なか2656のblog

とある会社の社員が、法律などをできるだけわかりやすく書いたブログです

タグ:スーパーシティ

まえばしIDのイメージ図
(前橋市サイトの「まえばしID」の解説資料より)

このブログ記事の概要
前橋市の「まえばしID」にはマイナンバー法の「広義の個人番号」「裏番号」の問題がある。また、政府の推進するスーパーシティ構想、デジタル田園都市構想には個人情報保護法や憲法上の法的問題がある。

1.デジタル田園都市構想・スーパーシティ構想の問題
前回のブログ記事(「スーパーシティ構想・デジタル田園都市構想はマイナンバー法・個人情報保護法や憲法から大丈夫なのか?-プロファイリング拒否権・デジタル荘園」)で、政府与党が推進している「デジタル田園都市構想」・「スーバーシティ構想」にはマイナンバー法や個人情報保護法だけでなく憲法に抵触するおそれがあることを見てみました。
(関連)
・スーパーシティ構想・デジタル田園都市構想はマイナンバー法・個人情報保護法や憲法から大丈夫なのか?-プロファイリング拒否権・デジタル荘園

2.群馬県前橋市のスーパーシティの共通IDの「まえばしID」
ところで、政府の推進するデジタル田園都市構想(スーパーシティ構想)の交通・医療・介護・行政サービス・水道・エネルギーなどの官民のさまざまなサービスを利用する住民の利用履歴などの個人番号を連結して利活用するために、群馬県前橋市は「まえばしID」という共通IDを作成し利用する方針だそうです。

・まえばしIDの利活用アイデア及び名称に関する公募について|前橋市

まえばしIDに関する前橋市や、同市から委託を受けている日本通信の資料によると、スーパーシティ構想(デジタル田園都市構想)における住民の共通IDとして「まえばしID」を準備しているところ、これは①マイナンバーカードの公的個人認証の利用者電子証明書の発行番号(シリアル番号)と②電子署名法の認定した証明書と、さらに③顔認証データ3つを組み合わせて利用するものと説明されています。そして日本通信は前橋市以外にも2つの自治体で「myID」という名称で、同様の準備をすすめているとのことです。

・年頭にあたり - JCI blog(日本通信公式ブログ)

3.「まえばしID」の問題点
まえばしIDを本人確認の目的に利用すること自体はもちろん合法です。しかし、まえばしIDをスーパーシティ構想の、交通・医療・介護・行政サービス・水道・エネルギーなどの官民の各サービスの個人データの名寄せの共通IDに利用するためには、住民が転入・転出することを考えると「まえばしID」がだぶらないように、国が国民すべてに(悉皆性)、一人一つの番号(唯一無二性)の備える番号にならざるを得ないように思われます。

しかし、悉皆性・唯一無二性の性質を持つ番号は「広義の個人番号」「裏番号」(番号法2条8項かっこ書き)であり、税・社会保障・災害対策以外の「スーパーシティの共通ID」という目的に利用するとマイナンバー法9条違反となるのではないでしょうか。

この点、官民のサービスの共通IDとして作成されたxID社のxIDはマイナンバー法違反ではないかと2021年秋にネット上で炎上したことを受けて、個人情報保護委員会は10月22日付で「番号法第2条第8項に定義される個人番号の範囲について(周知)」とのプレスリリースを出して、「悉皆性・唯一無二性の「広義の個人番号」の性質を有する番号・符号等はマイナンバー(個人番号)と法的に同等のもので、これを税・社会保障・災害対応以外の目的で利用することはマイナンバー法9条違反のおそれがある」とダメ出しをしたばかりです。
・「番号法第2条第8項に定義される個人番号の範囲について(周知)」|個人情報保護委員会(令和3年10月22日)

そのため、まえばしIDも個人情報保護委員会などからマイナンバー法9条違反と判断されてしまう可能性があるのではないでしょうか。

4.政府のデジタル田園都市構想・スーパーシティ構想の問題
同様に、内閣官房とデジタル庁の「デジタル田園都市会議」の資料でも、デジタル田園都市(スーパーシティ)の官民の様々なサービスの住民の個人データの名寄せに「統合ID」を使うと解説されていますが、この共通IDも悉皆性・唯一無二性のある番号・符号でないとだぶってしまい意味がないので、xIDやまえばしIDと同様に「広義の個人番号」であり、法的にマイナンバーと同等のものであり、これを税・社会保障・災害対策以外の「スーパーシティの共通ID」という目的で利用することは、マイナンバー法9条違反となるのではないでしょうか。
・デジタル田園都市国家構想実現会議(第1回)議事次第|内閣官房

デジタル田園都市のイメージ
(内閣官房の「デジタル田園都市国家構想実現会議(第1回)議事次第」サイトより)

前橋市サイトによると、2020年に成立したスーパーシティ法により、同市はスーパーシティ構想の対象となる国家戦略特区に指定され、自治事務に関する部分は条例の制定で、国の事務に関する部分は国の立法や法改正により、マイナンバー法や個人情報保護法などの規制緩和を行い、まえばしIDの利用を行うようですが、まえばしIDは前橋市内ではスーパーシティ法で合法でも、同市の外ではマイナンバー法違反となるのではないでしょうか。
・地域の「困った」を最先端のJ-Tech(※)が、世界に先駆けて解決する。企業の技術力を、地域で役立てる!スーパーシティの実現を国がともに取り組みます!|内閣府

スーパーシティ法の概要図
(スーパーシティ法の概要。内閣府サイトより。)

まえばしIDや国のスーパーシティ構想の共通IDは、マイナンバーカードの公的個人認証の利用者電子証明書の発行番号(シリアル番号)を利用することになっていますが、このシリアル番号にはマイナンバーのような厳格な法規制はなく、黒田充先生の『あれからどうなった?マイナンバーとマイナンバーカード』85頁は、総務省やJ-LISは企業にシリアル番号で顧客の個人情報管理や顧客のプロファイリングができると利活用を奨励しているなど、法規制のない「野放し」の状態にあるとしています。
・民間事業者が公的個人認証サービスを利用するメリット|J-LIS

マイナンバーカードの電子証明書は5年更新の証明書ですが、総務省とJ-LISは新旧のシリアル番号の同一性を証明する仕組みも用意しているので、企業等はシリアル番号で国民・個人を一生追跡できることになります。

しかし、マイナカードの電子証明書のシリアル番号も、国が国民すべてに発行し国民に一人一つの関係となるので、悉皆性・唯一無二性を有する「広義の個人番号」「裏番号」(番号法2条8項かっこ書き)ですので、これを企業などが顧客個人情報の管理に使ったり、顧客個人情報のデータベースの管理IDに利用したり、国・自治体がスーパーシティの共通IDに使うことは、これもxIDのように、マイナンバーや裏番号は税・社会保障・災害対応以外の目的に使ってはならないとの番号法9条違反なのではないでしょうか。

(ご参考)
・xID社がプレスリリースで公表した新しいxIDサービスもマイナンバー法9条違反なことについて(追記あり)

そもそもマイナンバーカードの電子証明書は、「なりすまし」などを防ぐための「本人確認」のための機能です。にもかかわらずマイナンバーカードの電子証明書のシリアル番号を、「共通ID」としてマイナンバーのように利用することは、マイナンバーカードの趣旨・目的そのものに反しているのではないでしょうか。

また、マイナンバー(個人番号)は、行政の効率化やコストダウンなどのために、国がすべての国民に(悉皆性)、一人一つのマイナンバーを付番し(唯一無二性)、さまざまな官庁や自治体などが分散して保有する国民・住民の個人データをマスターキーとして名寄せ・突合できるようにしたものです。

しかしマイナンバーは行政や自治体が保有するさまざまな国民の個人データを名寄せ・突合できてしまう強力なマスターキーであるため、それが国や大企業などに不正に利用されると、国民の個人データが国に勝手に名寄せ・突合され、プライバシー侵害のリスクや監視国家のリスク、国により国民がさまざまな個人データを名寄せ・突合されその情報をもとに国民が勝手にプロファイリングされてしまうリスクなど深刻な人権侵害のリスクが存在します。

そこでマイナンバー法は、マイナンバーの利用目的を、税・社会保障・災害対応の3つだけに限定し、それ以外の目的で行政や自治体、民間企業などがマイナンバーを利用することを禁止しています(法9条)。また、本人や行政や自治体、民間企業などが税・社会保障・災害対応の3つ以外の目的でマイナンバーを提供することも禁止(法19条)するなど、厳しい歯止めの法規制を設けて、マイナンバーによるプライバシー侵害のリスクやプロファイリングのリスクを防止しています。

にもかかわらず、マイナンバーは利用できないから、マイナンバーカードの電子証明書のシリアル番号を共通IDとしてマイナンバーのように利用するということは、マイナンバー法を潜脱して電子証明書のシリアル番号を利用するものであり、法9条に照らして許されないのではないでしょうか。

5.まとめ
内閣官房・デジタル庁などの政府は、デジタル田園都市構想・スーパーシティ構想がマイナンバー法、個人情報保護法、憲法などの観点から法的に問題ないのか再度、検討するとともに、野党やマスメディアなどはこの問題を追及するべきなのではないでしょうか。

このブログ記事が面白かったらブックマークやシェアをお願いします!

■参考
・水町雅子『逐条解説マイナンバー法』85頁、86頁
・堤未果『デジタル・ファシズム 日本の資産と主権が消える』39頁、41頁、45頁
・黒田充『あれからどうなった?マイナンバーとマイナンバーカード』85頁
・「番号法第2条第8項に定義される個人番号の範囲について(周知)」(令和3年10月22日)|個人情報保護委員会
・緊急速報:マイナンバー法の「裏番号」禁止規定、内閣法制局でまたもや大どんでん返しか|高木浩光@自宅の日記


■関連する記事

・スーパーシティ構想・デジタル田園都市構想はマイナンバー法・個人情報保護法や憲法から大丈夫なのか?
・xID社がプレスリリースで公表した新しいxIDサービスもマイナンバー法9条違反なことについて
・xIDのマイナンバーをデジタルID化するサービスがマイナンバー法違反で炎上中(追記あり)

・トヨタのコネクテッドカーの車外画像データの自動運転システム開発等のための利用について個人情報保護法・独禁法・プライバシー権から考えた
・健康保険証のマイナンバーカードへの一体化でカルテや処方箋等の医療データがマイナンバーに連結されることを考えた
・文科省が小中学生の成績等をマイナンバーカードで一元管理することを考える-ビッグデータ・AIによる「教育の個別最適化」
・小中学校のタブレットの操作ログの分析により児童を評価することを個人情報保護法・憲法から考えた-AI・教育の平等・データによる人の選別

・コインハイブ事件の最高裁の弁論の検察側の主張がひどいことを考えた(追記あり)
・コインハイブ事件高裁判決がいろいろとひどい件―東京高裁令和2・2・7 coinhive事件
・Log4jの脆弱性に関する情報をネット上などでやり取りすることはウイルス作成罪に該当するのか考えた
・飲食店の予約システムサービス「オートリザーブ」について独禁法から考えた
・LINE Pay の約13万人の決済情報がGitHub上に公開されていたことを考えた
・コロナ禍の就活のウェブ面接での「部屋着を見せて」などの要求や、SNSの「裏アカ」の調査などを労働法・個人情報保護法から考えた
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング





















このエントリーをはてなブックマークに追加 mixiチェック

スーパーシティ構想の概要図
(内閣府サイトのスーパーシティのページより)

このブログ記事の概要
近年、政府・与党により、スーパーシティ構想(デジタル田園都市構想)が推進されているが、同構想では、交通、医療・介護、学校、行政サービス、水道・エネルギーなど官民の様々なサービスの住民の利用履歴・移動履歴・購買履歴・閲覧履歴などの個人データを共通IDやデータ共通基盤で名寄せ・突合して事業者や行政が利活用する仕組みとなっている。

しかし同構想はマイナンバー法や個人情報保護法上違法のおそれがあり、また、スーパーシティ法(改正国家戦略特区法)は、主権者のはずの住民・国民を蚊帳の外にして、国・自治体・事業者の会議が構想を計画・実施するスキームであり、国民主権原理や地方自治・住民自治に反し、国民のプライバシー権や人格権を侵害する違憲の可能性がある。

1.スーパーシティ構想(デジタル田園都市構想)の共通IDの問題
政府・与党は近年、スーパーシティ構想を推進し、現在の政府与党はこれを「デジタル田園都市構想」という名称で目玉政策の一つとしています。

・地域の「困った」を最先端のJ-Tech(※)が、世界に先駆けて解決する。企業の技術力を、地域で役立てる!スーパーシティの実現を国がともに取り組みます!|内閣府
・デジタル田園都市国家構想実現会議|内閣官房

内閣官房とデジタル庁の「デジタル田園都市国家構想実現会議」の第1回の牧島かれん・デジタル庁大臣の資料によると、デジタル田園都市(スーパーシティ)の官民の提供する様々なサービスの住民の利用履歴などの個人データの名寄せに「統合ID」という名称の共通IDを利用することが明記されています。

デジタル田園都市のイメージ

(関連)
・前橋市のデジタル田園都市構想・スーパーシティ構想の共通IDの「まえばしID」はマイナンバー法などから大丈夫なのか?

