個人情報保護ワーキンググループ報告書

平成２３年６月２３日
個人情報保護ワーキンググループ

第１ はじめに
本報告書は、社会保障・税に関わる番号制度（以下「番号制度」という。
）に関し、本年１月 31 日に政府・与党社会保障改革検討本部で決定した「社会保障・税に関わる番号制度についての基本方針」に基づき設置された個人情報保護ワーキンググループ
における議論の主な内容を取りまとめたものである。
本ワーキンググループでは、２月７日の第１回会合以降、計６回の会合において番号制度における個人情報保護方策について検討を重ね、政府・与党における「社会保障・税番号要綱」（以下「要綱」という。
）及び「社会保障・税番号大綱」（以下「大綱」という。）の策定に当たり、「社会保障・税に関わる番号制度における個人情報保護方策について要綱に盛り込むべき事項」（以下「要綱に盛り込むべき事項」という。）及
び「社会保障・税に関わる番号制度における個人情報保護方策について大綱に盛り込
むべき事項」（以下「大綱に盛り込むべき事項」という。
）を、それぞれ提示してきた。
ただし、要綱に盛り込むべき事項及び大綱に盛り込むべき事項では、政府・与党により策定される要綱及び大綱の性質を考慮し、その記載事項については、今後提出が予定される「番号法（仮称）」に盛り込まれ得る内容に絞ることとしたため、要綱に盛り込むべき事項及び大綱に盛り込むべき事項の基となった議論全体の内容も含め、本ワーキンググループにおける議論の成果を報告書として取りまとめることとした。
第２ 検討の経緯
本ワーキンググループは、２月７日に第１回会合を開催した後、第２回会合を２月
23 日、第３回会合を３月 18 日、第４回会合を４月１日に開催し、第４回では、「社会保障・税に関わる番号制度における個人情報保護方策について要綱に盛り込むべき事項」を取りまとめた。また、４月 19 日には、同じく基本方針により設置された情報連携基盤技術ワーキンググループとの合同会合を開催し、意見交換を行った。
４月 28 日に政府の「社会保障・税に関わる番号制度に関する実務検討会」において「社会保障・税番号要綱」が了承された後、第５回会合を５月 18 日、第６回会合を６月２日に開催して更に検討を進めた。第６回では、「社会保障・税に関わる番号制度における個人情報保護方策について大綱に盛り込むべき事項」が取りまとめられ、また、本報告書についても議論がされたところである。

1

第３ 基本的な考え方
番号制度に係る個人情報保護方策を考えるに当たり、まず、以下の点に留意する必要がある。
１ 番号法は、現行の個人情報保護法制の言わば特別法に位置付けられるものである。
２ 当初の利用範囲は、社会保障及び税分野に限定されるものの、今後の利用範囲の拡大も想定されることから、ＥＵデータ保護指令やプライバシー・バイ・デザイン
1、ＰＥＴs2等といった国際的な考え方にも対応した措置を講ずることとする。

３ 住民基本台帳ネットワークシステムに係る最高裁合憲判決(最判平成 20 年３月６日)で示された判断の趣旨を踏まえたものとするのみならず、番号と結び付けられる個人情報には、より秘匿性の高いものが含まれる可能性があることに鑑み、更に高度の安全性を確保し得るものとする。
第４ 国民の懸念への対応
番号制度は、本人を確実に確認することが可能な番号を用いることにより、複数の機関に存在する個人の情報が同一人の情報であるということを確認するための社会的基盤である。また、国民が公平・公正さを実感し、国民の負担が軽減され、利便性が向上し、権利利益がより確実に守られるための制度である。つまり、番号制度には、行政手続が簡略化されるとともに、きめ細やかで的確な社会保障が可能になるなどのメリットがある3。
そこで、本制度の導入に伴い、新たに国民一人ひとりに見える「番号」が付与（付番）されることとなるが、このような制度の実施に伴い、国民の間には、① 国家管理への懸念
国家により個人の様々な個人情報が「番号」をキーに名寄せ・突合されて一元管理されるのではないかといった懸念② 個人情報の追跡・突合に対する懸念「番号」を用いた個人情報の追跡・名寄せ・突合が行われ、○ 集積・集約された個人情報が外部に漏えいするのではないかといった懸念○ 集積・集約された個人情報によって、本人が意図しない形の個人像が構築されたり、特定の個人が選別されて差別的に取り扱われたりするのではないかといった懸念1「プライバシー・バイ・デザイン」（Privacy by Design）とは、ＩＴシステムや業務慣行において、最初からプライバシー保護策を組込み、侵害発生後の対応ではなく、事前にプライバシー対策を講じておくようにする、という概念をいい、国際的に注目されている。
2「ＰＥＴs」（Privacy Enhancing Technologies）とは、システムの機能を損なうことなく個人のプライバシーについて保護性を高める技術をいい、暗号化や匿名化などが挙げられる。
3
番号制度における個人情報保護方策は、本来、番号制度により国民にもたらされるメリットが具体的に示されてから議論されるべきで、そのようにしないと、制度導入により実現される便
益と国民が受け入れるべき規制とを比較衡量することができないとの指摘があった。

2

③ 財産その他の被害への懸念「番号」や個人情報の不正利用又は改ざん等により財産その他の被害を負うのではないかといった懸念が生じるのではないかと指摘されている。
そこで、これらの懸念に対しては、上記第３の３の最高裁判決の趣旨を十分踏まえ、システム上の安全管理措置のほか、主として以下のような制度上の保護措置を講じる
ことにより、高度な個人情報保護を図ることとする。
懸念の類型

