資料１－１
別紙２

公金受取口座の誤登録事案に関するデジタル庁における改善策の実施状況について

公表資料⚫ 個人情報保護委員会は、公金受取口座の誤登録事案に関して、デジタル庁に対し、令和５年９月20日に指導を行い、同年10月31日までに改善策の実施状況について報告するよう求めていた。
⚫ 今回デジタル庁から報告を受けた改善策の実施状況に関して、現時点において一定の取組が認められるものであった。
⚫ 当委員会としては、今後も、改善策が確実に実施されることを、引き続き注視していく。

指導事項

改善策の実施状況

１．本人確認の措置
特にオンラインでマイナンバーに紐付く特定個人情報を取得する場合には、法定された本人確認措置に加え、複数の操作によって取得した特定個人情報の全項目につき同一人の情報であることを確認するため、公金受取口座登録手続全体を通じた実効的な本人確認の手法について、検討すること。

■システム面での対策
地方公共団体における支援窓口でのログアウト忘れ防止対策の不十分性を振り返り、ログアウト忘れ防止機能を搭載することでシステム面での対応を実施済み（令和５年６月23日）。
■運用面での対策
さらに、令和５年11月２日、地方公共団体に対して、本人のログアウト徹底に加え、窓口支援員においてもログアウト確認を徹底するよう、事務連絡を発出。

２．保有個人情報の漏えい等発生時における報告体制
保有個人情報の漏えい等事案が発生した場合の対応に関する各規程の内容を全職員に正しく理解させた上で、報告対象事案が生じた際には、適時適切に組織体制上の上位者へ報告させ、事実関係を組織内で共有して安全管理上の対応を策定するための体制を整備するなど、組織的安全管理措置の改善を行うこと。

■人員体制の強化
従前は職員２名で個人情報保護担当を担っていたが、専門的知識を保有する職員を登用し、参与・担当参事官を含む９名の個人情報保護担当（対策チーム）を組成し、体制強化（令和５年10月11日）。
■規程等の見直し
個人情報管理規程において保有個人情報漏えい等事案が発生した場合に速やかに総括保護管理者に報告すべきと規定されていたにもかかわらず、総括保護管理者へ適切に報告されなかった反省点を踏まえ、総括保護管理者に加え各所属統括官に報告する旨を具体的に明記した報告フロー図を作成し、個人情報管理規程の改正を行った（令和５年10月31日）。
■庁内報告体制の整備
迅速に組織内幹部へ情報共有することが可能となるメーリングリスト（上記明確化した報告フロー図における報告先が網羅されたもの）を整備し、今後、個人情報の漏えい等を含めた庁内のリスク事案が発生した場合に備えて、リスク事案ホットラインとして設置済み（令和５年６月26日）。
■デジタル庁内の周知明確化された報告フロー図及びリスク事案ホットラインの設置を庁内ポータルサイトにて全職員へ周知（令和５年10月13日）。
■教育研修
個人情報保護法全般を網羅的に理解するための個人情報の適正な取扱いのための研修を開催し、デジタル庁全職員が受講済み（令和５年８月７日～同年10月20日）。
また、令和５年度中に、今回の事案において適切に報告が行われなかった問題点を教訓とした研修資料を作成し、全職員へ周知を予定。
■幹部層における働きかけ
リスク事案ホットラインの設置に伴い保有個人情報の漏えいのおそれがある事案等が発生した場合は速やかにデジタル庁幹部に情報共有され、必要に応じてデジタル大臣を含む政務へ個別事案の共有が可能となった。
また、明確化された報告フロー図及び開催する研修について、デジタル大臣を含むデジタル庁内幹部会議の中で情報共有がなされ、幹部自らの理解と部下への働きかけが行われている。

1

公金受取口座の誤登録事案に関するデジタル庁における改善策の実施状況について指導事項

改善策の実施状況

３．取扱手順の見直し
特定個人情報等の取扱手順の見直しを行い、市区町村とデジタル庁が保有する個人情報についての、地方公共団体における取扱手順の見直しに関しては、情報共有を図るなど、組織的安全管理措置を講ずること。 令和５年５月23日、デジタル庁から市区町村向けに事務連絡を発出済みであり、更に確実な対応を確保する観点から、同年11月２日、改めて事務連絡を発出するなど情報共有を行い、支援窓口の利用者へのログアウトの徹底を要請している。

４．個人情報保護委員会に対する漏えい等の報告
個人情報保護法に基づく漏えい等の報告対象の事態を把握した場合は、速やかに当委員会に漏えい等報告を提出できるよう、報告義務について職員の理解を醸成する教育を実施するなど、人的安全管理措置を講ずること。

