情報保護評価サブワーキンググループ
第 5 回議事録

内閣官房社会保障改革担当室
内閣官房情報通信技術（ＩＴ）担当室

1

情報保護評価サブワーキンググループ（第 5 回）
日時：平成 24 年 3 月 13 日（火）10:00～12:00

場

所：三田共用会議所

３階大会議室

【出席者】

宇賀

克也

東京大学大学院法学政治学研究科教授

大谷和子

株式会社日本総合研究所法務部長

新保史生

慶應義塾大学総合政策学部准教授

玉井哲雄

東京大学大学院総合文化研究科教授

宮内

宏

弁護士

峰崎

直樹

内閣官房参与中村秀一

内閣官房社会保障改革担当室長

向井治紀

内閣官房内閣審議官

奈良俊哉

内閣官房副長官補付参事官

篠原俊博

内閣官房社会保障改革担当室参事官

阿部知明

内閣官房社会保障改革担当室参事官

古橋浩史

内閣官房社会保障改革担当室参事官

中村

裕一郎

内閣官房社会保障改革担当室企画官

水町雅子

内閣官房社会保障改革担当室参事官補佐2

【議事次第】

１．開

会

２．議

事

（１）マイナンバー法案について（２）情報保護評価検討スケジュール（案）（３）情報保護評価指針素案（中間整理）（４）地方公共団体及び民間事業者向け情報保護評価にかかる論点

３．閉会【配布資料】

資料１－１：「マイナンバー法案」の概要
資料１－２：マイナンバー法案
資料２：情報保護評価検討スケジュール（案）

資料３－１：特定個人情報保護評価指針素案（中間整理）
添付資料１：情報保護評価書（しきい値評価書）記載事項（案）添付資料２：情報保護評価書（重点項目評価書）記載事項（案）添付資料３：情報保護評価書（全項目評価書）記載事項（案）
資料３－２：情報保護評価の実施の仕組み
資料３－３：情報保護評価全体フロー
資料４：地方公共団体及び地方独立行政法人向け指針における論点

資料５：情報提供ネットワークシステムを利用しない事業者向け指針における論点3

【議事内容】（中村企画官）定刻となりましたので、ただいまから「情報保護評価サブワーキンググループ」の第５回会合を開催したいと存じます。開催に当たりまして、峰崎内閣官房参与からごあいさつ
いただきます。

（峰崎参与）
おはようございます。紹介いただきました内閣官房参与の峰崎でございます。
実は、本日で５回目ということで１回目にごあいさつさせていただいた以降、こうしてお集まりいただき、今回は中間的なとりまとめをしていただくということで、本当にありがとうございます。
私ども、２月 14 日にマイナンバー法案、法案の名称は長いためマイナンバー法案と申させていただきますが、これを国会に提出することができました。この法案についてはお手元にあると思いますが、第 14 条と第 15 条、この中に皆様方のおかげでこの番号制度における情報保護評価ということについての規定を盛り込むことができました。これもひとえに皆さん方の御尽力の賜物だと思っております。ありがとうございました。
番号制度は、公平な社会保障制度というものの基盤でございますし、情報化社会のインフラとして国民の利便性の向上のためにも我々がどうしてもやらなくてはいけないという決意でおります。この法案の扱いが今後どのように展開していくのか、私どももまだよく見えておりません。もう一つの税・社会保障一体改革の方の法案作業も進んでいるや聞いておりますが、その扱いもまだ見通しとしては立っておらないという状況でございます。
しかしながら番号制度では、この情報保護評価の指針の規定が必要でありますので、これから委員の皆さんの協力が不可欠だと考えております。引き続き、活発な御議論をお願いしていきたいと思います。
以上、簡単でございますけれども、一言、私のあいさつにかえさせていただきたいと思います。どうぞよろしくお願いいたします。

（宇賀座長）
それでは、議論に入りたいと思います。本日は、まず２月 14 日にマイナンバー法案が閣議決定されたことから、これを事務局から説明していただきます。
次に、資料２、情報保護評価検討スケジュール（案）及び前回の議論をもとに修正しました資料３－１の特定個人情報保護評価指針素案（中間整理）につきまして、事務局の方から簡単に説明していただいた後、委員の皆様方から御意見を伺いたいと思います。
今回までの議論の結果を３月 21 日水曜日に開催予定の「個人情報保護ワーキンググルー
プ」の第７回会合で発表予定ですので、サブワーキンググループとしての意見を報告でき4

ればと考えております。
最後に、資料４、地方公共団体及び地方独立行政法人向け情報保護評価に係る論点及び資料５、情報提供ネットワークシステムを利用しない事業者向け指針における論点について、事務局の方から説明していただいた後、委員の皆様方から御意見をいただきたいと思います。
それでは、中村企画官からマイナンバー法案について御説明お願いします。

（中村企画官）
それでは、マイナンバー法案の概要等について御説明いたしますが、配付資料といたしまして、概要を記載した資料１－１のほかに、メインテーブルには資料１－２といたしま
して、分厚い法案の冊子を置かせていただいておりますが、こちらが分厚いものということもありまして、傍聴席の方には行き渡っておりませんけれども、追って内閣官房のホームページ等をごらんいただきますと、電子データがございますので、後日参照いただければ幸いでございます。
資料１－１に沿って全体像の概要を説明いたしまして、その後、特にこちらで議論いただいております情報保護評価の関係の規定について見ていただくということにしたいと思います。
１ページ、総則ということで、この法案の目的が効率的な情報の管理、利用及び迅速な情報の授受ということを可能にするということ。手続の簡素化を通じて、国民の負担の軽減を図るということ。現行個人情報保護法制の特例を定めて、個人番号その他の特定個人
情報、個人番号すなわちマイナンバーを含む個人情報をそのように称することにしておりますが、その適正な取扱いを確保するということでございます。
第３条に、その個人番号ともう一つ定められております法人番号の利用の基本ということで、もう少しこの目的からブレイクダウンしたようなことが書いてございまして、赤字で書いてあるところだけで申し上げますと、行政運営の効率化及び国民の利便性の向上に資するということ。給付と負担の適切な関係の維持に資すること。同一の内容の情報の提出を求めることを避けて、国民の負担の軽減を図るということ。個人情報が法令に定められた範囲を超えて利用され、又は漏えいすることがないよう、その管理の適正を確保することといったことを旨として利用を進めなければならないということにしております。
２ページ、この個人番号、マイナンバーの基本的な事項を第２章で定めておりまして、
この番号は市町村長が住民票コードを変換して得られる個人番号を指定して、書面により通知するということにしておりますが、この指定に当たりましては、個人番号の生成に係る処理を別途の法案で設立することとしております地方公共団体情報システム機構に要求する。受け取った番号を市町村長は実際に番号として指定するという流れになっております。
その他、再委託に関する制限に加えて、個人番号を利用する事務を行う者が基本的に守5

