なか2656のblog

とある会社の社員が、法律などをできるだけわかりやすく書いたブログです

タグ:デジタル庁

xidトップ画面2

このブログ記事の概要
渋谷区などは施設予約システムなどにxID社のxIDを導入を計画しているとのことです。加賀市、兵庫県三田市、町田市などもこのxIDを電子申請システムなどに既に導入しているとのことです。

しかしxID社サイトの説明によると、xIDとは利用者からスマホアプリxIDにマイナンバー(個人番号)を入力させ、同アプリで当該マイナンバーからデジタルIDであるxIDを生成するものであるとのことですが、マイナンバー法を所管する個人情報保護委員会のマイナンバー法のガイドライン(事業者編)Q&A9-2は、個人番号は、仮に暗号化等により秘匿化されていても、その秘匿化されたものについても個人番号を一定の法則に従って変換したものであることから、番号法第2条第8項に規定する個人番号に該当します。」としており、xID社のxIDマイナンバー法2条8項かっこ書きによりマイナンバーと法的に同等のもの(「広義の個人番号」・裏個人番号・裏マイナンバー)です。

そして、マイナンバー法9条と別表一(法9条関係)は、国民のマイナンバーを含む個人情報(特定個人情報)の漏洩の危険の防止、国民のプライバシー権侵害の防止、マイナンバーによる国家や大企業による国民の個人情報の一元管理など監視社会・監視国家の危険の防止や、民間企業や行政機関などによる脱法的なマイナンバーの収集・利用等の防止などのために、マイナンバーの利用目的税関係・社会保障関係・災害時の対応の3つに限定し、利用可能な機関・事業者を限定的に規定しているところ、xIDの目的である「官民のあらゆる場面で自由に利用できる、国民一人一つの共通ID」とのxID(=マイナンバー)の利用目的やそれを運用・利用する事業者・機関(= xID社や渋谷区など)については、法9条と別表一は利用目的や利用機関・事業者として認めていません。

また、法9条および別表一の法定する以外の利用目的や利用機関などに対して、本人や事業者・行政機関などがマイナンバーを提供することも禁止されています(法19条)。

したがって、xID社のxIDはマイナンバー法9条、19条および2条8項かっこ書き違反であり、自治体や官庁などの行政機関、民間企業などがxIDを電子申請システムなどに利用することも同様に法9条、19条および2条8項かっこ書き違反となります。

そのため、xIDの導入を計画中の渋谷区や、すでに導入済の加賀市、兵庫県三田市、町田市などはマイナンバー法違反を回避するために、施設予約システムや電子申請システムなどにxIDを利用する業務や計画を直ちに中止すべきです。

同時に、マイナンバー法の監督官庁である個人情報保護委員会は、xID社や、同社と業務提携を行っている企業や自治体などに対して行政指導・行政処分などを実施すべきではないでしょうか。

■追記(2021年10月22日)
個人情報保護委員会は、10月22日に『個人番号(マイナンバー)を非可逆的に変換しているものであっても、個人番号の唯一無二性・悉皆性の特性ににより個人の特定に用いる場合は、個人番号に該当し、マイナンバー法9条に定めのない利用は違法』とのプレスリリースを出しました。したがって、マイナンバーからスマホアプリでxIDを生成し、個人を特定する共通IDとしてxIDを利用しているxID社のスキームはマイナンバー法違反です。(詳しくは本記事下部の追記をご参照ください。)

1.官民の様々なサイトの本人確認のためにマイナンバーカードをスマホアプリ化するxIDが大炎上中
官民の様々なサイトの本人確認のためにマイナンバーカードをスマホアプリ化するxID社の「xID」について、情報セキュリティや情報法の専門家の産業技術総合研究所主任研究員で情報法制研究所理事の高木浩光先生(@HiromitsuTakagi)などがマイナンバー法との関係で違法であると9月23日頃よりTwitter上で指摘し、Twitter上でxIDが炎上中です。
ひろみつ先生1
(高木浩光先生のTwitterより)
https://twitter.com/HiromitsuTakagi/status/1441238596539727886

2.xID
xID社サイトによると、xIDとは、官民のさまざまなサイトやデジタル上のサービスで、いちいちIDやパスワードなどを入力しなくても済むように、マイナンバーカードの公的個人認証サービスを利用して、マイナンバーカードと連携した独自のID(xID)を生成しするというデジタルIDおよびそのためのスマホアプリであるようです。

この点、2020年10月2日経産省の「第5回インフラ海外展開懇談会」に提出されたxID社のxIDに関する資料(「資料3 xID 日下様 ご提供資料(第5回インフラ海外展開懇談会 日本で唯一の次世代デジタルIDアプリ「xID」)」には、Society 5.0の社会においては、「パーソナルデータ(個人情報)を活用した個人最適なサービスの提供などを実現するにはデジタル世界で、あらゆるサービスを利用するAさんがどのサービスにおいても同一の人物である。と特定すること=”ユーザーの同一性・一意性担保”が重要です。利便性・信頼性と透明性を担保しながら利用できるデジタルIDがあれば、ユーザー同意に基づくパーソナルデータの活用が実現できます。」と説明されています。
経産省資料1
(経産省「第5回インフラ海外展開懇談会 日本で唯一の次世代デジタルIDアプリ「xID」」より)
・「第5回インフラ海外展開懇談会 資料3 xID 日下様 ご提供資料 日本で唯一の次世代デジタルIDアプリ「xID」」(2020年10月2日)|経産省

