個人情報保護委員会へのヒアリング報告（まとめ）2019.8.29 於：東京・千代田区 参議院議員会館
報告者：nonumber-tom at 2018.9.14
収録：共通番号いらないネット Web サイト
このヒアリングのために個人応報保護委員会に提出した質問全文ダウンロード（まとめ）委員会の姿勢には疑問が深まるばかり...... 2（1）住民税特別徴収額通知漏えいへの委員会の対応は? ...... 6（2）事業者の取得した個人番号の利用目的変更のQ&A について..... 10（3）情報提供ネットワークシステムの監視は行われているか? ...... 13（4）日本年金機構の不適正な再委託への対応について ...... 18

1

（まとめ）委員会の姿勢には疑問が深まるばかり
マイナンバー制度の「危険性」の具体化を防ぐ個人情報保護措置の要である個人情報保護委員会が、その役割を果たしているのか、疑わしくなる事態が続いています。疑問を委員会に質問しても、回答は拒否されました。このため、今回改めて参議院田村議員を通して質問書を提出し、ヒアリングを行うことができましたが、委員会の姿勢には疑問が深まるばかりでした。

2018 年 8 月 29 日午後 1～3 時、個人情報保護委員会*1に対するヒアリングを行いました。委員会には事前に上記した 4 項目の質問事項を参議院内閣委の田村議員を通して提出し、それに沿って口頭で説明を受けました。
委員会からは課長補佐や係長が 5 名出席し、総務省、金融庁、厚生労働省からも説明を受けました。

なぜ個人情報保護委員会に質問したのか
マイナンバー制度にさまざまな危険性（「懸念」）があることは政府も認めていますが、個人情報保護委員会や特定個人情報保護評価制度などの個人情報保護措置によって、その危険性は現実化しな
いと政府は説明してきました＊2 。
しかし昨年度の特別税額通知書の誤送付等による漏えいの発生や情報連携システムに対する会計検査院の指摘、3 月の日本年金機構の不正再委託の発覚など、マイナンバー制度の問題が次々と明らかになるなかで、個人情報保護措置の要である個人情報保護委員会が機能していないのではないか、そうするとマイナンバー制度の「危険性」は現実化するのではないか、という疑問からはじまった取り組
みでした。

共通番号いらないネットの質問への回答は拒否された
今年 1 月 30 日にこれらの疑問について、個人情報保護委員会に質問書を送りました＊3 。
1
2
3: 個人情報保護委員会とのこれまでの経過については、このページ右サイドなどにある» 個人情報保護委員会関連投稿リンク集を参照: 例えば、マイナンバー違憲訴訟・東京で国から提出された » 被告求釈明回答書（求釈明回答 1）
2016.10.4、p.3 を参照: 質問の全文は、» 「個人情報保護委員会へ質問書を提出しました」 共通番号いらないネット、
2018.1.31
photo 素材：ぱくたそ ©axis

2しかし 4 月 4 日、個別の事案に関する質問なので回答しない、と回答を拒否されました＊4 。 マイ
ナンバー制度に対する苦情処理を職務とし市民に対する窓口と考えていた委員会の回答拒否には、たいへん驚かされました。回答拒否に対して抗議をし、引き続き回答を求めましたが、回答はありませんでした＊5 。
○共通番号いらないネットの個人情報保護委員会に対するの質問の経過は、このページなどの右サイドにある » 個人情報保護委員会関連投稿リンク集 を参照してください。

ヒアリングでますます膨らんだ疑念
今回、参議院内閣委員会の田村委員の仲介で、ヒアリングの機会を持つことができました。

具体的な事項への回答はされなかった
しかし説明を求めた特別税額通知の誤送付の実態や、年金機構の不正再委託でマイナンバーも提供されていた事例の内容、委員会の行った調査や指導の内容など、具体的な事柄は、「個別の内容はお答えできない」という回答に終始しました。
相手との関係やセキュリティの問題などで、具体的説明ができないケースがあることはわかります。
しかし質問した事項はそういうケースではありません。私たちは他の省庁等にも質問していますが、回答拒否はされていません。
説明できない事情があるのではないか、隠蔽しようとしているのではないか、と不信を抱かざるをえない対応でした。

委員会は必要な調査・指導監督を行っていない?
また、住民税の特別徴収税額通知を送付した自治体や送付された事業者の安全管理措置、会計検査院に指摘を受けた情報連携の対象機関などについて、委員会として調査を行っていないことが明らかになりました。
さらに特別徴収税額通知へのマイナンバーの記載を市町村に迫り漏えいの原因を作った総務省に対しては、「制度官庁の制度設計に対する指導監督は想定していない」と、行なうつもりもないと回答しています。個人情報保護委員会は他の行政機関に対する監視の必要性から、独立性の高い第三者委員会として設立されており＊6 、これでは役割は果たせません。
不正再委託が発覚した年金機構については検査を実施したと回答されましたが、その具体的内容は公表しないとしています。
委員会による立入調査や指導監督などマイナンバー法の個人情報保護規定が機能していないのではないか、と思わざるをえません。

4
5
6: » 「個人情報保護委員会 回答を拒否 」 共通番号いらないネット、2018.4.9: » 「個人情報保護委員会に抗議声明」 共通番号いらないネット、2018.6.1: 個人情報保護ワーキングループ第 2 回 » 議事次第 資料 2「番号制度創設に伴う個人情報保護に関する第三者機関・三条委員会の必要性」 個人情報保護委員会、2011.2.23

3

「特定個人情報保護評価制度」でリスクは防げるのか
委員会と同じくマイナンバー制度とともに始まった個人情報保護措置である「特定個人情報保護評価」制度についても、特別徴収税額通知や情報連携、年金機構などいずれも、保護評価書に記載されたリスク対策は書類審査で淡々と委員会で承認され、実行されていない実態が発覚したにもかかわらず調査・検証はされていません。
それどころか、特別徴収税額通知の誤送付等では「特定個人情報保護評価では人為的ミスは防げない」と回答されたり、年金機構の不正再委託では提供された情報に個人番号が含まれていないから番号法の再委託には該当しないと回答されるなど、保護評価制度そのものへの疑問が広がりました。

