個人情報保護委員会は9月20日の第254回委員会で、コンビニ交付サービスの誤交付と公金受取口座の誤登録について審議し、指導文書を公開した。
◆「コンビニ交付サービスにおける住民票等誤交付事案に対する個人情報の保護に関する法律に基づく行政上の対応について」
◆「公金受取口座誤登録事案に対する特定の個人を識別するための番号の利用等に関する法律及び個人情報の保護に関する法律に基づく行政上の対応について」
今回は指導文書だけでなく、調査内容も公表していることは評価したい。指導を受けて、デジタル庁の対応に改めて批判が高まっている。しかしそれとともに、個人情報保護委員会の対応も検証が必要だ。
公表された文書の内容は、そもそもマイナンバー制度による基本的人権の侵害の危険性に対する個人情報保護措置として設置された個人情報保護委員会が、その役割を果たしているのか疑問を感じざるをえない。
●トラブルはマイナンバー制度の失敗を示す
マイナンバー制度は、個人を識別特定し（個人番号の付番）、分野を超えて生涯にわたり個人情報を正確・効率的にひも付ける社会基盤として作られた。そのために情報提供ネットワークシステムなど情報連携の仕組みをつくり、その際に成りすましを防止する本人確認手段としてマイナンバーカード（個人番号カード）を新設した（下図参照）。
一連のトラブルはさまざまな原因があるが、総体としてマイナンバー制度の目的である個人を特定して個人情報を分野を超えて正確にひも付けることの失敗を示している。「制度の開始当初はトラブルが付きもの」という話もされているが、スタートして7年以上たっているのだ。制度の仕組みそのものの検証が必要だ。
マイナンバー概要資料平成28年8月版(内閣官房・内閣府）より
マイナンバー概要資料平成28年8月版(内閣官房・内閣府）より
●マイナンバー制度の監視機関としての委員会
個人情報保護委員会は、2015年10月の番号法施行を前に2014年1月に「特定個人情報保護委員会」としてスタートした。その名のように、特定個人情報（=個人番号を含む個人情報）の漏えい、悪用、成りすまし、国家による一元管理、プライバシー侵害などの危険性のあるマイナンバー制度に対して、個人情報保護のための制度上の保護措置として設置された（下図参照）。
特定個人情報を取り扱う行政機関・事業者に対する監視・監督（報告の求め・立入検査、指導・助言、勧告・命令）を行うとともに、利用される情報システムの安全性・信頼性を確保するために総理大臣その他の関係行政機関の長に対し必要な措置の実施を求める権限を持ち、総理大臣に対し特定個人情報の保護に関する施策の改善について意見具申ができる。
それとともに、もう一つの個人情報保護措置の柱である「特定個人情報保護評価」の指針を作成し、「評価書」を審査し承認する役割も持っている。
その後2015年の法改正により、2016年1月に個人情報保護法をも所管する機関として個人情報保護委員会に改組されたが、マイナンバー制度に対する監視・監督は引き続き個人情報保護委員会の役割とされている（現番号法第27～38条）。この役割を果たせているのか、問われている。
マイナンバー社会保障・税番号制度概要資料(平成26年2月内閣官房社会保障改革担当室・内閣府大臣官房 番号制度担当室）14頁
●委員会はトラブルをどう捉えているか
一連のマイナンバーをめぐるトラブルについて、個人情報保護委員会は5月31日の第244回委員会で、対応方針として「マイナンバー及びマイナンバーカードを活用したサービスを利用する国民が不安を抱くきっかけになり得るといった影響範囲の大きさに鑑み、・・・詳細な事実関係を把握するとともに、今後、確認された問題点に応じて、指導等の権限行使の要否を検討する」と決定した。
7月19日の第249回委員会で、コンビニでの住民票等誤交付、マイナンバーの紐付け誤り、公金受取口座等の誤登録についての対応状況を公表するとともに、公金受取口座登録における別人の口座情報等の紐付け事案についてデジタル庁への立入検査を決め実施した。
言葉尻をとらえるようだが、「国民が不安を抱くきっかけになり得る」から対応するという姿勢で、マイナンバー制度にとって深刻な問題であるという認識が薄い印象を受ける。マイナンバー制度を推進するために不安の広がりを鎮静化しようというのでは、監視機関の役割は果たせない。
7月19日に公表した対応状況の整理では、問題の所在を個人情報の漏えいとしてのみ取り上げ、誤った情報のひも付けにより治療・投薬・処遇が行われる危険や財産的被害の発生という、情報連携を目的としたマイナンバー制度の問題として捉える視点が希薄だ。
今回の指導もコンビニ誤交付と公金受取口座誤登録に対するもので、もっとも市民の関心が高いマイナ保険証などの紐付け誤りについては「権限行使の要否等の対応方針を検討」として行っていない。
また「最高位の身分証明書」「デジタル社会のパスポート」と政府が重視するマイナンバーカードについて、総務省が6月20日にマイナンバーカードの交付誤りが２件あることを報告し、６月には連日のようにマイナンバーカードの顔写真を別人と取り違え交付した報道が各地であるなど、マイナンバーカードによる本人確認の危うさが露呈しているにもかかわらず、なぜか対応方針で取り上げられていない。
