緊急 WEB シンポジウム「新型コロナ感染症対策における IT 活⽤とプライバシー」
2020 年 7 ⽉ 30 ⽇（⽊）開催

http://www.jlf.or.jp/work/kenshu_200710.shtml

講演録 4「接触確認アプリ COCOA 導⼊の背景と特徴」
⽻深宏樹弁護⼠（経済産業省）
1.

接触確認アプリ導⼊の経緯の概要 ...............................................................................22.

接触確認アプリの仕組み ..............................................................................................43.

接触確認アプリの分類..................................................................................................94.

COCOA の仕組み ......................................................................................................11

5.

COCOA の法的な評価 ...............................................................................................13

11. 接触確認アプリ導⼊の経緯の概要
私は政府の新型コロナウイルス感染症対策テックチームという、内閣官房に設けられた、組織で事務局を担当しておりました。まさに今回のこの「接触確認アプリ COCOA」を⼀体どういう仕様にしていくのか、そのうえで、それがどういったプライバシー上、あるいはセキュリティ上の評価をされるのかといったことについて、有識者の⽅々にご検討いただいた時の事務局を担当しておりました。
そういった⽴場から、いったいこのアプリがどういうような経緯で作られ、その結果、どういう仕組みのものが作られて、それがどのように法的に評価できるのかという話を、簡単にご紹介したいと思います。

まず、アプリのリリースまでの流れです。もともと３⽉の終わりの頃に、シンガポールがコンタクト・トレーシングアプリ、すなわち接触追跡アプリというのを出して、普及を進めようとしているという話は⽇本政府のほうにも⼊ってきておりました。同様の取り組みを⽇本でも検討すべきではないかという話が、まさに３⽉末頃から話し合われ始めました。
４⽉いっぱいぐらいかけて、内部でいろいろな情報のリサーチを⾏いまして、その結果、５⽉８⽇に「官⺠合同テックチーム」の会合が開催されました。これは、⻄村コロナ担当相と⽵本ＩＴ担当相、北村規制改⾰担当相のもとに、内閣官房、厚労省、総務省、経産省、⽂部科学省、それからも個⼈情報保護委員会といったような組織を横断的に集めて、このコロナの危機に対策をとるというチームを結成したものです。このチーム⾃体は４⽉に結成されたのですが、５⽉８⽇のミーティングにおきまして正式に、アプリ作りを進めていこうと2いうことが決まりました。その中で、まずこのテックチームとして実際のアプリの仕組み、いわゆる仕様書を作るということ。それから、それに対してプライバシー、セキュリティ等の観点からの評価を⾏うということ。また、できたアプリを厚⽣労働省と連携して普及していこうということを決めました。
そもそも、こういうアプリが世界に出始めているということですとか、あるいは⽇本でやるとしたらこういう仕組みなのではないかということに関しては、実は当初から⺠間企業の⽅の協⼒をかなり得ておりまして、具体的にはこちらに書いております、⼀般社団法⼈
Code for Japan 様ですとか、あるいは楽天様とも、何度かお打ち合わせをさせていただいて、具体的な設計に関する検討を⾏なっておりました。
最終的には、厚⽣労働省のほうで全てアプリの作成を進めるということになりましたので、こういった⽅々が直接アプリ作成をされた訳ではないのですが、当初の仕様のアイデア出しですとか、その後の普及活動には⺠間企業の⽅のご助⼒もかなりいただいているということでございます。
そうした⽅式を受けて、なにぶん幅広い分野、幅広いステークホルダーの利益に関する話ですので、ぜひ、ここは有識者の先⽣⽅にお集まりいただいて、その仕様と評価というのを進めていこうということで、５⽉９⽇と５⽉ 18 ⽇に有識者による検討会合というものを⾏いまして、最終的に５⽉ 26 ⽇にアプリの仕様書と評価書というものを出しました。
ここまで、正式に官⺠合同テックチームで検討を開始することが決まってから１ヶ⽉弱ぐらいの、かなりの急ピッチで⾏ないましたので、まさに有識者の⽅々にも⼟⽇、ゴールデンウィーク返上でお付き合いいただいたということでございます。
その後、仕様書及び評価書に基づいて、厚⽣労働省のほうで実際のアプリを開発し、ご案内の通り、先⽉６⽉ 19 ⽇に接触確認アプリをリリースいたしました。
当初、このリリース版というのは、あくまでも試⾏版であるということで、その後、徐々にフィードバックを受けながらアップデートしていくということで、現在バージョン 1.1.2、ダウンロード数は約 900 万近くということになりました。
⼀応、昨⽇もチェックして、無料アプリランキングでは、iOS では１位になっていたんですが。とはいえ、まだ 900 万件は国⺠の 10％に⾄らないぐらいの数字ですので、引き続き、政府としても普及啓発活動を進めて、できるだけ多くの⽅にダウンロードいただけるような取り組みをしてまいりたいと思っております。