制度上の保護措置①国家管理への懸念

・第三者機関の監視
・自己情報へのアクセス記録の確認②個人情報の追跡・突合に対する懸念

・法令上の規制等措置4
・第三者機関の監視・罰則強化③財産その他の被害への懸念

・法令上の規制等措置
・罰則強化

第５ 「番号」の利用及び情報連携における基本原則
１ 「番号」を用いることができる事務の種類、情報連携基盤を用いることができる
事務の種類、提供される個人情報の種類及び提供元・提供先等を逐一法律又は法律の授権に基づく政省令5に明示することで番号制度の利用範囲･目的を特定する。
（注） 政省令等の委任立法に基づいて利用範囲・目的を定めることについては、政府単独で、その範囲を必要以上に拡大するおそれがあるとの懸念も示され、番号の利用範囲等については、特段の事情の無い限り法律において個々の利用目的を明記すべきとの意見もあった。逆に、いわゆる「過剰反応」を防止する観点からは、「番号」利用の不当な目的（やってはいけないこと）の方を具体的に列挙する方法や、第三者機関が「番号」利用の可否について事前に相談を受けるような方法もあるのではないかという意見もあった。
また、「番号」の利用は、原則として法令に基づく場合に限定されるものの、見える番号であるという特性から、法令に基づき「番号」を取り扱い得る事業者以外の者が「番号」を知ることもあり得るが、制度の趣旨としては、このような場合に「番号」が利用されることは許容されないということを明確にすべきとの意見もあった。

２ 対象となる個人情報のうち、あらかじめ本人の同意を得て情報連携する必要があ
る個人情報については、その旨法律又は法律の授権に基づく政省令に記載することとする。
３ 情報保有機関（「番号」に係る個人情報を保有する行政機関、地方公共団体及び日
45

基本的には法律又は法律の授権に基づく政省令による全国一律の規制を想定している。
技術的・細目的事項等について政省令に委任することが考えられる。

3

本年金機構等の関係機関をいう。以下同じ。）は、上記１の例外措置として、著し
く異常かつ激甚な非常災害への対応など特別の理由がある場合に下記第 11 の１（１）の委員会の許可を受けたときには、情報連携基盤を通じた情報連携ができることとする。
（注） なお、情報連携基盤を通じた情報連携については、（見える）「番号」を直接用いないで行われることが原則であることを、明確に示すべきとの意見があった。

第６ 保護の対象となる情報(「番号」に係る個人情報の意義)
１ 基本的な考え方
番号制度においては、上記の懸念に適切に対処するため、番号制度の導入により利活用が促進される一方で、不正利用の対象となる蓋然性が高まり、かつ、一定の機微性を有する、社会保障・税分野の個人情報を保護する必要があると考えられる。
また、「番号」は、それ自体が名寄せ・突合のキーとなることから、氏名等により個人を特定することなく、これに様々な個人情報を紐付けて集積・集約するといった利用が可能となり得る。その結果、本人の意図しない形の個人像が構築され、又は特定の個人が「番号」のみによって選別されて差別的に取り扱われることとなり得るな
ど、「番号」自体が一定の危険性を内包するものであることから、これを保護する必要性も存するところである。
このような観点から、番号制度においては、①情報連携基盤を通じた情報連携の対象となる社会保障・税分野の個人情報、②(情報連携基盤を通じた情報連携の対象とはならないものの、)「番号」と紐付いて扱われる社会保障・税分野の個人情報、及び③「番号」自体を保護の対象とする必要がある
（以下「
『番号』
に係る個人情報」という。
）。
他方、「番号」自体の取扱いについて、過度な処罰を回避するため、罰則（直罰）の対象から、「番号」を、「番号」に係る他の個人情報と併せずに提供する場合を除外することとする。
なお、従来の個人情報保護法の解釈においても議論があったように、個人識別性とその判断方法（判断の主体、主観的判断か客観的判断か、判断の時点）について、罰則の適用に当たって明確に定義することが可能か否か、個人情報保護法の改正が必要なのか、また、適用除外を規定しておくことが適切かどうかについて、検討すべきではないかという指摘があった。
２ 「番号」に係る個人情報の具体例
上記①～③に該当する具体例については、番号制度の利用事務を踏まえて確定することとなるが、現時点では、要綱に示された番号制度の利用事務等に鑑み、以下の情報がこれに該当すると考えられる。
（１）「番号」（注１）
4