らなければいけない責務、具体的には、個人番号の漏えい、滅失又は毀損の防止その他の必要な措置を講じなければならないことですとか、最初の目的や利用の基本のところにもありましたが、同一の内容の情報が記載された書面の提出を、マイナンバーを使って連携ができるにもかかわらず重ねて求めることがないようにするといったことが定められております。
次に、このマイナンバーの提供の要求ですとか、本人確認の措置、提供の求めの制限といった基本的なところを定めていまして、特に本人確認の際に個人番号カードの提示を受ける等とありますけれども、その他の措置を政令で定めることになっていまして、しっかりした本人確認を行うということですとか、マイナンバー法案によって可能な場合を除いて、提供を求めることを禁止するといったことを定めております。
３ページですが、第６条で利用できる事務の範囲を定めることにしておりまして、それは基本的には法案に別表というものがついていて、その別表第一に具体的に掲げられている事務に使えるということになっております。詳細はこの場では説明を省略しますが、社
会保障、税、防災に使うということで、年金関係、雇用保険の関係、医療保険の手続の関係、福祉の関係、税務の関係と防災とそれぞれ個別に事務が列挙されておりまして、具体的な内容は最終的には省令のレベルで明らかにするということになっております。
また、これらの事務を処理する行政機関などが基本的に使えるということではありますが、例えば税制の関係でいわゆる調書を書いて出すような人や企業などが、従業員の番号などを書いて出すことができるといったような規定も、同じ６条の中で設けております。
４ページ、第３章といたしまして、特定個人情報の保護等について定めております。この特定個人情報はマイナンバーを含む個人情報ということですが、更にこれを含む個人情報ファイルを特定個人情報ファイルということになっております。この中で法案上は特定
個人情報保護評価という名前になっておりますけれども、御議論いただいております情報
保護評価を実施すべきことのほか、マイナンバー法の規定によるものを除いて特定個人情報の収集保管、ファイルの作成をしてはならないということとしております。また、「情報提供ネットワークシステム」とありますが、従来情報連携基盤と称しておりましたものを、少なくともこの法案において情報のやりとりをするという機能に関しましては、この情報提供ネットワークシステムと称することとしておりまして、これを使って提供の求めに応じて提供するという場合などを除いて、特定個人情報の提供はできないということにしております。
次の項目が、この情報提供ネットワークシステムによる特定個人情報の提供の基本的な手法を定めておりまして、情報提供に関する記録をしっかり保存することですとか、従事者に秘密保持義務を課すといったことを定めております。
次に、個人情報保護法等の特例ということですけれども、こちらでは一般法として個人情報保護法ですとか行政機関個人情報法などが、個人情報には違いないということで適用されるわけですけれども、その規定のうち、特に開示請求などに関しましては、そのまま
6これらの法律の規定を適用することが適当ではないと考えられる場合があることから、いわゆる表形式での読替えを行うなどの方法で異なる取扱いを定めております。
なお、具体的には任意代理人によってマイポータルなどを使って特定個人情報の開示請求等を可能とするといったことですとか、本人同意がある場合でも、特に生命、身体に危険が及ぶなどの事情がない限り、提供ができないといったことなどを定めております。
その他、地方公共団体等におきまして、以上を踏まえた措置というものを別途講ずべき旨を定めております。
５ページ、個人番号情報保護委員会という名称で、いわゆる第三者機関を置くということとしております。その性格といたしましては、内閣府設置法第 49 条第３項の規定に基づ
く、法案の記述上はそのような書きぶりになっていますが、これがいわゆる三条委員会として設置するということを意味しております。特定個人情報の取扱いに関する監視又は監督ですとか、特定個人情報保護評価に関することなどを所掌するということとしております。
その業務といたしまして、このページの下の方に、この委員会は指導、助言、勧告、命令、報告ですとか立入検査の実施権限、委員会規則の制定権といったものを持っているということとしております。
６ページ、法人番号についても１章割いておりまして、この場での議論には余り関係な
いかと思いますけれども、法人情報のやりとりを正確、効率的に行うということで法人番号も設けておりまして、この場合は利用範囲の制限等は特になく、民間でも自由に利用できるということにしております。
７ページ、市町村長が、申請によりまして、個人番号カードを交付しなければならないということとしております。このカードには氏名、住所、生年月日、個人番号、顔写真等を記載するということにしております。これを御本人の手続のときに番号を確認するためなどにも使っていただくということで、最初の方で、今、振り返って紙を見ていただかな
くても結構ですが、２ページの本人確認の際の１つの手段ということで位置づけております。
８ページ、こちらは罰則を整理して掲げております。１つひとつ御説明はいたしません
けれども、個人情報保護法などにおいて同類種の行為に対して罰則がかかっている場合よりも厳格な量刑とすることですとか、場合によっては民間人であってもいわゆる直罰ということで委員会の命令などを経ずに罰則がかかってくるようなケースもあるといったことで、特定個人情報などの取扱いの適正を確保しようということであります。
次からは参考ということなのでページ数が入っておりませんが、このマイナンバー法の施行に伴いましては、住民基本台帳法を初めといたしまして別の法律の規定をいろいろ整備する必要がございまして、ここに挙げられております 27 の法律について、必要な改正を行う法案を別途決定して提出しているところであります。
最後に、参考２ということで社会保障・税番号制度の導入に向けたロードマップを示し
7

ております。基本的なところは上の方をごらんいただければと思いますけれども、今、法案を閣議決定して提出という段階で、これが今の通常国会で成立いたしますれば、その後
政省令などの具体的なところの検討を進めていきまして、平成 26 年度には番号を国民の皆様に通知いたしまして、平成 27 年から順次マイナンバーの利用を開始していく。それから１年ほど遅れて情報提供ネットワークシステムを運用して、これを使った情報のやりとりも順次始めていくという考え方です。
ちなみに、この場での議論とは直接関係はありませんけれども、医療等の分野の機微性の高い個人情報について、特例措置を検討して特別法を別途提出するということは社会保
障・税番号大綱にも記載してあったとおりですが、こちらは厚生労働省の方で引き続き検討を行いまして、１年ほど遅れて来年の通常国会に法案を提出するという段取りになっております。
こちらの情報保護評価のことも少し記載しておりますけれども、これは後ほど今後の見通しということで御説明するので、省略させていただきます。
情報保護評価の関係の規定でございますが、お手元の冊子の方でごらんいただきたいのですが、３つ目の薄い青色の仕切りの後が「行政手続における特定の個人を識別するための番号の利用等に関する法律案」ということで、法律本体が載っております。14 ページ、第 14 条をごらんいただきますと、「特定個人情報ファイルを保有しようとする者に対する指針」という見出しの規定があります。ここで個人番号情報保護委員会が法案上の用語で申しますと「特定個人情報保護評価」を特定個人情報ファイルを保有しようとする者が自ら実施し、漏えいその他の事態の発生を抑止することと、その他特定個人情報を適切に管理するために講ずべき措置について定めた指針を定めるということになっていまして、一応、この情報保護評価のこと以外のことも定められることがあり得るという想定です。
その後、この指針について少なくとも３年ごとに再検討を加えて、必要があると認める
ときはこれを変更するものとするということで、このサブワーキンググループで御議論いただいたところを法案レベルでも反映させることとしております。
特定個人情報保護評価の基本的な流れについて、第 15 条で規定しておりますが、「行政機関の長等」という人たちが行うということになっていますけれども、同じ法案の中の５
ページ、第２条第 13 項の規定、これは情報保護評価ではなく、情報提供ネットワークシス
テムの定義の規定ですが、行政機関の長、地方公共団体の機関、独立行政法人等、地方独立行政法人及び地方公共団体情報システム機構、第 17 条第７号に規定する情報照会者及び情報提供者、つまり情報提供ネットワークシステムを使って情報連携をする人たちということですけれども、こういったものを「行政機関の長等」と定義しております。この定義
を、第 15 条でも使えばよいということで、行政機関の長等が特定個人情報ファイルを保有しようとするときは、漢数字で一、二、三、四、五、六、七と書いてあるようなことを評価した結果を記載した書面をつくって、これを広く国民の意見を求めるということを書いております。
8

その上で、第２項でその結果を基に評価書に必要な見直しを行った後、個人番号情報保護委員会の承認を受けるということを書いておりまして、第３項は指針に適合していると認める場合でないと承認ができないということを規定しております。
第４項が、承認を受けたときは、その評価書を速やかに公表するということ。
第５項は、この評価書を公表したときは行政機関個人情報保護法による総務大臣へのファイルの保有等に関する通知というものがあったとみなす。
第６項が、こういった評価書の公表までに至るプロセスを経ていない場合は、情報提供
ネットワークシステムを使った情報のやりとりはできませんということを定めております。
以上、言ってみれば、この場で御議論をいただいた中身の中で、しきい値評価の結果、プライバシーに与える影響が大きいと判断されたものに関するプロセスの概略を基本的には書いているということになりますが、プライバシーに対する影響の懸念が小さいようなファイルの場合はどう取り扱うかといったことは、この中で詳細は個人番号情報保護委員会
規則で定めるといった表現が何か所か出てきておりますけれども、このような規則で具体的なところを定める中で、定めていくという考え方で法案はつくらせていただいております。
御説明は以上です。

（宇賀座長）
ありがとうございました。それでは、ただいまの御説明に関しまして、御質問のある方は御発言ください。宮内委員、どうぞ。

（宮内委員）
宮内でございます。この資料１－１の最後のページ参考資料２、こちらのロードマップにつきまして、システム構築というところがございます。ここの工程管理支援業務というものは、各行政機関でつくるシステムの工程を支援するという意味だと存じますけれども、これだと基本設計が終わった辺りで委員会ができるということなので、PIA のタイミングというものがずれてくるかなと思うのですが、この辺りはどのようにお考えでしょうか。

（阿部参事官）システム担当をしております参事官の阿部と言います。ここの表のシステム構築というものは、あくまでも情報提供ネットワークシステムのことを考えてございまして、ちょっと記載がないものですから申し訳ございませんが、そういうことで御理解いただければと思います。

（宮内委員）
そうすると、各行政機関での構築というものは特にここでは触れていないということで9

すが、PIA との関係でどのようにお考えかを知りたいのです。

（中村企画官）
結局、この資料は確かに御理解のとおりで、各行政機関などが個別につくるものについては述べておりませんので、それぞれの行政機関などにおいて適切な時期にやっていただ
くということを考えております。

（宇賀座長）
ほかにいかがでしょうか。玉井座長代理、どうぞ。

（玉井座長代理）
個人番号は、住民票コードを変換して生成するということになっておりますけれども、その変換の方法というものは公開されるのでしょうか。別の言い方をすると、住民票コードを入手すれば、個人番号を知ることができると考えていいでしょうか。

（向井審議官）
そこの技術的仕様については、まだ何も決まっておりませんけれども、基本的な考え方
は符号を振り出すときはいずれにしても、住民票コードとその符号が何らかの暗号関数なり何なりを知らない限りわかり得ないような格好になるのではないかと思います。

（篠原参事官）付言いたしますと、この住民票コードから番号を振り出す、市町村長がその都度機構に対して聞く。このときに、住民票コードを持ってそれに対してコールアンドレスポンスと言っているようでありますけれども、そういった方式が１つの案として、その個人番号とすべき番号を返すというふうになっております。
法案では、第５条第２項第３号、こういったやり方に対して、この番号というものが住民票コードを復元することのできる規則性を備えるものでないことと書いておりますので、
この個人番号から住民票コードをこの場に出すということはできないような仕組みになっております。

（玉井座長代理）
逆向きはいいということですか。住民票コードから個人番号を出すことは。

（篠原参事官）
いずれにしても、どちらも不可逆ですので、両方向で割り出すことができないような仕組みになっております。
10

（宇賀座長）ほかにいかがでしょうか。宮内委員、どうぞ。

（宮内委員）
先ほどの質問の続きみたいなものなのですけれども、各行政機関で構築するシステムの要件定義をいつやるかによっては、PIA が間に合わないというケースも当然出てこようかと思うのですが、この辺りは、PIA をやれという立場と早く要件定義を済ませなくてはならないという立場が衝突する可能性があるので、この辺りの調整というものは何か考えられておられますか。