2.官民の共通IDのxID社のxIDに対して個人情報保護委員会が「マイナンバー法違反のおそれ」とのプレスリリースを公表
しかし、このような官民サービスの共通IDに関しては、つい最近もxID社の共通IDのxIDが炎上したばかりです。

(関連)
・xID社がプレスリリースで公表した新しいxIDサービスもマイナンバー法9条違反なことについて
・xIDのマイナンバーをデジタルID化するサービスがマイナンバー法違反で炎上中(追記あり)


つまり、自治体の施設利用の予約システムなど、官民のさまざまなサービスの国民の利用履歴などの個人データを名寄せして自治体や民間企業などが利活用するための共通IDとして開発され、石川県加賀市などで約1年前から利用が開始されたxID社のxIDについて、渋谷区が施設予約システムへの導入を計画中と今年秋に報道されたことに対して、ネット上では、xIDはマイナンバー法がマイナンバー(個人番号)と同等のものとして定める「広義の個人番号」(いわゆる「裏番号」)に該当し、それをマイナンバー法9条が定める税・社会保障・災害対策以外の目的の共通IDに利用することは違法ではないかとの大きな批判が起こりました。

これに対して10月には個人情報保護委員会は、xIDの問題に関して、プレスリリース(「令和3年10月22日個人情報保護委員会「番号法第2条第8項に定義される個人番号の範囲について(周知)」)を出してマイナンバー法違反のおそれがあるとダメ出しをしています。
・「番号法第2条第8項に定義される個人番号の範囲について(周知)」(令和3年10月22日)|個人情報保護委員会

個人情報保護委員会「番号法第2条第8項に定義される個人番号の範囲について(周知)」(令和3年10月22日)の抜粋

『マイナンバー法第2条第8項において、個人番号(マイナンバー)とは、第5項に定義される番号そのものだけでなく「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む」とされています。

また、その該当性については、その生成の由来から個人番号に対応するものと評価できるか否か及び個人番号に代わって用いられることを本来の目的としているか否かの観点を総合的に勘案して判断されます。

唯一無二性や悉皆性等の特性を利用して個人の特定に用いている場合等は、個人番号(マイナンバー)に該当するものと判断されることがあり、その場合、マイナンバー法第9条に定めのない目的に利用していたり、保管していたりすると、マイナンバー法に抵触するおそれがありますのでご留意ください。』

つまり、マイナンバー(個人番号)は、行政の効率化やコストダウンなどのために、国がすべての国民に(悉皆性)、一人一つのマイナンバーを付番し(唯一無二性)、さまざまな官庁や自治体などが分散して保有する国民・住民の個人データをマスターキーとして名寄せ・突合できるようにしたものです。

しかしマイナンバーは行政や自治体が保有するさまざまな国民の個人データを名寄せ・突合できてしまう強力なマスターキーであるため、それが国や大企業などに不正に利用されると、国民の個人データが国に勝手に名寄せ・突合され、「国家の前で国民が丸裸にされるがごとき状態」の危険(金沢地裁平成17年5月30日判決・住基ネット訴訟)というプライバシー侵害のリスクや監視国家のリスク、国により国民がさまざまな個人データを名寄せ・突合されその情報をもとに勝手にプロファイリングされてしまうリスクなど深刻な人権侵害のリスクが存在します。

そこでマイナンバー法は、マイナンバーの利用目的を、税・社会保障・災害対応の3つだけに限定し、それ以外の目的で行政や自治体、民間企業などがマイナンバーを利用することを禁止しています(法9条)。また、本人や行政や自治体、民間企業などが税・社会保障・災害対応の3つ以外の目的でマイナンバーを提供することも禁止(法19条)するなど、厳しい歯止めの法規制を設けて、マイナンバーによるプライバシー侵害のリスクやプロファイリングのリスクを防止しています。

そして、マイナンバー法は、マイナンバー(個人番号)だけでなく、『個人番号と性質上同等のものについても、個人番号と性質上同等のものであるのに、個人番号としての規制を免れることは適当でないため、そのようなものは個人番号と同等の規制をおよぼすべきである』として、「個人番号と性質上同等のもの」(=「広義の個人番号」)も個人番号(マイナンバー)と同様のものとして扱い、法規制を行うとしています(法2条8項かっこ書き)。この「個人番号と性質上同等のもの」の性質とは、国がすべての国民に(悉皆性)、一人一つの個人番号(唯一無二性)を付番するという性質、つまり悉皆性と唯一無二性があることであるとされています(水町雅子『逐条解説マイナンバー法』85頁、86頁)。

この10月の個人情報保護委員会のプレスリリースを受けて、公的施設の予約システムへのxIDの導入計画を検討していた渋谷区はその計画を撤回しました。また、xID社もxIDの仕組みを見直し12月より新たなxIDを提供する旨を公表しました。

このような官民の共通IDのxIDをマイナンバー違反のおそれがあるとする個人情報保護委員会のプレスリリースや、「広義の個人番号」「裏番号」に関するマイナンバー法の立案担当者の弁護士の水町雅子先生の解説書などに照らすと、政府与党が推進しているスーパーシティ構造・デジタル田園都市構想の共通IDも、スーパーシティやデジタル田園都市の住民の個人データを管理し、名寄せするための番号である以上、他の地域からの住民の転入や転出などがあることから、国が国民すべてに付番する一人一つ(悉皆性・唯一無二性)の性質を有する番号とならざるを得ず、やはりxIDと同様に、「広義の個人番号」「裏番号」に該当し、マイナンバー法9条違反のおそれがあるのではないでしょうか。

3.国家戦略特区法・スーパーシティ法の問題
ジャーナリストの堤未果氏『デジタル・ファシズム-日本の資産と主権が消える』39頁以下は、日本の政府与党の推進するスーパーシティ構想は、2010年代から中国の抗州市などで開発が行われたスーパーシティを自民党の片山さつき氏が視察し、新自由主義の経済学者で元内閣府特命担当大臣の竹中平蔵氏らと協議の上、その考え方を日本の政府与党に持ち込んだものとされています。(そして2013年には国家戦略特区法が成立し、2020年にはスーパーシティ法(改正国家戦略特区法)が国会で成立しました。)

また、堤氏の同書41頁は、日本のスーパーシティ構想には3つの問題があるとしています。

つまり、スーパーシティの計画の企画・立案や決定・実施について、迅速性を重視し、自治体の長と事業者で構成される「区域会議」が企画・立案などを行い、国からの認可等を受けるスキームとなっており、住民投票制度やパブコメ制度などが必須となっていないなど、地元の住民の意思や意見がほとんど反映されない仕組みとなっており、地方自治・住民自治に反すること事業者に有利に法制度が設計されたスーパーシティで事業者による事故などが発生し住民が被害を受けた場合に誰が責任を負うのか不明確であること③個人情報の取扱が大幅に緩和されてしまうこと、の3点をあげています。

4.スーパーシティ構想と国民主権原理、地方自治・住民自治の問題
この点、①について、内閣府サイトの国家戦略特区の解説ページをみると、たしかに自治体の長と事業者等で構成される「区域会議」がスーパーシティの計画を企画・立案し、国の認可を得て計画を進めるスキームとなっており、主権者であるはずの自治体の住民・国民の意見や意思を無視してスーパーシティが立案・実施されていく仕組みとなっており、これはわが国の国民主権(憲法1条)地方自治の本旨のなかの特に住民自治(92条)に抵触しているのではないかと思われます。

スーパーシティ法の概要図
(内閣府サイトのスーパーシティ法の解説ページより)

5.スーパーシティ構想と個人情報保護法・マイナンバー法の問題
また③の個人情報・個人データの問題に関しては、上の内閣府サイトは、「交通・移動、金融決済、行政、医療・介護、教育、エネルギー・水道などの分野間のデータ連携を行い、ビッグデータやAIを活用し、社会的課題の解決を行う」と解説しています。

そして、「スーパーシティでは、データ連携基盤整備事業が事業の核になります。複数のサービスのデータ連携を条件としているので、このデータ連携基盤の有無がスーパーシティであるかどうかの一つの目安・区分になります。」として、「行政、交通、医療・介護、学校、水道・エネルギーなどのデータ活用事業活動の実施を促進するため、データの連携を可能とする基盤を通じて、必要な時に必要なデータを迅速に連携・共有する「国家戦略特区データ連携基盤」が重要となる」と解説しています。

データ基盤の図
(内閣府サイトより)

このように見てみると、スーパーシティにおける「「交通・移動、金融決済、行政、医療・介護、教育、エネルギー・水道など」の官民のサービスの住民・国民の利用履歴や移動履歴・位置情報、購入履歴などの個人データはデータ連携基盤で連結され、民間企業や自治体等の行政が利活用し放題であることが大前提となっており、これは行政・自治体の保有する国民・住民の個人データの連携・名寄せ・突合を税・社会保障・災害対策の3つの利用目的だけに限定し国民のプライバシー権を守りプロファイリングの危険を防止しようというマイナンバー法の趣旨・目的に180度反する内容となっています。

同時に、行政・自治体・事業者間で、データ連携基盤により住民・国民の利用履歴や移動履歴・位置情報、購入履歴などのビッグデータを名寄せ・突合しAIにより分析などを行わせるというスーパーシティ構想は、個人情報保護法制の趣旨・目的にも180度反するものです。

国・企業などの事業者は、国民・利用者の個人情報・個人データを収集する際は利用目的をできるだけ特定し、収集する個人情報・個人データを「必要最低限」にしなければならないとする個人情報保護法15条や、本人の同意なしの個人データの目的外利用や第三者提供を原則禁止する法16条1項や法23条1項にもスーパーシティ構想の住民の個人データのデータ連携基盤による連携と、AI分析などによる個人データの利活用は違反・抵触することになります。(さらに医療データなどの要配慮個人情報に関しては、収集にあたっては原則、本人の同意が必要であり(法17条2項)、またオプトアウト方式による第三者提供は禁止されています(法23条2項))。