（２）国民年金及び厚生年金保険、共済年金等の被保険者に係る届出、給付の受給及び保険料の支払に関する手続のために保有される同手続に必要な個人情報(注２)（３）国民健康保険及び健康保険（国家公務員共済組合法（昭和 33 年法律第 128 号）
及び地方公務員等共済組合法（昭和 37 年法律第 152 号）に関する短期給付を含む。）等の被保険者に係る届出、保険料の支払に関する手続のために保有される
同手続に必要な個人情報(注２)（４）介護保険の被保険者に係る届出、保険料の支払に関する手続のために保有される同手続に必要な個人情報(注２)（５）雇用保険の被保険者に係る届出、失業等給付の受給に関する手続のために保有される同手続に必要な個人情報(注２)（６）国税に関する法令の規定により「番号」を記載の上、税務署長に提出された書類等により取得され、国税の賦課徴収に関する手続のために保有される個人情報(注２)（７）国税に関する法令の規定により「番号」を記載の上、税務署長に提出された書類等により国税当局が取得した個人情報のうち、地方公共団体に提供のあったもので、地方税の賦課徴収に関する手続のために保有される個人情報（注２）（８）国税に関する法令の規定により税務署長に提出する書類に記載するために保有される同書類の記載事項たる個人情報(注２)（９）地方税に関する法令及びこれらに基づく条例の規定により「番号」を記載の上、地方公共団体の長に提出された書類等により取得され、地方税の賦課徴収に関する手続のために保有される個人情報（注２）（10）地方税に関する法令及びこれらに基づく条例の規定により「番号」を記載の上、地方公共団体の長に提出された書類等により地方公共団体が取得した個人情報のうち、国税当局に提供のあったもので、国税の賦課徴収に関する手続のために保有される個人情報（注２）（11）地方税に関する法令又はこれに基づく条例の規定により地方公共団体に提出する書類に記載するために保有される同書類の記載事項たる個人情報(注２)（12）社会保障及び地方税の分野における条例に定めた手続のために保有される個人情報（注２）（13）情報連携基盤を通じて提供を受けた個人情報（注２）（注１） 「番号」を一定の関数、手順等を用いて変換することで（複数回にわたって変換することを含む。
）、新たに番号を生成した場合であって、生成した番号が「番号」と一対一に対応する関係にあるときは、生成した番号についても、上記の危険性を有することとなることから、「番号」に該当することとする6。

6

ただし、規制を適用するに当たっては、行為主体において、生成された番号は、「番号」を変換して生成されたもので、「番号」と一対一に対応する関係にあることの認識が必要になると考5

（注２） ただし、基本４情報（氏名、生年月日、性別、住所）その他これに類する、高度な秘匿性を有するとまで言えない情報のみの取扱い（その該当する行為が「番号」と紐付かない形で行われる場合に限る。
）については、番号法の規制対象からは除き、一般の個人情報保護法制による規制の対象とすることとする。

第７ 番号制度における制限・規制
１ 閲覧、複製及び保管等の制限（１） 行政機関、地方公共団体又は関係機関の職員等（職員等には労働者派遣事業の適正な運営の確保及び派遣労働者の就業条件の整備等に関する法律（昭和 60
年法律第 88 号。以下「労働者派遣法」という。）に規定する派遣労働者を含む。
以下同じ。
）は、職務の用以外の用に供する目的で、「番号」に係る個人情報を閲覧し、複製し、又はこれが記録されているデータベース（「番号」に係る個人情報を含む情報の集合物であって、一定の事務の目的を達成するために特定の「番号」に係る個人情報を電子計算機を用いて検索することができるように体系的に構成したものをいう。以下同じ。
）等（データベースのほか、「番号」に係る個人情報を含む情報の集合物であって、一定の事務の目的を達成するために特定の「番号」に係る個人情報を「番号」、氏名その他の記述等により容易に検索することができるように体系的に構成したものを含む。以下同じ。）を作成してはならない。
（２） 法令に基づき「番号」を取り扱い得る事業者7又はその従業者等（従業者等には労働者派遣法に規定する派遣労働者を含む。以下同じ。）は、正当な理由なく、「番号」の記録されているデータベース等を作成してはならない。
従業者（出向者、親子会社において親会社が一体的に人事管理等を行っている子会社の従業者又は退職者等を含む。
）の源泉徴収等法令に基づき「番号」を取り扱い得る事務に利用するために、「番号」の記録されたデータベース等を構築するに当たり、人事管理・福利厚生等を目的に管理され、上記事務にも利用される既存のデータベース等に、「番号」を付加してこれを用いるときなど、正当な理由に該当する範囲を、可能な限り番号法又は同法の授権に基づく政省令に記載するなどの方法により、確定することとする。
（３） 行政機関、地方公共団体、関係機関及び法令に基づき「番号」を取り扱い得る事業者(「番号」に係る個人情報を取り扱う委託を受けた者(再委託、再々委託等の場合を含む。以下同じ。)を含む。)以外の者は、何人も、業として、「番号」の記録されているデータベース等を作成してはならない。
（４） 行政機関、地方公共団体、関係機関の職員等又は法令に基づき「番号」を取り扱い得る事業者若しくはその従業者等は、業務に関して知り得た「番号」に

7

えられる。
金融機関又は源泉徴収義務者・特別徴収義務者たる事業者等が考えられる。

6

係る個人情報の内容をみだりに他人に知らせ、又は不当な目的に利用してはな
らない8。
（５） 事業者又はその従業者等が業務により「番号」（法令に基づき「番号」を取り扱い得る事業により知り得た「番号」を除く。）を知った場合9、当該「番号」
を他人に知らせ、若しくは不当な目的に利用し、又は文書、図画若しくは電磁的記録に記録して保管してはならない10。
２ 告知要求の制限
何人も不当な目的で「番号」の告知を求めてはならない11。
なお、裏面に「番号」を記載したＩＣカードが、本人確認に広く用いられることを想定するのであれば、「法令に基づく場合及び本人確認で用いる場合以外で番号の告知を求めてはならない」という規定振りでもよいのではないかとの意見もあった。
３ 安全管理措置義務
行政機関、地方公共団体、関係機関又は法令に基づき「番号」を取り扱い得る事業者は、当該情報の漏えい、滅失又はき損の防止その他の「番号」に係る個人情報の安全管理のために、相当な措置を講じなければならない12。
４ 電子計算機処理等に関する秘密についての守秘義務
行政機関、地方公共団体若しくは関係機関の職員等又は受託業務（再委託、再々委託等の場合を含む。以下同じ。
）の従事者等（従事者等には労働者派遣法に規定する派
遣労働者を含む。以下同じ。
）は、職務に関して知り得た「番号」に係る個人情報の電子計算機処理等に関する秘密を漏らしてはならない。
５ 委託、再委託等に関する規制