（水町参事官補佐）
各情報保有機関のシステムのスケジュールにつきましては、おのおのの機関の状況にもよるかと思います。ですので、早く要件定義に着手できる機関と遅くなってしまう機関とがあるかと思っております。
ただ、情報提供ネットワークシステムに接続するシステムにつきましては、情報提供ネットワークシステムの要件がある程度固まっておりませんと各情報保有機関側のシステムについても要件定義ができないかと思っておりますので、いずれにしても情報提供ネット
ワークシステムの要件定義が固まった段階以降になるのではないかと予測しております。
その後のスケジュールというものは、それぞれ機関ごとにばらばらになってくるかと思いますが、委員会の設置前に要件定義が終わってしまうようなシステムもあり得るかと思っております。そういったシステムにつきましては、機関の判断にはよりますが、基本設
計や詳細設計段階で情報保護評価を実施していただく場合と、要件定義の段階で委員会設
置前ではございますが、プレ評価のようなものを実施していただいて、情報保護評価というものを理解していただく。このような準備をある程度進めておいて、委員会設置後に委員会による承認を受けるという形もあり得るかと思っております。
ですので、委員会の設立前後で、設立前に準備を進めておく機関と、設立後に情報保護評価を実施する機関と２つに分かれるのではないかと予測しております。

（中村企画官）付言いたしますと、次のスケジュールのところで御説明しようと思っておりましたけれ
ども、今も説明がありましたように、法律上はこの法案が成立して、個人番号情報保護委
員会が設立されて、指針なり規則なりというものがちゃんとできて初めて承認事務というものができるということになるわけです。これを可能な限り迅速に委員会側で行っていただくことができるようにするということと、今も少し説明がありましたように、前倒しで参考にして準備を始められるようにという２つの意味から今まで御議論いただいてきた、
11今回、名前をガイドラインから変えようとしていますけれども、この中身が役に立つということではないかと思っております。

（宮内委員）
大体わかりました。要は、情報提供ネットワークシステムの基本設計は外部設計に当たるのですか、こういうものができた辺りで、大体ほかのシステムも構築に立ち上がるだろうというスケジュールになっているという感じで見ればよいということですね。

（水町参事官補佐）
原則的にはそのように予測はしているのですが、小規模システム等につきましては、もう少し遅くなってくるものもあるかと思います。

（大谷委員）
今の関連の質問なのですけれども、システム構築のところの今の参考２というところで、機構自身の情報保護評価というものは、スケジュール上はどの辺りでという構想でいらっしゃいますか。

（水町参事官補佐）
機構側の方は、まだスケジュール等が確定しておりませんので、その辺りを踏まえながら今後検討できればと思っております。

（宇賀座長）
ほかにいかがでしょうか。よろしいでしょうか。
それでは、続きまして、情報保護評価検討スケジュール（案）及び情報保護評価指針につきまして、中村企画官から説明していただきます。

（中村企画官）
それでは、資料２と資料３を用いて説明いたします。
まず、検討のスケジュールについてですけれども、資料２をごらんください。この資料
は、マイナンバー法がこの国会の会期中に成立したらという場合のことが前提となった想定で書かせていただいていますが、今日を含めまして、今まで５回の会合でいわゆる情報
保護評価の義務付け対象者と言っておりましたが、こういう人たち、国の行政機関など向けのガイドラインということで検討いただいてきたわけでございます。
今後でありますけれども、一応、この議論は前回まででかなり論点も煮詰められてきたと思っておりますので、一旦一区切り、中間整理という形にさせていただこうと思っております。
12この名称ですが、今まで大綱に書いてあった表現でガイドラインということでお願いしてきたわけでありますけれども、今般、法案においてこの個人情報保護委員会が指針ということで作成するということになっておりますので、先ほど御説明申し上げたような趣旨
で指針の素案というものをここでつくっていただく。そういう考え方で名称の変更をさせていただいていまして、素案に関する中間整理というものをここで行いたいということであります。
その後ですが、当初第１回目にお示ししたスケジュールでは、たしかそこで完成して終わりということにしていたかと思いますが、いろいろ事務局の方でも考えてみまして、24年度と書いてあるところですが、更に外国の事例の調査ですとか、あとは何より実際にこれを実施する関係機関の実状はどうなのかといったようなことも調べてみた方がよいのではないかということで、こちらは事務的にそういった辺りを、場合によっては試しに評価をやってみてもらうということも含めて検討を継続させていただこうと思っております。
その間に、この後の議題にもありますけれども、地方や民間向けにはどのようにしていただくことがよいのかというところをこの場では御検討いただきまして、来年度のうちに最終的にこの素案、この場で検討いただいてきた部分も含めて素案をとりまとめて、個人
番号情報保護委員会の方に引き継いでいく。
これは今の法案では、この委員会の設立に関する規定は平成 25 年１月１日から６か月以内で政令で定める日と書いてあるので、「25 年６月まで」という表現になっておりますが、それまでに設立されるはずの委員会に引き継いで、この紙では書いてありませんけれども、更に法律の公布の日から１年６月以内に政令で定める日から承認事務を始めるということになっていますので、それまでの間に委員会による指針の作成などがあって、承認の事務に移っていくというスケジュールで考えております。
続きまして、資料３、今回は指針素案という名称にさせていただいたものの中間整理の案ということでございます。これが今まで議論していただいてきたように、行政機関、独立行政法人等、情報システム機構、それから情報提供ネットワークシステムを使用する事業者向けということを記載しております。注ということで、先ほど来申し上げている、この素案の位置づけというものを誤解がないように注記することとさせていただきました。
内容的には、前回の資料で論点ということでお示しして議論いただいたことですとか、表現をもう少し改めた方がいいのではないかという御意見をいただいたようなところについて、議論の結果を踏まえた内容に改めているということと、例えば先ほど来出ております特定個人情報ですとか、情報提供ネットワークシステムといった法案で使われることになった用語に改めていくといったことを主な内容にしておりまして、全く新しいようなことは基本的には余り書いていないということでございます。
以下、幾つか主な変更点と言いますか、前回の資料と違う点をざっと御説明していきま
すけれども、まず５ページの「情報保護評価とは」というところの（１）の一番最後の辺
り、前回の記述の趣旨が伝わりにくいということがあって、これは記述を改めたというも13のであります。
11 ページ、情報保護評価の義務付け対象者というところで、書いてある内容はそんなに変わってはいないのですが、情報提供ネットワークシステムの運営機関は行政機関の長として情報保護評価を実施する者ということにしておりまして、この運営機関は注５にもあるとおり、法案上総務大臣が設置及び管理するということになっていまして、行政機関の長の範疇に含まれるということです。
いわゆるマイナンバーではない符号を使って連携を行うという場合について、特定個人
情報と特定個人情報ファイルの定義上、そういう符号を使う場合も特定個人情報ないし特定個人情報ファイルに含まれるという整理になっておりまして、したがって、この情報提供ネットワークシステムがそういうやり方をする場合も、情報保護評価の対象となります。
ただ、先ほどのロードマップの絵にもありましたように、要件定義そのものの前に行うということがなかなか難しい状況もあると思いますので、具体的にいつどんな形でやっていくかということは、個別に検討してまいりたいと考えております。
14 ページ、ここの２番、対象となるファイルというところで、更に次のページにいきますけれども、手作業用ファイルの扱いについて、前回御議論をいただきまして、その結果を踏まえまして、情報保護評価の対象とはいたしますが、評価書の内容がこれまで検討してきたものは専ら電子的なシステムというものを想定しており、余りふさわしくないところがあるのではないかという御指摘をいただきましたので、この点は最終的な来年度のとりまとめに向けて、改めて検討いたしたいと思っております。
（３）の制度・施策ですが、こちらも前回、論点として挙げさせていただいておりまし
たが、その内容を踏まえて任意の判断で行うことができるとされているのですが、16 ページの２つ目の○、これについていわゆる承認といったものは任意ということもあって行わない。これはこれで意義があるけれども、次の○、具体的なシステム等の要件定義などの段階では、もう一回具体的なシステムについてもやっていただく必要があるだろうということを記載しております。
同じページの一番下から、例外となるファイルという項目がありますが、この中では次の 17 ページの②というところで、国家公務員共済組合などのファイルについて扱いをどうするかということを挙げさせていただいていましたが、対象とすべきという御意見もありませんでしたので、①のファイルに準ずるようなものということで、これも対象外ということにさせていただきました。
③は事務的に整理を考えて記載したものです。情報提供ネットワークシステムを使用する事業者も義務付け対象者だというのですが、この事業者が持っているあらゆる特定個人
情報ファイルをやる必要はないのではないかということで、あくまで情報提供ネットワー
クシステムと接続して情報のやりとりに使われるファイルに限ってよろしいのではないかということで、追記しております。
18 ページ、真ん中辺りに「なお」と書いてあるところですが、これも前回御指摘をいた14