3

先ほど申し上げました、有識者検討会合ですけれども、ここにお名前を挙げさせていただいているような⽅々に委員として加わっていただきました。座⻑には、この後、お話しいただく宍⼾先⽣にご就任いただきまして、そのほかにも公衆衛⽣の専⾨家の⽅ですとか、サイバーセキュリティ、それからプライバシーの専⾨家の⽅ですとか、お医者様、弁護⼠の⽅を含め、幅広い有識者の⽅にお集まりいただきました。
そこで検討を依頼された事項といたしまして、⼀つ⽬が、この Apple と Google の API に関する評価です。この有識者会議を⽴ち上げる時点で、Apple と Google の提供する API を使ったアプリにしようという⽅向性は概ね決まっておりましたので、それを前提として、これが信頼できるものであるかどうかということを評価するということになりました。
具体的に、これがどういうものであるかというのは、後ほどご説明します。その上で、仕様書案に対する技術的な評価と、それから法的な観点、プライバシー、セキュリティ、透明性等の観点からの評価を⾏うということになりました。
2. 接触確認アプリの仕組み
ここから先は、アプリの仕組みの説明をさせていただきたいと思います。
まず、⽇本のアプリの特徴をご理解いただくために、⽇本のアプリに限らない、シンガポールやその他の国で使われているアプリも含めて共通する事項というのを、ここに挙げました。

4

ここに書いてあるのは、あくまでも⾮常に簡略化したイメージですけれども、ここに「アプリをダウンロードしているＡさんとＢさん」という２⼈がいます。このアプリをダウンロードしているということによって、それぞれのスマホ端末内に、まず、端末の ID、アプリが発⾏する匿名の ID がランダムに発⾏されます。
また、ユーザー同⼠が⼀定の距離内で⼀定時間以上、⽇本の場合は、1m 以内 15 分以上接触した場合には、この両者の ID が交換されるということになっています。
これはのちほど申し上げますけれども、実はここで交換されるこの ID というのは、ここの端末の ID とは異なった、もうちょっと暗号化されたものが交換されるんですが。いずれにせよ、基本的な考え⽅としては、接触した場合に、それぞれの端末の ID というのが交換される。交換された ID が、それぞれの端末の中にリストとして蓄積されていく、これがいわゆる接触者リストというものでございます。
その他に、多くのスマホ、基本的にはこのまま GPS 機能というのが付いておりまして、GPS 機能をオンにしておくと位置情報が記録される。これはアプリに関係する機能ではなくて、あくまでもスマホに⼊ってる機能ということでございます。

5

それでは、実際にこの「Ａさんが PCR 検査によって陽性と診断されました」という時に、いったいこの今、申し上げた、Ａさんの端末の ID と、それから接触者のリストと、それから、⾃分の位置情報と、こういったデータのいったいどの部分が、この中央のサーバー、つまり国が管理するこの接触確認アプリのサーバーに送信されるのかということを、ぜひ、⼀度、考えていただきたいなと思います。皆様、いかがでしょうか？
（しばし待つ）

6

ということで、あまり時間もないので、正解を申しますと、実は⽇本の接触確認アプリで中央サーバーに送信される情報というのは、⼀番上の「ユーザーＡさんの端末の ID」だけなんですね。位置情報を送らないというのは、もちろんのこと、実は接触した⼈の匿名のリストというのも中央には送られません。
では、なぜこれだけでいいのかと⾔うと、この中央サーバーはこのＡさんの端末の ID を受け取って、それをすべてのユーザーの端末にまく。つまりＢさんだけではなくて、Ｃさん、Ｄさん、Ｅさんと、このＡさんと接触してない⼈も含めて、全ての端末に⼀⽇⼀回、これをまきます。
そうすると、それぞれのユーザーの端末の中に、⾃分が接触した⼈の ID のリストがある
わけですから、それぞれの端末の中で「⾃分が接触した⼈の中に今⽇、陽性と診断された⼈がいるかどうか」というのがわかる、こういう仕組みになっているのが、⽇本のアプリ。あるいは Google、Apple の API 利⽤した仕組み、接触確認アプリの基本的なコンセプトでございます。ただ、実際はもう少し複雑な仕組みになっています。

