個人情報保護委員会（第２７３回）議事概要
１ 日時：令和６年２月 21 日（水）１４：００～

２ 場

所：個人情報保護委員会

委員会室

３ 出席者：藤原委員長、小川委員、大島委員、浅井委員、清水委員、梶田委員、髙村委員、小笠原委員、松元事務局長、三原事務局次長、山澄審議官、大槻審議官、森川総務課長、吉屋参事官、香月参事官、小嶋参事官、片岡参事官、石田参事官
４ 議事の概要（１）議題１：長野県教育委員会に対する個人情報の保護に関する法律に基づく行政上の対応について事務局から、資料に基づき説明を行った。
髙村委員から「今回のような事態が発生している以上、人的安全管理措置について、今までより実践的で実効性のある研修を行うように促していただきたい」旨の発言があった。
原案のとおり、決定することとなった。
なお、本議題については、事案の社会的な影響を勘案し、配布の公表資料と当該資料に係る議事録、議事概要の部分を公表し、それ以外の資料と当該資料に係る議事録、議事概要の部分については非公表とすることとなった。
（２）議題２：全国健康保険協会（全国健康保険協会における健康保険の資格適用・保険給付・保健事業・相談・問い合わせに関する事務）の全項目評価書（電子申請の開始等に伴う評価の再実施）について事務局から、資料に基づき説明を行った。
梶田委員から「今回の業務の変更に伴い、全国健康保険協会の職員が個人番号により被保険者の情報を検索する業務が加わることとなる。これにより、悪意をもった従業者が、事務外で不正に特定個人情報を使用するリスクも高まることになる。このため、全国健康保険協会においては、不正な特定個人情報の取扱いがないかについて、定期的なログの分析や監査等を通じた確認を徹底し、不正行為への牽制を図ることが重要であると考える」旨の発言があった。
本評価書について承認され、全国健康保険協会に対し、評価書が承認された旨及び承認後に評価書に記載すべき委員会の審査結果等について通知することとなった。
（３）議題３：住宅金融支援機構（住宅取得資金に係る借入金の年末残高調書データファイル（税務署提出用）作成事務）の全項目評価書（新規実施）の

概要説明について
個人情報保護委員会議事運営規程第９条の規定に基づき、住宅金融支援機構（以下「機構」という。）鈴木推進役及び増田調査役が会議に出席した。
機構から、資料に基づき全項目評価書について説明があった。
清水委員から「委託に関してお尋ねする。ISMAP 認証や多要素認証、それから作業場所の様々な記録をとる措置や対策を講じられる予定と伺った。
これらは入札参加要件や仕様書で示されることになると思うが、確実に遵守していただかなければならない。
２点伺う。１点目は、委託先は契約してから作業場所の整備を図ると思うが、その作業場所を整備した後に、仕様書どおりとなっているかについてどのように確認するのか」という旨の質問があった。
これに対し、機構から「委託先についてはまだ確定していないため、記載された対策はあくまで計画であるとの御認識のとおりである。
また、物理的対策である IC カード等により入退室が記録される作業場所等については、構築された作業場所等についても機構において確認を行う」
旨の回答があった。
これに対し、清水委員から「検収により、実際に作業場所を見て検査して、不備があったらやり直しをさせるという理解でよいか」という旨の質問があり、機構から「御理解のとおりである」旨の回答があった。
また、清水委員から「２点目は、定期的にモニタリングを機構で行うということだが、万が一のことがあった場合に定期的なモニタリングで適時性が確保されるのか」という旨の質問があった。
これに対し、機構から「委託事業者は機構との契約において、例えば、不正な通信を検知した場合等は機構に報告する義務を負うこととし、機構は当該報告に基づき情報セキュリティ事故発生を検知することになる。
また、機構は、委託先から情報セキュリティ事故発生の連絡を受けた場合、『情報セキュリティ事故が機構又は委託先で発生した場合における機構内の対応マニュアル』に従い、直ちに情報セキュリティ責任者及び情報セキュリティ事故発生時の部横断チームである JHF-CSIRT への報告を行い、適切な初動対応を講ずる」旨の回答があった。
これに対し、清水委員から「委託事業者からの報告に基づいて対応するということか」という旨の質問があり、機構から「御理解のとおりである」旨の回答があった。
浅井委員から「本件は、機構が令和７年１月から実施を予定している新規の事務であるという説明であった。
また、本事務は、特定個人情報の入手から国税庁への提供までを専門会社と称している委託事業者が構築するシステムにて処理し、その運用の全てを委託事業者に任せるということであった。