だいた点だと思いますけれども、情報保護評価の対象外であるとした場合、それ以外のいろんな各種のマイナンバー法の規制といったものはどうなるのかというお話がありました
ので、この点、それはそれで及ぶものであるということを明記することにいたしました。
19 ページ、特定個人情報ファイルの取扱いを変更した場合の新たな評価ということですが、これについては評価書の記載の内容が変わるような場合ということで、前回、御提案したとおりに整理いたしております。
20 ページ以降の具体的な実施の枠組みというものは、細かい表現以外は余り変わっておりません。
30 ページ、ここは 29 ページから 30 ページにかけまして、実際にファイルを保有した後、情報保護評価書のとおりにやっているかどうかを確認していくということを記載いたしておりますけれども、真ん中の○が最初に書いてあるところですが、この評価さえ行えばそれで終わりなのではなくて、きちんと適切な見直しを行ってプライバシー等保護のための継続的な取組みを行っていかなければならない、こういった趣旨をどこかに入れてはどうかという御意見をいただいたので、この中に一言述べさせていただくこととしました。
最後の○ですけれども、この評価書の記載に反する取扱いがあるというときは、委員会の助言・勧告等の対象となるということで、こちらも前回御提案したように整理しております。
指針素案の本体は以上のところが主な変更点でありますが、また評価書自体につきましても、法案の内容と合わせるなどの修正を加えておりますので、もしお気づきの点が更にありましたら、御指摘いただければと思います。
以上でございます。

（宇賀座長）
ありがとうございました。それでは、議論の方に移りたいと思います。まず資料２の情報保護評価スケジュール（案）及び資料３－１特定個人情報保護評価指針素案、これについて御意見を伺った後、その添付資料である評価書記載事項（案）についての御意見を伺いたいと思います。
では、資料２と資料３－１について、御意見を伺います。新保委員、どうぞ。

（新保委員）
確認事項が１点と、継続的な今後の検討事項が２点ありますので、一点ずつ申し上げます。
まず確認事項の１つ目につきましては、検討のスケジュールと今回が今まで検討を行ってまいりました中間とりまとめの一区切りということで、この指針の位置づけについての再確認をさせていただきたいと思います。
スケジュールとこの指針の位置づけということについて、今回、閣議決定されたマイナ
15ンバー法に基づく義務として特定個人情報保護評価を実施することになっているわけですが、実施しない場合には情報保護評価に係る違反措置も定められており、各組織が義務的に行うという点が特徴であるかと思います。
並びに、今回の指針につきましては、法律の定める範囲を超えて実施内容についてはプ
ライバシーという観点からの基準も含めてこの指針が策定されたということについて、非常に大きな意味があると考えられます。先ほどの冒頭の今後のロードマップ、今回のスケ
ジュール等も踏まえて、特定個人情報保護評価については、あらかじめ個人のプライバシー等への影響を予測評価して、プライバシーの侵害を予防するために必要な措置を講ずるために実施されるものですが、この評価についてはプライバシー影響評価としては非常に特殊な状況において実施されるということについても、やはり留意しておかなければならないということを確認させていただきたい。
実施時期について、先ほども既に御質問がございましたけれども、本来は第三者機関が定めた指針に基づいて番号制度を構築する。それに当たって制度についてあらかじめ PIAを実施するということが本来の順序であります。しかし、今回は設置の予定される個人番
号情報保護委員会が策定する将来的な指針に基づく PIA の実施であって、番号制度そのものの構築に当たっての PIA を実施しない。つまり、新たな情報システムの構築が既に決定されて、特定個人情報ファイルを保有する前の単なる事前審査という仕組みとなっております。よって、PIA の実施に先行して制度そのものが構築されるという特異な状況にあるという点は十分に確認しておいた方がよい。
例えると、車でいいますと、安全仕様や安全装置の設計などのオプションついて確認をしながら車をつくっていくようなものでありまして、例えばメーカーオプションというものがありますが、先にオプションを発注して車の組み立ては始まってしまっているけれど
も、車内が見えないようにするプライバシーガラスなど、後で追加するものはディーラー
オプションで対応するといったようなことが、今回のこのロードマップのスケジュールに書かれているといえます。以上が、一点目の確認事項として１点目です。
検討事項につきましては、今回の資料３並びに添付資料のしきい値評価の評価書の記載についてであります。こちらにつきましては、しきい値評価のとりわけこのフローに基づ
くしきい値評価の実施の内容について、引き続き検討を行うべきではないかと思っております。今年度は諸外国の調査も含めてこの素案についての検討を継続するということでありますので、より細かく精緻なしきい値評価の基準等も最終的なとりまとめに向けて検討が必要ではないかと思っております。
この点につきまして、第３回の委員会議事録を御確認いただきますと、私の発言といたしまして、情報保護評価のしきい値評価について例えば対象人数が 1,000 人未満であっても対象外という形で一律にしきい値評価で区切ってしまってよいかということについて、
今後検討が必要という意見を述べさせていただいた結果、原案としては質問項目での記載
事項につきまして、「なお社会保障・税分野の情報は概して機微性の高い情報であるため、
16情報の種類を判断基準とするのは困難であると考えられることから、情報の量のみを質問項目とした」という形で現在の案になっております。
つまり、しきい値評価においては特定の機微な個人情報を取り扱うか否かといった文字どおりのプライバシーに該当する情報を取り扱うかどうかということについては、しきい
値評価の基準にはなっていないわけであります。その理由は、今、申し上げたとおりということでありますけれども、そうしますと、今後の検討に当たって、この基準についてかなり厳密にしきい値評価の基準を定めておくということや、その解釈についても厳密にしておく必要があるのではないかと思っております。
具体的には、漏えい等に関する重大事故という基準がありますが、この重大な事故というものはどの範囲の事故を含むのかといったことについては、現時点では明らかになっておりません。更に、重大な事故だけではなく、軽微な事故も含めて事故をどの範囲まで事故と認識するのかということについて、現状、事故であっても認識していない場合が多々あるわけであります。
例えば具体的に自治体における事例として、某システムインテグレーターが納入した図書館システムにおいて、そのシステムを複数の図書館に同じシステムを納入した結果、図書館システム構築の委託先であるシステムインテグレーターが確認すべきシステム内の個
人情報の残存状況等について確認を怠った結果、結果的に他の納入先にも元の発注元の個
人情報、貸出記録とかですが、そういったものが結果的にそのまま引き継がれて納入されてしまったという事案がございます。
これはシステムインテグレーターとしてはとんでもないことをしでかしたわけでありますけれども、こういった事案について納入先の自治体がそれを個人情報の不正な保有であるとか漏えいとして認識していないということが既に報道されているわけであります。
このように、認識していないという場合には、結果的に漏えい事故などを起こしていな
いということになってしまうわけですから、認識をしている正直な組織のみが対象となってしまう、又はそのような漏えい等についてのきちんとした知見を有する組織のみがこの部分について確認するということになってしまいます。そうしますと、逆にいうと何も対策がとられておらず、漏えいさえ認識していないような組織にはついては漏えいを発生させたことすら認識していないおそれがあります。
そうなると、しきい値評価のこの項目については、漏えい事故を発生させたかという点については、いいえという回答になってしまう可能性がある。
特定個人情報を取扱う職員の数につきましても、原案では職員、外部委託先、第三者提供先など合計人数が１万人以上となっているわけですが、この点につきまして、人数に比例して漏えいのリスク、不正利用のリスクなど、つまり人が多くなれば悪いことをする人も多くなるだろうという思想に立ってこの人数になっているわけですが、昨今の個人情報の不正利用、漏えい等の事案を見てみますと、必ずしも人数が多い、大規模な組織であるからといって漏えい事故又は不正利用が多発しているということではないという状況があ17

るわけです。ですから、こういったことに鑑みますと、この１万人という数字によって、一律にそこで切ってしまいますと、少人数の規模の事業者であって大量の個人データを取扱っているような第三者提供先とか委託先も含めて考えると、結果的にこの人数で切ってしまうとその対象から漏れてしまうという部分もあるのではないか。
よって、この基準については、そもそもこの基準を入れるかどうかということ、並びにこの基準も従業者なのか従業員なのかということによっても数字が変わってくるといった論点がございます。
更に対象人数についても、現在では 1,000 人未満 10 万人以上という数字をそれぞれ挙げているわけでありますが、これについても、恐らく引き続き検討すべき事項かと思います。
そのカウントの仕方についても、この点はまだ十分に詰めていない点であります。現行の行政機関個人情報保護法の本人の数が政令で定める数は 1,000 人に満たないものと定められていますけれども、この点につきまして、現行の法解釈で大きく３つこのカウントの方法が分かれているわけです。
１つは、個人情報としてカウントする場合。生存する個人に関する情報であって、個人識別性があるもの。なお、行政機関個人情報保護法では個人識別性の要件について容易照合性の要件はありませんので、他の情報と照合して特定の個人を識別できるものはすべて
個人情報となります。よって、民間部門とは異なり容易照合性がないものも個人情報ということになりますと、非常に膨大な量の情報が個人情報としてカウントされる。
２番目は、保有個人情報です。行政機関の職員が職務上作成し、又は取得した情報です。
３つ目は、個人情報ファイルに記録される個人情報、これを行政機関等個人情報保護法
では記録情報と定めています。しきい値評価における対象人数は、記録情報、行政機関等
個人情報保護法にいう本人の数が 1,000 人に満たない場合の記録情報に該当するものと想定されますが、そうしますと、１つ問題として個人情報ファイルの通知公表義務の対象外
として１年以内に消去されることとなる記録情報のみを記録するものについては、個人情報ファイルには記録しない個人情報となりますので、作成、通知の義務が発生しません。
そうしますと、たとえ対象者数が 10 万を超える場合であって、個人のプライバシーに与える影響がある情報であっても、記録情報に該当しないということになりますと、自動的にこれは対象外になってしまいます。結果的に 10 万という数字に達していても１年以内に消去されることとなる記録情報のみを記録する場合には、対象外になってしまうからです。
以上を踏まえまして、こちらのしきい値評価につきましては、今後、個人情報保護検討
ワーキンググループにおいても原案としてこの部分について御提案をいただくということにはなると思いますけれども、今、申し上げた点も含めて引き続きこの点についてはより精緻なしきい値評価を行う上での基準の設定、解釈については引き続き検討が必要な部分もあるということについて、確認させていただきたいと思います。
３つ目、しきい値評価の結果、全項目評価の対象になった場合、評価書の記述の内容としてプライバシー等へ与える影響について記述する形になっております。しかし、この点18

