個人情報保護委員会への質問事項［１］特別徴収税額通知書の漏えい等問題についての対応(1)漏えいの実態と市町村の対応について
1)個人情報保護委員会の平成 29 年度上半期における活動実績によれば、特定個人情報の漏えい事案等が前年比で４倍の 273 件発生し、その主なものは特別徴収税額決定通知書の誤送付等（ 152 件）であると報告されている。
この 152 件毎の市町村名、誤送付等の事業所数および漏えい人数、誤送付された通知の処理の状況、市区町村の公表の有無および公表の方法。
2)個人情報保護委員会の「行政機関における特定個人情報の漏えい事案等が発生した場合の対応について」では、漏えい事案が発生した場合、速やかに本人へ連絡し、又は本人が容易に知り得る状態に置くことが定められている。
152 件毎の、市区町村の本人への連絡等の状況、個人番号の変更の有無。
(2)個人情報保護委員会の対応について
1)５月の通知送付前および通知による漏えい発生後それぞれにおいて、市町村、都道府県および所管官庁である総務省に対して、委員会が行った指導・助言や報告徴収・立入検査などの監視・監督内容。
2)特別徴収税額通知書による漏洩についての、個人情報保護委員会での議論の内容。
3)総務省は特別徴収税額通知書の送付にあたり自治体に対して、個人番号の適切な管理を行うため事業者の個人情報を取り扱う部署や担当者を把握し正確な宛て先とするよう通知していた（平成 29 年 3 月 2 日付
事務連絡「平成 29 年度分以降の個人住民税に係る特別徴収税額決定通知書（特別徴収義務者用）の送付に関する留意事項について」）。
この通知先の把握と通知への記載について、全国の市区町村における実施状況を調査しているか、調査している場合はその状況。
4)特別徴収税額通知書については、安全管理措置が不十分・未整備な事業者に通知することにより、事業者（特別徴収義務者）からの漏洩や不正利用のおそれも指摘されている。
事業者の安全管理措置の実施状況を調査しているか。また通知により危惧される不正利用や漏洩について、どのような対策を考えているか。
(3)特定個人情報保護評価について
1)総務省は郵送時の漏えいリスクについて、市町村の特定個人情報保護評価書に基づき適切な方法で送付されると説明してきたが漏えいが発生した。この市町村の特定個人情報保護評価書について、委員会は漏えい発生後の「マイナンバー法に基づく報告」（平成 29 年 12 月 6 日第 49 回個人情報保護委員会）で「リスク対策について、おおむね必要な措置が講じられている」と評価している。
特別徴収税額決定通知書の誤送付により「誤った相手・情報を提供・移転してしまうリスク」が各地で1

現実になっているにもかかわらず、「おおむね必要な措置が講じられている」と判断した理由。
2)市町村の特定個人情報保護評価は、事務の対象人数などにより全項目評価・重点項目評価を実施する自治体は少数である。これで「事前対応による個人のプライバシー等の権利利益の侵害の未然防止、国民・住民の信頼の確保」という目的は達成できると考えるか。
3)平成 30 年 5 月 21 日に個人情報保護委員会が公布した特定個人情報保護評価の規則・指針で、基礎項目評価書にもリスク対策を記載することになった。この改正が必要になった理由。
(4)特別徴収税額通知書へのマイナンバーの記載について
1)漏えいの発生を受けて総務省は、平成 30 年度から書面により送付する特別徴収税額通知書には当面マイナンバーの記載を行わないが、電子的に送付する場合は記載する方針に転換した。しかし本年度も新潟県上越市で、地方税ポータルシステムによる特別徴収税額通知で 26 人分の誤送信による漏えいの発生が報じられている。
本年度の特別徴収税額通知による漏えいの発生状況（市町村名、対象企業数、漏えい人数、本人への連絡や個人番号変更の状況、など）。
2)事業者、税理士、経済団体など関係者からは、住民税の特別徴収事務では特別徴収税額通知書への個人番号の記載は必要なく、事業者にとって安全管理措置の対象となる書類が増え過重な負担が強いられることが指摘されている。
番号法第 19 条１は、個人番号利用事務を処理するために必要な限度で個人番号の提供を認めているにすぎず、実務上の必要性が疑わしい提供は中止すべきではないか。
［２］事業者の取得した個人番号の利用目的変更のＱ＆Ａについて(1)『「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」及び「（別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン」に関するＱ＆Ａ』に、平成 29 年 3 月 29 日に「特別徴収税額決定通知書（特別徴収義務者用）」に記載されている個人番号の利用についてのＱ＆Ａを追加され、利用目的を特定し本人に通知等していれば、その範囲内で地方税事務以外の健康保険事務等でも利用できること（Ｑ１－３－２）、本人以外から提供を受けた個人番号も個人番号の提供元ごとに利用目的を特定する必要はないこと（Ｑ１－３－３）を示している。
この追加を行った理由。
(2)総務省は平成 28 年 11 月 25 日事務連絡では「通知書により提供を受けた従業員の個人番号については 、地方税に関する事務以外の事務に利用することはできません」としていた。しかしＱ＆Ａに追加の前の平成 29 年 3 月 2 日事務連絡で、Ｑ＆Ａと同様に、番号関係事務の範囲で本人に通知又は公表している場合は、事業者はその範囲内で特別徴収税額決定通知書により通知された個人番号を他事務で利用することが可能と変更している。
Ｑ＆Ａ追加にあたり総務省とどのような協議が行われたのか。総務省の変更を受けてＱ＆Ａを変更したのか。個人情報保護委員会がＱ＆Ａで見解を示す前に、総務省が自治体に対して取扱いの変更を通知したことについてどのように考えるか。
2