そのため、本事務における日々の運用及びインシデント発生時の対応や講ずるリスク対策について、それぞれの関係者が役割を自覚し徹底することが最も重要であると考える。
機構と委託事業者の相互の役割分担と、その分担に基づいた取組を確実に実行させる方法について具体的に説明いただきたい」旨の発言があった。
これに対し、機構から「機構は、特定個人情報の入手から国税庁への提供までを委託事業者が構築するシステムにて処理し、その運用を委託事業者に委託しているところではあるが、これを丸投げとせず、それぞれの役割分担と、それぞれの役割分担に基づいた取組を確実に実行させるべく、仕様書に取組の詳細を明記している。
日々の運用については、機構は委託事業者から書面又は必要に応じて対面にて、委託業務の遂行状況の報告を毎月受け、その内容を日常的なモニタリングにより確認する。
また、機構は事務リスクに係る顕在化事例の発生又は発覚の報告を随時委託事業者から受けるとともに、機構に寄せられる住宅ローン控除の適用を受けようとする者からの相談や苦情を随時委託事業者に確認することで、機構は委託事業者が契約に従い、委託業務を確実に実行しているかを確認しており、その旨を仕様書に定めている。
情報セキュリティインシデントが発生した場合についても、機構と委託事業者は連携して被害拡大の防止、復旧等を図るとともに、事案の内容に応じて、その事案の内容、経緯、被害状況等を速やかに機構に報告することを仕様書に定めている。報告を受けた機構においては、先ほどの御説明の繰り返しとなるが、『情報セキュリティ事故が機構又は委託先で発生した場合における機構内の対応マニュアル』に従い、直ちに情報セキュリティ責任者及び情報セキュリティ事故発生時の部横断チームである JHF-CSIRT への報告を行い、必要な初動対応を講ずる」旨の回答があった。
大島委員から「本事務で取り扱う特定個人情報ファイルは、委託事業者が構築するシステム上に保管されると理解した。
この点、特定個人情報ファイルの保管場所や消去方法に関わるリスク対策を実際に講ずるのは当システムの運用・保守を担う委託事業者となるが、特定個人情報の保有主体は委託元たる機構であるため、委託事業者において適切に保管・消去が行われているかどうか、機構において確実に監督する必要があると思う。
先ほど、委託事業者が評価書に記載された内容を遵守しているかを監査・モニタリングを通じて確認していくことについて御説明いただいたが、その他委託事業者が特定個人情報を適切に保管・消去していることを確認する方法について、御説明いただきたい」旨の発言があった。
これに対し、機構から「機構は、監査やモニタリングを通じて委託事業者を監督する中で、委託事業者が特定個人情報を適切に保管・消去していることも確認することとしている。例えば、登録又は消去された個人番号の状況について、機構は、委託事業者から毎月送付される請求書と併せて報告いただくことを仕様書に明記している。
また、委託事業者は、個人情報等の保存期間終了後、速やかに当該情報の消去を行うこと、『データ等消去・廃棄証明書』等の提出により委託先において消去が確実に行われていることを仕様書に明記している。機構は、このような仕様書に定められた事項の業務状況を、日常的なモニタリングの一環として確認する。
また、年１回実施する『外部委託先チェックリスト』を用いた実地での監査において、機構は、委託事業者より入札参加資格要件の確認時等に提出いただく『重要情報の取扱いに関する報告書』に記載された保有個人情報の消去の管理措置に変更がないことを確認する。具体的には、『保有個人情報の取扱状況を記録するための台帳又は台帳の整備を定める規程』や『保有個人情報の保管状況の点検にかかる手順書及び点検のために用いる書式』、『業務に関する保有個人情報又は当該保有個人情報が記録されているサーバ等が不要となった場合に使用する消去の手順書及び消去のために用いる書式』について、変更がないことを確認することをもって、委託事業者が特定個人情報を適切に保管・消去していることとする」旨の回答があった。