8

例えば、法令に基づき「番号」を取り扱い得る事業者又はその従業者等が同事業者の従業者本人の同意が得られている目的の範囲内で「番号」に係る個人情報を利用することは「不当な目的」には該当しない。
9「番号」が券面に記載されているＩＣカードを本人確認書類として用いた場合が考えらえる。
10「番号」は、ＩＣカードの裏面に記載するなど、「番号」ができるだけ複写されない措置を検討する。
11
法令に基づき「番号」を取り扱い得る事業以外に、他人の「番号」を知り得る業務としては、
現在行われている多様な本人確認手段の一つとして、改良される住民基本台帳カードを活用することとなる本ＩＣカードを用いた本人確認が想定されるところである。
この場合、本人確認を実施する事業者において、利用し得る本人確認書類の一つとしてＩＣ
カードを挙示すること等が、実質的に「番号」の告知要求に当たり得ることから、法令に基づ
き「番号」を取り扱い得る事業以外に、一切の告知要求を禁止することは妥当でないと考えられる。
12
下記第 11 の１（１）の委員会及び個人情報保護についての既存の監督機関は、連携を図りながら、当該事業者において措置が確実に講ぜられるよう監督するものとする。

7

情報漏えい等の問題事例は、委託事業者のほか、再委託、再々委託等の受託事業者においても発生していることから、委託、再委託等に関し以下のような措置が必要となる。
（１） 「番号」に係る個人情報の委託について、委託元の性質に応じて、行政機関の保有する個人情報の保護に関する法律（平成 15 年法律第 58 号。以下「行政機関個人情報保護法」という。
）又は個人情報の保護に関する法律（平成 15 年
法律第 57 号）における規制と同様の規制を課す。
（２） 委託元となる行政機関、地方公共団体、関係機関又は法令に基づき「番号」
を取り扱い得る事業者の許可又は明示の許諾を得なければ、「番号」に係る個人情報の取扱いの再委託、再々委託等をすることはできないこととする。
（３） 委託、再委託、再々委託等を受けた者は、「番号」に係る個人情報の安全管理のために相当な措置を講じなければならない。
（４） 受託業務の従事者等は、委託元の職員等若しくは従業者等と同様の義務を負うこととする。
６ 死者の識別情報
行政機関、地方公共団体、関係機関又は法令に基づき「番号」を取り扱い得る事業者が、「番号」に係る死者の識別情報を、保存年限の規定等により保存している場合には、個人情報と同等の安全管理措置を講じるものとする。
７ 適用除外報道機関、著述、学術研究、宗教団体、政治団体等については、番号法においても、
個人情報保護法第 35 条及び第 50 条に相当する適用除外の規定を設ける必要があるのかどうか検討すべきではないかという指摘があった。
これに対し、特に報道機関について、報道の自由又は取材の自由の制約というのは、憲法論の領域であり、そもそも、報道の自由を妨げてはならないというのは、法律や大綱に書き込む以前の当然の話であるとの意見があった。
第８ 「番号」の変更請求「番号」は、「見える番号」であるため、第三者に「番号」を不正に取得され、意図的に不特定多数の者に流布させられるなどの可能性は否定できないことから、「番号」を通知された者は、「番号」の変更を請求することができる。
変更請求の要件については、特段の要件を設けないこととする案や、「番号」の悪用により不利益を受けた場合その他市町村長が適当と認める場合等に請求できることとする案などが考えられるが、行政事務コストやシステム上の負荷等の観点も踏まえ、さらに検討することが必要である。

8

第９ 本人による個人情報へのアクセス及びアクセス記録の確認
上記第４のとおり、特に国家管理への懸念に対応するため、国民一人一人が、自己に関する個人情報へのアクセス記録等を自ら確認できるようにする仕組みを導入すべきである。また、行政機関個人情報保護法に規定されている個人情報の開示請求、訂正請求及び利用停止請求について、マイ・ポータルを利用して、これらを容易に行えるようにする。
１ 本人による個人情報へのアクセス（１） 行政機関及び関係機関が保有する「番号」に係る個人情報のうち、不開示情報に該当しないことが事前に確定でき、かつ、マイ・ポータル上で当該個人に開示を行っても事務の適正な遂行に支障を及ぼすおそれがない情報については、
マイ・ポータル上で開示できるものとする。地方公共団体が保有する「番号」に係る個人情報についても、当該地方公共団体の判断によりマイ・ポータル上で開示できるものとする。
（２） 行政機関及び関係機関が保有する「番号」に係る個人情報のうち上記に該当しない情報についても、開示請求手続、訂正請求手続及び利用停止請求手続を、
マイ・ポータルを経由して行うことができることとする。地方公共団体が保有する「番号」に係る個人情報についても、当該地方公共団体の判断により開示請求手続、訂正請求手続及び利用停止請求手続を、マイ・ポータルを経由して行うことができるものとする。
２ アクセス記録の確認（１） 情報保有機関による、情報連携基盤を通じた「番号」に係る個人情報のやり取りについて、その日時、主体、情報の種類、根拠等を、個人自ら確認できる仕組みを設けることとする。
（２） 行政機関個人情報保護法第 14 条13に規定される除外事由を踏まえ、必要に応じて除外事由を設けることとする。
（３） アクセス記録の確認は、本人確認を行った上で、マイ・ポータル上で行うほか、マイ･ポータルへの接続が困難な者等も確認できるようなその他の仕組みを設けて行うこととする。
（注） なお、アクセス記録については、第三者機関において可能な限り長期間保存し、情報連携基盤の利用に関して不正行為が発覚したときには、第三者機関が、保存しているアクセス記
録を利用して徹底的に追求できる仕組みとすべきであるとの意見があった。