そして、同資料でxID社は「「事業者や行政におけるデータの管理は、各事業者や自治体によって個別にデータ管理されるよりも、UXPとxIDを用いたデータ連携基盤を用いたデータ管理をするほうが、各事業者・行政・市民にとって利便性が高くなる」と考えています。」と説明しています。

つまり、xID社はxIDの趣旨・目的を「民間事業者や行政における個人データの管理は、各事業者や自治体ごとに個別に個人データ管理するよりも、あらゆるサービスを利用する個人がどのサービスにおいても同一の人物であると特定できる、同一性・一意性が担保できるデジタルIDであるxIDを用いた個人データ管理をするほうが、個人データの活用が実現できて、利便性が高くなる」と説明しています。
経産省資料2
(経産省「第5回インフラ海外展開懇談会 日本で唯一の次世代デジタルIDアプリ「xID」」より)

つまり、xIDとは「民間企業や各自治体、各官庁などがばらばらに保有している国民の個人データを、本人の同一性・一意性が担保できるデジタルIDであるxIDにより、官民のさまざまなサービスを利用する個人の個人データを一元管理・集中管理して国民の個人データの活用を実現するもの」です。

すなわち、xIDとは一言で言うならば、「さまざまな行政機関・自治体やさまざまな民間企業がばらばらに保有する国民の個人データを、国・大企業が一元管理・集中管理して、国・大企業が自由な用途に利用できる「民間版マイナンバー」」(=裏個人番号・裏マイナンバー・「広義の個人番号」)と言えるでしょう(詳しくは後述)。

しかし、後述するとおり、さまざまな行政機関や各自治体、さまざまな民間企業が保有する国民の個人データを、民間企業のxID社が作成した「民間版マイナンバー」であるxIDで名寄せ・突合して国や大企業が一元管理・集中管理を可能にして、自由な用途に国・大企業が利活用することは、国・大企業による国民のプロファイリングを容易にし、また国・大企業による国民の監視・追跡・モニタリングなどを容易にしてしまうものであり、国民の個人の尊重や、国民の個人情報保護、国民のプライバシー・人格権などの国民の基本的人権を大きく侵害する危険があり、マイナンバー法はこのような「民間版マイナンバー」(裏個人番号・裏マイナンバー・「広義の個人番号」禁止しています(法9条、19条など)。

3.なぜマイナンバーを入力させるのか?
xIDはたしかに一見、便利そうなサービスではありますが、しかしこのxIDが、マイナンバーカードの公的個人認証サービスに関するICチップの部分の利用だけであれば問題がないところ、なぜかxIDの生成のために本人にマイナンバー(個人番号)を入力させ、そのマイナンバーをもとにスマホアプリのプログラムで非可逆的なxIDを生成していることに対してネット上ではマイナンバー法違反であると大きな批判が起きています。

マイナンバーの収集保管はしません
(xID社サイトより)

つまり、xID社サイトは「ヘルプ」の画面のなかの「なぜマイナンバーを入力する必要があるのですか?」とのQAにおいて、マイナンバーをもとに一意のIDを生成するために、マイナンバーをご入力いただいています。』・『非可逆的な方法で生成するのでxIDからマイナンバーを検出することはできません』とはっきりと記述しています。
なぜマイナンバーを入力するのですか?

すなわち、xID社サイトが上のように説明しているとおり、xID社は、xIDというデジタルIDの生成について、xID社がCCCのTポイントなどのような共通ポイント運営会社のように自社独自の会員番号・ユーザー番号をIDとして作成すれば特に問題がないのに、なぜかわざわざユーザー本人にマイナンバーをアプリに入力させ、当該マイナンバーをアプリのアルゴリズムで変換してxIDというユーザーIDを生成しているのです。

また、渋谷区の施設予約システムなどへのxIDの利用に関する資料を読むと、xIDを施設予約システムのデジタルIDとして利用することが明記されています。
渋谷区の施設予約システムの概要図
(渋谷区サイトより)
[別紙1] 令和 3 年度 施設予約システム再構築に係る 設計・開発業務委託|渋谷区

しかし、マイナンバー法9条および「別表第一(法9条関係)」にマイナンバーの取扱が許された事業者・機関として法定されていないxID社が、マイナンバー法9条および別表が法的する利用目的以外の目的でマイナンバーを収集・利用などすることは、マイナンバー法違反です。

また本人や行政機関、事業者なども、マイナンバー法が法定する事業者や国・自治体の機関以外に、マイナンバー法の規定する利用目的以外のためにマイナンバーを提供することは禁止されています(法19条)。