■個人情報保護委員会への報告体制の整備に向けた規程等の見直し
個人情報管理規程においては、個人の権利利益を害するおそれが大きい保有個人情報漏えい等事案が発生した場合は、速やかに個人情報保護委員会（以下「当委員会」という。）に報告すべきと規定されていたものの、情報セキュリティインシデント手順書では当委員会への報告が表現されておらず、結果として速やかな当委員会への報告が行われなかった反省点を踏まえ、保有個人情報漏えい等の事案（おそれを含む。）を確認した担当部署は、総括保護管理者及び各所属統括官に加え個人情報保護担当（対策チーム）へ報告することとし、個人情報保護担当（対策チーム）より速やかに当委員会へ報告する旨を具体的に明記したフローチャートを情報セキュリティインシデント手順書の付属資料として作成済み（令和５年９月27日）。
前記２のリスク事案ホットラインにおいても当委員会への報告を担う部署である個人情報保護担当（対策チーム）も含めた報告先が網羅されたメーリングリストが作成されており、当委員会への報告主体にも迅速に事案共有される仕組みが整備されている。
なお、令和５年11月９日にマイナンバー情報総点検本部（第４回）においてデジタル庁が公表した新たに公金受取口座の誤登録227件が確認された件についても、見直された報告体制に沿って法令に基づき当委員会に漏えい等報告が行われている。
■デジタル庁内の周知当委員会への報告手順が明記された情報セキュリティインシデント手順書及びフローチャートを庁内ポータルサイトにて全職員へ周知（令和５年10月27日）。
■教育研修
当委員会への報告も含めた個人情報保護法全般を網羅的に理解するための個人情報の適正な取扱いのための研修を開催し、デジタル庁全職員が受講済み（令和５年８月７日～同年10月20日）。
また、令和５年度中に、当委員会への速やかな漏えい等の報告の重要性を理解するための研修資料を作成し、全職員へ周知を予定。
今後も、１年に１回、全職員向けに、保有個人情報の取扱い等に関する研修を実施する予定。

2

公金受取口座の誤登録事案に関するデジタル庁における改善策の実施状況について指導事項

改善策の実施状況

５．特定個人情報保護評価
特定個人情報保護評価制度の趣旨及び当委員会の「全項目評価書に記載されたリスク対策を確実に実行することに加え、組織的・人的安全管理措置について実務に即して適切に運用・見直しを行うこと、情報漏えい等に対するリスク対策全般について、不断の見直し・検討を行うことが重要である。」等の指摘に鑑み、前記評価書に記載したリスク対策につき不断の見直し・検討を行うとともに、今後、リスクを変動させ得る事実関係の変更が生じ、当該変更に応じたリスク対策を講ずる際などには、必要な特定個人情報保護評価を適時・適切に実施する体制を、有効に機能させること。

環境変化に応じて特定個人情報保護評価書の見直しを行うことへの意識が十分でなかったことを踏まえ、特定個人情報ファイルを取り扱う事務に係る環境の変化や想定していなかったリスク事案等が発生した場合には、担当部署だけで判断をするのではなく、直ちに個人情報保護担当（対策チーム）に情報共有し、担当部署と個人情報保護担当（対策チーム）の両者において、特定個人情報保護評価書の見直しに係る検討を行うこととし、その旨を明文化した文書を保護管理者向けに周知予定（令和５年12月迄予定）。
上記に加え、特定個人情報保護評価指針に沿って、環境の変化やリスク事案等の有無にかかわらず、１年に１回、公表している特定個人情報保護評価書について、記載事項を実態に照らして見直し、又は、変更が必要か否かを検証することとし、その旨を明文化した文書を令和５年12月迄に発出予定。

６．その他
上記個人情報保護委員会からの指導事項に対するもので■個人情報保護に関する監査についてはないが、対応策の実効性や継続性を担保する観点から、 従前、デジタル庁では、情報セキュリティ監査等は行っていたが、保有個人情報の取扱いに関すデジタル庁において右記改善策が実施されている。
る監査を実施していなかったため、監査実施のため以下体制を整備した。
・個人情報保護監査チームを発足（令和５年10月31日）。
・個人情報ファイルを保有する全部署を対象に自己点検を兼ねた実態調査を実施済み（令和５年10月30日）。
・自己点検を兼ねた実態調査の結果を踏まえ、保有個人情報の取扱いに関する監査を実施予定（対象11の個人情報ファイルに対して、令和５年度中に５ファイル実施予定、令和６年９月までに残り６ファイル実施予定。）。
・令和６年10月以降も、定期的かつ計画的に保有個人情報の取扱いに関する監査を実施する予定。
・個人情報ファイルを取り扱う情報システムの委託先に対しても、監査を実施する予定（令和５
年度内）。
■ログ分析について
従前、デジタル庁では、セキュリティインシデント発生時等の有事の際にログ確認を行うこととしていたが、保有個人情報を多く保管するシステムについては定期的にログ分析を行うこととし、担当部署がログ分析した結果を個人情報保護監査チームが確認するよう体制を整備した（令和５年11月より運用開始）。

3