マイナンバーの「使い回し」は自己情報コントロール権に反し不正利用を助長
住民税特別徴収税額通知などで行政から事業者に送付されたマイナンバーの扱いの Q&A では、委員会の姿勢が個人情報の保護より利活用に傾斜しているのではないかという疑問が膨らみました。
通知したマイナンバーの住民税の手続き以外への「使い回し」を認める Q&A＊7 を、新たに追加しましたが、従来の扱いを変更したものではなく事業者から問い合わせのある事項への考え方を示しただけと回答しています。
個人番号の提供を受ける際の利用目的の明示は、マイナンバー制度開始にあたり政府が指導してきたことでした＊8 。それは個人情報の扱いのルールであるとともに、マイナンバーが不正に利用されないためでもあります。使い回しを認める Q&A の変更は「自己情報コントロール」に反し、不正利用を助長するおそれがあります。
委員会は、金融機関がマイナンバーを利用することへの市民の不安が強いにもかかわらず、行政からの口座振込申請書にマイナンバーを記載し金融機関に伝えて、預貯金口座への付番に利用することまで認める説明をしています。しかし金融庁からは「（私たちの）指摘はよく分かる。口座振込申請
書へのマイナンバー記載は検討していない」と説明されています。委員会がむしろ流用を促進しようとしているのでしょうか。

個人情報保護委員会の体制の検証も必要
個人情報保護委員会が個人情報保護措置として機能しているのか、今回は委員会の姿勢や考え方を中心に質しましたが、委員会の体制が必要な保護措置を実施できるものになっているのか、ということもあります。

事務局が判断して処理するのでは、第三者委員会にしている意味がない
そもそも私たちは個人情報保護委員会の委員長に質問をしました。委員会は有識者 9 名の委員と事務局で構成される機関で、委員が専門性の高い議論で判断することになっています。

7

8: » 「『特定個人情報の適正な取扱いに関するガイドライン（事業者編）』及び『（別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン』 に関する Q&A」 個人情報保護委員会、事業者編 Q1-3-2 および Q1-3-3 を参照: 例えば、 » 「 マイナンバー（社会保障・税番号制度）よくある質問（FAQ）」 q4-2-3 内閣府

4しかし質問は私たちが再三求めても委員に届けられることはなく、事務局の判断で回答拒否されました。ヒアリングに委員は出席していません。事務局が処理していくのでは、独立性の高い第三者委
員会にしている意味がありません。

事務局は必要な調査・監督ができるスタッフになっているか
ヒアリングでは第三者委員会でもっとも重要な苦情処理窓口の体制の不十分さを指摘しましたが、委員会そのものの体制も問われます。
委員会は 2014 年 1 月に特定個人情報保護委員会として発足し、法改正により 2016 年 1 月に個人情報保護委員会に改組され、個人情報保護法に関する事務が加わりました。
事務局の定員は 2014 年度末の 32 名から、52 名、78 名、103 名と増員され、現在 119 名ということです。しかし個人情報保護法関係の事務も増えるなか、この体制でどれほどの調査が行えるのか。
単純に比較はできませんが、会計検査院には 10 倍の職員がいます。また情報システムへの調査などで技術的な判断のできる職員がどれだけいるのかなど、今後、体制についても検証が必要です。

5

(1) 住民税特別徴収額通知漏えいへの委員会の対応は?
住民税の特別徴収税額決定通知書は、市町村から事業者に地方税の特別徴収（給与からの天引き）額を毎年 5 月に通知するものです。昨年度からマイナンバーの記載が追加されたため、多くの市町村で誤送付等により漏えいが起きました。
この通知書による漏えいの実態や個人情報保護委員会の対応などを質しましたが、具体的なことは回答を拒まれ、明らかになりませんでした。

特別徴収税額決定通知書は、市町村から事業者に地方税の特別徴収（給与からの天引き）額を通知するもので、毎年 5 月に送られます。昨年度から総務省は省令で通知にマイナンバーの記載を追加したため、多くの市町村で誤送付等により漏えいが起きました＊9 。
この通知書について、市区町村から報告されている漏えいの実態や個人情報保護委員会の対応、特別徴収税額決定通知書へのマイナンバー（個人番号）の記載についての委員会の見解などを質しました＊10。

「個別の内容はお答えできない」
委員会の平成 29 年度上半期における活動実績で、この通知の誤送付等が 152 件あることを報告していました＊11 。
漏えいが発生した自治体は、被害拡大の防止、事実関係の調査、原因の究明、再発防止策、本人への連絡、公表などの対応と委員会への報告が求められています＊12 。

漏えいの実態は、回答されなかった
しかし漏えいのあった市町村名や委員会の市町村への指導監督の内容などについては、「個別の内容についてはお答えできない」と繰り返されました。漏えいした人数は 695 名と回答されました。公
表や本人への連絡などの対応について委員会に報告することになっていますが、「事案の内容等に応: » 「個人番号（マイナンバー）を記載した住⺠税特別徴収税額決定通知書の誤送付・誤配達一覧」 共
通番号いらないネット、2017.10.31 最終更新
10 : » 「個人情報保護委員会への質問事項」 共通番号いらないネット、2018.8
11 : » 「平成 29 年度上半期における個人情報保護委員会の活動実績について」 個人情報保護委員会、
2017.10.21
12 : » 「独立行政法人等及び地方公共団体等における特定個人情報の漏えい事案等が発生した場合の対応について（平成 27 年特定個人情報保護委員会告示第 1 号）」
9

6

じて」行うことになっており判断は市町村に任せているので実態はお答えできないとの回答。さらに漏えいされた人の個人番号の変更の有無や、誤送付等された事業所数については、委員会は把握していないとの回答でした。
本年度から書面による通知へのマイナンバーの記載は中止されました＊13 。しかし新潟県上越市で、電子的な通知の誤送付が報道されています＊14 。この本年度の特別徴収税額通知の漏えいについても、報告を受けているのは 1 件だが市町村名その他はお答えできないとの回答です。

なぜ実態を公表できないのか
個別の事案について回答できない理由は、本人から公表しないでほしいと言われているところがあることや、一般的な情報セキュリティとして問題が生じていることを公表すると他から攻撃をうける
ターゲットになる懸念があるからという説明でした。
市区町村には再発防止策などの指導助言は行っているが、公表や本人への通知、個人番号の変更などについて委員会からは求めていないということです。