についても今後実際に評価書を作成する担当の方がプライバシー等へ与える影響について記述するということについては、現状では難しい部分があるのではないか。後ほどの論点としての自治体との関係における部分が、その部分と関わってくるわけでありますが、そこで提案としては、プライバシー等へ与える影響と対策は分けて記述すべきではないかと考えております。どのような影響があるかということについて分析するということと、それに対する対策ということは別でありますので、影響と対策を分けるということが必要ではないかということです。
２点目は、この記述すべき内容、現在は完全な自由記述項目、この評価書の内容を踏まえた上での自由記述項目となっているわけでありますが、このような記述の場合には評価書作成担当者の主観的な要素による影響を受けることや、事後的に委員会による承認をす
る際にも一定の基準で評価することが困難な場合が想定されますので、そうしますと、影響内容について、又は対策の内容については一定の記述内容を示すことを検討した方がよ
いのではないかと思っています。
つまり、項目は、ある程度明確に記述する項目を明示してもよいのではないか。具体的には、前者の影響でありますけれども、これは大綱を踏まえて取扱う情報の機微性であったり、なお、機微性については、これはすべて機微だということを前提にしておりますが、
例えばとりわけ保有制限に引っかかるような機微性があるものであったり、独自の利用目的の内容であったり提供方法、他の情報との突合や結合、不要な追跡が発生するかどうか、
名寄せによる意図しない個人像が構築される可能性があるかどうかといった大綱において示されている懸念は、これはまさにプライバシーへの懸念でありますので、そういった項目について最低限度確認すべき事項として項目を明示しておいてもよいのではないかと思っております。
以上、少々長くなりましたが、確認事項３点、検討事項２点について意見を申し上げました。

（宇賀座長）
ありがとうございました。それでは、今、御発言いただきました１点目の確認事項につきまして、事務局の方から御説明をお願いします。

（中村企画官）
１点目につきましては、確かに情報保護評価ということでいうとマイナンバー法案、社
会保障・税番号というものを構築するに当たって、そういうやり方はされていないということはそのとおりなのだろうと思います。ただ、一方で完全にそれにとってかわれるかど
うかわかりませんけれども、まさに個人情報保護ワーキンググループというものも設けさせていただいて、そこで御意見いただいた内容を踏まえて制度を検討し、法案を出させていただいたということでありますので、完全にベストという意味であれば確かにそういう19

評価というやり方が最もいいのかもしれませんが、そういったことは意識しつつ私どもとしても現実の流れの中でできる限りの対応はさせていただいたと思っております。

（宇賀座長）
よろしいでしょうか。今の点、ほかの委員の方から何か御意見ございますか。
次に２点目、これも評価書記載事項（案）に関わる内容に入っていますので、そちらの方も合わせてこれから御発言いただいて結構でございますが、２点目につきまして、最初に事務局からお願いします。

（水町参事官補佐）
新保先生に御意見いただいたとおり、まだしきい値評価の方は固まっていない部分もございますので、来年度以降、より精緻化する方向で検討していきたいと思っております。
ただ、しきい値評価で重点項目評価又は全項目評価を実行しないでよいと判断されてしまいますと何も評価しないということになってしまいますので、プライバシーインパクトがあるものを重点項目評価又は全項目評価で捕捉できるようなしきい値にしたいと思っておりますので、例えば従業者又は従業員という点につきましては、従業者と考えていきた
いと思っておりますし、対象人数についてもよりプライバシーインパクトがあるものがき
ちんととらえられるような方法でカウントしていきたいと考えております。

（宇賀座長）
ほかの委員の方、いかがでしょう。宮内委員、どうぞ。

（宮内委員）
このしきい値評価の評価書というものは、一応公開することが前提となっているというものだということですけれども、マイナンバー法案の 15 条１項のところによりますと、この評価書を公示するに当たって次の各号に書かれる事項を評価したと書いてあるわけです。
これが１号から７号が書いてあって、これがフローチャートに入っていないということは、法案の趣旨からすると漏れてしまう可能性もあるのかなと思っているのです。
つまり、ここに書かれていることはフローチャートに何らかの形で影響するというのが本来ではないかと考えるのですが、そういう意味で、今のフローチャートは最終形ではな
いと思いますけれども、この１～７号はそれなりに判断が入ってくるという形で考え直した方がいいのかなと思います。

（水町参事官補佐）
15 条１項の各号につきまして、15 条自体が全項目評価を念頭に置いた条文となっております関係で、しきい値評価というよりは全項目評価の内容となっております。
20

ただ、先生がおっしゃられるように、しきい値評価と密接に関係してくる部分も書いてございまして、特に１～３号等はしきい値評価に密接に関係してくるものと思われますが、全項目評価の中でこの１～３号につきましても、従業者の数を必要最小限度に絞っている
かですとか、個人情報ファイルの取扱い状況を踏まえて、事故の再発防止策をどのようにとっているかということを全項目評価書の中で記載させることとしておりますので、しきい値評価と関係してくる部分につきましても、その対策をどうしているか、そのインパク
トをどう軽減しているかということを全項目評価書で書かせるという想定の条文となっております。

（宇賀座長）
ほかに今の論点に関していかがでしょうか。新保委員もよろしいでしょうか。
それでは、新保委員の方から御提起ありました第３の点につきまして、初めに事務局からお願いします。

（水町参事官補佐）
前回も先生の方から自由記述欄をより明確化すべきという御意見をいただいておりまして、そのとおりと考えております。特に全項目の方は自由記述欄以外の質問項目がそれなりには明確化されておりますので、質問項目以外で何か追記することがあればという感じにはなっているのですが、重点につきましては、現状では自由記述が多くなってしまっておりまして、そういたしますと、実際の評価実施者に書き方がわからないということもあるかと思いますので、より明確化するように来年度以降、検討を進めてまいりたいと思っております。

（宇賀座長）
今の論点につきまして、ほかの委員の方はいかがでしょうか。よろしいでしょうか。新保委員もよろしいですか。
それでは、ほかの委員の方から資料２、資料３につきまして御意見を伺います。玉井座
長代理、どうぞ。

（玉井座長代理）
どちらかというと、何を今さらという議論になるかもしれませんけれども、この情報保護評価の対象となる機関、これが特定個人情報ファイルを保有する者ということで統一的に立論されていると思いますし、法案自体も先ほど御紹介になった 14 条でも、特定個人情報ファイルを保有しようとする者が云々と書いてあるわけです。ただ、個人情報ファイルを保有ということと、個人に関する情報自身にアクセスするとか処理する、そういう行為・プロセスは若干違うし、あるいはアクセスしたり処理するシステムもまた違うし、そのシ21

ステムを保有するということとファイルを保有するということが違うわけです。
ただ、多分今まではシステムをつくる際にこういう事前評価をするという形で考えてきたと思いますが、その前提はシステムを開発することと、その結果、特定個人情報ファイルを保有するということが不可分だという前提があるかと思うのですけれども、懸念するのは、それが若干ずれるケースです。
一つは、保有するということの意味ですが、自分のところで保有しないけれども、例えばネットワークを介して別の機関が保有している個人情報にアクセスして、それを何らかの形で検索したり利用するというケース。あるいは、処理する途中段階の中間ファイルのような形でデータを持つかもしれないが、それは最終的には破棄して保存しない。だから、それは保有することに当たらないというケースが考えられるかなということが第一点です。
もう一つは、タイミングの問題で、そういうファイルを作成するシステムを開発するという行為とファイルを保有するという行為がずれることからくる問題です。今まで評価を行うのがシステムを開発する前のどういうタイミングか、要件定義の段階か基本設計の段階かという議論がありましたが、そこで念頭にあったのはシステム開発時点で評価しようということだと思います。しかし、ここではファイルを保有する前にという表現になっておりますが、システムの開発が完了して、それを実際に運用して初めてファイルができるので、その前にということになると、厳密にいうとシステム開発終了後でもいいということになるわけです。その辺のずれが気になるということが、今さらの議論かもしれないですけれども、疑問として浮かびました。

（宇賀座長）
ありがとうございました。それでは、事務局の方からお答えお願いします。

（水町参事官補佐）
ファイルを保有するという保有の概念についてなんですけれども、日常使われる保有という意義より若干広めの概念となっておりまして、個人情報ファイルについて事実上支配している状態であれば、保有していると解釈されることとなると考えております。ですので、情報にアクセスする、情報の処理をする場合であっても、保有に当たる場合が多いのではないかと考えております。
具体的には、収集している時点で保有している、ただ、保存しないで破棄するという場
合があるかと思うのですが、そういった場合についても対象とするように、全項目評価書
では収集項目と保存項目の両方を書かせておりまして、保存項目については、なぜ保存するのか、収集したものをすべて保存する必要もないわけですので、そういった点についても記載させるように留意しております。
また、保有概念には該当しないものの情報に対してアクセスできるような場合も例外的にはあるかと思います。そういった場合も、できる限り取り込んでいけるように、評価書
22