そして、マイナンバー法(番号法)2条8号は、つぎのように規定しています。

マイナンバー法

2条8項

この法律において「特定個人情報」とは、個人番号個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む。第7条第1項及び第2項、第8条並びに第48条並びに附則第3条第1項から第3項まで及び第5項を除き、以下同じ。)をその内容に含む個人情報をいう。

つまりマイナンバー法2条8項の個人番号(マイナンバー)の後ろについているかっこ書きが示すとおり、「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む」は、マイナンバー法上、原則としてマイナンバー(個人番号)と同等のものして扱われます。

すなわち、マイナンバー法の法案の立案担当者である弁護士の水町雅子先生の『Q&A番号法』56頁はつぎのように解説しています。

『番号法(=マイナンバー法)は、特定個人情報(=マイナンバーを含む個人情報)の取扱いが安全かつ適正におこなれれるようにするための法律です。番号法で狭義の個人番号(=マイナンバー)に対してのみ規制しても、個人番号を脱法的に変換した番号などを個人番号の代わりに悪用されてしまっては、番号法の目的を達成することはできません。そこで個人番号の代替物と考えられるような番号・符号については、広義の個人番号として、番号法の各種規制をおよぼせるようにしています(法2条8項)(略)すなわち、広義の個人番号に該当するものは、個人番号を脱法的に変換したものや、個人番号や住民票コードから生成される番号・符号など、個人番号に性質上対応するものをいいます。(水町雅子『Q&A番号法』56頁)』

この点、個人情報保護委員会特定個人情報ガイドラインQ&A(事業者編)9-2もつぎのように解説しています。

特定個人情報ガイドラインQ&A(事業者編)9-2

Q9-2 個人番号を暗号化等により秘匿化すれば、個人番号に該当しないと考えてよいですか。

A9-2 個人番号は、仮に暗号化等により秘匿化されていても、その秘匿化されたものについても個人番号を一定の法則に従って変換したものであることから、番号法第2条第8項に規定する個人番号に該当します。(平成27年4月追加)

PPCのQA9-2
(個人情報保護委員会サイトより)

このように、「暗号化等によって秘匿化されたものについても、それは個人番号を(プログラム等により)一定の法則に従って変換したもの」であるので、マイナンバー法2条8項が規定するとおりマイナンバー(個人番号)に該当するのです。

この点、xID社サイトは「ヘルプ」の画面のなかの「なぜマイナンバーを入力する必要があるのですか?」とのQAにおいて、『マイナンバーをもとに一意のIDを生成するために、マイナンバーをご入力いただいています。非可逆な形で生成していますので、IDをもとにマイナンバーを検出することはできません。また、xIDではマイナンバーに関するすべての処理をデバイス上でのみ完結させており、マイナンバーを収集・保管することは致しません。』と回答しています。

なぜマイナンバーを入力するのですか?
(xID社サイトのヘルプより)

しかし、上でマイナンバー法2条8項の条文で確認したとおり、そもそも「マイナンバーをもとに一意のIDを生成する」こと自体が「広義の個人番号」(裏個人番号・裏マイナンバー)の生成であり、マイナンバー法上の大問題です。「非可逆な形で生成」したとしても、「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号」はマイナンバーとして法的に扱われるので、マイナンバーをもとにxIDを生成しているのですから、xID社は「非可逆な形で生成」しているからとマイナンバー法の適応除外となるわけではありません。(この点は後述。)

また、「xIDではマイナンバーに関するすべての処理をデバイス上でのみ完結させており、マイナンバーを収集・保管することは致しません。」とありますが、マイナンバーから別のIDを生成することについては、それが事業者のサーバー上で行われるか利用者のスマホ上のアプリで行われるかはマイナンバー法上は関係のないことであり、また、xID社は利用者のマイナンバーをアプリで生成したxIDというマイナンバーと法的に同等のもの(広義の個人番号)を同社のサーバー等で保存・利用・提供などするわけですから、やはりマイナンバーをもとにアプリでxIDを生成するというxID社のスキームは、マイナンバー法上、完全に違法です(マイナンバー法9条・別表一(法9条関係)、法19条、法2条8項かっこ書き)。

■追記(10月7日)
産業技術総合研究所主任研究員の高木浩光先生が、マイナンバー法の「裏個人番号」についてブログ記事を書かれています。
・緊急速報:マイナンバー法の「裏番号」禁止規定、内閣法制局でまたもや大どんでん返しか|高木浩光@自宅の日記

4.なぜマイナンバー法はマイナンバーの厳格な取扱いを要求するのか?
(1)国民の個人データの名寄せ・突合を可能とする究極のマスターキーとしてのマイナンバー
このようにマイナンバー法がマイナンバー(個人番号)について厳格な取扱いを要求するのは理由があります。つまりマイナンバー法に基づき、国家(が法で委託したJ-LIS(地方公共団体情報システム機構))が国民すべてに悉皆性)、国民一人に一つの個人番号(マイナンバー)を割り当てることにより(唯一無二性)、マイナンバーを国民の個人情報・個人データのマスターキーとして利用して、国・自治体など行政のさまざまな部門の持つ国民の個人情報・個人データのデータマッチングを行うことにより、従来、紙と人間の手によって行ってきた様々な行政上の事務を効率化し、行政のコストダウンなどを行うのがマイナンバー制度です(宇賀克也『番号法の逐条解説』14頁)。