漏えい等は自治体から委員会にもれなく報告されているか
また委員会への報告がきちんと行われているかについては、自治体への説明会等で周知し、新聞報
道等で漏れがわかればアクションをとるようにしているので、報告漏れは少なくなっていると認識しているとの説明。広範な自治体で漏えいが起きているにもかかわらず、必ず報告するよう改めて通知するなどの対応はしていないとのことです。
一般的に漏えい事案をすべて公表はできないにしても、今回のような自治体からの誤送付等の状況を回答できない理由にはなりません。この特別税額通知書の問題は、マイナンバー制度開始以降もっとも広範な漏えいの事案であり、今後のためにも検証が必要です。

「総務省への指導助言はできない」
漏えいの原因をつくったのは、自治体の懸念を無視して強行した総務省
特別徴収税額通知書へのマイナンバーの記載は、総務省の強い求めにより昨年度からはじまりました。記載は自治体が望んだことではなく、東京、埼玉など多くの自治体が誤送付や郵送中の事故を心配しマイナンバーの記載を見合わせました＊15 。
漏えい発生の原因は総務省です。しかし個人情報保護委員会は総務省への指導助言は行っていないとの回答です。
13 : » 地方税法施行規則の一部を改正する省令（平成 29 年総務省令第 83 号） 第 2 条 3 項。総務省、
2017.12.26
マイナンバー記載中止の経過については、後出 *7 「特別徴収税額通知（以下：特徴通知）へのマイナ
ンバー記載を巡る、一連の動向」参照。
14 : » 「マイナンバーなど 26 人分漏えい 上越市では 2015 年の法施行後初」 上越タウンジャーナル、2018.5.29
15 : » 「特別徴収税額通知（以下：特徴通知）へのマイナンバー記載を巡る、一連の動向」 共通番号いらないネット、2018.1.16
また、関連するいくつかの資料が、 » 「住民税の特別徴収税額通知書への個人番号不記載に関する 記
者会見&院内集会」 共通番号いらないネット、2018.1.7 所収の配布資料・資料集に収録されている

7

総務省への指導助言はできない仕組み！？
総務省に指導助言していないのは、法律では指導助言は個人番号利用事務等実施者、つまり個人番
号を取り扱っている者に行うことになっており、制度官庁に対して制度設計に対する指導助言を行う
ことは想定していない、との理由です。原因を改善できない指導助言では、意味がありません。
指導助言ではなくても総務省に対してなにか対応したのかについても、• 漏えいの報告を注視してきた• 29 年度上半期の委員会の活動実績報告で、苦情相談あっせん窓口に特別徴収税額通知書へのマ
イナンバー記載についての事業者や自治体からの意見が多かったことを記載しており、それは総務省にたぶん伝わっていると認識• 本年度から通知書にマイナンバー記載が中止されたが、委員会からアドバイスはしておらず総務省で判断したと認識など、対応していない実態が明らかにされました。

安全管理措置について調査はしていない
安全管理措置が未整備な事業者にマイナンバーが記載された通知が届くと、不適切な扱いがされる
おそれがあります。また総務省は通知にあたり、マイナンバーの適切な管理のために送付先の部署や担当者を把握して正確な宛て先を記載するよう市町村に通知していました＊16 。
しかし事業所の安全管理措置の実施状況や市町村での通知先の記載について調査をしているかとの質問には、総務省も個人情報保護委員会も調査は実施していないという回答でした。

苦情あっせん相談窓口に通報してもどう処理されるのか
個人情報保護委員会は、苦情あっせん相談窓口に寄せられた情報により必要な指導助言を行っていると説明しています。しかしこの「マイナンバー苦情あっせん相談窓口」は、相手方への苦情の内容の伝達あっせん、他の相談窓口の紹介、監督部門への取次ぎなどを行うだけです＊17 。
通報者にその後の処理の報告もされず、委員会がどのように責任をもって苦情を処理するのか、その処理基準や対応の仕方も明らかにされていません（基準がない?）。苦情処理は第三者委員会のもっとも大事な仕事ですが、市民からみるとまことにお粗末です。

「特定個人情報保護評価では人為的ミスは防げない」
漏えいが発生しても「必要な措置は講じられている」?
「特定個人情報保護評価」は個人情報保護委員会と同様にマイナンバー制度とともに始まった制度
で、マイナンバー制度の危険性を防ぐ個人情報保護措置です。評価書＊18には「誤った相手・情報を提16 : » 「平成 29 年度分以降の個人住民税に係る特別徴収税額決定通知書（特別徴収義務者用）の送付に関する留意事項について（通知）」 総務省自治税務局市町村税課、2017.3.2
17 : » 個人情報保護委員会 マイナンバー苦情あっせん相談窓口
18 : »「特定個人情報保護評価指針」 特定個人情報保護委員会、2014.4.20

8

供・移転してしまうリスク」の防止も記載されています。総務省は通知にあたり、市町村の特定個人情報保護評価書に基づき適切な方法で送付されると説明してきました。
しかし多くの漏えいが発生したにもかかわらず、平成 29 年 12 月 6 日の委員会に報告された「マイナンバー法に基づく報告」では、評価書に対しリスク対策はおおむね必要な措置が講じられていると報告しています＊19 。

「人為的ミス」に無力な保護評価
なぜ漏えいが起きているのに必要な措置が講じられていると判断したのかとの質問に委員会は、この報告は毎年度地方自治体に取扱状況を聞いて取りまとめる定期的な報告で、特定個人情報保護評価書の対策を行ったとしても人為的なミスをすべてなくすことは困難であり、この報告と漏えいに対する指導とは別の話だと説明しています。しかし特別徴収税額通知の漏えいは予想された漏えいであり、「人為的ミス」として済ませることはできません。
「（3）情報提供ネットワークシステムの監視は行われているか?」の情報連携でも、また「（4）日本年金機構の不適正な再委託への対応について」の年金機構の不正再委託問題でも、特定個人情報保護評価書に反した事態が起きても対応されていません。保護評価制度が形式化・形骸化していると言われていますが、委員会の説明も保護評価制度でマイナンバー制度の危険性を防止する実効性があるのか、疑問を抱かせるものでした。

