズ・ デザイン社による税情報の無断再委託について
貴委員会は平成30年12月14日に各都道府県・指定都市宛に、システムズ・デザイン社に委2託している個人番号利用事務の委託契約状況についての調査依頼を行い、12月26日までの報告を求めています。
１）システムズ・デザイン社の無断再委託を、いつ、どこから報告を受けましたか。
２）報告をうけ、貴委員会はどのような対応をしましたか。勧告及び命令を行っていないのは何故ですか。
３）個人番号利用事務の委託契約状況についての調査の依頼は、都道府県・指定都市以外にはどこに行っていますか。
４）調査対象は「個人番号を取り扱う事務（ただし、個人番号関係事務は除く。）」となっています。個人番号関係事務を11月9日の通知では含めていたにもかかわらず、調査対象から除いたのは何故ですか。
５）調査対象を委託している業務すべてではなく、「システムズ・デザイン株式会社に委託している業務」に限定したのは何故ですか。
６）調査結果は、いつどのように公表しますか。
【４】ＡＧＳ社による税情報の無断再委託について貴委員会はＡＧＳ社の無許諾再委託をうけて、平成31年1月15日に「個人番号利用事務等の委託先の監督について」を都道府県・指定都市宛に通知しています。
１）ＡＧＳ社の無断再委託を、いつ、どこから報告を受けましたか。
２）報告をうけ、貴委員会はどのような対応をしましたか。勧告及び命令を行っていないのは何故ですか。
３）ＡＧＳ社による無断再委託は、平成30年12月14日付通知の委託契約状況の調査の過程で判明したのですか。
４）通知ではＡＧＳ社に限らず許諾のない再委託が判明した場合は委員会に報告を求めていますが、平成30年12月14日の通知のように期間を定めて調査依頼しないのは何故ですか。
【５】無許諾の再委託への対応について
ＳＡＹ企画を含めこれら無許諾再委託を行った業者は、「プライバシーマーク」や「情報セキュリティマネジメントシステム（ＩＳＭＳ）」の認定認証を取得していました。入札資格でこれら認証の取得を条件とするだけでは、違法な再委託を防げないことが明らかになりました。
また日本年金機構も国税庁も各自治体も、特定個人情報保護評価書では入力業務の再委託は行わないことを明記していても、その履行の確認はできていませんでした。
さらにこの間の経過は、無許諾再委託を把握することの難しさを示しています。2018年10月22日に公表された総務省行政管理局による国の機関等に対する委託の実態調査では、後に無許諾再委託が明らかになった国税庁も「契約に反する再委託が行われている実態が確認されたもの ０件」となっていました。川崎市の発表では、システムズ・デザイン社は2018年3月の聞き取り調査に、再委託を行っていないと報告していました。報道によれば東京と大阪の国税局は、システムズ・デザイン社に計4回の立ち入り監査を実施してもわからず5回目の監査で判明しました。「源泉徴収票の束を再委託先から作業場所に戻していたため分からなかった」と報じられています。日本年金機構の無許諾再委託では、ＳＡＹ企画から再委託先
3

の中国の業者にはマイナンバーが提供されていないとされていますが、2018年6月4日に公表された検証結果でも、すでに再委託業務は終了し海外の再委託先事業者と年金機構とは直接の契約関係がなく、再委託先のデータの確認はできなかったとなっています。
１）貴委員会として特定個人情報の委託について、事業者など個人番号関係事務実施者を含めた実態調査を行う予定はありますか。
２）特定個人情報保護評価は、番号制度に対する懸念（国家による個人情報の一元管理、特定個人情報の不正追跡・突合、財産その他の被害等）を踏まえた制度上の保護措置の一つであり、事前対応による個人のプライバシー等の権利利益の侵害の未然防止及び国民・住民の信頼の確保を目的とすると説明されています。この評価書に記載されたリスク対策が実行されないことは、番号制度の危険性を防止できず、信頼を損なうことを意味します。
評価書の履行の確認や履行されない場合の実行ある危険性の防止策について、貴委員会として検討している対策を明らかにしてください。
３）番号法では委託元が再委託先以降についても監督することを求めていますが、この間の経過はその監督が困難であることを示しています。再委託の禁止など番号法の見直しを、番号法38条により内閣総理大臣に意見申出することは検討されていますか。
【６】個人情報保護委員会の苦情取り扱いについて
私たちは昨年1月30日に貴委員会の堀部政男委員長に、(1) 特別徴収税額通知書の漏洩等問題への対応について、(2) 事業者の取得した個人番号の利用目的変更のQ&Aについて、(3)情報提供ネットワークシステムの特定個人情報保護評価について、の３点の質問をしました。
しかし4月4日に「個別の事案に関する質問であること等」の理由で回答を拒否されました。
マイナンバー制度の危険性に対する安心・安全措置の要とされ、特定個人情報の取扱いに関する監視・監督や苦情への対応を業務としている貴委員会が、これらの問題への説明責任を放棄したことに、私たちはマイナンバー制度の危険性への思いを強めています。
１）「個別の事案には答えない」ことは、委員会のどのような規則で定められていますか。
２）苦情対応の取扱いを定めている文書はありますか。他の相談窓口の紹介、伝達、取次ぎ、あっせんだけでなく、委員会として責任をもって調査・回答等対応する考えはありますか。
３）「マイナンバー苦情あっせん相談窓口」は電話での受付しか行っておらず、苦情にどのように対応しているかがわかりません。漏えい事案等の報告は３月下旬から報告フォームへの入力に変更することになっていますが、苦情をフォームやメールでも受け付け、その対応を委員会のサイトで明らかにする考えはありますか。
４）市民が特定個人情報の漏えい等や不正利用の被害から身を守るために、指導助言や勧告命令を逐次公表する考えはありますか。
回答および問合せは以下にお願いします。
（事務局連絡先） 略

共通番号いらないネットサイト

http://www.bango-iranai.net/index.php
4