個人情報保護委員会（第２２１回）議事概要
１ 日時：令和４年１０月２６日（水）１４：３０～

２ 場

所：個人情報保護委員会

委員会室

３ 出席者：丹野委員長、小川委員、中村委員、大島委員、加藤委員、藤原委員、梶田委員、髙村委員、松元事務局長、三原事務局次長、山澄審議官、森川総務課長、吉屋参事官、香月参事官、片岡参事官、石田参事官
４ 議事の概要（１）議題１：預金保険機構（預貯金者の意思に基づく個人番号の利用による預貯金口座の管理等に関する事務）の全項目評価書（初回の評価）について個人情報保護委員会議事運営規程第９条の規定に基づき、預金保険機構職員が会議に出席した。
預金保険機構職員から、資料に基づき全項目評価書について説明があった。
髙村委員から「預貯金口座に付番される個人番号は、災害時又は相続時の口座情報の提供以外に、行政機関等の税務調査等で預貯金者の預貯金口座を特定するために利用され得るとのことだが、預貯金者がそのことを把握しないまま付番の申出をすることで、本人の意図しない特定個人情報の利用が発生することをどのように防ぐのか説明してほしい」旨の発言があった。
これに対し預金保険機構職員から「金融機関が預貯金者から預貯金口座への付番の申出を受けた場合は、口座管理法第３条第５項に基づき、当該預貯金者に対し、個人番号が、災害時又は相続時の預貯金口座に関する情報の提供のほか、行政機関等の税務調査等で当該預貯金者の預貯金口座を特定するために利用され得ることを説明した上で、付番を承諾するかどうかを確認することとされている。預貯金者への説明が適切に行われた上で、預貯金者が付番を承諾する枠組みになっていることを踏まえると、預貯金者の意図しない特定個人情報の利用が発生することはないと考える。預貯金者が、同法第４条第１項に基づきマイナポータルを通じて預貯金口座への付番の申出をする場合も、マイナポータル上で同様の説明を受けられるようにするなど、所要の措置を講ずることを想定している」旨の回答があった。
小川委員から「口座情報連携システムは、多くの金融機関のハブとなる重要なシステムであるとの認識から、より十分なリスク対策が必要であると考える。本システムに接続された端末は、特定個人情報へのアクセスを制限するとのことだが、メンテナンス等の業務も含めどのようなリスク対策を講ずることで、利用者による不正な使用等を防止しているのか、具体的に説明してほしい」旨の発言があった。
これに対し預金保険機構職員から「機構職員が利用できる本システムに接続された端末は、特定個人情報への情報アクセスがシステムにより制限されており、また、外部とのデータの送受信は自動的に行われ、特定個人情報を機構職員が視認することができない仕様とする。さらに、本システムで取り扱う特定個人情報は、専用クラウド環境に暗号化された状態で保存され、電子記録媒体への書き出しができない仕様とする。なお、本システムへのログインは、事務担当者のみが可能となるよう、厳格なＩＤ管理等を行う
ほか、操作ログによるシステム利用状況の記録、定期的なチェック等を実施し、機構職員による不正な使用等を防止する。機構職員に対しては、研修の実施等により、特定個人情報の適切な管理がなされるよう対策を講じ、さらに、年１回の自己点検、定期的な監査を通じて、特定個人情報の管理状況を把握する体制を構築する。また、システム保守等受託事業者が運用で利用する端末は、機構が利用する端末と同様に特定個人情報を視認することができない仕様とし、当該事業者が保守で利用するシステムは、本システムへの接続が行われないため、特定個人情報にアクセスできない。情報セキュリティインシデント発生時等、当該事業者による本システム内の特定個人情報の確認が必要な場合は、使用目的及び情報の内容を記載した申請書を使用し、機構の情報セキュリティの責任者等が承認等の上、特定個人情報の取扱いが必要最低限となるよう厳格に運用する。再委託先も同様の運用とする」
旨の回答があった。
大島委員から「災害時に預貯金者の受付事務を金融機関へ委託することについて、相当数の金融機関と委託契約を締結すると思うが、委託する金融機関数と委託先が無許諾の再委託を行うリスクへの対策を詳細に説明してほしい」旨の発言があった。