19 : » 第 49 回 個人情報保護委員会 2017.12.6 所収の、資料 1-1 »「マイナンバー法に基づく報告結果について」

9

(2)事業者の取得した個人番号の利用目的変更の Q&A について
個人情報保護委員会は、2017 年 5 月の地方税特別税額決定通知書の発送を前に、地方税事務のために通知したマイナンバーの他の事務への「使い回し」を認めるガイドラインの Q&A を追加しました。
金融機関でも同様の扱いを認めています。
この Q&A は自己情報コントロール権を侵害しマイナンバーの不正利用を助長しないか、個人情報の保護より利活用を重視しているのではないか、委員会に質しました。

「Q&A は変更ではなく従来からの考え方を示しただけ」
住民税事務のために通知したマイナンバーの「使い回し」を認める Q&A
個人情報保護委員会は、2017 年 5 月の地方税の特別税額決定通知書の発送を前に、3 月 29 日に特定個人情報（個人番号の付いた個人情報）の取扱ガイドラインの Q&A を追加しました。
通知に記載したマイナンバーは、本人にマイナンバーの利用目的を通知・公表していれば、その範囲内で地方税事務以外も利用できる（Q1-3-2）、本人以外から提供を受けた個人番号も提供元ごとに利用目的を特定する必要はない（Q1-3-3）という内容です＊20 。

個人情報保護委員会の回答は個人情報保護委員会からは、追加は事業者から多く問い合わせがあった事項について載せており、従来からの考え方を示しただけで変更したわけではないとの回答がされました。
今回追加した理由は、通知した個人番号が地方税事務にしか使えないとなると、事業者がもともと保有している個人番号と事務ごとに別管理しなければならなくなる懸念があるためだという説明です。
たとえば地方税でしか使えないと、表裏一体の源泉徴収票という国税にも使えなくなり、利用目的を分けるのは負担だと考えたということです。

個人情報の保護より利活用を重視したのではないか
私たちは利用目的の特定・限定というプライバシー保護よりも、個人番号の使い回しを容易にするという利便性を重視して扱いを変更したのではないかと重ねてたずねました。それに対して委員会は、
20 : » 「マイナンバーについて ガイドライン Q&A（回答）」 事業者編 １：個人番号の利用制限 Q1-32。個人情報保護委員会

10恣意的に利用範囲を広げるために Q&A を変更したのではなく、制度上もともと利用目的の変更は認められていて個人情報保護法は保護と有用性・活用という両面を持っており、委員会は厳しく取り締まるということだけではないと説明していました。

利用目的の明示を指導してきたことと矛盾しないか
政府はマイナンバー制度の開始にあたり、マイナンバーを本人から収集する際には利用目的を明らかにするよう指導してきました＊21 。それは単に個人情報保護法 18 条で個人情報取得の際には利用目
的を本人に通知・公表することが決められているためだけではなく、マイナンバーの利用事務は法令で限定されており、それに反した利用が行われないよう確認する必要があるからです。提供した利用目的と違う目的で使われていくようになれば、不正な流用を助長するおそれがあります。

総務省は個人情報保護委員会などと協議して利用目的の通知を変更
総務省は当初 2016 年 11 月 25 日に、通知に記載のマイナンバーは番号法第 9 条第 3 項の規定により地方税事務以外には利用できない、という通知を送っていました＊22 。しかし 2017 年 3 月 2 日に、
Q&A と同様の内容に変更する通知に変更しました＊23 。
内容が変化した理由について総務省は、市区町村に番号法の規定をより正確に伝えるために個人情報保護委員会など関係省庁と協議して通知したものと説明しました。しかし 2016 年 11 月 25 日の通知が個人情報保護委員会などと協議して出されていたのかは、明確な説明はありませんでした。マイナンバーの使い回しを容易にするための変更ではないか、という疑いは消えません。

預貯金口座への付番でも Q&A を変更し使い回し可能に
利用目的を変更して預貯金口座への付番に「使い回し」を認める Q&A2018 年 1 月から預貯金口座にマイナンバーの付番がはじまりましたが、金融機関等へのマイナン
バーの提供は、法令上、義務ではありません＊24 。
個人情報保護委員会は、預貯金口座への付番の Q&A を 2017 年 7 月に追加し、個人番号の提供を受けた時点で利用目的としていなかった「預貯金口座への付番に関する事務」にも、変更された利用目
的を本人に通知または公表すれば利用可能としています＊25 。そのため金融機関ではマイナンバーの利

21 : » 「マイナンバー（社会保障・税番号制度） よくある質問（FAQ）」 4-2 マイナンバーの取得 Q4-23。内閣府
22 : » 「平成 29 年度分以降の個人住民税に係る特別徴収税額決定通知書（特別徴収義務者用）の送付に関する留意事項について（通知）」 総務省自治税務局市町村税 課、2016.11.25
23 : » 「平成 29 年度分以降の個人住民税に係る特別徴収税額決定通知書（特別徴収義務者用）の送付に関する留意事項について（通知）」 総務省自治税務局市町村税課、2017.3.2
24 : » 「番号制度概要に関する FAQ」 その他 Q3-14-2。国税庁
25 : » 「マイナンバーについて ガイドライン Q&A（回答）」 【(別冊)金融業務】 16：個人番号の利用制
限 Q16-5。個人情報保護委員会

11

用事務を掲載したホームページに「預貯金口座への付番に関する事務」を加えることで、金融機関内
でマイナンバーを預貯金口座への付番に使い回しています＊26 。
この Q&A を追加した理由も個人情報保護委員会は、問合せがあった事項を追加したもので金融機関から事情を聞いて作成したと回答しています。しかしこれでは、預貯金口座への付番のためにマイナ
ンバーの提供をしたくない人も、勝手に付番されてしまいます。