13

独立行政法人等の保有する個人情報の保護に関する法律（平成 15 年法律第 59 号）は、行政機関個人情報保護法に準じているため、行政機関個人情報保護法のみ引用する。

9

３ 代理
（１）法定代理ア

未成年者又は成年被後見人の法定代理人による開示請求等の代理行使を認めることとする。
イ 現行の行政機関個人情報保護法と同様、代理人による開示請求等がなされた場
合、本人の生命、健康、生活又は財産を害するおそれがある情報は、不開示情報とする。
ウ 上記を不開示情報とするに当たり、利益相反のおそれのある情報が不用意にマ
イ・ポータル上で自動表示されないような措置等を講じることを検討する。例えば、類型的に利益相反のおそれのある情報については、マイ・ポータルを通じて開示請求等を受け付けた後、行政機関の判断を経て、マイ・ポータル上で開示等を行うようにするなどの方法が考えられるが、利益相反のおそれのない情報についてまで過度にマイ・ポータル上での自動表示を控えることがないよう適切な措置を講じることを検討する。
（２）任意代理ア

本人自身で開示請求等を行うことが難しいものの法定代理人が存しない者が、個人情報の開示請求等及びアクセス記録の確認を行えるようにするため、任意代
理を認めることとする。その際、代理人への成りすましを防止するため、厳格な代理人確認手段をとるものとする。
イ

任意代理人による開示請求等がなされた場合についても、本人の生命、健康、

生活又は財産を害するおそれがある情報は不開示情報とする（注）。
（注） なお、本人が開示請求等を行う場合でも、現行の行政機関個人情報保護法と同様、本人の生命、健康、生活又は財産を害するおそれがある情報は不開示情報とする。

第 10 情報保護評価の実施「番号」に係る個人情報が適切に取り扱われるためには、システムにおいても個人情報保護に配慮した設計が必要である。現在、アメリカ、カナダ等の国々では、情報システムの導入等に当たりプライバシーへ及ぼす影響を事前に評価し、その保護のための措置を促す仕組み（いわゆる「プライバシーに対する影響評価（ＰＩＡ）」）が実施されている14。
そこで、今回の番号制度の導入に当たり、諸外国で採用されているＰＩＡの手法を取り入れ、次のとおりの方策を実施することとする。

14

ＰＩＡの実施時期としては、プライバシーへ及ぼす影響に大幅な手戻りなく対応できるようにするため、システム設計の変更が可能であるシステム開発前が適当と考えられている。ＰＩＡの具体的な実施方法としては、個人情報の収集目的や収集方法、利用方法、管理方法などを検討し、そのシステムがプライバシーに配慮した設計となっているか確認することが考えられる。

10

１ 「番号」に係る個人情報の適正な取扱いを担保するため、「番号」に係る個人情報の保護に関する事前評価（以下「情報保護評価」という。）を実施し、情報システ
ムの構築又は改修が「番号」に係る個人情報へ及ぼす影響を評価し、その保護のための措置を講じることとする。
２ 行政機関及び関係機関は、「番号」に係る個人情報を取り扱うシステムを開発又は改修する前に、情報保護評価を実施した上で、その結果を下記第 11 の１（１）の委員会に報告し、その承認を受けるものとする15。
３ 下記第 11 の１（１）の委員会は、行政機関、地方公共団体、関係機関及び法令に基づき「番号」を取り扱い得る事業者が、情報保護評価を実施する際のガイドラインを作成するものとし、情報保護評価の実施についての助言、指導等を行うことができることとする。ガイドラインには、情報保護評価を実施しなければならない情報システムについての基準や、情報保護評価の実施方法、実施手順等を記載することとする。
４ 番号制度開始と同時に運用に供される情報連携基盤等のシステムについては、下記第 11 の１（１）の委員会が設立される前に開発が行われることが想定される。
そのため、個人情報保護ワーキンググループの下に情報保護評価ワーキンググルー
プを設置し、同ワーキンググループにてガイドラインを作成し、情報保護評価の実施についての助言、指導等を行うこととする。
第 11 第三者機関
閲覧、複製及び保管等の制限や安全管理措置義務などが遵守されているか、その他の点も含め番号制度における個人情報の取扱いが適切に行われているか、情報連携基盤等のシステムが適切に稼働しているかなどの点について、行政機関等から独立した
第三者的立場で監督する機関を、以下の要領で設置することとする。
なお、監督対象分野について、当初は、社会保障・税分野が監督対象となるが、将来的には、これを拡大していくことが考えられる。
１ 設置等（１） 内閣府設置法（平成 11 年法律第 89 号）第 49 条第３項の規定に基づいて、内閣総理大臣の所轄の下に、番号制度における個人情報の保護等を目的とする委員会（以下「委員会」という。
）を置く。
（注） 個人情報保護のための第三者機関（監督機関）については、国際的な潮流として、監督対象等からの独立性を確保することが求められている。例えば、１９９５年に採択された「個人データ取扱いに係る個人の保護及び当該データの自由な移動に関する１９９５年１15