さらに、個人情報保護法の特別法であるマイナンバー制度は、マイナンバー(個人番号)という各行政機関や自治体の保有する国民・住民の個人データを名寄せ・突合できる強力なマスターキーを作成する一方で、国民のプライバシー保護や、監視国家の危険の防止、そして後述するプロファイリングの危険の防止のために、各行政機関や全国の自治体が保有する個人データは従来通り分散管理することとして一元管理・集中管理はしないと国民に説明してきました。

しかし企業・行政のニーズに応じて住民・国民の個人データを「データ共通基盤」や「共通ID」により集中管理・一元管理するスーパーシティ・デジタル田園都市は、国民のプライバシー保護や監視国家の危険の防止、国民のプロファイリングの危険の回避のために、行政が保有する国民の個人データは分散管理するという政府の基本的な考え方に反しているのではないでしょうか。

マイナンバー制度の概要図
(内閣府のマイナンバー制度の解説サイトより)
・マイナンバー制度について|内閣府

6.EU、アメリカ、日本の個人データ保護法の「プロファイリング拒否権」
個人情報保護法、個人データ保護法の先進国であるEUでは、2018年からGDPR(EU一般データ保護規則)が施行されていますが、GDPR22条1項は、AIやコンピュータの個人データの自動処理の結果による法的決定・重要な決定を拒否する権利(プロファイリング拒否権)を明記しています。このプロファイリング拒否権は、コンピュータやAIの個人データの自動処理により人間が選別・差別されることの防止、つまり、人間が人間として扱われず、工場のベルトコンベアーに乗ったモノのように機械的に扱われることを防止する、つまり人間の個人の尊重(尊厳)と個人の基本的人権の確立(憲法13条)を守るための権利です(山本龍彦『AIと憲法』104頁)。

最近の日本の情報法の学者先生のなかには、西側諸国の個人情報保護法制・個人データ保護法制の真の立法目的は、このプロファイリング拒否権であるとする説を唱えておられる先生も存在するように、個人データ保護法制において、このプロファイリング拒否権は極めて重要な考え方です。(プロファイリング拒否権の歴史については、高木浩光「個人情報保護から個人データ保護へ―民間部門と公的部門の規定統合に向けた検討」『情報法制研究』2巻75頁参照)。

・高木浩光「個人情報保護から個人データ保護へ―民間部門と公的部門の規定統合に向けた検討」『情報法制研究』2巻75頁
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング

日本においても、2000年の労働省の「労働者の個人情報保護に関する行動指針」の第2、6(6)は、このGDPR22条1項を先取りしたような条文を置いており、2019年6月27日の厚労省・労政審基本部会報告書「~働く人がAI等の新技術を主体的に活かし、豊かな将来を実現するために~」9頁、10頁もAIによる従業員のプロファイリング・監視の危険を指摘しており、日本においてもプロファイリング拒否権は無縁な考え方ではありません。

また、2021年4月にはEUは警察などによるAIの顔認証技術の防犯カメラを「禁止」し、雇用の採用選考や学校、出入国管理などの行政サービス、電気・ガス・水道などの社会インフラへのAI利用を「高リスク」として法規制するなどの「AI規制法案」を公表しました。

・EUのAI規制案、リスク4段階に分類 産業界は負担増警戒|日経新聞

さらに、アメリカのカリフォルニア州サンフランシスコ市も、2019年に警察や公共機関によるAIの顔認証技術の防犯カメラの使用を禁止する条例が成立するなど、アメリカでも同様の動きが起きています。

・サンフランシスコ市、顔認証技術の使用を禁止へ|BBC

このような国民・住民の人権保障のための、EUのGDPR22条1項やAI規制法案、アメリカのサンフランシスコ市の防犯カメラ禁止条例、日本の労働省「労働者の個人情報保護に関する行動指針」第二、6(6)などに照らすと、日本のスーパーシティのスキームは、西側自由主義諸国の個人データ保護法の流れからみて非常に時代遅れであると思われます。

日本のスーパーシティ構想・デジタル田園都市構想は、「共通ID」「データ連携基盤」によりスーパーシティの住民・国民の24時間365日のあらゆる個人データを収集し、名寄せ・突合し、分析・加工・提供などを行って利活用するものであり、プロファイリング拒否権の考え方からおよそかけ離れています。

(なお、「個人情報を企業や行政に利活用されるのが嫌な住民・国民はスーパーシティから出ていけばいい」と、スーパーシティ賛成派の方々は主張するかもしれません。しかし、わが国の主権者である住民・国民に対して「嫌ならスーパーシティから出ていけ」と主張するのは国民主権(憲法1条)や地方自治・住民自治(92条)の観点から完全に本末転倒です。また、政府はスパーシティ法により、順次、日本のデジタル田園都市・スーパーシティを拡大していく方針であり、「嫌なら出ていけ」との主張は、「嫌な国民は日本から出ていけ」という暴論と同じなのではないでしょうか。)

7.「デジタル荘園」としてのスーパーシティ・デジタル田園都市-中世に逆戻り?
さらに、日本のスーパーシティ構想・デジタル田園都市構想の、「データ連携基盤」がスーパーシティの事業の核になる」との「データ駆動社会」という政府の考え方は、わが国の主権者たる国民・個人を主体的で自律的な人格を持つ人間として扱うのではなく、ベルトコンベアーの上のモノどころか、スーパーシティという「デジタル荘園」「荘園の王」である企業や行政のために個人データを生産する「奴隷」「家畜」のように国民・個人を扱い、その生成された個人データを「共通ID」、「データ連携基盤」やAIで収集・分析・加工を行い、「荘園の王」であるIT企業や製薬会社、自動車メーカーなどが経済的利益を享受するという仕組みとなっています。

このような「デジタル荘園」は、18世紀のフランス革命やアメリカ独立戦争などの市民革命により、荘園や教会、ギルド、大学などの「中間団体」を打倒し、国民が主権者として政府を樹立し、自らで自らを統治するという「近代」以降の自由な民主主義の社会から、時代を逆戻りして「中世」の荘園などが国民を奴隷か家畜のように支配する社会に戻るかのような愚かな行為なのではないでしょうか。

また、この「デジタル荘園」は、国民主権(憲法前文、1条)や国民の個人の尊重と基本的人権(憲法13条)を明記するわが国の憲法そのものに違反する違法・違憲ものなのではないでしょうか。(「デジタル荘園」については、山本龍彦「プラットフォーマーと消費者(下) 「デジタル封建制」統制を」2020年1月29日付日本経済新聞参照。)

・山本龍彦「プラットフォーマーと消費者(下) 「デジタル封建制」統制を」|日経新聞

スーパーシティ構想などに関して、日本政府が中世のようにあまりにも国民の人権保障を軽視し、大企業・国による個人データの利活用ばかりを重視した時代遅れな個人データ保護行政を行っていると、EUからGDPR45条の十分性認定を取消されるなど、日本政府の掲げる「信頼性のある自由なデータ流通政策」(DFFT(Data Free Flow with Trust)もうまくいかないのではないでしょうか。

8.西側自由主義諸国の共通番号制度
なお、日本のマイナンバーに類似する制度としては、ナチスドイツがIBMのパンチカード型のコンピュータによる国民の個人情報の分析等により、ユダヤ人や障害者等を強制収容所に送ったことへの反省に立つ欧州では、国家による個人情報・個人データの取扱に慎重です。

日本のマイナンバーに類似する制度としては、ドイツ・イタリアは課税のための納税者番号しか存在しません。フランス健康保険カード、自治体の行政サービス等を受けるための日常生活カード身分証明カードの3つがそれぞれ分かれて国民に発効されることとなっており、行政がこれらの3つのカードに紐付いた個人データを名寄せ・突合などする場合には裁判所の許可が必要になるなど、個人データの厳格な管理が行われています。

アメリカ社会保障番号が存在し、かつては連邦政府職員の身分証明や納税者の管理、医療分野などで幅広い利用が行われていましたが、2000年代に入ってから、国民のプライバシー保護の観点から、多くの州で企業にこの社会保障番号のオプトアウト手続きの導入を義務付けるなど、社会保障番号の利用を制限する法規制が行われています。

そのため、現在、税・社会保障・災害対策の3つの利用目的にマイナンバーを利用し、さらにマイナンバーカードの電子証明書のシリアル番号を健康保険証、運転免許証や図書館利用カード、民間企業の社員証などに利用可能としたり、電磁証明書のシリアル番号の民間企業の活用を奨励している日本は、マイナンバーやマイナンバーカードの面でも西側自由主義諸国の中で国民のプライバシー保護や人権保障を行おうという時代の流れに大きく逆行しています(国際大学グローバルコミュニケーションセンター「諸外国における国民ID制度の現状等に関する調査研究報告書」『平成24年版情報通信白書』(総務省)より)。

・国際大学グローバルコミュニケーションセンター「諸外国における国民ID制度の現状等に関する調査研究報告書」『平成24年版情報通信白書』(総務省)

9.住基ネット訴訟最高裁判決との関係
話を日本に戻して、住基ネット訴訟の最高裁判決(最高裁平成20年3月6日判決)は、①住基ネットによる個人情報の利用・管理等は法令に基づいており②「行政事務の効率化」などの住基ネットの目的は正当な行政目的の範囲内であり③住基ネットにシステム技術上の不備または法制度上の不備があり、そのために国民の個人情報が法令上の根拠なく、あるいは行政目的を逸脱して漏洩するなどの具体的な危険は生じていないこと、などをあげて住基ネットは適法・合憲であるとしています(興津征雄「住基ネットの合憲性」『新・判例ハンドブック 情報法』(宍戸常寿編)200頁)。

この住基ネット訴訟判決に照らすと、①スーパーシティ構想における個人情報の利用・管理などはマイナンバー法9条や個人情報保護法15条、16条、23条などに違反している可能性があります。

また、②スーパーシティ法1条が定める「我が国の経済社会の活力の向上及び持続的発展を図るためには、国が定めた国家戦略特別区域において、経済社会の構造改革を重点的に推進することにより、産業の国際競争力を強化するとともに、国際的な経済活動の拠点を形成する」という同法の趣旨・目的自体は問題がないとしても、③スーパーシティ構想は、マイナンバー法や個人情報保護法の観点から法令上の不備があり、また国民主権原理や地方自治・住民自治の観点から違憲のおそれが高くしたがって、スーパーシティ法およびスーパーシティ構想がもし訴訟となった場合、住基ネット訴訟の判例に照らして裁判所から違法・違憲と判断される可能性があるのではないでしょうか。

そもそも個人情報保護法は、国や企業などによる個人情報の利用と個人の権利利益の保護のバランスをとることを目的とするものであり(法1条)、その前提として個人の人格尊重の理念の下に、個人情報は慎重に取り扱われるべき」であるということを基礎理念としています(法3条)。

にもかかわらず、国民個人の個人の尊重やプライバシー権などの人格権の保護の面を無視し、事業者や行政による個人情報の利活用の面ばかりを重視しているこの国家戦略特区法とスーパーシティ法は、個人情報保護法の趣旨・目的に反しているだけでなく、個人の尊重と基本的人権の確立という目的のために国・自治体などの統治機構は手段として存在する(憲法11条、97条)という、西側自由主義諸国の近代憲法の一つであるわが国の憲法の趣旨・目的そのものに抵触するものです。