行政から金融機関にマイナンバーを提供し付番に利用？！
さらにある識者は、今後役所などの口座振込申請書にマイナンバーの記載欄が追加される予定で、役所から金融機関にマイナンバーが提供されるのでそれを預貯金口座への付番に流用できると説明しています＊27 。そうすると本人は金融機関にマイナンバーを伝えていなくても預貯金口座に付番されてしまい、提供は義務ではないとしていることがまったく無意味になります。
普及率が 11％に低迷しているマイナンバーカードを作りたくない理由として、預貯金を税務署に知られたくないなどプライバシーが漏れることへの不安があります。金融機関へのマイナンバーの提供はあくまで任意であるべきです。
しかしこれについても個人情報保護委員会は、制度上、利用目的の変更は認められており、事業者がそれをどう表示していくかは対顧客の関係だという形式論で認めていました。ただヒアリングに出席した金融庁の担当者からは、おっしゃるところはよく分かるが、金融庁として口座振込申請書へのマイナンバーの記載欄の追加を検討していることはまったくないとの説明がありました。

26 : たとえば、三菱東京 UFJ 銀行の例として » 「個人情報の利用目的の改定について」 株式会社三菱東京
UFJ 銀行、2017.7.18 などを参照
27 : 『預貯金へのマイナンバー付番 Q&A』 梅屋真一郎、ビジネス教育出版社、2017.10.24 p.34

12

(3)情報提供ネットワークシステムの監視は行われているか?
情報提供ネットワークシステムの運用開始前に、会計検査院はシステム構築のための特定個人情報保護評価が適正に行われていな
かったり、情報連携のタイムラグや非効率などさまざまな問題を報告しています。
個人情報保護委員会がこれらの問題に、どのような調査や指導監視をしているのか質しましたが、システムの監視をする姿勢は感じられませんでした。

情報提供ネットワークシステムは 2017 年 7 月 18 日に試行運用を始め、11 月 13 日に「本格運用」
を開始しましたが、予定した事務の半分程度しか利用されていません＊28 。
利用開始前の 7 月 26 日に会計検査院が「国の行政機関等における社会保障・税番号制度の導入に係る情報システムの整備等の状況について」の報告を公表しました＊29 。
会計検査院は多額の費用がかかっているマイナンバーのシステムについて、• システム整備は関係法令等の趣旨に沿って適切に行われているか• 各機関による情報の管理が効率化されるよう情報連携の仕組みは適切に整備されているか• システム整備に当たり、特定個人情報保護評価は情報管理の適正を確保するよう適切に実施されているかなどを、合規性、経済性、効率性、有効性等の観点から検査し、さまざまな問題を報告しています。
この報告が指摘している問題について、個人情報保護の観点から個人情報保護委員会がどのようにとらえているかを、とくにシステムに対する特定個人情報保護評価について質問しました。

28 : » 「情報連携及びマイナポータル等について」 p.24、2018 年度社会保障・税番号制度担当者説明会 資料 2-1、内閣官房番号制度推進室、2018.5.21
なお上記資料を含む、都道府県の市町村連絡会などが開催してきた「社会保障・税番号制度担当者説明会」などの配布資料の一部が、» 社会保障・税番号制度説明資料 （やぶれっ！住基ネット市民行動運営の資料アーカイブ）に収録されている。合わせて参照されたい。
29 : »「国の行政機関等における社会保障・税番号制度の導入に係る情報システムの整備等の状況についての報告書（要旨）」 会計検査院、2017.7» 「国の行政機関等における社会保障・税番号制度の導入に係る情報システムの整備等の状況について」 （報告全文 PDF 版）。同上

13

委員会作成の「指針」に沿って実施しなくても問題ない ?!
個人情報保護委員会が決めた「特定個人情報保護評価指針」では、システム構築の「要件定義→基本設計→詳細設計→プログラミング→テスト→システム運用開始」というプロセスのなかで、評価の実施時期について「システムの要件定義の終了までに実施することを原則とするが、評価実施機関の判断で、プログラミング開始前の適切な時期に特定個人情報保護評価を実施することができる」としていました。

指針が求める期間内に特定個人情報保護評価がされていなかった
会計検査院はこの要件定義について「情報システムが備えるべき機能・性能を具体的に定めて明確化する極めて重要な工程であり、明確な要件定義を行えない場合、計画の遅延や情報システムの機能・性能が要求水準に満たないものとなる事態等が発生するおそれが高まる」としています＊30 。
しかし会計検査院の調査では、132 機関 171 件の特定個人情報保護評価のうち 116 件は要件定義の終了までに実施されておらず、このうち要件定義の終了後から詳細設計の開始前までの実施が 1 件、
詳細設計からプログラミング開始前までの実施が 11 件、プログラミング開始からテストの開始前までの実施が 13 件、テストの開始から構築完了までの実施が 60 件、構築完了後に実施されていたものは31 件と報告されています＊31 。

指針に沿って実施していなくても問題ない ?!
委員会の指針に沿って実施されていないこの実態に対して、どのような指導助言や報告聴取・立入検査を行ったのか質問しました。
委員会の回答は、実施時期の原則は要件定義終了までだが、評価実施機関の判断等によりプログラ
ミングの開始前の適切な時期に実施することも認めてきたので、要件定義前に実施していないことに関しては制度上問題となることではないというものでした。
しかし会計検査院の報告では、多くの機関がプログラミングの「開始後」に実施しており、指針が守られていないことは明らかです。にもかかわらず指導助言等や調査を行ったという説明はありませんでした。

守れない実態にあわせて「指針」を緩和 ?!
特定個人情報保護評価は、重要な個人情報保護措置
特定個人情報保護評価は、番号制度に対する懸念（国家による個人情報の一元管理、特定個人情報の不正追跡・突合、財産その他の被害等）を踏まえた制度上の保護措置の一つであり、事前対応による個人のプライバシー等の権利利益の侵害の未然防止及び国民・住民の信頼の確保を目的とすると説明されています＊32 。
30 : » 同上報告全文 HTML 版「3 検査の状況／(1)マイナンバー制度関連システムの整備の状況／ア 業務の見直し、要件定義等の実施状況」 同上。報告全文 PDF 版では p.20
31 : » 同上 HTML 版「3 検査の状況／(3) マイナンバー制度関連システムの整備における特定個人情報保護評価の実施状況」 同上。報告全文 PDF 版では p.44

14

評価書は「特定個人情報保護評価指針」によって、公示して広く国民の意見を求め、得られた意見を十分考慮した上で評価書に必要な見直しを行うこととされています＊33 。また保護評価を実施していない事務は、番号法 28 条 6 項および 21 条 2 項 2 号が、情報連携を行うことを禁止しています＊34 。