地方公共団体及び法令に基づき「番号」を取り扱い得る事業者についても、自身の判断により、任意に情報保護評価を実施することができる。

11

０月２４日の欧州議会及び理事会の９５／４６／ＥＣ指令」では、監督機関が職権を行使する際は、「完全に独立して」活動しなくてはならないとされている。
日本が個人情報保護に消極的でないことを対外的に示すためには、この要件を満たす設
置形態とする必要があり、これを形式上追求するのであれば、会計検査院並びの組織か、
現行の国の行政組織としては類例のない「コミッショナー」制度を創設することが考えられる。しかし、このような機関の設置には、憲法等の改正も必要となることから、現実的な選択肢とは言えず、現実的に可能な範囲で組織の独立性が最大となる設置形態としては、
公正取引委員会のような内閣府の外局のいわゆる「三条委員会」が考えられる。
ただし、政府（行政権）から形式上完全に独立しないと国民の懸念は払拭されず、また、諸外国から有効な監督機関として認知されないおそれもあるとの考えから、三条委員会以上の機関を検討すべきとの意見もあった。

（２） 委員会は、次のような業務を行う。
ア 行政機関、地方公共団体、関係機関又は「番号」を取り扱う事業者16（以下「監督対象機関等」という。）による「番号」に係る個人情報の取扱いの監督
イ 「番号」に係る個人情報の取扱いに関する苦情の処理
ウ 情報連携基盤及びその他の機関と接続する部分の監査
エ 情報保護評価の実施に関する助言・指導及び報告書の承認
オ 所掌事務に係る国際協力
カ 「番号」に係る個人情報の保護方策並びに番号法に関する普及啓発及び相談の受付17（３） 委員長及び委員は、独立してその職権を行う。
（４） 委員長及び委員は、内閣総理大臣が、両議院の同意を得て、これを任命する。
（５） 委員には地方公共団体の関係者を含める。
（６） 委員長は、委員会の会務を総理し、委員会を代表する。
委員長は、緊急に対処すべき事態が生じた場合、必要があれば、いつでも委員会を招集できる。
（注） 上記のように、委員会は、法律やＩＴ技術等に関し高度に専門的な業務を実施することとなるため、その事務局職員についても、例えば、専門性を有した人材を独自に採用する、１つのポストに３年以上配置する、キャリアパス全体を見据えた人材育成を行うなどの措置により、専門性を維持・向上させることが必要ではないかとの指摘があった。

２ 権限･機能等
16

法令に基づき「番号」を取り扱い得る事業者及び上記第７の１（５）の業務により「番号」を知った事業者をいう。以下同じ。
17
委員会は、普及啓発等の業務を通じて、いわゆる過剰反応の防止にも努めることとする。
（また、民間企業等が、実現しようとする自己の事業活動に係る具体的行為に関して、当該行為が特定の番号法の規定の適用対象となるかどうかについては、番号法を所管することとなる行政機関の法令適用事前確認手続を利用することも考えられる。
）

12

委員会は、以下の権限･機能を有する。なお、委員会による監督等は、監督対象機
関等に係る既存の監督体制との関係を踏まえ、調整を図りながら、できる限り効率的に行う（注）。
（注） 民間事業者等に対する監督については、「番号法」に基づく委員会による監督と、「（一般の）個人情報保護法」や各業法等に基づく主務大臣等による監督の双方が重複するところも出てくるが、例えば金融庁による金融機関の検査・監督のように、これまでも十分に監督機能が果たされている部分については、これを生かすように調整を図ることにより、政府全体として効率的に監督権限が行使されるようにし、かつ、民間事業者等に過度な負担がかからないよう配慮
しなくてはならないとの意見があった。

（１） 問題の発見・調査に関する権限・機能
ア 委員会は、監督対象機関等に対し、「番号」に係る個人情報の取扱いについて、資料の提出及び説明等を求めることができる18。
イ 委員会は、監督対象機関等による「番号」に係る個人情報の取扱いに関する苦情について、相談に応じ、調査することができる19。
ウ 委員会は、「番号」を取り扱う事業者又は関係機関に対し、「番号」に係る個人情報の取扱いに関し、報告させ、職員に事務所等に立ち入り、関係する書類等を検査させ、関係者への質問をさせることができる。
エ 委員会は、行政機関及び地方公共団体の「番号」に係る個人情報（犯則調査又は犯罪の捜査等一定の事由を目的として保有されている場合は除く。）の取扱いについて実地の検査をすることができる。
（注） 行政機関個人情報保護法第 42 条に規定する情報公開・個人情報保護審査会への諮問については、現行の手続を変更することは検討されていないが、例えば、処分庁が、諮問と同時に委員会にもその旨通知することとすれば、これを端緒として委員会が調査や助言などを行うことが可能となる。
また、委員会が、情報公開・個人情報保護審査会に代わって諮問を受けることも検討すべきとの意見もあった。