事業者が主権者のはずの国民・住民の意思を無視し、国民・住民の個人データを好き勝手に利活用し経済的利益をあげることを国家が手助けするという、この新自由主義思想の塊のようなスーパーシティ構想は、中国や北朝鮮や旧共産圏の東欧などのような国家主義・全体主義の国にはなじむのでしょうが、自由な民主主義を掲げる日本で実施することは個人情報保護法やマイナンバー法違反であり、国民のプライバシー権や人格権などを侵害し(憲法13条)、国民主権原理(1条)、地方自治・住民自治(92条)などに抵触する違法・違憲なものであり、日本で実施することは法的に不可能なのではないでしょうか。

(なお、堤氏の前掲の『デジタル・ファシズム』44頁によると、国家戦略特区法は2013年に国会で成立したそうですが、その際には国会は「特定秘密保護法案」(いわゆる「共謀罪法案」)に野党やマスコミ、野党支持者達の批判が集中しており、国家戦略特区法はほとんど審議されないままスピード成立してしまったそうです。同様に、スーパーシティ法も2020年5月に、国会における検察官の定年延長問題に野党やマスコミ、野党支持者達の批判が集中し、スーパーシティ法案も約10時間の審議をしただけでスピード成立してしまったとのことです。与党だけでなく、野党やマスコミなどの責任は重大です。)

10.まとめ
このように、政府与党が推進しているスーパーシティ構想・デジタル田園都市構想は、さまざまな官民のサービスの個人データを連携する共通IDの部分に関してだけでもマイナンバー法9条違反の可能性が高く、データ連携基盤でさまざまな住民・国民の個人データを名寄せ・突合しAI解析などを行うことは個人情報保護法15条、16条、23条などに違反しています。

さらに、主権者である住民・国民を蚊帳の外にして、国・自治体・事業者だけで、交通、金融決済、医療・介護、行政サービス、水道・エネルギーなどの各分野の住民・国民の個人データをデータ連携基盤で連携し、AI分析などで各事業者の営業活動を実施させるというスーパーシティ構想・デジタル都市構想のスキームそのものが国民主権(憲法1条)や地方自治(92条)、人格権・プライバシー権(13条)などを定めるわが国の憲法に抵触しています。

与党が圧倒的に有利な国会などの政治的状況をみると、今からスーパーシティ構想・デジタル田園都市構想を覆すことは困難と思われますが、しかし国民の個人情報やプライバシー、国民の個人の尊重や人格権、国民主権や地方自治などの憲法を定める価値を守るために、今からでも野党やマスコミはスーパーシティ構想の問題を追及すべきであり、国民もこの問題に関心を持つべきです。

このブログ記事が面白かったら、ブックマークやシェアをお願いします!

■参考文献
・水町雅子『逐条解説マイナンバー法』85頁、86頁
・興津征雄「住基ネットの合憲性」『新・判例ハンドブック 情報法』(宍戸常寿編)200頁
・堤未果『デジタル・ファシズム 日本の資産と主権が消える』39頁、41頁、45頁
・黒田充『あれからどうなった?マイナンバーとマイナンバーカード』85頁
・「番号法第2条第8項に定義される個人番号の範囲について(周知)」(令和3年10月22日)|個人情報保護委員会
・高木浩光「個人情報保護から個人データ保護へ―民間部門と公的部門の規定統合に向けた検討」『情報法制研究』2巻75頁
・山本龍彦「プラットフォーマーと消費者(下) 「デジタル封建制」統制を」|日経新聞
・EUのAI規制案、リスク4段階に分類 産業界は負担増警戒|日経新聞
・サンフランシスコ市、顔認証技術の使用を禁止へ|BBC
・国際大学グローバルコミュニケーションセンター「諸外国における国民ID制度の現状等に関する調査研究報告書」『平成24年版情報通信白書』(総務省)
・緊急速報:マイナンバー法の「裏番号」禁止規定、内閣法制局でまたもや大どんでん返しか|高木浩光@自宅の日記


■関連する記事

・前橋市のデジタル田園都市構想・スーパーシティ構想の共通IDの「まえばしID」はマイナンバー法などから大丈夫なのか?
・xID社がプレスリリースで公表した新しいxIDサービスもマイナンバー法9条違反なことについて
・xIDのマイナンバーをデジタルID化するサービスがマイナンバー法違反で炎上中(追記あり)

・トヨタのコネクテッドカーの車外画像データの自動運転システム開発等のための利用について個人情報保護法・独禁法・プライバシー権から考えた
・健康保険証のマイナンバーカードへの一体化でカルテや処方箋等の医療データがマイナンバーに連結されることを考えた
・文科省が小中学生の成績等をマイナンバーカードで一元管理することを考える-ビッグデータ・AIによる「教育の個別最適化」
・小中学校のタブレットの操作ログの分析により児童を評価することを個人情報保護法・憲法から考えた-AI・教育の平等・データによる人の選別
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング

・コインハイブ事件の最高裁の弁論の検察側の主張がひどいことを考えた(追記あり)
・コインハイブ事件高裁判決がいろいろとひどい件―東京高裁令和2・2・7 coinhive事件
・Log4jの脆弱性に関する情報をネット上などでやり取りすることはウイルス作成罪に該当するのか考えた
・飲食店の予約システムサービス「オートリザーブ」について独禁法から考えた
・LINE Pay の約13万人の決済情報がGitHub上に公開されていたことを考えた
・コロナ禍の就活のウェブ面接での「部屋着を見せて」などの要求や、SNSの「裏アカ」の調査などを労働法・個人情報保護法から考えた

















このエントリーをはてなブックマークに追加 mixiチェック

xidトップ画面2

このブログ記事の概要
渋谷区などは施設予約システムなどにxID社のxIDを導入を計画しているとのことです。加賀市、兵庫県三田市、町田市などもこのxIDを電子申請システムなどに既に導入しているとのことです。

しかしxID社サイトの説明によると、xIDとは利用者からスマホアプリxIDにマイナンバー(個人番号)を入力させ、同アプリで当該マイナンバーからデジタルIDであるxIDを生成するものであるとのことですが、マイナンバー法を所管する個人情報保護委員会のマイナンバー法のガイドライン(事業者編)Q&A9-2は、個人番号は、仮に暗号化等により秘匿化されていても、その秘匿化されたものについても個人番号を一定の法則に従って変換したものであることから、番号法第2条第8項に規定する個人番号に該当します。」としており、xID社のxIDマイナンバー法2条8項かっこ書きによりマイナンバーと法的に同等のもの(「広義の個人番号」・裏個人番号・裏マイナンバー)です。

そして、マイナンバー法9条と別表一(法9条関係)は、国民のマイナンバーを含む個人情報(特定個人情報)の漏洩の危険の防止、国民のプライバシー権侵害の防止、マイナンバーによる国家や大企業による国民の個人情報の一元管理など監視社会・監視国家の危険の防止や、民間企業や行政機関などによる脱法的なマイナンバーの収集・利用等の防止などのために、マイナンバーの利用目的税関係・社会保障関係・災害時の対応の3つに限定し、利用可能な機関・事業者を限定的に規定しているところ、xIDの目的である「官民のあらゆる場面で自由に利用できる、国民一人一つの共通ID」とのxID(=マイナンバー)の利用目的やそれを運用・利用する事業者・機関(= xID社や渋谷区など)については、法9条と別表一は利用目的や利用機関・事業者として認めていません。

また、法9条および別表一の法定する以外の利用目的や利用機関などに対して、本人や事業者・行政機関などがマイナンバーを提供することも禁止されています(法19条)。

したがって、xID社のxIDはマイナンバー法9条、19条および2条8項かっこ書き違反であり、自治体や官庁などの行政機関、民間企業などがxIDを電子申請システムなどに利用することも同様に法9条、19条および2条8項かっこ書き違反となります。

そのため、xIDの導入を計画中の渋谷区や、すでに導入済の加賀市、兵庫県三田市、町田市などはマイナンバー法違反を回避するために、施設予約システムや電子申請システムなどにxIDを利用する業務や計画を直ちに中止すべきです。

同時に、マイナンバー法の監督官庁である個人情報保護委員会は、xID社や、同社と業務提携を行っている企業や自治体などに対して行政指導・行政処分などを実施すべきではないでしょうか。

■追記(2021年11月5日)
xID社が10月22日付の個人情報保護委員会のプレスリリースを受けて、11月4日に今後の方針に関するプレスリリースを公表しました。こちらのブログ記事をご参照ください。
・xID社がプレスリリースで公表した新しいxIDサービスもマイナンバー法9条違反なことについて

■追記(2021年10月22日)
個人情報保護委員会は、10月22日に『個人番号(マイナンバー)を非可逆的に変換しているものであっても、個人番号の唯一無二性・悉皆性の特性ににより個人の特定に用いる場合は、個人番号に該当し、マイナンバー法9条に定めのない利用は違法』とのプレスリリースを出しました。したがって、マイナンバーからスマホアプリでxIDを生成し、個人を特定する共通IDとしてxIDを利用しているxID社のスキームはマイナンバー法違反です。(詳しくは本記事下部の追記をご参照ください。)

1.官民の様々なサイトの本人確認のためにマイナンバーカードをスマホアプリ化するxIDが大炎上中
官民の様々なサイトの本人確認のためにマイナンバーカードをスマホアプリ化するxID社の「xID」について、情報セキュリティや情報法の専門家の産業技術総合研究所主任研究員で情報法制研究所理事の高木浩光先生(@HiromitsuTakagi)などがマイナンバー法との関係で違法であると9月23日頃よりTwitter上で指摘し、Twitter上でxIDが炎上中です。
ひろみつ先生1
(高木浩光先生のTwitterより)
https://twitter.com/HiromitsuTakagi/status/1441238596539727886

2.xID
xID社サイトによると、xIDとは、官民のさまざまなサイトやデジタル上のサービスで、いちいちIDやパスワードなどを入力しなくても済むように、マイナンバーカードの公的個人認証サービスを利用して、マイナンバーカードと連携した独自のID(xID)を生成しするというデジタルIDおよびそのためのスマホアプリであるようです。

この点、2020年10月2日経産省の「第5回インフラ海外展開懇談会」に提出されたxID社のxIDに関する資料(「資料3 xID 日下様 ご提供資料(第5回インフラ海外展開懇談会 日本で唯一の次世代デジタルIDアプリ「xID」)」には、Society 5.0の社会においては、「パーソナルデータ(個人情報)を活用した個人最適なサービスの提供などを実現するにはデジタル世界で、あらゆるサービスを利用するAさんがどのサービスにおいても同一の人物である。と特定すること=”ユーザーの同一性・一意性担保”が重要です。利便性・信頼性と透明性を担保しながら利用できるデジタルIDがあれば、ユーザー同意に基づくパーソナルデータの活用が実現できます。」と説明されています。
経産省資料1
(経産省「第5回インフラ海外展開懇談会 日本で唯一の次世代デジタルIDアプリ「xID」」より)
・「第5回インフラ海外展開懇談会 資料3 xID 日下様 ご提供資料 日本で唯一の次世代デジタルIDアプリ「xID」」(2020年10月2日)|経産省

そして、同資料でxID社は「「事業者や行政におけるデータの管理は、各事業者や自治体によって個別にデータ管理されるよりも、UXPとxIDを用いたデータ連携基盤を用いたデータ管理をするほうが、各事業者・行政・市民にとって利便性が高くなる」と考えています。」と説明しています。

つまり、xID社はxIDの趣旨・目的を「民間事業者や行政における個人データの管理は、各事業者や自治体ごとに個別に個人データ管理するよりも、あらゆるサービスを利用する個人がどのサービスにおいても同一の人物であると特定できる、同一性・一意性が担保できるデジタルIDであるxIDを用いた個人データ管理をするほうが、個人データの活用が実現できて、利便性が高くなる」と説明しています。
経産省資料2
(経産省「第5回インフラ海外展開懇談会 日本で唯一の次世代デジタルIDアプリ「xID」」より)

