「事業者における特定個人情報の漏えい事案等が発生した場合の対応について（案）」に関する意見募集の結果について

No.	意見等	当委員会の考え方
1	努力義務ではなく、義務にして頂くようお願い致します。
努力義務では、マイナンバーが漏えいた際に報告を行わなかった場合、対応が後手に回り、時間の経過とともに更なる被害増大が予測されます。	番号法上で漏えい事案等を報告させる規定がないことから、法以上の対応を求めることは困難であり、「報告するよう努める」としております。また、被害拡大の防止については、事業者において必要な措置を講じていただくものであり、その内容等を含め、当委員会に報告を行っていただくことを想定しております。
2	特定個人情報の漏えい事案等が発生した場合、報告し公表することは間違いではないですが、「実害はありません」という報告になるように「情報セキュリティー対策」をしておくものです。インターネットを使う限り「漏洩は必ずある」ものとして対応すべきです。情報セキュリティ事件では、原因究明など意味がありません。情報セキュリティー対策の基本原則を提言します。分離・隔離する、暗号化する、情報へのアクセス記録をとる、の3つです。人はミスをする、規則を守らないときがあるという前提でシステム設計をするのです。個人情報が漏洩したという報告をもらって喜ぶ人はいません。（技術伝承ドットコム）	漏えい事案等が発巻した場合には、事実関係の調査や原因の究明、再発防止等の措置が必要であるものと考えます。
3	案では
第1条・・・必要な措置を講ずることが望ましい。
第2条・・・報告するよう努める。
とあり、義務規定ではない。措置、報告は努力義務という認識でよいのか。	御理解のとおりです。
4	マイナンバーは麻薬、銃器、核廃薬物と同等の罰則が規定されている。
麻薬、銃器、核廃薬物が漏洩や目的外利用された場合と比べ措置、報告対応が低い。同等の罰則であれば、同等の義務を設けるべきである。	罰則のレベルと規制の内容は必ずしも一致するものではありません。
5	海外では、内部不正による個人情報の漏えいの犯行者は、非喫煙者に比べて喫煙者が5倍多いとのデータがある。また、過失による個人情報の漏えいについては、非喫煙者に比べて喫煙者が3倍漏えい事故を起こしやすいとの調査結果がある。
わが国においても、政府として漏えいを防止するための人的安全管理措置の一環として、漏えいを発生させた者が、喫煙者であったか非喫煙者であったかの報告も求め、集計して分析をすべきである。	番号法固有の内容ではございません。
6	サイバー攻撃や過失等により重大な個人情報の漏えいが発生し、主管となる監督官庁へ報告を行った場合に、監督官庁の担当者が「興味本位」や「念のため」でその都度報告を求めてくることが、限られたリソースの中で事後対応を行っている状況において非常に妨げになる。
各省庁のガイドライン等にのっとり報告を求めるのもよいが、事業者の事後対応の妨げにならないよう、むやみな報告徴求を控えることを各省庁へ徹底して欲しい。	執務の参考とさせていただきます。
7	民間企業は給与支払報告書を提出する際に従業員の住所を100%正しく記載して提出できるとは限らず、その場合、一部の従業員（正しくない住所で給与支払報告書を送付してしまった従業員）に係る特別徴收税額通知書は、民間企業が想定している自治体とは別の自治体から送付されてくることがある。民間企業は特別徴收税額通知書について、どの従業員の分がどの自治体から送付されたのかを100%把握しきれないということである。
総務省では個人民幹の特別徴收税額通知書への個人番号の記載を検討しているようであるが、郵送中や民間企業到着直後に特別徴收税額通知書が紛失した場合、上記の理由から、特定個人情報漏洩の影響範囲の特定が非常に困難になる可能性がある。
（1）個人住民税の特別徴收税額通知書については、影響範囲の特定について、完全には把握しきれないとしてもやむを得ない点を明記していただきたい。
（2）そもそも、特別徴收税額通知書への個人番号の記載をしなければ、特定個人情報の漏えいは発生しえないのであるから、特別徴收税額通知書への個人番号の記載をしないとするのが最善である。ご検討をお願いしたい。特別徴收税額通知書は何千万通も発行され、それが全国の民間企業へ送付される。悪い言い方ではあるが、行政機関が特定個人情報をばらまいていると受け取られてもおかしくないのではないでしょうか。	関係機関に情報提供いたします。
8	1. 事業者は、その取り扱う特定個人情報（委託を受けた者が取り扱うものを含む。以下同じ。）について、漏えい事案その他の番号法違反の事案又は番号法違反のおそれのある事案が発覚した場合には、次の事項について必要な措置を講ずることが望ましい。
意見
この最後の「講ずることが望ましい。」は、「講ずることとする。」にすべきである。望ましいでは、事業者は何も対策しない。
2. 事業者は、その取り扱う特定個人情報に関する番号法違反又は番号法違反のおそれのある事案を把握した場合には、事実関係及び再発防止策等について、次のとおり報告するよう努める。
意見
この最後の「報告するよう努める。」は、「報告することとする。」にすべきである。
（2）報告の時期
ア
速やかに報告するよう努める。
意見
「事案を把握した日から7日以内に報告することとする。」とすべきである。
（3）特定個人情報保護委員会への報告を要しない場合
個人情報取扱事業者以外の事業者にあっては、次の全てに当てはまる場合は、特定個人情報保護委員会への報告を要しない。
意見
「の報告を要しない。」は、「1ヶ月以内に報告することで差し支えない。」とすべきである。
（理由）
国は、全てに事案の対策を講じさせ、全てを報告させることで、事案のような漏洩防止対策や、漏洩手口を把握することで、事業者その他の事案発生防止に資する根拠やノウハウを民間全般に情報提供し、漏洩発生自体の防止に努めるべきである、またそうすれば国は、その根拠等を提供し、防止を国民に呼びかけることも出来る。
ちなみに、詐欺等に悪用する者の情報入手は、過失や重過失を装い実行されると考えられる。
例えば、わずかな注意をすれば防けたにも関わらず、その注意を払わなかったことによって漏洩事故を発生させた場合といったようなことであって、関係者以外入場制限がされていない室内でマイナンバー記載書面を机に広げる離席したケースとか、確実な漏洩防止措置をせずマイナンバー記載書面を社内廊下や駅のベンチで落としたとするケース。電子媒体は漏洩記録が残りやすいですが、紙は記録も残らず滅失しやすいので産業スパイなど好く利用する方法といわれている。
こういったストーリーの裏付を国が整理して示し、事案の発生しやすい状況自体を国民の協力を得て無くす手立てに尽力をつくす政策がよい。
漏洩実行犯と詐欺集団は別人であるからこそ、事案発生後の対策ばかりではなく悪や罪を発生させない政策手立てのノウハウ蓄積が重要である。	番号法上で漏えい事案等を報告させる規定がないことから、法以上の対応を求めることは困難であり、「講ずることが望ましい」、「報告するよう努める」としております。
また、報告の時期については、事案の内容等により再発防止策を決定するまでに時間を要することも考えられることから、「速やかに」としており、期限を定めることは適当ではないと考えられます。
さらに、当委員会への報告を要しない場合については、個人情報取扱事業者以外の事業者における負担、取扱扱個人番号の数量等を総合的に勘案して定めたものですので、原案のとおりとしております。