（２） 発見・調査した問題を解消する権限・機能
ア 委員会は、監督対象機関等に対し、必要な助言・指導をすることができる。
イ 委員会は、監督対象機関等が番号法等の規定に違反した場合、監督対象機関等に対し、必要な措置をとるべき旨を勧告することができる。

18

資料の提出及び説明等の要求について、下記エと同様に犯則調査又は犯罪の捜査等一定の事
由に関連する資料等は除かれる。
19
委員会は、「番号」に係る個人情報の取扱いに関する苦情について、官に対するものと民に対するものとを問わず、その窓口となり、官民に対する各種の調査権限を駆使して調査を実施し、問題となる事象が判明した場合は、当該調査の対象となっている機関に対し、助言、指導、勧告等を行い、救済を図る。

13

ウ 委員会は、事業者及び関係機関が正当な理由がないのに勧告に係る措置をとらなかったとき等は、その勧告に係る措置等をとるべきことを命じることができる。
エ 委員会は、地方公共団体の「番号」に係る個人情報の取扱いが法令の規定に違反していると認めるとき等は、内閣総理大臣に対し、地方自治法（昭和 22 年法
律第 67 号）第 245 条の５又は第 245 条の７に基づき当該地方公共団体に対して違反の是正等のため必要な措置を講じることを求め、又は講じる措置に関し、必要な指示をするよう勧告することができる。
オ 委員会は、行政機関において勧告に係る措置が速やかに実施されることが必要であると認めるときは、内閣総理大臣に対し、当該行政機関の長に対して当該措置の速やかな実施を求めるよう勧告することができる。
（注） 委員会の苦情対応に関し、「番号」に係る個人情報の取扱いをめぐる紛争を処理するため、ＡＤＲ（裁判外紛争解決手続）機能を持たせるべきではないかとの意見も出された。

（３） 情報連携基盤等の監査及び情報保護評価に関する権限・機能
ア 委員会は、情報連携基盤及びその他の機関と接続する部分を、その稼働前に監査するとともに、情報連携基盤を随時監査する。
イ 委員会は、行政機関、地方公共団体、関係機関及び法令に基づき「番号」を取り扱い得る事業者に対し、情報保護評価の実施に関し助言・指導できるとともに、行政機関及び関係機関が提出する報告書を承認することができる。
（４） その他
ア 委員会は、上記第５の１の法律等に規定されていないときであっても、著しく異常かつ激甚な非常災害への対応など特別の理由がある場合には、情報連携基盤を通じた情報連携を許可することができる。
イ 委員会は、番号制度又は同制度における個人情報保護のための方策に関する重要事項について内閣総理大臣に対して意見を述べることができる。
ウ 行政機関が「番号」に係る個人情報が記載されているデータベース等を保有等しようとするときは、一定の場合を除き、あらかじめ、委員会に対し、同ファイルの名称、利用目的及び経常的な提供先等を通知するものとする。
（注） 更に検討すべき機能・権限として、課徴金等の制裁措置の実施をあげる意見もあった。

第 12 罰則
基本的に、以下の行為又は者を処罰する罰則を創設し20、必要に応じて国外犯処罰20

番号法においても、原則として、刑法（明治 40 年法律第 45 号）総則の規定が適用されることから(同法第８条)、罪を犯す意思(故意)がない場合は処罰されない(同法第 38 条第１項)。

14

規定及び両罰規定を設ける。
これらの罰則の更に具体的な内容や法定刑等については、制度全体の在り方を踏まえ、検討する。
なお、番号法違反事案を訴追するためには、委員会による告発を要件とすべきで、それが無理だとしても、事後的に委員会が、警察や検察をチェックできるようにすべきとの意見があったが、これに対し、このような制度（特に後者）を作るのは、法的に困難ではないかとの指摘もなされた。
１ 行政機関、地方公共団体又は関係機関の職員等を主体とするもの21（１）行政機関、地方公共団体若しくは関係機関の職員等又は受託業務の従事者等（以下「行政機関の職員等」という。
）が、正当な理由がないのに、「番号」の記録されているデータベースを提供した行為（２）行政機関の職員等が、正当な理由がないのに、その業務に関して知り得た「番号」に係る個人情報を提供し、又は盗用（自己又は第三者の利益のために不法に利用することをいう。以下同じ。
）した行為（「番号」を、「番号」に係る他の個人情報と併せずに提供する場合は除く。
）（３）行政機関、地方公共団体又は関係機関の職員が、その職権を濫用して、専らその職務の用以外の用に供する目的で、「番号」が記録された文書、図画又は電磁的記録を収集した行為（４）上記第７の４の電子計算機処理等に関する秘密についての守秘義務に違反して電子計算機処理等に関する秘密を漏らした者
２ 行政機関の職員等以外も主体となり得るもの（１）「番号」を取り扱う事業者若しくはその従業者等又は受託業務の従事者等（以下「『番号』を取り扱う事業者等」という。
）が、正当な理由がないのに、「番号」の記録されているデータベースを提供した行為「番号」に係る個人情報の取扱いを含む委託を受けた者に対して提供するとき、又は従業者（出向者、親子会社において親会社が一体的に人事管理等を行っている子会社の従業者又は退職者等を含む。
）の人事管理・福利厚生のために必要で、第三者への提供につき当該従業者の同意があるとき等正当な理由に該当する範囲を、可能な限り番号法に記載するなどの方法により、確定することとする。
（２）「番号」を取り扱う事業者等が、正当な理由がないのに、その業務に関して知り得た「番号」に係る個人情報を提供し、又は盗用した行為（「番号」を、「番号」に係る他の個人情報と併せずに提供する場合は除く。
）
（注）
「番号」
に係る個人情報の取扱いを含む委託を受けた者に対して提供するとき、
21