の記載項目を追加していければと考えております。情報保護評価を実施する人というか、実施義務者がファイル保有者であって、保有はしていないけれども、さまざまな処理を行う人というものも出てくるかと思います。例えば委託先ですとかそういったところは、保有はしないけれども、情報を扱う場合もあるかと思いますが、それらについてもそのファイルについてのプライバシーインパクトということで、評価書の中ですべて影響を評価できるような評価書にしたいと考えております。
２点目ですけれども、ファイルの保有時期とシステムの開発時期がずれるということは先生のおっしゃるとおりかと思いますので、委員会規則の方でより具体的に、保有の直前であればいいというものではなくて、システムの開発の前に行うものということを委員会規則か又は指針の方で明記していきたいと考えております。

（宇賀座長）
よろしいでしょうか。今、御提起いただいた論点について、ほかの委員の方から何かございますでしょうか。
ほかの論点ではいかがでしょうか。大谷委員、どうぞ。

（大谷委員）
たしか今年じゅうに実証事業が予定されているということですが、実証事業の中で今回のしきい値評価の精度を高めるためのさまざまな問題点抽出あるいは実際に評価書を作成してみるということも含めた実証事業が行われるのかどうかということについて関心がありまして、今のところまだ実証事業の細かな点は明確になっていないのかもしれないですけれども、その辺りの構想についてお聞かせいただければと思います。

（水町参事官補佐）
実証事業の方は、情報提供ネットワークシステム等に対するものが主となっております。
ですので、情報保護評価についてはまだ具体的なものは実証事業に関しては決定していな
い段階でございます。ただ、この情報保護評価につきましても、実際のシステムに当てはめて、実際に評価書を書いていくということをやっていかないと、システムの実態と乖離したものができてしまうおそれもございますので、来年度以降に実証事業と合わせてなのか、それとも別になのかはまだ検討しておりませんが、何らかの形で実際のシステムに対して適用できるようにできればと考えております。

（宇賀座長）
今の実証事業に関して、ほかの委員の方から追加で御質問、御意見ございますでしょうか。

23

（中村企画官）
一応、来年度も地方とか民間用ということで検討するためにこの会合が開かれますので、その際にでもどういったことをやっていくかということが固まった段階で、機会を利用して御報告したいと思います。

（玉井座長代理）資料３の 11 ページに、何度か出てくる言葉で「情報連携を行うか否かに関わらず」ということがあり、情報連携という用語がキーワードとしてほかにも何箇所かで出てくるのですが、ここでいう情報連携というものは何かということが、私が探し足りないのか記述がないように思います。この資料では４ページの脚注の１に初めて情報連携という言葉が出てくるけれども、そこでも「情報連携の際に」と、情報連携ということはわかっていることが前提となっている記述になっていると思うのです。
勿論、何となくわかることはわかるのだけれども、資料としてはここでいう情報連携とは何かということをどこかで書いておいた方がいいと思いました。

（中村企画官）
そのように検討いたします。

（宇賀座長）
ありがとうございました。ほかいかがでしょうか。よろしいでしょうか。
最後に、資料４地方公共団体及び地方独立行政法人向け指針における論点及び資料５、情報提供ネットワークシステムを利用しない事業者向け指針における論点について、中村企画官に説明をお願いします。

（中村企画官）
まず資料４でありますけれども、地方公共団体及び地方独立行政法人向けの指針における論点であります。冒頭御説明いたしましたように、法案の上では地方公共団体と地方独立行政法人が特定個人情報保護評価を実施するということになっております。ただ、地方公共団体などが行う場合も、全く今まで御議論いただいてきたことと同様に考えることが適当かどうかということでございます。
１番で、基本的な検討に当たっての考え方ということで、地方公共団体においても特定個人情報を多数取扱うことは予定されているということで、この評価というものを実施する必要性というものは法案でもやると書いてあるわけで、それは同じようにあるだろうと考えております。
他方で、一般的な原則として地方公共団体というものは自主性、自立性というものが尊重されるべきであると。また、国の各関係の機関の場合に比べると、置かれている実情と24

いうものもさまざまということもありますので、別途の観点というものが出てくるのではないかということを述べております。
その上で２番、地方公共団体特有の論点ということで、幾つか例として挙げさせていた
だいておりますが、１つは国の機関による地方公共団体に対する関与を必要最小限なものとするという観点から、個人番号情報保護委員会による承認とか抽出点検というものまでは求めないということとしてはどうかということが１点です。
もう一つ挙げておりますものが、同様の観点から意見聴取についても、国の行政機関などのように画一的に手続を義務付けることまではせず、住民からの意見をどう反映するかということは、それぞれの地方公共団体の実情に応じて判断いただくということが考えられるのではないかということが２つ目であります。
もしこれをそのようにするということになった場合には、地方公共団体においては情報保護評価について、最低限の実施の枠組みである評価書を作成して公表するというところ
を委員会規則などで定めて、それだけが義務がかかってくるという形になって、その詳細
は地方公共団体が自ら判断するという枠組みになりますが、こういったやり方はどうだろうかということであります。
そのほかに、地方公共団体特有の仕組みとしてもし考慮すべき点があるようでしたら、おっしゃっていただきたいということであります。
これが総論的なところでありますが、３番として具体的なプロセスの各論的なところについて、地方公共団体において個人番号情報保護委員会が承認や抽出点検を行わないとしたときに、承認にかわるものということでどういうことが考えられるかということでありまして、基本的な流れとしては評価書を作成して、何らかの形で意見を得て、見直しをして何らかの形で承認があって公表するというプロセスを経るとすれば、この承認のパターンとして次のようなものが考えられるのではないかということで例を挙げさせていただいております。
１つ目には、地方公共団体によっては既に個人情報保護の関係の審議会などを置いていて、その役割というものは地方公共団体によって微妙に違っているわけですが、そういった既存の審議会などで承認などを行ってもらって、客観性を担保するといったようなことが考えられるのではないかということです。
そのほかに、例えば他の地方公共団体に対する事務委託、例えばその市町村が都道府県にお願いするとか、それを実施する機関を共同で設置するとかそういったいろいろな工夫の余地も考えられるのではないかということです。
２つ目は、これは地方公共団体の中の話になってしまいますが、こういった事務について責任を有する者が承認を行うということも、場合によってはそれでも差支えないという考え方もあるかもしれないということであります。
一応、例を挙げさせていただきましたが、このほかにももしいいアイデアなどありましたら挙げていただきたいということであります。
25

次に資料５、情報提供ネットワークシステムを利用しない事業者向けということであります。こういった事業者は法律上の義務として特定個人情報保護評価を実施するということにはなっていないということであります。こういった事業者はどう考えるかということです。
事業者特有の問題として、この後の考察に当たって考えるべき点として、マイナンバー
法の施行に伴って、いわゆる個人情報保護法の施行のときのようにいわゆる萎縮効果というものが生じる恐れがあるということ。それといわば反対の話ですけれども、脱法・違法行為が、制度への不理解などもあって、そういうことが起きる恐れというものも考えられるということであると思っております。
その上で、この事業者向けの指針に関する論点ということで、最終的にはそもそも指針が要るかどうかというところも含めた議論になってくるかと思っておりますが、まず情報保護評価を行うメリットとデメリットというもので考えられることを挙げさせていただいております。
まずメリットということで、マイナンバー法は適正にマイナンバーを活用することで国民の利便性、行政の効率化を向上させる一方で、マイナンバーの危険性にかんがみて必要な保護を行うということにしているわけですけれども、これを踏まえて２つ挙げております。まず萎縮効果のおそれについてですが、この情報保護評価を実施することによって、マイナンバー法や民法等の指針にのっとって必要な措置を講じているかということを確認
して明らかにすることができるわけであります。
いわゆる萎縮効果というものは、恐らくこの場合の特定個人情報をどのように扱ってよ
いのかわからないあるいはどのように扱われているかがわからないという場合に、そういったことが大きな原因になると考えられます。そこで、こういった評価を行って、自ら確認するとともに、外部からもわかるようにすれば、内部のことと外部と両面で過度の萎縮効果が生じる可能性を減らすこともできるのではないかということが１つの見方です。
次のページ、脱法・違法行為が行われるおそれに関しまして、この情報保護評価を通じて脱法・違法行為というものが少なくとも設計上はされていないということを示すことができるだろうということであります。
他方で、この情報保護評価というものを義務づけ対象ではない事業者についてまで行うとした場合、この適法な措置やより望ましい措置を情報保有機関自身が考えていかなければならない、情報保護評価はそういうもので、いわゆるベスト追求型のものであるし、これさえやっていればそれでいいというものではないということは先生方からも御指摘をいただいているとおりなのですけれども、なまじに指針を定めてこれを実施する、いろんな中小の事業者も含めてこういうことをやると、趣旨が余り徹底せずにこういうものをやっ
ていさえすればいいという誤解が生じるということも考えられるかもしれないということが１点。
もう一つは、これも今までの国レベルの指針の議論のときにも、プライバシーマーク等
26