(3)特別徴収税額決定通知書に記載の個人番号に誤りがあった場合、本人から個人番号の提供を受けていない事業者は誤りを察知できない。このＱ＆Ａにより他の事務に誤った個人番号を記載して手続きを行うおそれが生じないか。
(4)預貯金口座についても同様に、個人番号の提供を受けた時点で利用目的として特定されていなかった「預貯金口座への付番に関する事務」のために、証券口座など他の利用目的で提供を受けた個人番号を利用することも、利用目的を変更して変更された利用目的を本人に通知や公表すれば認められるとするＱ＆Ａを、平成 29 年７月追加に追加している。（【(別冊)金融業務】Ｑ１６－５）。
この追加を行った理由および追加にあたって金融機関とどのような協議が行われたか。
(5)これらＱ＆Ａの追加により、従業員や顧客が個人番号の提供を拒んでいるにも関わらず、事業者が市区町村からの通知や他事務で取得した個人番号を流用・転用することが認められることになる。またＱ＆Ａ
では、利用目的について本人の同意は不要としている（Ｑ１－４）。
このようなＱ＆Ａは自己情報コントロール権を侵害し、「国民の権利を守り、国民が自己情報をコントロールできる社会」の実現を理念としたマイナンバー制度の趣旨に反しないか。
またこのような流用・転用を認めることは、事業者内での不正利用を助長するおそれがあるが、なぜ利用目的ごとに目的を明示した番号の取得を徹底しないのか。
［３］情報提供ネットワークシステムの特定個人情報保護評価について(1)情報提供ネットワークシステムについて、会計検査院が 2017 年 7 月 26 日に公表した「国の行政機関等における社会保障・税番号制度の導入に係る情報システムの整備等の状況について」の報告では、特定個人情報保護評価が個人情報保護委員会の規則・指針が定める要件定義前に実施されていない実態等が指摘されている。
規則・指針に沿って実施されていない機関に対し、どのような指導・助言や報告徴収・立入検査などを行ったか。
(2)個人情報保護委員会は 5 月 21 日に特定個人情報保護評価の規則・指針を改正し、特定個人情報保護評価の実施時期の原則を「システムの要件定義の終了前」から「プログラミング開始前」に変更した。特定
個人情報保護評価は事前対応による個人のプライバシー等の権利利益の侵害の未然防止及び国民・住民の信頼の確保を目的とすると説明されており、システムが備える機能、性能を具体的に定める要件定義前に実施されなければ、意見募集を受けた変更が困難になることも予想される。
従来も要件定義終了までに実施が困難な場合は委員会との協議で実施時期を決定する例外が認められていたにもかかわらず、原則を変更しなければならない理由はなにか。
(3)会計検査院報告では中間サーバーの副本データの更新のタイムラグにより、照会時期によっては古く誤った情報が提供される事態が指摘されている。
特定個人情報保護評価では「入手した特定個人情報が不正確であるリスク」「誤った情報を提供してし3まうリスク」「特定個人情報が古い情報のまま保管され続けるリスク」等が評価項目となっているが、このタイムラグをどのように評価しているか。
［４］日本年金機構の不適正な再委託への対応について(1)日本年金機構は 3 月 20 日、扶養親族等申告書の入力を受託したＳＡＹ企画が契約に反して無断で海外の業者に再委託していたことを公表した。番号法は委託元の許諾がある場合のみ再委託を認め、公的年金業務の特定個人情報保護評価書では再委託は行わないとしていた。
1 月 22 日に機構からこの報告を受けた後、委員会はどのような指導・監督を行ったか。
(2)政府は福島みずほ参議院議員の「日本年金機構の情報連携と業務委託並びにマイナンバーの利用と個人情報保護に関する質問主意書」に対する答弁書で、ＳＡＹ企画の再委託については再委託先に個人番号が送付されていないため番号法第 10 条に規定されている再委託には該当しないと答弁している。
番号法第 10 条は、「個人番号利用事務等」の全部又は一部の委託を受けた者は、個人番号利用事務等の委託をした者の許諾を得た場合に限り、その全部又は一部の再委託をすることができると規定している。
ＳＡＹ企画は「個人番号利用事務等」の委託を受けておりその事務の一部を再委託しているが、委員会はこの再委託が番号法に違反していると認めるか。
(3)公的年金業務の特定個人情報保護評価書では、個人番号が収録されていない者から報告された個人番号のシステムへの入力等に係る事務は再委託しないとされている。
ＳＡＹ企画の再委託は、この評価書に違反していると認めるか。
(4)年金機構は 4 月 6 日に、入力業務を委託された恵和ビジネスが契約に反し再委託していたことを公表した。福島参議院議員の質問主意書に対して、再委託先に提供した情報の中に個人番号も含まれることが答弁されている。
１．委員会はいつ機構からこの再委託の報告を受けたか。
２．報告を受けた後、どのような指導・監督を行ったか。
３．何名分の個人番号が提供されたのか。
４．提供された特定個人情報の処理について、どのような調査を行ったか。
５．提供された本人に対して連絡は行われているか。
６．この再委託は番号法違反、特定個人情報保護評価書違反であると認めるか。
(5)政府は福島参議院議員の質問主意書に対して、ＳＡＹ企画および恵和ビジネスの再委託については、再委託先から外部への情報の流出がなかったから情報流出事案とは異なると答弁している。
年金機構はＳＡＹ企画および恵和ビジネスへの委託までしか把握しておらず、機構の知らないところで別の業者に提供された時点で情報流出ではないか。

4