１（１）から（３）までについて、行政機関個人情報保護法第 53 条から第 55 条までに規定される罰則より法定刑を引き上げることを検討する。

15

又は従業者（出向者、親子会社において親会社が一体的に人事管理等を行っている子会社の従業者又は退職者等を含む。
）の人事管理・福利厚生のために必要で、第三者への提供につき当該従業者の同意があるとき等正当な理由に該当する範囲を、可能な限り番号法に記載するなどの方法により、確定することとする。
（注） 本人確認等により「番号」及びそれに係る個人情報を知ることとなった事業者等が、当該個人情報を漏えいした場合にも直罰をかけるのは行き過ぎであり（民間事業者を過度に萎縮させたり、罰則の対象であることを認識しない事業者が対象となったりするおそれがあり）、このような場合については、間接罰にとどめるべきとの意見もあった。また、直罰はやむを得ないにしても、構成要件を相当明確にしなくてはならないとの指摘もあった。
このような意見に対し、直罰導入を肯定する立場からは、番号制度発足後に違憲訴訟が起きた際に、裁判所が、番号法には違憲の瑕疵があると判断し、それが個人情報保護のためには規制が緩すぎるといった場合は、当該規制を外して法律を執行すればよいということにはならず、法律全体の執行を停止せざるを得なくなるかもしれないので、罰則については慎重に制度設計すべきとの意見が出された。

（３） 詐欺等行為又は管理侵害行為（不正アクセス行為その他の保有者の管理を害する行為をいう。
）により、「番号」に係る個人情報を取得した者（４） 法令に基づき「番号」を取り扱い得る事業者が保有する「番号」に係る個人情報の記録されているデータベース等に虚偽の記録をした者22（５） 上記第 11 の２（１）ウによる報告をせず、若しくは虚偽の報告をし、又は立入検査を拒むなどし、若しくは質問に対して陳述をせず、若しくは虚偽の陳述をした者（６） 上記第 11 の２（２）ウによる委員会の命令に違反した者23
３ 委員会の委員長等に対する守秘義務違反
委員会の委員長、委員又は職員等が職務上知り得た秘密を漏らした行為24
第 13 個人情報保護法との関係

22

事業者が保有する「番号」に係る個人情報が記録されているデータベース等に虚偽の記録をする行為について、刑法の私電磁的記録不正作出罪（同法第 161 条の２第１項）等で対処できるものがあると考えられるが、対処できないものも想定されることから、これらに対処するために新たに罰則を設けることとしたものである。これに対し、行政機関等が保有する「番号」に係る個人情報が記録されているデータベース等に虚偽の記録をする行為については、基本的に、公電磁的記録不正作出罪（同条第２項）や虚偽公文書作成罪（同法第 156 条）等の刑法所定の罰則で対処できると考えられる。
23
番号法の規定に違反するものの、直罰の対象とならない行為については、本罪による間接罰の対象となり得る。
24
国家公務員法（昭和 22 年法律第 120 号）上の守秘義務違反の罪より法定刑を引き上げることを検討する。

16

１ 「プライバシー」について「プライバシー」という用語の定義や「プライバシー権」については、番号法において規定することは困難であり、一般法たる個人情報保護法の見直し作業の中で議論すべきである。
２ 本人情報の開示請求権等について
東京地裁の裁判例で否定された一般の個人情報保護法における本人情報の開示請求権について、さらに訂正請求権及び利用停止請求権について、番号法では、これらを明確に認めるべきとの意見もあった。
３ 個人情報保護法制の見直しについて
現行の個人情報保護法の特別法という位置付けとなる番号法において、有効な個人情報保護方策を合理的に措置しようとしても限界があり、一般法の改正も併せて必要であると考えられる。特に、将来的に、「番号」の利用範囲の拡大や国民ＩＤ制度の利用により情報連携の範囲が拡大される際は、確実に体制全体の見直しが必要になるとの指摘があった。
さらに、一般法である個人情報保護法と特別法である番号法の所掌範囲を明確にする必要があることから、個人情報保護法の見直しについて、上記のように「見直しが必要になるとの指摘もあった」というのではなく、見直すべきことを明確に示すべきとの意見もあった。

17

個人情報保護ＷＧ構成員名簿（敬称略、五十音順）

石井 夏生利筑波大学大学院図書館情報メディア研究科准教授

宇賀 克也

東京大学大学院法学政治学研究科教授

大谷 和子(株)日本総合研究所法務部長

小向 太郎(株)情報通信総合研究所主席研究員

新保 史生

慶応義塾大学総合政策学部准教授○長谷部 恭男

東京大学大学院法学政治学研究科教授

樋口 範雄

東京大学大学院法学政治学研究科教授

藤原 靜雄

中央大学法科大学院教授◎堀部 政男
三宅 弘○森田 朗

一橋大学名誉教授
弁護士
東京大学大学院法学政治学研究科教授（◎は座長、○は座長代理）

18