要件定義前に「特定個人情報保護評価」を実施することが必要
特定個人情報保護評価の結果を受けて、当初予定していた特定個人情報ファイルの取扱いやシステ
ム設計を変更しなければならない場合も想定されるため、対応に要する時間を考慮して評価は十分な
時間的余裕をもって実施する必要があります＊35 。
そのために「情報システムが備えるべき機能・性能を具体的に定めて明確化する極めて重要な工程」である要件定義前に実施することが必要です。システム設計が固まってから意見を言っても見直しは困難になり、保護評価制度の役割は果たせなくなります。

実態に合わせて保護評価の実施時期を遅らせてしまった
ところが個人情報保護委員会は、今年(2018 年)5 月 21 日に特定個人情報保護評価の規則・指針を改正し、特定個人情報保護評価の実施時期を「システムの要件定義の終了前」から「プログラミング開始前」に変更しました＊36 。
変更した理由の説明を求めたところ、委員会の回答は保護評価はシステムの具体的な運用面を含めたリスク対策の評価を求めており、運用面はシステムの設計中においても関係機関との調整が必要となってくる事実があったので、要件定義終了までに実施することが困難となっていたため、というものです。つまり指針に従って実施されていなかったため、実態に指針を合わせたということです。

「要件定義の重要性は変わらない」なら、なぜ改悪したのか
それでも要件定義の重要性は変わりませんから、大規模な変更が生じないように明確な要件定義を行うよう指針の解説等で周知を図っていると説明がありましたが、要件定義前に実施することと、明確な要件定義を行うことは違います。
さらに要件定義の後の詳細設計の段階でリスクを把握し、プログラミングでリスク対策を実装でき
れば間に合うという考え方で、基本的には従来と変わらないとも説明しています。詳細なリスク対策
を修正・実装すればいいという考え方は、市民の意見により特定個人情報ファイルの取扱いやシステ
ム設計そのものを変更するという保護評価制度の趣旨を忘却しています。

指針が守られなかったのは理解の不足が原因
ちなみに会計検査院の報告では、評価の実施が遅延した理由は• 評価の準備や評価書の作成作業に時間を要した

43.9％

32 : » 「特定個人情報保護評価の概要」 概要版。個人情報保護委員会、2018.5
なお、このスライドの » 詳細版 も公開されている。同委員会の » 「特定個人情報保護評価」のページも参照
33 : »「特定個人情報保護評価指針」 p.8-9。特定個人情報保護委員会、2014.4.20
34 : » 番号法
35 : » 「特定個人情報保護評価指針の解説」 p.94。個人情報保護委員会、2014.4.20/2018.5.21 改正
36 : » 「『特定個人情報保護評価指針の解説』の更新」 p.101。個人情報保護委員会、2018.5.21

15

• 厚労省の手引きで実施時期を誤って示していた• 実施時期について理解が不足していた

30.1％

9.4％

• 要件定義後の工程で評価書の記載項目をより詳細に検討する必要があった

2.5％となっています。
委員会の説明する理由で遅延したのは 2.5％で、大部分は特定個人情報保護評価制度の理解不足が原因です。委員会は遅延した理由を調査し保護評価制度の周知と評価書作成への支援を行うべきだったにもかかわらず、指針が守られていない実態にあわせて改正しています。
このような改正をしているようでは、特定個人情報保護評価制度は形骸化していきます。

情報連携の「タイムラグ」の問題を調査していない ?!
副本データ更新のタイムラグで古い情報が提供の可能性
会計検査院報告では、中間サーバーの副本データの更新のタイムラグにより、照会時期によっては古く誤った情報が提供される事態が指摘されています＊37 。
特定個人情報保護評価では「入手した特定個人情報が不正確であるリスク」「誤った情報を提供してしまうリスク」等が評価項目となっているが、このタイムラグをどのように評価しているか質問しました。
委員会の回答は情報提供ネットワークシステムを所管しているのは総務省で、そこで得た情報として、タイムラグは会計検査院報告に記載された 1 件以外には同様の事態が起きている事実は把握していないと聞いているというものです。そして評価については評価機関が自分の行う事務に対してリスクを把握して評価するもので、委員会としては審査の観点に合わせて承認を淡々と進める形になっているとのことです。

委員会として調査はしておらず総務省から情報を得ているだけ ?!
説明を聞くかぎり、個人情報保護委員会が会計検査院の指摘している実態について情報提供ネット
ワークシステムの調査はしておらず、総務省から情報を聞いたり、書類審査を淡々と進めているようです。
番号法では委員会の行う監督等として、指導及び助言、勧告及び命令、報告及び立入検査を規定していますが、それに加えて特に第 37 条として情報システムについての「措置の要求」を規定し、機能の安全性・信頼性を確保するよう総務大臣その他の関係行政機関に必要な措置を実施するよう求める
ことができるとしています。
これは「大量の特定個人情報を流通させる仕組みである情報提供ネットワークシステムや関連する
情報システムに関して、個人情報保護の観点からシステム構築及び維持管理の一層の適正化を図るため、これらのシステム構築及び維持管理に関して特定個人情報保護委員会の監視の対象とし、総務大37 : 前出 *3 » 「3 検査の状況／(2)マイナンバー制度関連システムにおける情報連携等の状況／イ 特定個人
情報のデータベースの中間サーバー上の副本データへの反映状況」 報告全文 HTML 版。会計検査院、
2017.7。報告全文 PDF 版では p.37

16

臣及び行政機関の長に対して、必要な措置を講ずることを求めることができる旨を規定」したものです＊38 。
情報提供ネットワークシステムの監視は、番号法からみても個人情報保護委員会のもっとも重要な仕事ですが、行われていないと思わざるをえません。

いまこそ情報提供ネットワークシステムの検証が必要
情報項目が極めて多いことが延期の理由の一つだったという指摘
情報提供ネットワークシステムについては、年金機構の不正再委託にともなう年金情報の情報連携の延期においても、年金制度は複雑であり、かつ、年金額に関する情報については情報連携で提供される情報項目が極めて多く、その解釈も難しいことによる地方公共団体等の情報照会機関における事務運用上の懸念があることが、延期の理由の一つとなっています＊39 。