しかしマイナンバーは国・自治体などのあらゆる分野の国民の個人情報・個人データを名寄せ・突合できてしまう非常に高度な識別機能を持つ究極のマスターキーであるため、もしマイナンバーが漏洩したり、行政において悪用や恣意的な利用がなされた場合、国のそれぞれの官庁などのさまざまな部門が分散して保有する個人情報・個人データが国民の意思に反して勝手に名寄せ・突合などが行われ、国民がコンピュータやAIによりそれらの突合された個人データの分析(自動処理)により勝手に評価・分析されてしまうなどのプロファイリングの危険や、国民の追跡・トレーシングや監視・モニタリングなどの危険、個人情報漏洩の危険、国民の個人情報・個人データが国や大企業・IT企業などに一元管理・集中管理されてしまう危険(監視社会・監視国家の危険)などのおそれがあります。

このような危険の防止のために、マイナンバー制度はマイナンバー(個人番号)という識別機能の極めて高い、究極のマスターキーを国家が法律に基づき作成し、国民に割り当てるものの、行政各部門が保有する国民の個人データに関しては一元管理、集中管理するのではなく、従来どおり行政の各部門が分散管理して個人データを保管することとしています。

マイナンバー制度の概要図
(内閣府サイトより)
・マイナンバー制度について|内閣府

またマイナンバー法の規定でマイナンバーの利用についても利用目的を、税関係・社会保障関係・災害時の対応の3つの分野のみに限定し、マイナンバーの提供を受けたり利用ができる機関・事業者を法律に限定的に規定し、それ以外の事業者や国・自治体の機関は利用禁止にするなどの対応を行い(法9条・別表第一(法9条関係)、19条など)、マイナンバーによる国民のプロファイリング、国民の個人情報の漏洩、国家や大企業などによる国民の個人情報の一元管理などのリスクを防止しようとしているのです。

つまり、マイナンバー法は行政の効率化を目指しつつ、同時に、国民の個人情報やプライバシー権、人格権(憲法13条)などの国民の個人の尊重と基本的人権を大きく侵害しかねない重大なリスクを防止するために、マイナンバー(個人番号)の厳格な取扱を要求するために個人情報保護法などの特別法として立法化されたものです(マイナンバー法1条、個人情報保護法1条、同法3条、憲法13条)。

にもかかわらず、マイナンバーからプログラムなどで変換されたマイナンバーと一対一の関係にある「当該個人番号に代わって用いられる番号、記号その他の符号(法2条8号かっこ書き)」(=今回の事件におけるxID)とセットで個人情報が漏洩などしてしてしまった場合(=特定個人情報の漏洩)、それを入手した名簿屋などが、「当該個人番号に代わって用いられる番号、記号その他の符号」とセットで漏洩した他の個人情報などとさらに別のところから入手した個人データなどを名寄せ・突合し、どんどんより多くの項目のそろった国民の個人データのデータベースを勝手に作成し、それらを勝手に他の事業者や外国に販売・転売するであるとか、あるいはそれらのより多く項目の国民の個人データのそろったデータベースで、本人に勝手にプロファイリングやトラッキング・トレーシングなどを行い、そのプロファイリングやトラッキングの結果を違法・不当に国民の信用スコアリングや身元調査、信用調査などに利用するであるとか、そのプロファイリング等の結果を他の事業者や外国に販売・転売するなどのリスクがより発生しやすくなってしまいます。

つまり、マイナンバー法は、マイナンバー(個人番号)による違法・不当な国民のプロファイリングのリスクトラッキングのリスク、個人情報・個人データの情報漏洩のリスク国家や大企業・IT企業などによる国民の個人情報・個人データの一元管理などのリスク(監視社会・監視国家のリスク)などの国民の個人の尊重や基本的人権などを大きく侵害しかねない重大なリスクを防止するために、マイナンバー(個人番号)の厳格な取扱を要求しています。

そして同様に、これらのマイナンバー(個人番号)がもたらすおそれのある国民の個人の尊重や基本的人権を侵害しかねない重大リスクを防止するために、マイナンバー法は、マイナンバー(個人番号)と同じように利用できてしまう唯一無二性・悉皆性を有する番号・記号・符号などである、「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号」(法2条8項かっこ書き・「広義の個人番号」・いわゆる「裏個人番号」・「裏マイナンバー」)をも、事業者や行政機関などが勝手に作成して利用・提供などすることを法律で禁止しているのです。

(2)ハッシュ化の問題
そのため、マイナンバー(個人番号)をプログラムで例えばハッシュ化するなどして生成されたハッシュ値などの番号・記号・符号なども、それが非可逆性という性質を有しているとしても、マイナンバー法上はマイナンバー(個人番号)と同等のものであると評価され、マイナンバー法上の法規制に服することになると思われます(法2条8項かっこ書き)。