つまり、xIDとは「民間企業や各自治体、各官庁などがばらばらに保有している国民の個人データを、本人の同一性・一意性が担保できるデジタルIDであるxIDにより、官民のさまざまなサービスを利用する個人の個人データを一元管理・集中管理して国民の個人データの活用を実現するもの」です。

すなわち、xIDとは一言で言うならば、「さまざまな行政機関・自治体やさまざまな民間企業がばらばらに保有する国民の個人データを、国・大企業が一元管理・集中管理して、国・大企業が自由な用途に利用できる「民間版マイナンバー」」(=裏個人番号・裏マイナンバー・「広義の個人番号」)と言えるでしょう(詳しくは後述)。

しかし、後述するとおり、さまざまな行政機関や各自治体、さまざまな民間企業が保有する国民の個人データを、民間企業のxID社が作成した「民間版マイナンバー」であるxIDで名寄せ・突合して国や大企業が一元管理・集中管理を可能にして、自由な用途に国・大企業が利活用することは、国・大企業による国民のプロファイリングを容易にし、また国・大企業による国民の監視・追跡・モニタリングなどを容易にしてしまうものであり、国民の個人の尊重や、国民の個人情報保護、国民のプライバシー・人格権などの国民の基本的人権を大きく侵害する危険があり、マイナンバー法はこのような「民間版マイナンバー」(裏個人番号・裏マイナンバー・「広義の個人番号」禁止しています(法9条、19条など)。

3.なぜマイナンバーを入力させるのか?
xIDはたしかに一見、便利そうなサービスではありますが、しかしこのxIDが、マイナンバーカードの公的個人認証サービスに関するICチップの部分の利用だけであれば問題がないところ、なぜかxIDの生成のために本人にマイナンバー(個人番号)を入力させ、そのマイナンバーをもとにスマホアプリのプログラムで非可逆的なxIDを生成していることに対してネット上ではマイナンバー法違反であると大きな批判が起きています。

マイナンバーの収集保管はしません
(xID社サイトより)

つまり、xID社サイトは「ヘルプ」の画面のなかの「なぜマイナンバーを入力する必要があるのですか?」とのQAにおいて、マイナンバーをもとに一意のIDを生成するために、マイナンバーをご入力いただいています。』・『非可逆的な方法で生成するのでxIDからマイナンバーを検出することはできません』とはっきりと記述しています。
なぜマイナンバーを入力するのですか?

すなわち、xID社サイトが上のように説明しているとおり、xID社は、xIDというデジタルIDの生成について、xID社がCCCのTポイントなどのような共通ポイント運営会社のように自社独自の会員番号・ユーザー番号をIDとして作成すれば特に問題がないのに、なぜかわざわざユーザー本人にマイナンバーをアプリに入力させ、当該マイナンバーをアプリのアルゴリズムで変換してxIDというユーザーIDを生成しているのです。

また、渋谷区の施設予約システムなどへのxIDの利用に関する資料を読むと、xIDを施設予約システムのデジタルIDとして利用することが明記されています。
渋谷区の施設予約システムの概要図
(渋谷区サイトより)
[別紙1] 令和 3 年度 施設予約システム再構築に係る 設計・開発業務委託|渋谷区

しかし、マイナンバー法9条および「別表第一(法9条関係)」にマイナンバーの取扱が許された事業者・機関として法定されていないxID社が、マイナンバー法9条および別表が法的する利用目的以外の目的でマイナンバーを収集・利用などすることは、マイナンバー法違反です。

また本人や行政機関、事業者なども、マイナンバー法が法定する事業者や国・自治体の機関以外に、マイナンバー法の規定する利用目的以外のためにマイナンバーを提供することは禁止されています(法19条)。

そして、マイナンバー法(番号法)2条8号は、つぎのように規定しています。

マイナンバー法

2条8項

この法律において「特定個人情報」とは、個人番号個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む。第7条第1項及び第2項、第8条並びに第48条並びに附則第3条第1項から第3項まで及び第5項を除き、以下同じ。)をその内容に含む個人情報をいう。

つまりマイナンバー法2条8項の個人番号(マイナンバー)の後ろについているかっこ書きが示すとおり、「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む」は、マイナンバー法上、原則としてマイナンバー(個人番号)と同等のものして扱われます。

すなわち、マイナンバー法の法案の立案担当者である弁護士の水町雅子先生の『Q&A番号法』56頁はつぎのように解説しています。

『番号法(=マイナンバー法)は、特定個人情報(=マイナンバーを含む個人情報)の取扱いが安全かつ適正におこなれれるようにするための法律です。番号法で狭義の個人番号(=マイナンバー)に対してのみ規制しても、個人番号を脱法的に変換した番号などを個人番号の代わりに悪用されてしまっては、番号法の目的を達成することはできません。そこで個人番号の代替物と考えられるような番号・符号については、広義の個人番号として、番号法の各種規制をおよぼせるようにしています(法2条8項)(略)すなわち、広義の個人番号に該当するものは、個人番号を脱法的に変換したものや、個人番号や住民票コードから生成される番号・符号など、個人番号に性質上対応するものをいいます。(水町雅子『Q&A番号法』56頁)』

この点、個人情報保護委員会特定個人情報ガイドラインQ&A(事業者編)9-2もつぎのように解説しています。

特定個人情報ガイドラインQ&A(事業者編)9-2

Q9-2 個人番号を暗号化等により秘匿化すれば、個人番号に該当しないと考えてよいですか。

A9-2 個人番号は、仮に暗号化等により秘匿化されていても、その秘匿化されたものについても個人番号を一定の法則に従って変換したものであることから、番号法第2条第8項に規定する個人番号に該当します。(平成27年4月追加)

PPCのQA9-2
(個人情報保護委員会サイトより)

このように、「暗号化等によって秘匿化されたものについても、それは個人番号を(プログラム等により)一定の法則に従って変換したもの」であるので、マイナンバー法2条8項が規定するとおりマイナンバー(個人番号)に該当するのです。

この点、xID社サイトは「ヘルプ」の画面のなかの「なぜマイナンバーを入力する必要があるのですか?」とのQAにおいて、『マイナンバーをもとに一意のIDを生成するために、マイナンバーをご入力いただいています。非可逆な形で生成していますので、IDをもとにマイナンバーを検出することはできません。また、xIDではマイナンバーに関するすべての処理をデバイス上でのみ完結させており、マイナンバーを収集・保管することは致しません。』と回答しています。

なぜマイナンバーを入力するのですか?
(xID社サイトのヘルプより)

しかし、上でマイナンバー法2条8項の条文で確認したとおり、そもそも「マイナンバーをもとに一意のIDを生成する」こと自体が「広義の個人番号」(裏個人番号・裏マイナンバー)の生成であり、マイナンバー法上の大問題です。「非可逆な形で生成」したとしても、「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号」はマイナンバーとして法的に扱われるので、マイナンバーをもとにxIDを生成しているのですから、xID社は「非可逆な形で生成」しているからとマイナンバー法の適応除外となるわけではありません。(この点は後述。)

また、「xIDではマイナンバーに関するすべての処理をデバイス上でのみ完結させており、マイナンバーを収集・保管することは致しません。」とありますが、マイナンバーから別のIDを生成することについては、それが事業者のサーバー上で行われるか利用者のスマホ上のアプリで行われるかはマイナンバー法上は関係のないことであり、また、xID社は利用者のマイナンバーをアプリで生成したxIDというマイナンバーと法的に同等のもの(広義の個人番号)を同社のサーバー等で保存・利用・提供などするわけですから、やはりマイナンバーをもとにアプリでxIDを生成するというxID社のスキームは、マイナンバー法上、完全に違法です(マイナンバー法9条・別表一(法9条関係)、法19条、法2条8項かっこ書き)。

■追記(10月7日)
産業技術総合研究所主任研究員の高木浩光先生が、マイナンバー法の「裏個人番号」についてブログ記事を書かれています。
・緊急速報:マイナンバー法の「裏番号」禁止規定、内閣法制局でまたもや大どんでん返しか|高木浩光@自宅の日記

4.なぜマイナンバー法はマイナンバーの厳格な取扱いを要求するのか?
(1)国民の個人データの名寄せ・突合を可能とする究極のマスターキーとしてのマイナンバー
このようにマイナンバー法がマイナンバー(個人番号)について厳格な取扱いを要求するのは理由があります。つまりマイナンバー法に基づき、国家(が法で委託したJ-LIS(地方公共団体情報システム機構))が国民すべてに悉皆性)、国民一人に一つの個人番号(マイナンバー)を割り当てることにより(唯一無二性)、マイナンバーを国民の個人情報・個人データのマスターキーとして利用して、国・自治体など行政のさまざまな部門の持つ国民の個人情報・個人データのデータマッチングを行うことにより、従来、紙と人間の手によって行ってきた様々な行政上の事務を効率化し、行政のコストダウンなどを行うのがマイナンバー制度です(宇賀克也『番号法の逐条解説』14頁)。

しかしマイナンバーは国・自治体などのあらゆる分野の国民の個人情報・個人データを名寄せ・突合できてしまう非常に高度な識別機能を持つ究極のマスターキーであるため、もしマイナンバーが漏洩したり、行政において悪用や恣意的な利用がなされた場合、国のそれぞれの官庁などのさまざまな部門が分散して保有する個人情報・個人データが国民の意思に反して勝手に名寄せ・突合などが行われ、国民がコンピュータやAIによりそれらの突合された個人データの分析(自動処理)により勝手に評価・分析されてしまうなどのプロファイリングの危険や、国民の追跡・トレーシングや監視・モニタリングなどの危険、個人情報漏洩の危険、国民の個人情報・個人データが国や大企業・IT企業などに一元管理・集中管理されてしまう危険(監視社会・監視国家の危険)などのおそれがあります。

このような危険の防止のために、マイナンバー制度はマイナンバー(個人番号)という識別機能の極めて高い、究極のマスターキーを国家が法律に基づき作成し、国民に割り当てるものの、行政各部門が保有する国民の個人データに関しては一元管理、集中管理するのではなく、従来どおり行政の各部門が分散管理して個人データを保管することとしています。

マイナンバー制度の概要図
(内閣府サイトより)
・マイナンバー制度について|内閣府

またマイナンバー法の規定でマイナンバーの利用についても利用目的を、税関係・社会保障関係・災害時の対応の3つの分野のみに限定し、マイナンバーの提供を受けたり利用ができる機関・事業者を法律に限定的に規定し、それ以外の事業者や国・自治体の機関は利用禁止にするなどの対応を行い(法9条・別表第一(法9条関係)、19条など)、マイナンバーによる国民のプロファイリング、国民の個人情報の漏洩、国家や大企業などによる国民の個人情報の一元管理などのリスクを防止しようとしているのです。

つまり、マイナンバー法は行政の効率化を目指しつつ、同時に、国民の個人情報やプライバシー権、人格権(憲法13条)などの国民の個人の尊重と基本的人権を大きく侵害しかねない重大なリスクを防止するために、マイナンバー(個人番号)の厳格な取扱を要求するために個人情報保護法などの特別法として立法化されたものです(マイナンバー法1条、個人情報保護法1条、同法3条、憲法13条)。