マイナンバーカードの顔写真の取り違え交付の報道例
▽6/2夕刊三重 三重県松阪市
▽6/6岐阜新聞 岐阜県各務原市
▽6/9京都新聞 京都市
▽6/10静岡第一テレビ 浜松市
▽6/14HTB北海道ニュース 旭川市
▽6/15YBS山梨放送 富士吉田市
▽6/16神戸新聞 神戸市
▽6/21khb東日本放送 宮城県大崎市
▽6/21北陸放送 福井市
▽6/21神戸新聞 兵庫県加西市
▽6/21朝日 大分県佐伯市
▽6/22ＮＨＫ 埼玉県加須市
▽6/22TBS 奈良県桜井市
▽6/22読売 大分県臼杵市
●公金口座誤登録の責任はデジタル庁と認定
今回の委員会の対応で注目されるのは、公金受取口座の誤登録の責任はデジタル庁にあることを明確にした点だ。政府は市区町村がマイナポイント申請支援窓口を正しい手順で行わなかったことが原因と責任転嫁してきたが、個人情報保護委員会はデジタル庁の責任と判断した。
⑵ デジタル庁は、公金受取口座情報の取扱いに関し、番号法上の個人番号利用事務実施者の義務を負うとともに、マイナンバーを含まない保有個人情報の取扱いについては個人情報保護法上の行政機関等の義務を負う。
具体的には、デジタル庁において、口座情報登録・連携システムを開発し運用する上で誤登録を防ぐためのマイナンバー取得時の本人確認の措置や、漏えい防止等の安全管理措置等を講ずる義務を負う。
⑶ なお、マイナポータル経由での公金受取口座登録の事務において、デジタル庁は、その提供する口座情報登録・連携システムを本人に直接利用させていた（市区町村に設置された支援窓口においても、支援員は本人の登録補助を行う旨定められていた。）。すなわち、誤登録の直接原因となった端末操作の実施場所が市区町村であったとしても、公金受取口座情報が漏えいした場合は、デジタル庁の保有個人情報の漏えい（個人情報保護法第68 条第１項）に該当する。
（「デジタル庁に対する特定の個人を識別するための番号の利用等に関する法律及び個人情報の保護に関する法律に基づく行政上の対応について」7頁）
河野デジタル大臣は公金受取口座の誤登録に対して、8月15日記者会見で閣僚給与を３カ月分自主返納すると発表したが、それは庁内の情報共有体制が不十分で報告されるまで時間がかかって初動が遅れたという理由だ。改めて情報漏えいの責任者として処分されるべきだ。
●「対策は十分」とした特定個人情報保護評価
個人情報保護委員会は上記「対応について」の13～15頁で、支援窓口での共用端末の使用というリスク変動に伴う特定個人情報保護評価の見直しをデジタル庁が行っていなかったことを問題と指摘しているが、委員会の対応に関わる重要な経過が欠落している。
デジタル庁は、マイナンバーで公金受取口座を管理するために必要な特定個人情報保護評価書を、2021(令和3)年10月に個人情報保護委員会に提出し、委員会は10月20日にそれを審査し承認していた。
この「評価書」では、入力の際の本人確認措置として、マイナポータルにおいてマイナンバーカードおよびパスワード入力により本人確認を行う旨記載して、リスク対策は十分であるとしていた。それに対して委員会は、記載されたリスク対策の不断の見直し・検討が重要と指摘して承認した。
2022(令和4)年6月30日からマイナポイント第二弾がはじまり、それに伴い公金受取口座登録がはじまった。市区町村では自分で申請が困難な住民に対して、役所の窓口に共用端末を置いて申請支援を行った。誤入力はこの申請支援窓口で、入力途中でログアウトせずに中断した状態で、次の人が口座情報を入力したために別人に口座がひも付き発生したとされている。
委員会は、デジタル庁が当初想定していなかった市区町村の支援窓口で共用端末を用いて多数の者が手続を連続して行うことにより、「共用端末におけるログアウトが徹底されていないという実務上の実態から生じる誤登録のリスクと、これが頻発することにより大規模な漏えい事態を発生させるリスクを、正しく認識した上でその対策等の見直し・検討を行うべきであった」(15頁)が、これを実施せず委員会が求めた不断の「評価書」の見直し・検討を行わなかったことを指導事項としている。
●「保護評価書」を審査できない委員会
しかし委員会は書いていないが、デジタル庁は2022(令和4)年10月に「評価書」の変更を委員会に提出している。そこでは委員会が引用している2021(令和3)年「評価書」の「開示システムにおいて、マイナンバーカードおよびパスワード入力により、当該預貯金者の本人確認を行う」の記載を、「マイナポータル（利用者証明用電子証明書及び券面事項入力補助AP）でマイナンバーカード及びPIN入力により、当該預貯金者の本人確認を行う」などの変更をしている。これら変更に対して委員会は「リスク及びリスク対策が具体的に記載されており、特段の問題は認められない」として承認しているのだ(10月26日第221回委員会）。