部局間の情報共有の仕組みを見直す必要性の指摘
マイナンバー制度導入を一貫して担当している向井治紀内閣官房審議官も、「情報連携ではデータの提供者と照会者が違うので、データを提供する側の部局がデータの定義を細かく伝えるようにしな
いと、データをもらう方の部局には役立たない」と、データを利用する部局の業務内容や事務手順を
提供元の部局があらかじめ理解できるよう、部局間の情報共有の仕組みを見直す必要があることを指摘したと、昨年 12 月に報じられています＊40 。

基本的な情報の開示や評価検証の仕組みの構築も求められている
8 月 3 日の経済同友会のマイナンバー制度に対する提言でも、情報連携が実施された件数は想定の数
百分の 1 程度との見方もあるが評価指標となりうる数字が公表されていないと指摘し、情報連携の実施件数など基本的な情報の開示や評価検証の仕組みの構築を求めています＊41 。
運用開始１年のいまこそ情報提供ネットワークシステムの検証が必要になっていますが、説明を聞くかぎりでは、個人情報保護委員会がシステムの監視をする姿勢は感じられませんでした。

38 : » 「行政手続における特定の個人を識別するための番号の利用等に関する法律【逐条解説】」 p.101。
内閣府大臣官房番号制度担当室、2014
なお、この 101 ページの解説は、改定前の（旧）番号法 54 条についての記述だが、番号法の改定と、特定個人情報保護委員会から個人情報保護委員会への改組にともなう法整備によって、（旧）番号法 54 条
は現行の番号法 37 条に移行している。（» 番号法の条文）
39 : » 「日本年金機構、国家公務員共済組合連合会、地方公務員共済組合又は全国市町村職員共済組合連合会及び日本私立学校振興・共済事業団に対する年金関係の情報連携の抑止について 」 内閣府番号制度
担当室 総務省大臣官房個人番号企画室、2018.3.22
40 : » 「『文句は大歓迎』、待ったなしのマイナンバー制度改革」 日経 XTECH、2017.12.20
41 : » 「マイナンバー制度に関する提言 ―マイナンバー制度をわが国のデジタル化の基盤として今こそ抜本改革せよ―」 経済同友会、2018.8

17

(4)日本年金機構の不適正な再委託にどう対応したか?
2018 年 3 月に発覚した年金機構の不正再委託問題は、国会でも集中審議が行われるなど、大きな関心を集めました。また事業者が従業員や顧客のマイナンバー収集管理を外部委託していることには、以前から不安の声がありました。
マイナンバー事務の委託について、個人情報保護委員会の調査・指導監督が強く求められていますが、ヒアリングの回答は、個人情報保護委員会の対応にますます不安が募るものでした。

日本年金機構が 2018 年 3 月 20 日に公表した、扶養親族等申告書の入力を受託した SAY 企画が契約に反して無断で海外の業者に再委託した問題は、年金機構の問題だけではなく、マイナンバー関連
業務の外部委託の危険性もあらわにしました。
年金機構の水島理事長は 3 月 29 日の参院厚労委員会で、「やるべき外部委託とそうでない外部委託というのはある……マイナンバーを取り扱う業務について完全に外部委託をしてもいいかどうかについては慎重な検討を要する」と述べていました＊42 。

「機構にどのような調査・指導をしたかは答えられない」
個人情報保護委員会は 1 月 22 日に年金機構からこの報告を受けています。その際、どのような指導・監督を行ったか質問しました。
回答は、1 月 22 日に機構からこの報告を受けこの事案に関して検査を実施して問題点の指摘を行い指導も行っているというものです。
ではどのような指摘、指導を行ったかを聞きましたが、個別の案件の内容は公表していない。立入検査の件数などは公表している。委託先の監督体制についてしっかり改善してくださいと求めている
ところという説明しかありませんでした。
国会審議でも個人情報保護委員会の対応について説明はなく、年金機構が公表した「日本年金機構
における業務委託のあり方等に関する調査委員会報告書」＊43 でも個人情報保護委員会の検査や指導内容の記載はありません。
いつどのような立入検査をし、どのような指導をしたかは明らかにされませんでした。

42 : » 196 国会「参議院厚生労働委員会会議録」第 5 号 p.4。2018.3.29
43 : » 「日本年金機構における業務委託のあり方等に関する調査委員会報告書について」 日本年金機構、
2018.6.4

18

番号法違反、評価書違反の再委託ではない ?!
番号法では、委託元の許諾がある場合のみ再委託を認めています（第 10 条）。また委託元が再委託先までを、責任をもって監督するよう求めています。そして公的年金業務の特定個人情報保護評価書（「公的年金業務等に関する事務 全項目評価書」＊44 ）では、個人番号のシステムへの入力等に係る事務については再委託を行わないとしていました。
しかし福島みずほ参議院議員の「日本年金機構の情報連携と業務委託並びにマイナンバーの利用と個人情報保護に関する質問主意書」＊45 の質問「四の 2」に対して政府は、「株式会社 SAY 企画に係
る事案については、同社から再委託先に送付されていた情報に個人番号が含まれていないため、番号利用法第十条に規定されている再委託には該当しないと承知している」と答弁しています＊46 。
個人情報保護委員会の見解を質問しましたが、回答はやはり SAY 企画から再委託先に送付された情報に個人番号は含まれていないので、番号利用法第 10 条の再委託には該当しない。というものでした。
大きな社会的関心を集めた事件でありながら、番号法違反としての指導監督はしないという説明です。