の民間において既に実施されている制度との関係を議論いたしましたけれども、こういった既存の制度との関係を、一般の事業者さんのレベルにまで理解していただくということはなかなか難しく、混乱が生じるということもあり得るのではないかということがデメリットとしてはあるのかなと思っております。
そういったことを踏まえて、一応、指針の要否、要るかどうかというところから議論いただきたいと思っております。その場合、１つ留意点として○の２つ目、少なくともマイ
ナンバー法施行の当初は、この情報提供ネットワークシステムを利用しない事業者が保有する特定個人情報というものは、通常の場合、職員の人事、給与、福利厚生に関する事項を記録したファイルに該当する、要するに自分のところの職員の給与の支払などに当たって取扱うということが大部分の場合であると思われるのですが、そもそもこういうファイルというものは、今まで御議論いただいてきた国レベルのケースにおいても、情報保護評
価の例外としているので、そもそもそんなに対象となるファイルが出てこないのではないかというところはあるかと思います。
ただ一部の事例として、法定調書において金融機関が顧客の特定個人情報を保有するということは予定されているということではありますので、皆無というわけではないというところです。
１つ○を飛ばしまして、マイナンバー法上、事業者は情報保護評価の義務付け対象ではないけれども、事業者向け指針が公表されると必ず実施しなければならないという誤解が生じるというおそれも他方であって、こういったこと等を総合的に勘案した場合に、法的には義務はないが、指針をつくることが必要あるいは適当であるかどうかというところも御意見をいただければと思っております。

（宇賀座長）
ありがとうございました。
それでは、初めに資料４につきまして御意見があれば、伺いたいと思いますが、いかがでしょうか。大谷委員、どうぞ。

（大谷委員）
ありがとうございます。意見というかどちらかという質問なのですけれども、２つござ
いまして、１つは地方公共団体というものは住民以外の方の特定個人情報を取扱うことも一般に考えられると思いまして、例えば住民の意見聴取とかというような方法だけで適切な情報保護評価がなされているかという確認としては十分なのか、利害関係のあるものについて意見を述べる機会というものが各地方自治体のみにゆだねていいものかということの確認です。
質問としては、住民以外の方の特定個人情報がどのぐらい地方公共団体で利用されるという前提で考えていくべきなのか、これまでいろいろ定量的な調査もされてきた結果も踏27

まえて、教えていただければと思います。
２番目は、これも質問なのですけれども、地方公共団体の住民等が特定個人情報に関わる不適切な行為等があって、情報漏えい等によって被害を受けた場合、法的救済を求めるとすればどんな枠組みが考えられるのか、それが地方公共団体等における情報保護評価の承認等の手続にどれだけ国が関わるかということにも関係してくると思いますので、この２点について教えていただければと思います。

（宇賀座長）
それでは、事務局お願いします。

（篠原参事官）
まず１点目でございますけれども、地方公共団体が扱う情報には住民以外のものがあるかという点でございます。例えば住民関係情報、住所とか所得情報とかといったものは、
例えば住登外の登録といったものがございまして、何らかの形で地方公共団体に土地を持っているとかそういった形で、ただそこに住所を有していないという方々がいらっしゃいます。自治体の中では、基本的には地方公共団体の住民の方を扱っておりますが、そういった形の何らかの関係がある方も住登外登録という形で分類されまして、そういった管理をされている。
ただ、そういった方々については非常に管理が難しいというか、どこに住んでいらっしゃるかわからないところもあったりいたしまして、地方公共団体のある意味では問題の種になっているところはございます。
実際に、自治体が所管しているというものは、ある意味その域内の住民でございますけ
れども、いろんな事業等をやる場合に当然利害関係者等は出てまいります。そういった場
合には広報広聴ということでヒアリング等をやりますが、そこでは、もし関係するとすれば、住民の方だけではなくて外部の方もお呼びして、そこで適正さを担保するという手続がとられているのではないかと思っております。

（水町参事官補佐）
法的救済につきまして、地方自治体についてもそのほかについても同様となっておりま
して、個人番号情報保護委員会による助言、指導、勧告ですとか、国賠請求と罰則による担保が考えられるかと思います。

（大谷委員）
ありがとうございます。それで、今、篠原参事官の方から御説明いただいた点なのです
けれども、例えば私がたまたま地方自治体のそういった個人情報保護の審議機関などでさまざまな情報の取扱いに関わって、その保護のルールなどを確認しているときに、地方自28

治体が運営している医療機関に受診されている患者さんの情報とか、あるいは通勤等で他の自治体から通勤されている方の防災に関わる情報の収集ということで、特定個人情報に関わるような情報に接するような、それを取扱わざるを得ない局面ということも実際には多く考えられるのではないかと思っておりまして、その辺りも踏まえて検討したいと思っております。
法的救済のあり方ということは、今、御説明をいただいたとおりであれば、情報保護評
価の公表に至るプロセスの中で関与しなくても、ある意味事が起こってからということになってしまうかと思いますが、情報保護委員会からの関与ということは可能になるということで考えてよろしいということでいいでしょうか。ありがとうございます。

（宇賀座長）
今の住民以外の方というのは、例えば別荘等の不動産を持っているけれども、そこに住んでいない方ということもありますし、広義の住民といえるけれども狭義の住民ではないものとしては今、言われたように区域外から通勤されている場合とか通学されている場合
とか、幾つか考えられるかと思います。
それでは、資料４に関しまして、ほかにいかがでしょうか。新保委員、どうぞ。

（新保委員）
地方公共団体特有の論点として、個人番号情報保護委員会における承認を国の機関が行
わないという論点につきましては、第３回の委員会で条例における個人情報保護に関する諮問機関、審議会等の判断の活用も可能かという御質問をさせていただいた点について御検討いただいたというところかと思います。個人番号の利用範囲につきましては、マイナ
ンバー法に明記されているわけでありますが、一方で自治体につきましては、自治体独自のマイナンバーの利用、提供も認められているということからしますと、地方公共団体による特定個人情報保護評価は、場合によっては国の行政機関が行うマイナンバーよりも住民のプライバシーに与える影響が強いという場合も当然想定されるわけであります。
この点につきまして、現在の個人情報保護制度にかんがみまして、普通地方公共団体及び特別地方公共団体のうちの特別区については、個人情報保護条例の制定状況は 100％であります。すべての団体について条例が制定されております。その一方で、広域連合など
特別地方公共団体の一部については条例を制定していない団体もございます。つまり、個人情報保護制度の空白部分がこの部分に現在存在するわけでありますけれども、この点につきまして、本日、事務局からの御回答というよりはむしろ私が宇賀先生に伺って勉強させていただきたいという点でありますが、地方自治法第 11 章第３節に定める普通地方公共団体相互間の協力、こちらについて、本日も地方公共団体相互間と書いてありますけれど
も、地方自治法では普通地方公共団体と書いてあるわけでありますが、この普通地方公共団体相互間の協力によって、特別地方公共団体におけるこのような条例の未制定部分など
29

の問題について、問題は解決、対応が可能なのかどうかということについて、御質問させていただきたいと思います。
更に、地方公共団体においては、個人情報保護については条例がすべて 1,800 もの自治体において異なりますので、場合によっては国の個人情報保護法とは異なる手続が定められております。したがいまして、国の現在の個人情報保護法制との整合性が必ずしも確保されていないという現状があります。
その他、自治体によって個人情報、プライバシー保護への取組みの度合いが異なるという問題もあるわけであります。先ほどの広域連合についても、例規集については個人情報保護条例などを既に整備しているという現状がある場合でも、これは例規のデータベース
事業者が納入した例規集をそのまま使っている場合も多いかと思いますので、その場合に諮問機関についての手続はあっても、諮問機関が設置されていない場合もしくは設置されても機能していない場合、又は諮問機関構成員が特定個人情報保護評価の目的やその意義について理解し、判断することが困難な場合といったような場合が当然想定されるわけであります。
このような場合においても、諮問機関にその承認、判断をゆだねるということは現状ではできないという部分も当然出てくるかと思いますので、その点につきまして、先ほどのように普通地方公共団体相互間の協力によって解決が可能なのか、又はその他の承認パターンとして、個人番号情報保護委員会が承認する場合又はやむを得ず承認しなければならない場合といった事項を明確にしておく必要があるのかということについて、これは引き続き御確認いただきたい点であります。

（宇賀座長）
今、おっしゃられたとおり、普通地方公共団体と特別地方公共団体のうちの特別区については、100％個人情報条例がありまして、それに基づいて個人情報保護の審議会あるいは自治体によっては審査会が審議会的な機能を兼ねている場合もあるわけですけれども、いずれにしても普通地方公共団体の場合にはそうした個人情報保護条例に基づく合議制の機
関があるわけですが、中には個別の普通地方公共団体ごとに設置するのではなくて、共同設置をしているという例があります。
例えば長崎県ですと、市町村合併で村がなくなって 21 市町になっているのですけれども、そのうちの 15 の市町が共同で情報公開審査会と個人情報審査会をつくっています。そういう共同設置の例が現在でも存在するわけですが、おっしゃられたとおり、特別地方公共団
体につきましては、個人情報条例の制定率は 100％ではなくて、広域連合であってもまだ設置していないところがありますし、とりわけ一部事務組合の場合、広域連合と比べてももっと個人情報保護条例の制定率は低いわけです。
ですから、そうした特別区以外の広域連合とか一部事務組合などの場合には、個人情報保護条例もなく、当然個人情報保護条例に基づく審議会、審査会に相当するものがないと30いうところがあるので、そこをどうするのかという問題があるわけです。
広域連合とか一部事務組合は、実際には住民のプライバシーに関わるような情報を取扱っている場合があります。例えば後期高齢者広域連合などを考えてみれば明らかです。また、特別地方公共団体につきましても、共同設置とか事務の委託という形で対応することは可能です。
事務局の方から何かありますか。