すでに2022年7月から誤登録の発生が続いていることを把握しているにも関わらず、2022年10月にリスク対策は十分であると記載して提出しているデジタル庁はひどいが、それをチェックできない個人情報保護委員会の審査も問題だ。
「特定個人情報ファイルの適正な取扱いを確保することにより特定個人情報の漏えいその他の事態の発生を未然に防ぎ、個人のプライバシー等の権利利益を保護することを基本理念とする」（「特定個人情報保護評価指針」1頁）特定個人情報保護評価制度の機能不全が露呈している。
●個人情報の漏えいとの意識が欠如
委員会は市区町村の支援窓口で公金受取口座の誤登録が発生した仕組みと経過について詳しく報告しているが、そもそもなぜ940件もの誤登録が１年近く発生し続けたのか、その原因に迫っていない。
委員会は誤登録の経過として2022年7月に豊島区、8月に盛岡市、その後４市区町村で発生していたが、報告を受けたデジタル庁職員が管理職に報告せず、2023年4月に誤登録が発生した福島市から住民に注意喚起するため周知したいと依頼され、職員がはじめて管理職やデジタル庁統括官に連絡したが、デジタル大臣には5月に福島市が対外的に公表するとの情報を得てはじめて連絡したと整理している。
委員会が指摘しているのは「（誤登録事案が）職員及び担当管理職に、デジタル庁の保有する特定個人情報及び保有個人情報の漏えいであるとの意識が欠如していた」(11頁)ために報告が遅れたということだ。
デジタル庁は、マイナンバー制度の推進と日本のデジタルシステム再構築の司令塔として、他の行政機関に監督権を行使する別格の省庁だ。そこがマイナンバー情報や個人情報を保護する意識が欠如していたのなら、報告体制の改善の指導で済ませていいのか。日本のデジタル化全体に関わる問題であり、委員会はなぜ是正の勧告やこのような実態の改善を総理大臣に意見具申しないのか。
●マイナカード普及優先が原因ではないか
委員会の報告には書かれていないが、国会審議でデジタル庁は発生原因として、当初は手続の最後にマイナンバーカードをかざして終了する仕組みにしていたが、マイナポイント第一弾でマイナンバーカードをかざす回数が多過ぎるという批判を受けて、最後にかざすことをやめる改修をしたことで別人の登録が発生してしまい、2023年4月に再び最後にかざす仕組みに改修した、と説明している。
委員会の報告も触れているように、2022年6月30日のマイナポイント第二弾開始により、公金受取口座の登録数は2022年6月までの月間30～90万件から7月は670万件に急増した。市区町村窓口は押し寄せる住民への対応におわれ、共用端末のログアウト処理の漏れが発生した。
奇しくも2023年2月末にマイナポイントのためのマイナンバーカードの申請が終了した後、仕組みを改修し、誤登録が発生していることを公表した。2023年3月末までに全住民にマイナンバーカードを所持させるという無理な普及策を実施するため、安全性よりも処理の効率化を優先したことが誤登録の発生につながったのではないか。2023年3月までは普及の支障になる公表や改修を避けようとする意識が現場にあったのではないか。
●普及のために家族口座登録を黙認？
家族口座等への登録の問題について、委員会は不適切だが個人情報の漏えいには該当しないと軽く扱っているが、意図的な別人へのひも付けが可能ということは、まさに個人を識別して正確に個人情報をひも付けるというマイナンバー制度の前提が崩れている事態だ。
7月14日には所沢市が別人口座へのひも付け誤りによって高額介護合算療養費57,516円が誤って別人の公金受取口座に振り込まれたことを公表しているように、この公金受取口座登録は財産的被害につながる重大な問題だが、なぜか所沢市の事例は委員会の報告には触れられていない。
公金受取口座に家族口座等が約14万件も登録された問題も、法律で一人一口座と定められているにも関わらず、マイナポイントとマイナカードの普及のためにデジタル庁は黙認していたのではないかという疑いを持つ。メディアでは「マイナポイント、一家４人で８万円」のような報道がされていて、家族口座を登録する事態は当然予見できたはずだ。
委員会の報告は「口座登録法において・・・本人が公金受取口座に家族口座等を登録する行為は想定されていなかった」(8頁)と書きながら、「デジタル庁は、家族口座等の問題を中長期的に解消すべき課題として認識していたところ、本件の発覚を受け、・・・具体的な再発防止策を実施していくことを予定している」(8頁)という矛盾した記載をしている。「中長期的」とはマイナポイントが終了した後に、というつもりだったということだろう。
家族口座登録の発生も、2023年2月末締め切りのマイナポイントを利用したマイナンバーカードの申請を、最優先に普及をはかってきた結果ではないか。
申請は任意のマイナンバーカードを令和４年度中に全住民に所持させるという、法を逸脱した政府方針こそトラブルの原因であり、それに触れない個人情報保護委員会ではマイナンバー制度の監視の役割は果たせない。