これに対し預金保険機構職員から「災害時における預貯金者の受付事務を委託する金融機関数については、金融庁及びデジタル庁並びに金融機関等との調整により今後具体的に検討されるが、最大で 1,200 先超が想定される。委託に当たって、委託先金融機関において機構と同等の安全管理措置が講じられるよう、契約にマイナンバーガイドラインに記載の内容を盛り込み、再委託には事前に機構の許諾が必要であることを明確化した上で、無断再委託の有無を含め、特定個人情報の管理状況について定期的に報告を求める。万が一無断再委託が判明した場合は、委託先金融機関に対し契約に基づき、対処状況、原因分析、再発防止策等の報告を求め、事案によっては実地の監査、調査等を行う等、厳正な対応をする。契約時には、委託先金融機関に対し、再委託に当たっては番号法第 10 条により委託元の許諾が必要とされること、同法第 11 条により再委託先に対して監督義務を負うこと等を適切に説明する」旨の回答があった。
中村委員から「評価書に『本システムの情報保有は必要最低限かつ一時的なものであり、当機構は、個々の事務完了時点から一定期間経過後、直ちに復元不可能な形で保有情報を削除する』とあるが、どの程度の期間で削除されるのか。削除はどのような手法を用いるのか説明してほしい」旨の発言があった。
これに対し預金保険機構職員から「金融機関等から提供を受けた情報について、第 204 回国会におけるデジタル改革関連法案に対する附帯決議においてもその旨が掲げられ、機構としては付番結果等を預貯金者へ通知した後、預貯金者からの各種照会に対応することを目的として、一定期間保管の上、削除することを想定している。照会対応期間は数か月程度を想定しており、それを踏まえた具体的な保管期間を今後デジタル庁及び金融庁並びに金融機関等と調整して定める。当該情報に係るデータは、システムにおいてデータごとの保管期間を管理した上で、保管期間終了後に自動的に削除され、その処理結果をシステムで確認できる仕様とし、削除に当たっては復元不可能なマスク値等にアップデートし消去する。バックアップデータも同様に削除する」旨の回答があった。
丹野委員長から「今般、保護評価の対象となっているのは、預貯金者より付番の申出が合った場合に、機構が金融機関等を通じて特定個人情報を取得し、金融機関に対して口座の存否の照会、個人番号の通知等を行う事務である。付番が行われることで、預貯金者等は、災害時又は相続時に口座情報の提供を受けることができるが、預貯金者等からの情報提供の求めの受付は、預金保険機構から金融機関に委託される。先ほども回答いただいたが、委託先金融機関が相当数となるため、機構においては、評価書に記載のリスク対策を確実に実行し、委託先を適切に監督することが重要である。機構は、従来から金融機関の破綻時に預金の一定額の保護を行う機関として、国民から相当の信頼を得ていることを踏まえ、新たな事務に際して、個人番号の適切な管理を厳格に実施し、漏えい、不正がないようにしていただきたい」
旨の要請があった。
預金保険機構職員は退席し、続いて事務局から資料に基づき全項目評価書の審査について説明を行った。
本評価書について承認され、預金保険機構に対し、評価書が承認された旨及び承認後に評価書に記載すべき委員会の審査結果等について通知することとなった。
（２）議題２：デジタル庁（口座登録法に基づく公金受取口座の登録等に関する事務及び預貯金者の意思に基づく個人番号の利用による預貯金口座の管理等に関する事務）の全項目評価書（金融機関からの公金受取口座の登録受付及び本人からの申出に基づく預金保険機構への口座情報等の提供に伴う再実施）について事務局から、資料に基づき説明を行った。
藤原委員から「公金受取口座の登録によって、国民は申請書への口座情報の記載や通帳の写し等の添付が不要となり、迅速な給付金等の受取が可能となる。今般、口座登録法第８条及び第 12 条の規定に基づき、デジタル庁が金融機関と預金保険機構に公金受取口座の受付に関する事務を委託し、令和５年度下期以降、公金受取口座の登録申請がマイナポータル等に加え金融機関でも可能となる。これにより、相当数の金融機関から預金保険機構を経由してデジタル庁へ公金受取口座の登録が見込まれるが、リスク対策として、第一にマイナンバーガイドラインにのっとり個人番号を適切に取り扱うこと、第二にデジタル庁が金融機関及び預金保険機構と適切に委託契約を締結し不正な再委託等がないように適切に監督すること、第三に専用線又は閉域ネットワークを使用し情報の漏えい・紛失を防止すること等が、保護評価書に適切に記載されていると考える。デジタル庁は、金融機関、預金保険機構及び再委託先に対しても、特定個人情報の適切な取扱いについて、漏えい、不正がないよう厳格に事務を実施させるよう、保護評価書に記載されているとおり確実に実行させる必要があり、この点に特に留意いただきたい」旨の発言があった。
本評価書について承認され、デジタル庁に対し、評価書が承認された旨及び承認後に評価書に記載すべき委員会の審査結果等について通知することとなった。
以上