この点、産業技術総合研究所主任研究員の高木浩光先生は、9月28日のTwitterで『水町本にハッシュへの言及があるわけではないですが、「性質上個人番号と同等と考えられるもの」(水町逐条85頁)という説明。その性質が「悉皆性、唯一無二性」であることは続く頁に書かれています。書かれてはいるがもっと直接的にはっきり記述した方がよかった。』と投稿しておられます。
ひろみつ先生ハッシュ化
(高木浩光先生のTwitterより)
https://twitter.com/HiromitsuTakagi/status/1442292375011823621

マイナンバー法の立案担当者である弁護士の水町雅子先生の『Q&A番号法』56頁も上でみたとおり、「個人番号を脱法的に変換したものや、個人番号や住民票コードから生成される番号・符号など、個人番号に性質上対応するもの」は「広義の個人番号」(=裏個人番号・裏マイナンバー)に該当し、マイナンバー法の個人番号への法規制の対象になるとしており、マイナンバーをハッシュ化による非可逆化の処理をして番号・符号などを生成した場合は、当該番号・符号などは「広義の個人番号」(裏個人番号・裏マイナンバー)から除外されるとはしていません。

したがって、マイナンバーをスマホアプリでハッシュ化による非可逆的な番号のxIDにしたとしても、xIDはやはりマイナンバーと法的に同等のものである「広義の個人番号」(裏個人番号・裏マイナンバー)であり(法2条8項かっこ書き)、マイナンバー法のマイナンバーに関する各種の法規制を受けるので、法9条と別表一の規定する税・社会保障・災害時の対応の利用目的以外に利用・提供などすることは法9条違反となり、またxID社などの民間企業や自治体・国などの行政機関や本人が、法9条と別表一が定める以外の行政機関や事業者などにxIDを提供することは、法19条違反となります。

(3)GovTech企業としてのxID社
ところで、xID社は、同社サイトにおいて、『xID株式会社は「信用コストの低いデジタル社会を実現する」をミッションとして掲げ、マイナンバーカードを活用したデジタルIDソリューション「xID」を中心に、次世代の事業モデルをパートナーと共に創出するGovTech企業です。』と同社の概要を説明しています。

xID社について
(xID社サイトより)

しかし「マイナンバーカードを利用したデジタルIDソリューション」を行う「GovTech企業」であるにもかかわらず、xID社は、上でみたようなマイナンバー法やマイナンバー制度の趣旨・目的を理解せず、「マイナンバーをアプリで変換して生成したxIDはマイナンバーではない」という初歩的な誤解に基づきマイナンバーに関連する事業を行っているとは、xID社の経営陣や法務部門、情報システム部門などは法律や情報システムや情報セキュリティのド素人の人間しかいないのでしょうか?

xID社サイトによると、同社の代表取締役CEOの日下光氏は、石川県加賀市のDXアドバイザー、静岡県浜松市フェロー、2021年度総務省地域情報化アドバイザー、東京大学近未来金融システム創造プログラム講師などを歴任しているようです。また、同社の金融・不動産領域アドバイザーの赤井厚雄氏は、早稲田大学研究院客員教授、内閣府都市再生の推進に係る有識者ボード委員、内閣府未来技術社会実装有識者会議委員、国土審議会部会委員等を歴任しているとのことです。

このようなマイナンバー法や個人情報保護法制、情報システムや情報セキュリティなどの素人の人物を諮問委員としている内閣府未来技術社会実装有識者会議、内閣府都市再生の推進に係る有識者ボード、総務省地域情報化部門、国土審議会部会、石川県加賀市、静岡県浜松市などは本当に大丈夫なのでしょうか?

同様にこのような素人の人物達を教員・研究者にしている東京大学近未来金融システム創造プログラム部門、早稲田大学研究院なども大丈夫なのでしょうか?

同社サイトによると、xID社は楽天などの新経済連盟に加入し、Fintech協会スマートシティ・インスティテュートなどの業界団体にも加入しているようです。これらの団体の業務品質やガバナンス・コンプライアンスも大いに気になるところです。

5.xIDの導入・運用
(1)従業員のメンタルヘルスに関する情報システム・コロナワクチン予約システムへの導入
xID社のxIDは、今回問題となっている渋谷区だけでなく、加賀市などでも導入予定となっているそうです。また、同じく導入予定となっている「ラフールサーベイ」という企業は、企業の人事部門が従業員のメンタルヘルスを管理することを支援する企業であるそうですが、マイナンバーと法的に同じものであるxIDに、従業員のメンタルヘルスに関するセンシティブな医療・健康データを連結させてしまって大丈夫なのかと気になります。
ID導入予定
(xID社サイトより)

また、本年7月のxID社のプレスリリース「xID、コロナワクチン予約システムで採用。地方自治体で実証実験を開始。」によると、東京都日野市などの自治体で、コロナワクチン予約システムにおいて、利用者・住民のIDとしてxIDを利用する実証実験が行われているそうです。
・xID、コロナワクチン予約システムで採用。地方自治体で実証実験を開始。|xID