機構鈴木推進役及び増田調査役が退席し、続いて事務局から説明を行い、今回の機構の説明内容を踏まえ、審査の手続を進めることとなった。
（４）議題４：いわゆる３年ごと見直し規定に基づく検討項目について事務局から、資料に基づき説明を行った。
浅井委員から「課徴金等の監視・監督の手段の在り方について、全ての事案を対象とするとなると、ヒューマンエラーによる漏えい等も含まれるが、そういったものを含め網羅的に検討するということではなく、破産者マップなどの重大事案・悪質事案を念頭に置いて対応していくべきではないか。
また、これまでの関係団体からのヒアリングで、日本商工会議所からは、法改正で何がどのように変わり、どのように対応するべきか十分に説明して欲しいという御意見があった。加えて、個人情報保護と安全管理措置の強化の観点からは、一般社団法人電子情報技術産業協会（JEITA）から、PIA、DPO 設置の努力義務化の御意見を頂いたと記憶している。特に DPO については、海外の複数の国で法令による義務化が実施されており、そういった意味でも、安全管理措置の面での有効性を認識しての御意見だったと理解している。以上を踏まえ、安全管理措置の事業者の自発的な取組を促進していくべき」という旨の発言があった。
これに対し、事務局から「本日の検討項目案を御了承頂いた場合、今後、事務局において、各検討項目に沿った形で、委員会の場で御議論頂くための資料を御用意していく。御指摘の課徴金や、安全管理措置の強化の観点でのPIA や DPO の位置付けについても、事務局としても検討してまいりたい。また、分かりやすく周知することは事務局としても重要だと理解しており、留意しつつ進めていきたい」旨の回答があった。
小笠原委員から「資料４、３ページ目の四つ目の矢尻は、消費者団体からのヒアリングでの御意見をまとめていただいたものだと思うが、前半の差止請求については記載のとおりであるものの、後半の被害回復請求については、消費者団体の主張は本資料の記載とは異なると理解している。前提として、令和４年の消費者裁判手続特例法の改正によって、慰謝料の一部が被害回復請求の対象となった。これにより、個人情報の漏えいによる損害賠償請求についても、一部は被害回復請求の対象となっている。資料の記載では、『個人情報漏えい事案も制度の対象とすべき』とあるが、一部は既に対象となっている。その上で、個人情報の漏えい事案が対象になるとしても、現実に特定適格消費者団体が被害回復請求をしていくとなると、どういう故意があって情報漏えいが起きたかを調べるための情報が不足していたり、手続を進めるための資金が不足していたりするような状況である。よって、実際に請求は可能ではあるが、実効性に欠けるというような御意見で、それが当委員会に対する一番の要望だったと思う。なお、請求権の制限撤廃のところで補足すると、慰謝料請求に関しては、被害回復請求一般の制限に加えて、故意の事案の場合、財産的損害と併せて請求を同時に行う場合に限定されるという慰謝料請求特有の要件が加重されているというのが令和４年の改正であり、消費者団体としては、恐らく当委員会の検討対象ではないものの、慰謝料請求の要件で特に加重されている当該要件を撤廃して欲しいという主張だったのではないか」という旨の発言があった。
これに対し、事務局から「頂いた御指摘を踏まえ、藤原委員長に御相談の上、記載内容を調整させていただきたい」という旨の回答があった。
また、藤原委員長から「小笠原委員の御指摘の点、ヒアリングの内容を正確に反映するため、私と事務局との間で調整の上、文言を修正させていただきたい」旨の発言があった。
委員会審議における意見を踏まえ、資料４の記載内容の一部（関係団体からの意見）を委員長預かりの上、修正することとなり、本議題の検討項目案については、原案のとおり、決定することとなった。
以上