にもかかわらず、マイナンバーからプログラムなどで変換されたマイナンバーと一対一の関係にある「当該個人番号に代わって用いられる番号、記号その他の符号(法2条8号かっこ書き)」(=今回の事件におけるxID)とセットで個人情報が漏洩などしてしてしまった場合(=特定個人情報の漏洩)、それを入手した名簿屋などが、「当該個人番号に代わって用いられる番号、記号その他の符号」とセットで漏洩した他の個人情報などとさらに別のところから入手した個人データなどを名寄せ・突合し、どんどんより多くの項目のそろった国民の個人データのデータベースを勝手に作成し、それらを勝手に他の事業者や外国に販売・転売するであるとか、あるいはそれらのより多く項目の国民の個人データのそろったデータベースで、本人に勝手にプロファイリングやトラッキング・トレーシングなどを行い、そのプロファイリングやトラッキングの結果を違法・不当に国民の信用スコアリングや身元調査、信用調査などに利用するであるとか、そのプロファイリング等の結果を他の事業者や外国に販売・転売するなどのリスクがより発生しやすくなってしまいます。

つまり、マイナンバー法は、マイナンバー(個人番号)による違法・不当な国民のプロファイリングのリスクトラッキングのリスク、個人情報・個人データの情報漏洩のリスク国家や大企業・IT企業などによる国民の個人情報・個人データの一元管理などのリスク(監視社会・監視国家のリスク)などの国民の個人の尊重や基本的人権などを大きく侵害しかねない重大なリスクを防止するために、マイナンバー(個人番号)の厳格な取扱を要求しています。

そして同様に、これらのマイナンバー(個人番号)がもたらすおそれのある国民の個人の尊重や基本的人権を侵害しかねない重大リスクを防止するために、マイナンバー法は、マイナンバー(個人番号)と同じように利用できてしまう唯一無二性・悉皆性を有する番号・記号・符号などである、「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号」(法2条8項かっこ書き・「広義の個人番号」・いわゆる「裏個人番号」・「裏マイナンバー」)をも、事業者や行政機関などが勝手に作成して利用・提供などすることを法律で禁止しているのです。

(2)ハッシュ化の問題
そのため、マイナンバー(個人番号)をプログラムで例えばハッシュ化するなどして生成されたハッシュ値などの番号・記号・符号なども、それが非可逆性という性質を有しているとしても、マイナンバー法上はマイナンバー(個人番号)と同等のものであると評価され、マイナンバー法上の法規制に服することになると思われます(法2条8項かっこ書き)。

この点、産業技術総合研究所主任研究員の高木浩光先生は、9月28日のTwitterで『水町本にハッシュへの言及があるわけではないですが、「性質上個人番号と同等と考えられるもの」(水町逐条85頁)という説明。その性質が「悉皆性、唯一無二性」であることは続く頁に書かれています。書かれてはいるがもっと直接的にはっきり記述した方がよかった。』と投稿しておられます。
ひろみつ先生ハッシュ化
(高木浩光先生のTwitterより)
https://twitter.com/HiromitsuTakagi/status/1442292375011823621

マイナンバー法の立案担当者である弁護士の水町雅子先生の『Q&A番号法』56頁も上でみたとおり、「個人番号を脱法的に変換したものや、個人番号や住民票コードから生成される番号・符号など、個人番号に性質上対応するもの」は「広義の個人番号」(=裏個人番号・裏マイナンバー)に該当し、マイナンバー法の個人番号への法規制の対象になるとしており、マイナンバーをハッシュ化による非可逆化の処理をして番号・符号などを生成した場合は、当該番号・符号などは「広義の個人番号」(裏個人番号・裏マイナンバー)から除外されるとはしていません。

したがって、マイナンバーをスマホアプリでハッシュ化による非可逆的な番号のxIDにしたとしても、xIDはやはりマイナンバーと法的に同等のものである「広義の個人番号」(裏個人番号・裏マイナンバー)であり(法2条8項かっこ書き)、マイナンバー法のマイナンバーに関する各種の法規制を受けるので、法9条と別表一の規定する税・社会保障・災害時の対応の利用目的以外に利用・提供などすることは法9条違反となり、またxID社などの民間企業や自治体・国などの行政機関や本人が、法9条と別表一が定める以外の行政機関や事業者などにxIDを提供することは、法19条違反となります。

(3)GovTech企業としてのxID社
ところで、xID社は、同社サイトにおいて、『xID株式会社は「信用コストの低いデジタル社会を実現する」をミッションとして掲げ、マイナンバーカードを活用したデジタルIDソリューション「xID」を中心に、次世代の事業モデルをパートナーと共に創出するGovTech企業です。』と同社の概要を説明しています。

xID社について
(xID社サイトより)

しかし「マイナンバーカードを利用したデジタルIDソリューション」を行う「GovTech企業」であるにもかかわらず、xID社は、上でみたようなマイナンバー法やマイナンバー制度の趣旨・目的を理解せず、「マイナンバーをアプリで変換して生成したxIDはマイナンバーではない」という初歩的な誤解に基づきマイナンバーに関連する事業を行っているとは、xID社の経営陣や法務部門、情報システム部門などは法律や情報システムや情報セキュリティのド素人の人間しかいないのでしょうか?

xID社サイトによると、同社の代表取締役CEOの日下光氏は、石川県加賀市のDXアドバイザー、静岡県浜松市フェロー、2021年度総務省地域情報化アドバイザー、東京大学近未来金融システム創造プログラム講師などを歴任しているようです。また、同社の金融・不動産領域アドバイザーの赤井厚雄氏は、早稲田大学研究院客員教授、内閣府都市再生の推進に係る有識者ボード委員、内閣府未来技術社会実装有識者会議委員、国土審議会部会委員等を歴任しているとのことです。

このようなマイナンバー法や個人情報保護法制、情報システムや情報セキュリティなどの素人の人物を諮問委員としている内閣府未来技術社会実装有識者会議、内閣府都市再生の推進に係る有識者ボード、総務省地域情報化部門、国土審議会部会、石川県加賀市、静岡県浜松市などは本当に大丈夫なのでしょうか?

同様にこのような素人の人物達を教員・研究者にしている東京大学近未来金融システム創造プログラム部門、早稲田大学研究院なども大丈夫なのでしょうか?

同社サイトによると、xID社は楽天などの新経済連盟に加入し、Fintech協会スマートシティ・インスティテュートなどの業界団体にも加入しているようです。これらの団体の業務品質やガバナンス・コンプライアンスも大いに気になるところです。

5.xIDの導入・運用
(1)従業員のメンタルヘルスに関する情報システム・コロナワクチン予約システムへの導入
xID社のxIDは、今回問題となっている渋谷区だけでなく、加賀市などでも導入予定となっているそうです。また、同じく導入予定となっている「ラフールサーベイ」という企業は、企業の人事部門が従業員のメンタルヘルスを管理することを支援する企業であるそうですが、マイナンバーと法的に同じものであるxIDに、従業員のメンタルヘルスに関するセンシティブな医療・健康データを連結させてしまって大丈夫なのかと気になります。
ID導入予定
(xID社サイトより)

また、本年7月のxID社のプレスリリース「xID、コロナワクチン予約システムで採用。地方自治体で実証実験を開始。」によると、東京都日野市などの自治体で、コロナワクチン予約システムにおいて、利用者・住民のIDとしてxIDを利用する実証実験が行われているそうです。
・xID、コロナワクチン予約システムで採用。地方自治体で実証実験を開始。|xID

コロナワクチン接種の事実、いつだれが接種をどこで受けたか等は個人情報保護法が規定するセンシティブな個人情報である要配慮個人情報(個人情報保護法2条3項)「病歴」などの医療データには直接は該当しません。しかし、医師・看護師の問診を受けてワクチン接種を受けることは医療行為に該当するものであり、ワクチン接種を受けた本人のプライバシー権や、ワクチン接種を受ける受けないという医療に関する自己決定権(憲法13条)、ワクチン接種を受ける受けないという内心の自由(19条)に関連する、要配慮個人情報に準じる、センシティブな個人情報・個人データです。

そのため、自治体がコロナワクチン予約システムに法的にマイナンバーと同等のもの(広義の個人番号・裏個人番号・裏マイナンバー)であるxIDを導入し、xIDに要配慮個人情報に準じるセンシティブな個人情報であるワクチン接種の予約などに関する個人情報・個人データを連結させることは、これも上でみたように、マイナンバー法9条、19条、2条8項かっこ書きに違反するおそれがあるのではないでしょうか。

(2)自治体の電子申請システム「LoGoフォーム電子申請」への導入
さらに、本年7月のxID社のプレスリリース「【トラストバンク・xID】マイナンバーカードを活用した電子申請サービス「LoGoフォーム電子申請」が、25自治体で導入」によると、2020年7月より導入が開始された、xIDを利用した電子申請サービス「LoGoフォーム電子申請」が、石川県加賀市、兵庫県三田市など25自治体に広がったとされています。電子申請サービス「LoGoフォーム電子申請」とは、自治体職員が担当部署や上司などに各種の申請を行うための電子申請サービスであるそうです。

国の機関や地方自治体は公的機関であり、民間企業以上に高度な法令遵守・コンプライアンスが要求される機関ですが(国家公務員法98条1項、地方公務員法32条、憲法99条・憲法尊重擁護義務)、石川県加賀市、兵庫県三田市などはマイナンバー法や個人情報保護法制などを十分に理解し、この「LoGoフォーム電子申請」やxIDなどをしっかりと検討した上で導入したのか大いに気になるところです。
・「【トラストバンク・xID】マイナンバーカードを活用した電子申請サービス「LoGoフォーム電子申請」が、25自治体で導入」|xID

(3)金融機関や議員等の情報発信基盤などへの導入
xID社はセブン銀行LayerX富士ソフトVOTE FORなどとも業務提携しているそうですが、これらの企業も、法務部や情報システム部門などがマイナンバー法や個人情報保護法などの業務に関連する法律をしっかりと理解しているのか気になります。

(2019年の就活生の内定辞退予測データの販売が問題となったいわゆる「リクナビ事件」においては、個人情報保護委員会は、リクルートキャリアやトヨタなどに対して、「新しい業務を行う際に、社内で組織的に個人情報保護法などの法令を十分に検討していなかった」ことを理由の一つとして行政指導を行っています(個人情報保護委員会「株式会社リクルートキャリアに対する勧告等について」(令和元年12月4日))。)
xID提携企業
(xID社サイトより)

セブン銀行の属するセブン&アイ・ホールディングスセブンイレブン7payのシステムがあまりにもお粗末で、2019年夏にリリースされた後、社会的批判を受けてあっという間にサービス終了となったことが記憶に新しいものがあります。そのなかで同グループのセブン銀行は金融業だけあって比較的手堅く業務を行っているイメージがあったのですが、やはりセブン&アイ・ホールディングスのグループ会社といういうことなのでしょうか。

また、特にLayerXは、ITや個人情報保護法制の専門家集団の企業のはずですが、この点どうなのでしょうか。また、xID社と業務提携してる、VOTE FORという企業は国会議員・地方議員・行政機関の職員などの「情報発信を支援」する企業だそうですが、もし万が一、国会議員・地方議員や行政機関の職員などが個人番号と法的に同等のものであるxIDに簡単にアクセスなどができるとしたらこれもマイナンバー法9条、19条、2条8項かっこ書きとの関係で大問題の予感がします。

(4)富士ソフトのデータ連携基盤「UXP」と政府のスーパーシティ構想・スマートシティ構想
富士ソフトは法人向けシステム開発とともに、「筆ぐるめ」の企業であるようですが、もし筆ぐるめの住所録機能にxIDを入力する項目などがあったら大問題であると思われます。