（篠原参事官）
地方自治法の建てつけですけれども、条文がないのであれですが、普通地方公共団体に関する規定というところで大概のところを決めているわけです。その上で、特別地方公共団体の規定を後段に置いているわけでございますが、その特別地方公共の規定というもの
が一般に、漠としていますけれども、何も断り書きがなければ普通地方公共団体の規定を準用するというか、適用するという建てつけになっておりますので、第 11 章第３節の普通地方公共団体相互間の協力の手法と書いておりますが、当然のことながら特別地方公共もこの適用になるということでございまして、ここに書いてあるような事務委託、機関等の共同設置、こういった手法がとり得るということでございます。

（宇賀座長）
資料４の部分ですが、ほかいかがでしょうか。
それでは、次に資料５、これにつきまして御意見があればお伺いします。玉井座長代理、どうぞ。

（玉井座長代理）
資料５の内容は私にとってわかりにくかったのですけれども、趣旨としては情報提供ネットワークを利用しない事業者は情報保護評価の対象ではない。だけれども、そのような事業者に対して情報保護評価の指針をつくることに意味があるだろうという問題提起かと思いますが、その点に関しては、そういう指針をつくることに意味がある可能性もあるので、それを検討することはよいことではないかと思います。わかりにくいと思ったのは、その前に書いてある萎縮効果とか脱法・違法行為、これがどういう関連で出てきているのか、つまりマイナンバー法の施行に伴って、こういう対象ではない事業者に対して萎縮効
果とかあるいは脱法・違法行為のおそれとかがあるという意味でしょうか。ちょっと説明していただけますか。

（水町参事官補佐）
まず、指針の前段階として萎縮効果と脱法・違法行為を記載いたしまして、事業者の場
合は任意実施であると。指針に関係なく情報保護評価を任意に実施するメリット、デメリ
31

ットを考えるとすると、マイナンバー法と事業者の問題として、事業者特有の問題としては、個人情報保護法のときのような萎縮効果がまず考えられるのでないか。あとは脱法・違法行為がなされる可能性もある。
こういった点を踏まえると、情報保護評価を実施することでこういったメリット、デメリットがあるということを２の（１）で検討しておりまして、情報保護評価をやることにデメリットがあるとしても一定のメリットがあるので任意に実施する有用性があるとした
場合に、指針が要るのかどうか。ちょっとわかりにくい書き方だったのですが、申し訳ご
ざいません。

（玉井座長代理）
何とかわかりました。

（宇賀座長）
ほかいかがでしょうか。宮内委員、どうぞ。

（宮内委員）
今、御説明があったとおり、こういった事業者も当然マイナンバー法の対象になるということです。マイナンバー法を破らないためにはどうしたらいいかという意味でこういった指針を出していくという趣旨だと思うのですけれども、私はこういうものをぜひつくった方がいいと思っています。
ただ、メリットの②で脱法・違法行為というのは、脱法というものは故意にやることだと思うのですが、これは過失で違法行為をしてしまうことを防ぐという趣旨だと思いますので、ここの書き方はあれかなと思います。
これさえ守ればいいのではないかという誤解が生じるということですけれども、誤解以前の問題として、ガイドラインをつくればこれは守ろうとしますが、それ以上やるとするかどうかということはかなり疑問はあると思っています。この辺りは、ガイドラインの書
き方とかどういうことを評価すべきかというところを十分に気をつけて書いていくことによって、何とか回避できるかなと思うので、十分な検討をもってこういった指針を示していくということに非常に大きな意味があると考えております。

（宇賀座長）
ありがとうございました。事務局の方から、何かコメントがありますか。

（水町参事官補佐）
脱法の点について先生がおっしゃるとおりだと思いますので、記載の方を改めたいと思います。
32

（宇賀座長）
新保委員、どうぞ。

（新保委員）
情報提供ネットワークシステムを利用しない事業者向け指針における論点としまして、
情報提供ネットワークシステムを利用しない事業者も対象にした特定個人情報保護評価の実施、及び特定個人情報保護評価指針の策定は不要であると思っております。
一方、情報提供ネットワークシステムを利用しない事業者によるマイナンバー法の解釈と、法執行の基準を定めるためのマイナンバーの取扱い指針のようなものは定めてもよいのではないかと考えております。
これはこちらの論点にもございますとおり、今後萎縮効果だけではなく過剰反応も含めて、さまざまな法解釈に対する不十分な理解、誤解に基づく対応といったものも当然想定されるわけでありますから、この点につきまして、特定個人情報保護評価指針という形ではなく、マイナンバーそのものの取扱い指針という形での指針を定めてもよいのではないかという提案であります。
例えば金融機関などの例も挙げられておりますけれども、ISO22307 のように、マイナン
バーを取扱う金融機関向け PIA など税・社会保障分野において特定の事業分野に関する指針といったようなものは当然考えられる。諸外国においても、そのような形で指針を定めているところもございますので、必ずしも情報提供ネットワークシステムを利用しない事業者であっても、そのような形でマイナンバーを取扱う金融機関向けの、例えば ISO22307に基づくような金融機関向け PIA といったものは当然考えられる。
更に、情報提供ネットワークシステムを利用しない事業者を対象にして、文字どおりの指針を定めることについて反対である理由は、現段階ではマイナンバーの一般的な民間利用は予定していないわけであります。ですから、その点からいたしましても不要である。
将来的に民間利用を行うのであれば、個人番号情報保護委員会が指針を策定すべき問題ではないかと考えております。
なお、この委員会が始まる前から一貫して申し上げている点として、一般的な情報保護
評価指針、つまり一般的な個人情報の取扱いに関するプライバシー影響評価は今後当然行うことが必要になってくると考えられます。とりわけ、EU が個人データ保護規則の案を現在表明しておりますが、その案におきましても、データ保護評価ということでデータ保護の影響評価を行うということについて案が示されているわけであります。
つまり、個人情報保護法に基づくプライバシー影響評価を今後行うということについて
は、従来から一貫して行うべきであると私は主張して参りましたので、そのひな形として官民を問わず利用可能な汎用的な PIA の指針を策定することはやぶさかではないといったところかと思いますけれども、今回の検討対象には入れるべきではないと思っております。
33

以上を整理しますと、指針の策定は不要であると思いますが、マイナンバーの取扱い指針を定めるなどして、過剰反応、萎縮効果を防止するための何らかの対応として、よりわ
かりやすくマイナンバー法の理解を助けるような指針があってもよいのではないかと思っております。以上です。

（宇賀座長）
ありがとうございました。事務局、何かございますか。

（中村企画官）
確かにおっしゃるように一般的な取扱いの指針というものは、かなり中小零細な業者の方でも番号を取扱っていただくようなことになるので、法律だけ読んでも具体的なところはわからないということもあるでしょうし、何らか必要であろうと思います。この場で御議論いただくことがいいのかどうか、今、直ちにはわからないですけれども、それは何らか検討は進めていくべきものだろうと思っております。

（宇賀座長）
資料５につきまして、ほかいかがでしょうか。大谷委員、どうぞ。

（大谷委員）
新保委員の御意見に全面的に賛同しているのですが、できればお願いしたいなと思っていることは、今、個人情報保護法の遵守のためのさまざまな分野、例えば経済産業分野であったり厚生労働関係の指針であったり、さまざまな指針が出て、金融関係も出ておりま
すし、そういったものについて、それは業界特有の、又は業界に属する事業者特有の個人情報の取扱い情報に焦点を当ててガイドラインは整備されていますので、そのガイドライ
ンでマイナンバーをこれから一般の事業者が取り扱っていく可能性というものを考慮して、それぞれの官庁でアップデートを図るという方向で促していっていただくと、それに対応した形でのプライバシーマネジメントシステムを構築している事業者が動きやすくなるという状況があると思います。
特に中小の事業者などによっては、先ほどもおっしゃられたように法律を読み下すこと自体も相当難しくて、私などが受ける質問で例えばＱＡ的なものでも、これからマイナン
バーを取扱うようになったときにもクラウドコンピューティングはできないのか、福利厚
生に関わる SaaS などはできなくなるのかみたいな萎縮効果が実際に発生しつつあるように見受けられますので、是非お願いしたいと思います。

（宇賀座長）
ありがとうございました。ほかにいかがでしょうか。よろしいでしょうか。
34

それでは、予定の時刻になりましたので、本日の議事を終了したいと思います。本日、御議論いただきました情報保護評価の指針素案につきましては、今回、御議論いただいた
点を事務局の方で反映していただいて、必要に応じて委員の皆様とメール等でやりとりさせていただいて、御確認いただいた上で私が最終的な確認を行った後に、委員の皆様にお送りしますとともに、内閣官房のホームページで公開するようにしたと思いますが、そういうことでよろしいでしょうか。

（「はい」と声あり）（宇賀座長）
ありがとうございます。また３月 21 日に開催予定の「個人情報保護ワーキンググルー
プ」では、これまでの検討状況及び特定個人情報保護評価指針素案中間整理について説明したいと考えております。
本日も長時間にわたる御議論と活発な御意見をいただきまして、大変ありがとうございました。次回のサブワーキンググループにつきましては、追って事務局の方から連絡させますので、よろしくお願いします。
以上をもちまして、「 情報保護評価サブワーキンググループ」を終了させていただきます。

以上

35