7ちなみに、冒頭に申し上げました、シンガポールですが、実は似ているように⾒えて、⽇本とは違う仕組みのアプリになっています。これはどういうことかと申しますと、シンガポールのアプリでは、⾃分の端末の ID だけではなくて、Ａさんが接触した⼈のリスト、これについても中央のサーバーに送られます。
これによって、中央サーバーを管理している、いわゆる国、公衆衛⽣当局は、この陽性者と接触した⼈が少なくとも匿名レベルではどういう ID の⼈か、というのがわかるようになります。これがあることによって、だいたい陽性者が平均で何⼈ぐらいと接触してるか、といった統計データを把握することができます。
さらに、シンガポールの場合はもう⼀歩進んでいて、そもそも全てのユーザーがアプリを使い始める時に電話番号を取っているんですね。この電話番号と、それぞれの⼈のユーザーID を紐づけていることによって、実は政府当局は、Ａさんから送られてきた接触者リストを⾒ることによって、Ｂさんが濃厚接触者であるということが電話番号レベルでわかってしまう。電話番号が分かってしまえば、それはもう個⼈が特定できる場合が⾮常に多いかと思います。
これによって、中央当局は、Ｂさんの電話宛てに直接メッセージを送れるというような仕組みになっています。
この意味で、シンガポールのアプリは“Contact Tracing”、つまり接触「追跡」アプリと呼ばれているのです。他⽅で、⽇本のアプリはこういった追跡を可能とする仕組みにはなっていませんので、“Contact Confirmation”つまり、接触「確認」アプリという名前になってい8ます。
ですので、COCOA は、コンタクト・コンファメーション・アプリの略ですが、ここには、決してコンタクト・トレーシングではないという意味が含まれております。
3. 接触確認アプリの分類
今、⼤きく分けて２つの考え⽅をご紹介しましたけれども、もう少し、これを⼀般化して、だいたいどういう類型のアプリが世界に存在しているかということを、こちらのスライドでご紹介しています。

まず、⼀番左にあるのは「位置情報取得型」というもので、これはまさにもう読んで字の如く、GPS 情報なんかを抜くことによって、濃厚接触者が実際にどういう経路を辿っていた⼈かとか、あるいは陽性者がどういう経路を辿っていた⼈かみたいなことを、位置情報レベルで特定できてしまうというもので、インドやアイスランドでは、こういったアプリが導⼊されていると聞いています。
他⽅で、位置情報は取得せず、あくまでも端末同⼠の通信、Bluetooth を使っているというものの中にも、いくつか種類があります。先ほど申し上げたようなシンガポール型というのは、中央サーバーでマッチングを⾏って、電話番号を持っていることによって個⼈まで特定できてしまう。これはシンガポールとかオーストラリアで取られているモデルです。他⽅で、この中央サーバーで処理するけれども、電話とかはとっていないので、あくまでも、中央政府としては匿名の ID のリストを持っているだけ。これによって、⼀定程度の統計的な9

リサーチみたいなものはできるけれども、個⼈は確定できませんというモデルというのが、この真ん中の累計でありまして、フランスはこういったモデルを取ってると伺っています。
実は、イギリスも、当初はこのモデルを⽬指していたらしいですが、どうやらシステム上、あまりうまくいかなかったということで、現在では⽇本と同じ、⼀番右側のシステムにイギリスもシフトしていると聞いています。
この⼀番右側が、⽇本型ですけれども、これはそもそも陽性者の濃厚接触リストというものを中央が吸い上げませんので、当局としては実名どころか、匿名 ID のレベルであっても、誰と誰が接触したとかというのはわからない。
つまり、あくまでも、持っている個⼈が直接、⾃分が接触したんだなということを把握できるというだけであって、中央政府が何らかの⽅法で、「誰と誰が接触した」ということをコントロールできる仕組みにはなっていないということでございます。
ドイツ、スイス、エストニア等々、実は Apple と Google がこのモデルで API を開発していることもございまして、⻄洋諸国の多くはこういったものを導⼊していると聞いています。