コロナワクチン接種の事実、いつだれが接種をどこで受けたか等は個人情報保護法が規定するセンシティブな個人情報である要配慮個人情報(個人情報保護法2条3項)「病歴」などの医療データには直接は該当しません。しかし、医師・看護師の問診を受けてワクチン接種を受けることは医療行為に該当するものであり、ワクチン接種を受けた本人のプライバシー権や、ワクチン接種を受ける受けないという医療に関する自己決定権(憲法13条)、ワクチン接種を受ける受けないという内心の自由(19条)に関連する、要配慮個人情報に準じる、センシティブな個人情報・個人データです。

そのため、自治体がコロナワクチン予約システムに法的にマイナンバーと同等のもの(広義の個人番号・裏個人番号・裏マイナンバー)であるxIDを導入し、xIDに要配慮個人情報に準じるセンシティブな個人情報であるワクチン接種の予約などに関する個人情報・個人データを連結させることは、これも上でみたように、マイナンバー法9条、19条、2条8項かっこ書きに違反するおそれがあるのではないでしょうか。

(2)自治体の電子申請システム「LoGoフォーム電子申請」への導入
さらに、本年7月のxID社のプレスリリース「【トラストバンク・xID】マイナンバーカードを活用した電子申請サービス「LoGoフォーム電子申請」が、25自治体で導入」によると、2020年7月より導入が開始された、xIDを利用した電子申請サービス「LoGoフォーム電子申請」が、石川県加賀市、兵庫県三田市など25自治体に広がったとされています。電子申請サービス「LoGoフォーム電子申請」とは、自治体職員が担当部署や上司などに各種の申請を行うための電子申請サービスであるそうです。

国の機関や地方自治体は公的機関であり、民間企業以上に高度な法令遵守・コンプライアンスが要求される機関ですが(国家公務員法98条1項、地方公務員法32条、憲法99条・憲法尊重擁護義務)、石川県加賀市、兵庫県三田市などはマイナンバー法や個人情報保護法制などを十分に理解し、この「LoGoフォーム電子申請」やxIDなどをしっかりと検討した上で導入したのか大いに気になるところです。
・「【トラストバンク・xID】マイナンバーカードを活用した電子申請サービス「LoGoフォーム電子申請」が、25自治体で導入」|xID

(3)金融機関や議員等の情報発信基盤などへの導入
xID社はセブン銀行LayerX富士ソフトVOTE FORなどとも業務提携しているそうですが、これらの企業も、法務部や情報システム部門などがマイナンバー法や個人情報保護法などの業務に関連する法律をしっかりと理解しているのか気になります。

(2019年の就活生の内定辞退予測データの販売が問題となったいわゆる「リクナビ事件」においては、個人情報保護委員会は、リクルートキャリアやトヨタなどに対して、「新しい業務を行う際に、社内で組織的に個人情報保護法などの法令を十分に検討していなかった」ことを理由の一つとして行政指導を行っています(個人情報保護委員会「株式会社リクルートキャリアに対する勧告等について」(令和元年12月4日))。)
xID提携企業
(xID社サイトより)

セブン銀行の属するセブン&アイ・ホールディングスセブンイレブン7payのシステムがあまりにもお粗末で、2019年夏にリリースされた後、社会的批判を受けてあっという間にサービス終了となったことが記憶に新しいものがあります。そのなかで同グループのセブン銀行は金融業だけあって比較的手堅く業務を行っているイメージがあったのですが、やはりセブン&アイ・ホールディングスのグループ会社といういうことなのでしょうか。

また、特にLayerXは、ITや個人情報保護法制の専門家集団の企業のはずですが、この点どうなのでしょうか。また、xID社と業務提携してる、VOTE FORという企業は国会議員・地方議員・行政機関の職員などの「情報発信を支援」する企業だそうですが、もし万が一、国会議員・地方議員や行政機関の職員などが個人番号と法的に同等のものであるxIDに簡単にアクセスなどができるとしたらこれもマイナンバー法9条、19条、2条8項かっこ書きとの関係で大問題の予感がします。

(4)富士ソフトのデータ連携基盤「UXP」と政府のスーパーシティ構想・スマートシティ構想
富士ソフトは法人向けシステム開発とともに、「筆ぐるめ」の企業であるようですが、もし筆ぐるめの住所録機能にxIDを入力する項目などがあったら大問題であると思われます。

また、富士ソフトは上でみた経産省の「第5回インフラ海外展開懇談会」に提出されたxID社のxIDに関する資料(「資料3 xID 日下様 ご提供資料(第5回インフラ海外展開懇談会 日本で唯一の次世代デジタルIDアプリ「xID」」)の「「UXP × xIDで実現するパーソナルデータの連携」に登場する「UXP(Unified eXchange Platform)」を開発しxID社と業務提携しているとのことです。