また、富士ソフトは上でみた経産省の「第5回インフラ海外展開懇談会」に提出されたxID社のxIDに関する資料(「資料3 xID 日下様 ご提供資料(第5回インフラ海外展開懇談会 日本で唯一の次世代デジタルIDアプリ「xID」」)の「「UXP × xIDで実現するパーソナルデータの連携」に登場する「UXP(Unified eXchange Platform)」を開発しxID社と業務提携しているとのことです。

この「UXP(Unified eXchange Platform)」とは、富士ソフトのプレスリリースなどによると、「エストニア政府でも採用されているX-Roadを商用化した製品」であり、「暗号化技術を活用することで、複数のデータベース間のデータ連携を安全に共有することを可能」とする「分散型のシステム」であり、「機微・機密データ」の連携に強い、「複数のシステムやデータベース、そのデータレイアウトを変更することなく連携・利活用することが可能」な「分散型」の「データ連携基盤」であるそうです。
・富士ソフトとxID、データ連携基盤「UXP」と次世代デジタルID「xID」の共同提供の検討における基本合意書を締結(2020年9月1日)|富士ソフト

富士ソフトは同社サイトによると、このxID社と提携したデータ連携基盤「UXP」を、近年、政府が推進している未来都市創生プロジェクト「スーパーシティ構想」(スマートシティ)に提供したい方針のようです。
富士ソフトスーパーシティ構想
(富士ソフトウェブサイトより)
・富士ソフトの連携基盤UXP×Fiware|富士ソフト

この富士ソフトのスーパーシティ構想におけるxIDと連携した「UXP」の概要図をみると、病院、介護施設、保育園などの患者や児童、入居者や保育士、介護士などのバイタルデータ・ストレスデータなどの個人の心身のセンシティブな医療データ・健康データやレセプトのデータや検査結果などの医療データをデータ連携基盤UXPでxIDを個人データのマスターキーとして収集し名寄せ・突合を行い、一元管理・集中管理し、これら国民・住民のセンシティブな個人データを研究機関やIT企業や製薬会社などに提供するようです。

しかし、富士ソフトやxID社、内閣府など政府のこのようなスーパーシティ構想・スマートシティ構想は、広義の個人番号・裏個人番号・裏マイナンバーという、マイナンバーと法的に同等のものであるxIDに国民・住民のセンシティブな医療データやバイタルデータ・ストレスデータなど(要配慮個人情報など)を連結させる点で、マイナンバー法9条の定めるマイナンバーの税・社会保障・災害対応という利用目的からはずれており違法です。

また、国民・住民のさまざまな個人データやライフログ、医療データ・健康データなどの要配慮個人情報をxIDとUXPにより名寄せ・突合して集中管理・一元管理して研究機関や製薬会社、IT企業などに提供してそれらの国民・住民の個人データを利活用することは、国・自治体や大企業による国民・住民のあらゆる個人データの監視・追跡・モニタリングであり、国・大企業の前で国民が丸裸のごとき状態(監視社会・監視国家・国民総背番号制度)をもたらしてしまうものであり、国・大企業による国民のあらゆる種類の個人データによるプロファイリングやスコアリングなどが行われてしまう危険が非常に高いのではないでしょうか。

日本のマイナンバー制度は、上でもみたとおり、行政の効率化などの目的のために、国の各行政機関や各自治体が保有する国民の個人データを名寄せ・突合できるマスターキーとしてのマイナンバー(個人番号)を作成するものの、行政機関の保有する国民の個人データは従来どおり分散管理し、またマイナンバーの利用目的も税・社会保障・災害対応の3分野に法律で限定し、利用できる行政機関・事業者も法律で限定して、国や大企業などによるマイナンバーの濫用による国民の個人の尊重や基本的人権の侵害に歯止めをかけています。

にもかかわらず、国民・住民のオープンデータや病院・介護施設・保育園・学校などのあらゆる個人データ・医療データなどの要配慮個人情報、ライフログなどをxIDやUXPなどにより名寄せ・突合できるようにして、一元管理・集中管理されたこのような官民の保有する国民のあらゆる個人データを利活用しようという、xID社や富士ソフト、あるいは内閣府などの政府が推進しようとしているスーパーシティ構想・スマートシティ構想などは、官民による広義の個人番号・裏個人番号・裏マイナンバーの利用による国民の個人情報の利活用というマイナンバー法や個人情報保護法制の潜脱行為であり、行政の効率化と国民の人権保障の調和を図ろうとするマイナンバー法やマイナンバー制度、そしてマイナンバー法の一般法である個人情報保護法などの趣旨・目的そのものに反し、国民の個人の尊重や個人情報、プライバシー権、人格権や自己情報コントロール権の侵害(憲法13条)であり、もし裁判所で争われた場合、違法・違憲との判断が出される可能性があるのではないでしょうか。

(5)自治体への導入
一方、石川県加賀市、兵庫県三田市、町田市などxID社と提携しているその他の自治体も、マイナンバー法やそれぞれの自治体の個人情報保護条例・個人情報保護法などを十分に理解した上で業務を実施しているのか気になります。
xid提携自治体1
xid提携自治体2
(xID社サイトより)

(6)スマホアプリxIDのインストール件数
加えて、Googleのandroidスマホのplayストアをみると、android版スマホアプリのxID既に約1000件以上ダウンロードされて利用されているようです。日本はiPhoneなどのapple製品のシェアのほうがずっと高いので、xIDアプリの実際の利用者はこの数倍となるのではないでしょうか。つまり、xID社によるマイナンバーの違法な収集・利用が少なくとも1000件(実際にはその数倍)、すでに行われていることは間違いないようです。
FAJLlV6VQAsiW5q

6.マイナンバー法上の個人情報漏洩等の重大事故があった場合の個人情報保護委員会への報告
この点、マイナンバー法29条の4は、「特定個人情報の漏えいその他の特定個人情報の安全の確保に係る重大な事態が生じたとき」には、事業者や地方公共団体などは個人情報保護委員会に対して速やかに報告をしなければならないと、報告法的義務としています。

また個人情報保護委員会の「特定個人情報の漏えいその他の特定個人情報の安全の確保に係る重大な事態の報告に関する規則」は、「100人以上」の特定個人情報の漏洩等を「重大事故」(重大インシデント)と定義して、重大事故が発覚したときは、事業者や地方自治体などは「直ちに」、個人情報保護委員会に対して「第一報」(速報)を行わなければならないとしています。同規則2条2項ロは、「法第9条の規定に反して利用された個人番号を含む特定個人情報」が「100人を超える場合」をも「重大事故」であると定義し、個人情報保護委員会へ直ちに報告することを義務付けています。

重大事故の報告
(個人情報保護委員会サイトより)
・特定個人情報の漏えい事案等が発生した場合の対応について|個人情報保護委員会

この点、xID社はネット上の炎上を受けて9月24日付で「ソーシャルメディア等で頂いているxIDアプリに関するご意見について」とのプレスリリースを公表しています。

お詫びのリリース
(xID社サイトより)
・ソーシャルメディア等で頂いているxIDアプリに関するご意見について|xID

しかしこのプレスリリースを読むと、「関係官庁や顧問弁護士と法律面の確認はしてきた」と、xIDがマイナンバーの入力を要求し、入力されたマイナンバーからアプリでxIDを生成していることの違法性を否定しています。(この関係官庁が具体的にどの官庁で、また顧問弁護士が具体的に何という弁護士なのか大いに気になりますが。)

そして、「多くのご意見を頂いております個人番号の入力につきまして、かねてより当社も利用者様の不安を招く可能性を認識しており、そのため、現在開発中で年内リリース予定の次期バージョンでは個人番号入力を伴う手順を廃止するよう進めております。」としています。

つまりxID社はマイナンバーからxIDを生成することは違法と認識しておらず、ただ「利用者の不安」を払拭する目的のために「現在開発中で年内リリース予定の次期バージョンでは個人番号入力を伴う手順を廃止」するとしていますが、既に同社がマイナンバーから生成済のxIDのデータを直ちに削除・廃棄するであるとか、マイナンバーからxIDを生成するスキーム自体を中止する等とは一言も述べていません。当然、個人情報保護委員会へ報告を行うなどとも書かれておらず、マイナンバー法が規定するマイナンバーの重大インシデントが発生中であるにもかかわらず、状況は深刻です。

7.マイナンバー法上の個人情報保護委員会の権限・罰則
(1)報告徴求・立入検査など
マイナンバー法は、このような場合、個人情報保護委員会は、行政機関や自治体、事業者などに対して報告徴求を行い、立入検査などを実施することができると規定しています(法35条)。そしてこの報告徴求に対して虚偽の報告をしたり、立入検査に対して検査を妨害などした場合には、一年以下の懲役又は五十万円以下の罰金の刑罰が科されます(法54条)。

また、個人情報保護委員会は、マイナンバーの安全管理などのために、総務省やその他の官庁、行政機関などに対して「必要な措置」の実施を要求することができます(法37条)。

(2)罰則
さらに、「人を欺き」、「個人番号を取得した者」は、三年以下の懲役又は百五十万円以下の罰金に処する」と罰則が規定されています(法51条1項)。

ここでいう「個人番号」には、個人番号からプログラムで生成された「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号」(法2条8項)も含まれると解されています(宇賀・前掲234頁)。

また、法51条2項は、「前項の規定は、刑法(明治四十年法律第四十五号)その他の罰則の適用を妨げない。と規定しているので、刑法詐欺罪窃盗罪組織犯罪処罰法(組織的な犯罪の処罰及び犯罪収益の規制等に関する法律)の定める犯罪収益等の没収・追徴なども可能と解されています(宇賀・前掲237頁、(組織犯罪処罰法2条2項1号ロ、別表第二(第二条関係)37号はマイナンバー法51条1項に該当する罪の収益には組織犯罪処罰法が適用されると規定しているため))。

そのため、マイナンバー法9条および別表に定める利用目的および機関・事業者に該当しないにもかかわらず、利用者・ユーザーにマイナンバーの提供(入力)を要求して当該マイナンバーからxIDを生成して利用・管理・提供しているxID社の業務はこの「人を欺き」、「個人番号を取得」に該当するとして、法51条1項の三年以下の懲役又は百五十万円以下の罰金の罰則が科される可能性があるのではないでしょうか。

同時に、法51条2項の規定により、xID社には刑法上の詐欺罪、窃盗罪などが適用される可能性もあり、さらに組織犯罪処罰法に基づき、同社がxIDの業務により得ていた収益も、「犯罪収益」に該当するとして、没収・追徴が行われる可能性があります。

加えて、偽りその他不正の手段により個人番号カードの交付を受けた者」に対しては、六月以下の懲役又は五十万円以下の罰金の刑罰が科されます(法55条)。例えば、行政機関の担当者を買収したり、甘言を弄したり、懇願するなどしてマイナンバーカードの交付を受けるなどの行為は、「不正」に他人のマイナンバーカードの交付を受けることに該当し、この法55条の罰則が適用されるされています(宇賀・前掲246頁)。

8.まとめ
渋谷区では民間のITベンチャー企業と連携した、LINEによる住民票の写しの申請が違法であり許されないと総務省からダメ出しが出されたばかりであり、今回の渋谷区とxID社の件は「またか」との感があります。

一方、国においても、国・自治体のデジタル化やマイナンバー制度の推進などを任務とするデジタル庁が9月から正式発足しましたが、同庁幹部の向井治紀氏がNTTから違法不当な接待を何度も受けていたことが発覚し、また事務方トップのデジタル監に、アメリカの性犯罪者の富豪から巨額の寄付を受けた不祥事でMITメディアラボを辞任したばかりの伊藤穣一氏をあてる人事が大きな社会的批判を浴びて撤回されたものの、代わってデジタル監に就任した石倉洋子・一橋大学名誉教授が自身のウェブサイトで画像素材サイトの画像を無断で対価を支払わずに多数利用していたという著作権法違反の事件が発覚しました。