以上を踏まえて、この接触確認アプリ COCOA の⽬的ですけれども、これはあくまでも、「ユーザーが、⾃分が陽性者と接触した可能性がある場合に通知を受けられます」ということで、これによって、いちはやくリスクを察知できるということと共に、こういった通知をがあり得ることを念頭に置いて、⾃らの⾏動変容をすることができるとか、あるいは接触が確認された場合に適切なケアを受けることができるといったようなことを⽬的としていま10す。
他⽅で、中央省庁、公衆衛⽣当局が接触者、あるいは陽性者の⾏動を追跡できるといったようなことは、⽬的には含まれておりません。
実際に「陽性者、濃厚接触者がいましたよ」という場合には、それは、厚⽣労働省の管理する、「HER-SYS：ハーシス」という、感染者管理システムの中で、そのデータは管理されるということになっております。
4. COCOA の仕組み
今申し上げたモデルをおさらいしつつ、⽇本のアプリの実際の仕組みについて、更に具体的にご説明したいと思います。

まず、「医療機関で、Ａさんが陽性と診断されました」となりますと、その情報が保健所を通じて、厚⽣労働省のシステムであるハーシスに登録されます。保健所は、Ａさんがアプリのユーザーであった場合には、ハーシスを通じて、処理番号という番号を、A さんに発⾏します。
これは何のために発⾏するかと⾔いますと、アプリ使ってる⼈が誰でも勝⼿に、⾃分が陽性者だということを登録できてしまうと、この仕組みがハックされてしまいますので、きちんと医療機関によって陽性と診断された⼈のみが実際にアプリ上で陽性者の登録ができるように、認証⽬的でこの処理番号というのをハーシスから発⾏します。
これを受け取ったＡさんは、任意で、このスマホを使ってこの処理番号を⼊⼒します。そ11うすると、合致しましたということで、このＡさんの診断キーという、先に申し上げた匿名ID が、中央のサーバーに送られ、全てのユーザーに発送されます。
それぞれのユーザーの端末内では、送られてきた診断キーと⾃分の端末に保存されている接触者リストの照合が⾏われまして、その中で、あるユーザーが「⾃分の接触している⼈の中に、陽性と診断された⼈の番号がある」ということになると、⼿元で、その通知が表⽰されて、保健所に相談ができるようになるというような仕組みになっております。

これは、やや細かい図ではあるのですが、さらに厳密にご紹介いたしますと、まず、平常時はユーザー間で、識別符号という符号が交換されます。実は、先ほど申し上げた端末別の匿名 ID というのは、「⽇次キー」というもで、これ⾃体は⼀⽇に⼀度更新されるものなのですが、実際にユーザー間で交換されるのは、この⽇次キーではなくて、⽇次キーをもとに10 分間に⼀度⽣成される「識別符号」という、⾮常にランダム性の⾼い識別⼦なのです。
これによってお互い同⼠で、仮になんらかの⽅法で、それぞれの⽇次キーすなわち端末別の ID がわかったとしても、そもそもこの交換されるものというのは 10 分に１回替わるランダムなものですので、誰と誰が接触したかっていうのは、ユーザーにもわからないような仕組みになっているということです。
そして、もし、あるユーザーの陽性が発覚した場合には、先ほど申し上げたような厚⽣労働省のシステム（ハーシス）から処理番号が発⾏され、処理番号をユーザーが⼊⼒しますと、ユーザーの⽇次キーと時刻情報を組み合わせた「診断キー」というものが中央のサーバーに送られます。これがすべての端末に送られて、それぞれの端末の中で、この送られてきた診
12

断キーから識別符号を導くことができますので、これによって各端末内でマッチングをして、もしヒットがあれば、そのユーザーに、陽性者と接触した旨の通知が表⽰されます。その上で、各ユーザーが任意で、接触者である旨をシステムに登録することができるというような仕組みになっております。

今、登録する先としてご紹介した、新型コロナウイルス感染者等情報把握管理⽀援システ
ムですけれども、ここの中で最終的には患者、それから濃厚接触者の⽅に関する情報をストックして、その中で、⼀定程度、疫学的な調査にもデータを使っていきますということを、ご参考までに掲載しております。
5. COCOA の法的な評価
最後に、では、こういった仕組みが、いったい法的にはどう評価されるのかということを、有識者検討会で評価していただきました。