この「UXP(Unified eXchange Platform)」とは、富士ソフトのプレスリリースなどによると、「エストニア政府でも採用されているX-Roadを商用化した製品」であり、「暗号化技術を活用することで、複数のデータベース間のデータ連携を安全に共有することを可能」とする「分散型のシステム」であり、「機微・機密データ」の連携に強い、「複数のシステムやデータベース、そのデータレイアウトを変更することなく連携・利活用することが可能」な「分散型」の「データ連携基盤」であるそうです。
・富士ソフトとxID、データ連携基盤「UXP」と次世代デジタルID「xID」の共同提供の検討における基本合意書を締結(2020年9月1日)|富士ソフト

富士ソフトは同社サイトによると、このxID社と提携したデータ連携基盤「UXP」を、近年、政府が推進している未来都市創生プロジェクト「スーパーシティ構想」(スマートシティ)に提供したい方針のようです。
富士ソフトスーパーシティ構想
(富士ソフトウェブサイトより)
・富士ソフトの連携基盤UXP×Fiware|富士ソフト

この富士ソフトのスーパーシティ構想におけるxIDと連携した「UXP」の概要図をみると、病院、介護施設、保育園などの患者や児童、入居者や保育士、介護士などのバイタルデータ・ストレスデータなどの個人の心身のセンシティブな医療データ・健康データやレセプトのデータや検査結果などの医療データをデータ連携基盤UXPでxIDを個人データのマスターキーとして収集し名寄せ・突合を行い、一元管理・集中管理し、これら国民・住民のセンシティブな個人データを研究機関やIT企業や製薬会社などに提供するようです。

しかし、富士ソフトやxID社、内閣府など政府のこのようなスーパーシティ構想・スマートシティ構想は、広義の個人番号・裏個人番号・裏マイナンバーという、マイナンバーと法的に同等のものであるxIDに国民・住民のセンシティブな医療データやバイタルデータ・ストレスデータなど(要配慮個人情報など)を連結させる点で、マイナンバー法9条の定めるマイナンバーの税・社会保障・災害対応という利用目的からはずれており違法です。

また、国民・住民のさまざまな個人データやライフログ、医療データ・健康データなどの要配慮個人情報をxIDとUXPにより名寄せ・突合して集中管理・一元管理して研究機関や製薬会社、IT企業などに提供してそれらの国民・住民の個人データを利活用することは、国・自治体や大企業による国民・住民のあらゆる個人データの監視・追跡・モニタリングであり、国・大企業の前で国民が丸裸のごとき状態(監視社会・監視国家・国民総背番号制度)をもたらしてしまうものであり、国・大企業による国民のあらゆる種類の個人データによるプロファイリングやスコアリングなどが行われてしまう危険が非常に高いのではないでしょうか。

日本のマイナンバー制度は、上でもみたとおり、行政の効率化などの目的のために、国の各行政機関や各自治体が保有する国民の個人データを名寄せ・突合できるマスターキーとしてのマイナンバー(個人番号)を作成するものの、行政機関の保有する国民の個人データは従来どおり分散管理し、またマイナンバーの利用目的も税・社会保障・災害対応の3分野に法律で限定し、利用できる行政機関・事業者も法律で限定して、国や大企業などによるマイナンバーの濫用による国民の個人の尊重や基本的人権の侵害に歯止めをかけています。

にもかかわらず、国民・住民のオープンデータや病院・介護施設・保育園・学校などのあらゆる個人データ・医療データなどの要配慮個人情報、ライフログなどをxIDやUXPなどにより名寄せ・突合できるようにして、一元管理・集中管理されたこのような官民の保有する国民のあらゆる個人データを利活用しようという、xID社や富士ソフト、あるいは内閣府などの政府が推進しようとしているスーパーシティ構想・スマートシティ構想などは、官民による広義の個人番号・裏個人番号・裏マイナンバーの利用による国民の個人情報の利活用というマイナンバー法や個人情報保護法制の潜脱行為であり、行政の効率化と国民の人権保障の調和を図ろうとするマイナンバー法やマイナンバー制度、そしてマイナンバー法の一般法である個人情報保護法などの趣旨・目的そのものに反し、国民の個人の尊重や個人情報、プライバシー権、人格権や自己情報コントロール権の侵害(憲法13条)であり、もし裁判所で争われた場合、違法・違憲との判断が出される可能性があるのではないでしょうか。

(5)自治体への導入
一方、石川県加賀市、兵庫県三田市、町田市などxID社と提携しているその他の自治体も、マイナンバー法やそれぞれの自治体の個人情報保護条例・個人情報保護法などを十分に理解した上で業務を実施しているのか気になります。
xid提携自治体1
xid提携自治体2
(xID社サイトより)

(6)スマホアプリxIDのインストール件数
加えて、Googleのandroidスマホのplayストアをみると、android版スマホアプリのxID既に約1000件以上ダウンロードされて利用されているようです。日本はiPhoneなどのapple製品のシェアのほうがずっと高いので、xIDアプリの実際の利用者はこの数倍となるのではないでしょうか。つまり、xID社によるマイナンバーの違法な収集・利用が少なくとも1000件(実際にはその数倍)、すでに行われていることは間違いないようです。
FAJLlV6VQAsiW5q