一連の事務を分解してしまえば番号法の規制をうけなくなるのか
年金機構や国は、SAY 企画から中国の関連業者に不正な再委託で提供された情報は「氏名とフリガナ」だけだと繰り返しています。しかし調査報告をみても、マイナンバー（個人番号）が提供されていなかったとは断定はできません＊47 。
仮に個人番号が提供されていなかったとしても、番号法第 10 条は「個人番号利用事務又は個人番号
関係事務の全部又は一部の委託を受けた者は、当該個人番号利用事務等の委託をした者の許諾を得た場合に限り、その全部又は一部の再委託をすることができる。」としています。また特定個人情報保護評価も、個々の個人情報単位で評価するものではなく、事務単位でリスク評価を行うものです。事務全体として再委託されたかどうかを判断すべきで、ことさらに法律の規定を狭く解釈する理由がわ
かりません。
委員会の説明は番号の事務単位を何ととらえるかによる。たとえば極端な例だが、個人番号の利用
事務のなかで清掃がありそれを再委託したときに番号法違反になるのかと考えると、個人番号がある
ものが再委託の対象となる
特定個人情報保護評価は、特定個人情報ファイル（個人番号を含む個人情報のファイル）の事務の取扱をしていてのリスク対策を対象としているというものです。
44 : » 「特定個人情報保護評価書（全項目評価書） 公的年金業務等に関する事務 全項目評価書」 p.4247。厚生労働大臣、2017.7.6
45 » 「日本年金機構の情報連携と業務委託並びにマイナンバーの利用と個人情報保護に関する質問主意書」、同政府「答弁書」 福島みずほ／安倍晋三、2018.7.18/2018.7.27
46 : 上記福島質問主意書と政府答弁書については、以下も参照 » 質問主意書と答弁の対比整理 共通番号いらないネット作成
47 : この web サイトの記事 » 「年金 『再委託』問題はどうなっているか」 nonumber-tom、2018.8.25 。
この記事では、前出福島質問主意書・政府答弁書、年金機構の検証報告書・調査報告書などにもとづいて「再委託」問題を検討する中で、SAY 企画とは別の委託先について、「不正再委託でマイナンバーが提供されたケースもあった」と指摘している19

マイナンバー事務の不正再委託としての対応を
事務をバラバラにしてしまって、個人番号が付いていない部分は再委託してもいいというのでは全体を見ることはできなくなり、番号法や特定個人情報保護評価の趣旨を外れてしまいます。
またそもそも 1 月 22 日に委員会が報告を受けた時点では、再委託先に提供された情報に個人番号が含まれていたかどうかは不明です。現に恵和ビジネスの無断再委託では、マイナンバーも再委託先に提供されています。事後的に含まれていないことがわかったから法違反ではないという姿勢では、流出してしまってから対応するしかなく、事前予防という評価制度の意味をなしません。
私たちの指摘に対して厚生省年金局からは「特定個人情報保護評価違反かどうかは個人情報保護委
員会の判断だが、委託した扶養親族等申告書にはマイナンバーが入っており、年金機構も厚労省も事務をバラバラにして考えたらいいと思っているわけではない。管理監督不十分でこういう事態になったことは、真摯に反省している」との説明がありました。
委員会からは最後に保護評価としては全体の話だということは認識している。今回個人番号の利用事務として委託していた問題があるので、この点では保護評価書の対象になると認識している。保護
評価書どおりにやっているかは立入検査等で確認していくとの説明がありました。

不正再委託でマイナンバーが提供されたケースもあった
年金機構は 2018 年 4 月 6 日、入力業務を委託された恵和ビジネスが契約に反し再委託していたことを公表しました＊48 。
福島みずほ参議院議員の質問主意書に対して、再委託先に提供した情報の中に個人番号も含まれていたことが答弁されています（答弁書 二の 1 について）。
この再委託について、以下の質問をしました。
１．委員会はいつ機構からこの再委託の報告を受けたか。
２．報告を受けた後、どのような指導・監督を行ったか。
３．何名分の個人番号が提供されたのか。
４．提供された特定個人情報の処理について、どのような調査を行ったか。
５．提供された本人に対して連絡は行われているか。
６．この再委託は番号法違反、特定個人情報保護評価書違反であると認めるか。
委員会からの回答は、
１．判明後速やかに報告を受けている
２．原因の究明、再発防止策の検討実施を求めている
３～５は、個別の事案の中身になるのでお答えすることはできない
６．事実関係を整理中というもので、具体的なことはなにも明らかにされませんでした。

48 : » 「仙台広域事務センターの業務委託先事業者への委託業務の停止」 日本年金機構、2018.4.6

20

不正に外部に提供されても漏えいではない ?!
政府は福島みずほ参議院議員の質問主意書に、SAY 企画および恵和ビジネスの再委託については、再委託先から外部への情報の流出がなかったから、2015 年の不正アクセスによる年金個人情報の流出事案とは異なると答弁しています（答弁書 三の 3 について）。
しかし機構の知らないところで別の業者に提供された時点で情報流出ととらえるべきではないか、と質問しました。
これについては厚労省年金局から「漏洩とか情報流出の言葉の定義は受け取る方によって違うところからあるかもしれないが、質問主意書で答弁しているのは 2015 年の流出事案は不特定多数の方の情報が外部の空間に出ていった事案で、今回の SAY 企画では契約した再委託先に情報がわたっていた事案なので、形態が異なるということを答弁しているところ」との回答がありました。
漏えいの形態が不正アクセスと不正再委託で違うのは当然ですが、どちらも外部に不正に情報が流出した点では同じです。
個人情報保護委員会に対して、毎年報告している漏えい等事案の集計報告に、この恵和ビジネスが不正再委託でマイナンバーを外部に提供した事例は漏えい件数として入るのかを確認したところ、漏えい等事案の報告の受付件数としてカウントしている。漏えいだけでなく法違反の恐れも含まれているので、どういうふうに整理するか検討中という、あいまいな説明でした。

漏えい事件として対策することが必要
この再委託問題は、大きな関心を集めた事件です。国会では 2015 年に不正アクセスで 125 万件もの年金個人情報が漏えいし、かつて社会保険庁時代には不正閲覧や年金記録の漏れを起こしている年金機構が、今後また不祥事を起こすことは許されないと指摘されていました。
一方、マイナンバー制度の開始以降、事業者は従業員や顧客のマイナンバー収集管理の外部委託を進めています。委託先の業者の安全管理措置がどうなっているのか、以前から心配されていました。
この問題は委託先からの漏えいがはじめて明らかになった事件です。委員会は年金機構の情報連携開始にあたっての調査もすることになっています。安易な開始は許されません。委員会が委託問題にどのような調査・指導監督を行なうのかを注視していくとともに、市民の信頼回復のために調査・指導監督内容の公開や再委託を認めている番号法 10 条の見直しの検討も必要です。
なお、年金機構の問題については、こちらの記事 » 「年金も参照してください。

21『再委託』問題はどうなっているか 」