13

まず、⼀番重要なプライバシーです。まず、今回の仕組みに関して法律が、具体的には、本アプリのデータは政府が管理するものですので、⾏個法（⾏政機関の保有する個⼈情報に関する法律）が適⽤されるのかという検討を⾏いました。
先ほど申し上げた通り、ユーザーの ID である⽇次キーや、ユーザー間で交換される識別符号といったものは、個⼈情報と紐付いていない、ランダムなナンバーですので、これ⾃体は基本的には個⼈情報ではありません。
ただ唯⼀、処理番号、つまり保健所から陽性ですという判定を受けてユーザーに通知される、この処理番号については、これは個⼈情報であるといえます。しかも、要配慮個⼈情報であろうということですので、これに関しては厚⽣労働省や、その委託先事業者が、きちんと、⾏個法の義務を果たさなければいけないということが⾔われました。
以上のように、⾏個法の適⽤される情報というのはごく⼀部なんですけれども、さらに、今回のアプリというのは、そもそも誰が陽性者であるか、あるいは誰が接触者であるか、というような機微な情報を扱っておりますし、また、ユーザーの皆様に信頼していただいて、より多くダウンロードしていただかないと意味がないというシステムですので、これは法令の義務の如何に関わらず、プライバシーに関する⼗分な配慮をする必要があるであろうということを⾔っています。
そのうえで、「必要最⼩限のデータ情報取得に留める」ですとか、あるいは「必要最⼩限の者によるアクセスに留める」ですとか、あるいは「重要な局⾯で、必ずユーザーの同意を取るようにする」といったことを確認しました。同意については、実際のアプリでは、使⽤
14

開始時と、それから陽性者が管理システムに登録する際に、きちんとユーザーの同意を取得するということにしています。
また、不要となった情報の削除も必要であるところ、本アプリで使われる ID や識別符号は、発⾏から 14 ⽇間経ったところで無効になることが確認されています。このように、全体的にプライバシーに対する配慮がなされているというような評価をいただいています。
次にセキュリティです。これは、⼤きく分けて２つの局⾯があります。 １つ⽬が、政府機関が満たすべき情報システムに関するセキュリティ基準を満たすこと。２つ⽬として、スマホのアプリとして満たすべきセキュリティを満たすこと。こういった基準を挙げたうえで、実際に厚⽣労働省のほうでセキュリティに関する脆弱性テスト等を⾏ってリリースする必要がある、ということになっています。
３番⽬、透明性については、まずこのアプリの機能に関する仕様書を公開するということ。
これは、現在、内閣官房のホームページにおいて、どなたでも閲覧いただけるようになっています。また、ユーザーへのわかりやすい説明ということで、今⽇の私のこの説明がわかりやすいかどうかわかりませんけれども、より詳細な概要資料というものが、厚⽣労働省のページにも挙がっております。
４番⽬、インクルーシブネス（包摂性）ということで、このアプリを使うことによって誰かが差別されてしまうとか、あるいはこのアプリをそもそも特に⾼齢の⽅ですとかデジタルに慣れていない⽅が使えないようではあまり意味がありませんので、そういったわかりやすいユーザーインターフェースを実現することですとか、多⾔語対応についても触れられています。また、若い⽅とか⾼齢者の⽅が使う場合の代理⼈の同意のシステムですとか、差別の防⽌措置等々、さまざまな⽅⾯から、このインクルーシブネスを確保するということを運⽤上の留意事項として記載いただいています。
５番の使⽤⽬的の限定。これも、当然といえば当然ですけれども、これをコロナ対策という⽬的外利⽤で使ってはいけません、ということや、最終的に、政府が完全にコロナ終息しましたと判断した場合には、直ちにサービスを停⽌するということも、留意事項として盛り込まれています。
そして、こういった項⽬が満たされていることを確認するために、きちんとリリース前に内部で検証することと、それからリリース前、リリース後含めて、中⽴専⾨の第三者評価機関に評価をいただくということを留意事項として書いていただいています。
こういったような仕組み、それからプライバシー、セキュリティ、透明性等々の観点からの評価に基づいて、⽇本政府として、このようなアプリであれば多くの⽅に使っていただけるであろうというような判断をして、アプリのリリースに⾄っております。
ですので、皆様もぜひ、まだ⼊れていらっしゃらない⽅には⼊れていただければと思いま
すし、また、お知り合いの⽅にも、ぜひ、お勧めしていただけると⼤変、幸いでございます。
駆け⾜になりましたが、私からのご説明は以上とさせていただきます。

15