さらに平井卓也・デジタル庁大臣も、違法不当な接待をIT企業から受けていた問題や、特定企業との癒着や脱税、NECを「徹底的に干せ」「脅せ」などと発言したことなどが社会的批判を浴びています。加えてデジタル庁自体も、民間IT企業の職員を数百人規模で中途採用して職員にするなど、利益相反や特定企業との癒着の危険性、憲法15条2項や国家公務員法96条1項などが要求する行政の公平性・中立性が保たれるのかなどの憲法レベルのさまざまな問題をはらんでいます。

近年のわが国の政府や経済界は、新自由主義的思想のもとに、露悪趣味的な、「自分達の考えた政策や事業の実現のためには法律やモラルなどどうでもよい」という雰囲気が漂い、日本社会は法治主義や「法の支配」ではなく、政治力や経済力、腕力・発言力などの強い人間が社会を支配する「人の支配」が横行する社会となってしまい、日本社会全体が大きく低迷・迷走しています。

日本のマイナンバー制度などを含む個人情報保護に関する行政やデジタル行政に対する国民からの信頼確保のためには、個人情報保護委員会や総務省などは、xID社や提携企業、xIDなどを導入や導入を検討している渋谷区、石川県加賀市、兵庫県三田市、町田市などに対して報告徴求や立入検査などを実施し、状況を分析した上で行政指導を行い罰則を科すなどの厳格な対応を早急に実施すべきではないでしょうか。

同時に、日本のITベンチャー企業や、デジタル化を推進している行政官庁や全国の自治体も、マイナンバー法や個人情報保護法制など憲法・法律やモラルなどを遵守することが、国民からの日本のIT業界や国・自治体のデジタル行政や個人情報保護行政への信頼を保つため、そして低迷する日本社会を再び活力ある社会、主権者たる国民の人権保障が重視され、法治主義・「法の支配」が貫徹される社会にするために重要なのではないでしょうか。

■追記(9月28日)
「7.マイナンバー法上の個人情報保護委員会の権限・罰則」にマイナンバー法51条に関する説明を追加するなどしました。

■追記(9月29日)
9月28日に、渋谷区議会議員の須田賢氏(@sudaken_shibuya)よりつぎのようなコメントをTwitterにて頂戴しました。

『渋谷区で現在公募している施設予約リニューアルのシステムで引用RTの記事のように問題が指摘されているxIDについて、法令上の問題の有無について提供しているxID社及び所管する総務省に確認をするよう渋谷区の所管部門に要請しました。今後の渋谷区の対応についてフォローしていきます。』

須田賢渋谷区議のツイート
(須田賢氏のTwitterより)
https://twitter.com/sudaken_shibuya/status/1442741641370955776

そのため、私の方からは、須田区議に対し、「マイナンバー法の所管の官庁は個人情報保護委員会であるので、総務省だけでなく個人情報保護委員会にも渋谷区から照会していただきたい」旨をTwitterで返信させていただきました。

個人情報保護委員会および総務省の渋谷区やxID社などへの回答や対応が待たれます。

■追記(9月30日)
加賀市9月29日付のプレスリリース「xIDを利用しているサービスの一時利用停止について」によると、ネット上の炎上を受けて、xID社は現在、個人情報保護委員会に対してxIDがマイナンバー法違反であるかどうかについて照会を行っているとのことであり、また、それを受けて加賀市はxIDを利用している同市の電子申請サービスなどの一時停止を決定したとのことです。
・【プレスリリース】xIDを利用しているサービスの一時利用停止について|加賀市

加賀市プレスリリース
(加賀市サイトより)

今後の展開が注目されます。

■追記(10月4日)
愛媛県官民共創デジタルプラットフォーム「エールラボえひめ」が10月1日のプレスリリースにおいて、xIDを利用した新規会員登録とログイン認証の一時停止を発表しています。
・xIDアプリと連携した新規会員登録及びログイン認証の一時停止について|エールラボえひめ
エールラボえひめ

■追記(10月6日)
富士ソフトのデータ連携基盤「UXP」と政府のスーパーシティ構想・スマートシティ構想等について追記しました。

■追記(10月7日)
xID社が10月6日付で新たなプレスリリースを公表しました。このリリースによると、同社は9月29日に個人情報保護委員会に対して、xIDアプリの詳細仕様及びこれまでの経緯に関する事実説明を行ったとのことです。個人情報保護委員会の判断や対応が待たれます。
・個人情報保護委員会への当社xIDアプリの個人番号入力に関する説明について|xID
xIDプレスリリース2
(xID社サイトより)

また、高木浩光先生が10月6日付で「裏個人番号」に関するブログ記事を公開されています。
・緊急速報:マイナンバー法の「裏番号」禁止規定、内閣法制局でまたもや大どんでん返しか|高木浩光@自宅の日記

■追記(10月12日)
読売新聞が10月12日付の記事でxIDのマイナンバー法違反の件を報道しています。
・行政手続きアプリに「違法」指摘、利用停止の動き広がる…自治体側は問題に気づかず|読売新聞

この読売新聞の記事は高木浩光先生のつぎコメントも掲載されています。

『マイナンバーの収集が制限されているのは、唯一の番号に国民の様々な情報が紐付けられるのを避けるため。デジタル化で多様な情報が集約される流れにあり、自治体は法の趣旨を忘れてはならない。』(「行政手続きアプリに「違法」指摘、利用停止の動き広がる…自治体側は問題に気づかず」読売新聞2021年10月12日夕刊より)

■追記(2021年10月22日)
個人情報保護委員会は、10月22日に『個人番号(マイナンバー)を非可逆的に変換しているものであっても、個人番号の唯一無二性・悉皆性の特性により個人の特定に用いるものは、個人番号に該当し(マイナンバー法2条8項かっこ書き)、同法9条に定めのない利用は違法』との趣旨のプレスリリースを出しました。
・「行政手続における特定の個人を識別するための番号の利用等に関する法律」第2条第8項に定義される個人番号の範囲について(周知)|個人情報保護委員会

マイナンバー法第2条第8項において、個人番号(マイナンバー)とは、第5項に定義される番号そのものだけでなく「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む」こととされています。また、その該当性については、その生成の由来から個人番号に対応するものと評価できるか否か及び個人番号に代わって用いられることを本来の目的としているか否かの観点を総合的に勘案して判断されます。

したがって、例えば個人番号(マイナンバー)の一部のみを用いたものや、不可逆に変換したものであっても、個人番号(マイナンバー)の唯一無二性や悉皆性等の特性を利用して個人の特定に用いている場合等は、個人番号(マイナンバー)に該当するものと判断されることがあり、その場合、マイナンバー法第9条に定めのない目的に利用していたり、保管していたりすると、マイナンバー法に抵触するおそれがありますのでご留意ください。』(2021年10月22日・個人情報保護委員会「行政手続における特定の個人を識別するための番号の利用等に関する法律」第2条第8項に定義される個人番号の範囲について(周知)」より)

PPCxIDプレスリリース


したがって、やはり、マイナンバーからスマホアプリで非可逆的なxIDを生成し、その唯一無二性・悉皆性の性質を利用して個人を特定するための共通IDとしてxIDを利用しているxID社のスキームは、それが非可逆的なものであっても、マイナンバー法9違反です。

この点、マイナンバー法2条8項かっこ書きの「裏個人番号」・「広義の個人番号」の規定について、宇賀克也先生「脱法的に個人番号を変換したもので可逆的に個人番号を識別できるものを含む」(宇賀克也『番号法の逐条解説』24頁)とし、「可逆的に個人番号を識別できないもの」は「裏個人番号」に含まれないとしていますがこれは正しくありません。

上でみた高木浩光先生や水町雅子先生のように、やはり、マイナンバーを非可逆的に変換した番号などであっても、唯一無二性・悉皆性を備え、個人の特定に使われる番号・符号などは「裏個人番号」・「広義の個人番号」に該当し、つまり法的にマイナンバーと同等のものであると考えるのが正しいことになります。

そのため、xIDをマイナンバー法9条が規定する税・社会保障・災害対応以外の目的の共通IDやデジタルIDなどに利用することはマイナンバー法9条違反となります。

そのため、xID社や、同社のxIDを共通ID・デジタルIDとして個人の特定に利用している加賀市、三田市、町田市や導入を計画中の渋谷区などの各自治体や、同社と業務提携して業務を行っている富士ソフト、LayerX、セブン銀行などは、直ちにxIDの利用や利用の計画を中止する必要があります。また、同様に、xIDやxIDと同等の「民間版マイナンバー」の共通IDをスーパーシティ構想などに利用しようと計画している国・自治体や事業者なども、xIDなどを共通ID・デジタルIDとして利用することはマイナンバー法9条違反となるので、計画などの再検討が必要です。

■参考文献
・宇賀克也『番号法の逐条解説』14頁、24頁、234頁、237頁
・水町雅子『Q&A番号法』56頁
・特定個人情報の漏えい事案等が発生した場合の対応について|個人情報保護委員会
・マイナンバー制度について|内閣府
・「株式会社リクルートキャリアに対する勧告等について」(令和元年12月4日)|個人情報保護委員会
・緊急速報:マイナンバー法の「裏番号」禁止規定、内閣法制局でまたもや大どんでん返しか|高木浩光@自宅の日記

■関連する記事
・xID社がプレスリリースで公表した新しいxIDサービスもマイナンバー法9条違反なことについて
・LINEの個人情報事件に関するZホールディンクスの有識者委員会の最終報告書を読んでみた
・デジタル庁がサイト運用をSTUDIOに委託していることは行政機関個人情報保護法6条の安全確保に抵触しないのか考えた(追記あり)
・デジタル庁のプライバシーポリシーが個人情報保護法的にいろいろとひどい件(追記あり)-個人情報・公務の民間化
・デジタル庁の事務方トップに伊藤穣一氏との人事を考えた(追記あり)
・健康保険証のマイナンバーカードへの一体化でカルテや処方箋等の医療データがマイナンバーに連結されることを考えた
・文科省が小中学生の成績等をマイナンバーカードで一元管理することを考える-ビッグデータ・AIによる「教育の個別最適化」
・小中学校のタブレットの操作ログの分析により児童を評価することを個人情報保護法・憲法から考えた-AI・教育の平等・データによる人の選別
・JR東日本が防犯カメラ・顔認証技術により駅構内等の出所者や不審者等を監視することを個人情報保護法などから考えた
・令和2年改正の個人情報保護法ガイドラインQ&Aの「委託」の解説からTポイントのCCCの「他社データと組み合わせた個人情報の利用」を考えた-「委託の混ぜるな危険の問題」
・河野太郎大臣がTwitterで批判的なユーザーをブロックすることをトランプ氏の裁判例や憲法から考えたー表現の自由・全国民の代表(追記あり)
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング
・令和2年改正個人情報保護法ガイドラインのパブコメ結果を読んでみた(追記あり)-貸出履歴・閲覧履歴・プロファイリング・内閣府の意見
・欧州の情報自己決定権・コンピュータ基本権と日米の自己情報コントロール権
・リクルートなどの就活生の内定辞退予測データの販売を個人情報保護法・職安法的に考える
・トヨタのコネクテッドカーの車外画像データの自動運転システム開発等のための利用について個人情報保護法・独禁法・プライバシー権から考えた





































このエントリーをはてなブックマークに追加 mixiチェック

↑このページのトップヘ