6.マイナンバー法上の個人情報漏洩等の重大事故があった場合の個人情報保護委員会への報告
この点、マイナンバー法29条の4は、「特定個人情報の漏えいその他の特定個人情報の安全の確保に係る重大な事態が生じたとき」には、事業者や地方公共団体などは個人情報保護委員会に対して速やかに報告をしなければならないと、報告法的義務としています。

また個人情報保護委員会の「特定個人情報の漏えいその他の特定個人情報の安全の確保に係る重大な事態の報告に関する規則」は、「100人以上」の特定個人情報の漏洩等を「重大事故」(重大インシデント)と定義して、重大事故が発覚したときは、事業者や地方自治体などは「直ちに」、個人情報保護委員会に対して「第一報」(速報)を行わなければならないとしています。同規則2条2項ロは、「法第9条の規定に反して利用された個人番号を含む特定個人情報」が「100人を超える場合」をも「重大事故」であると定義し、個人情報保護委員会へ直ちに報告することを義務付けています。

重大事故の報告
(個人情報保護委員会サイトより)
・特定個人情報の漏えい事案等が発生した場合の対応について|個人情報保護委員会

この点、xID社はネット上の炎上を受けて9月24日付で「ソーシャルメディア等で頂いているxIDアプリに関するご意見について」とのプレスリリースを公表しています。

お詫びのリリース
(xID社サイトより)
・ソーシャルメディア等で頂いているxIDアプリに関するご意見について|xID

しかしこのプレスリリースを読むと、「関係官庁や顧問弁護士と法律面の確認はしてきた」と、xIDがマイナンバーの入力を要求し、入力されたマイナンバーからアプリでxIDを生成していることの違法性を否定しています。(この関係官庁が具体的にどの官庁で、また顧問弁護士が具体的に何という弁護士なのか大いに気になりますが。)

そして、「多くのご意見を頂いております個人番号の入力につきまして、かねてより当社も利用者様の不安を招く可能性を認識しており、そのため、現在開発中で年内リリース予定の次期バージョンでは個人番号入力を伴う手順を廃止するよう進めております。」としています。

つまりxID社はマイナンバーからxIDを生成することは違法と認識しておらず、ただ「利用者の不安」を払拭する目的のために「現在開発中で年内リリース予定の次期バージョンでは個人番号入力を伴う手順を廃止」するとしていますが、既に同社がマイナンバーから生成済のxIDのデータを直ちに削除・廃棄するであるとか、マイナンバーからxIDを生成するスキーム自体を中止する等とは一言も述べていません。当然、個人情報保護委員会へ報告を行うなどとも書かれておらず、マイナンバー法が規定するマイナンバーの重大インシデントが発生中であるにもかかわらず、状況は深刻です。

7.マイナンバー法上の個人情報保護委員会の権限・罰則
(1)報告徴求・立入検査など
マイナンバー法は、このような場合、個人情報保護委員会は、行政機関や自治体、事業者などに対して報告徴求を行い、立入検査などを実施することができると規定しています(法35条)。そしてこの報告徴求に対して虚偽の報告をしたり、立入検査に対して検査を妨害などした場合には、一年以下の懲役又は五十万円以下の罰金の刑罰が科されます(法54条)。

また、個人情報保護委員会は、マイナンバーの安全管理などのために、総務省やその他の官庁、行政機関などに対して「必要な措置」の実施を要求することができます(法37条)。

(2)罰則
さらに、「人を欺き」、「個人番号を取得した者」は、三年以下の懲役又は百五十万円以下の罰金に処する」と罰則が規定されています(法51条1項)。

ここでいう「個人番号」には、個人番号からプログラムで生成された「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号」(法2条8項)も含まれると解されています(宇賀・前掲234頁)。

また、法51条2項は、「前項の規定は、刑法(明治四十年法律第四十五号)その他の罰則の適用を妨げない。と規定しているので、刑法詐欺罪窃盗罪組織犯罪処罰法(組織的な犯罪の処罰及び犯罪収益の規制等に関する法律)の定める犯罪収益等の没収・追徴なども可能と解されています(宇賀・前掲237頁、(組織犯罪処罰法2条2項1号ロ、別表第二(第二条関係)37号はマイナンバー法51条1項に該当する罪の収益には組織犯罪処罰法が適用されると規定しているため))。

そのため、マイナンバー法9条および別表に定める利用目的および機関・事業者に該当しないにもかかわらず、利用者・ユーザーにマイナンバーの提供(入力)を要求して当該マイナンバーからxIDを生成して利用・管理・提供しているxID社の業務はこの「人を欺き」、「個人番号を取得」に該当するとして、法51条1項の三年以下の懲役又は百五十万円以下の罰金の罰則が科される可能性があるのではないでしょうか。

同時に、法51条2項の規定により、xID社には刑法上の詐欺罪、窃盗罪などが適用される可能性もあり、さらに組織犯罪処罰法に基づき、同社がxIDの業務により得ていた収益も、「犯罪収益」に該当するとして、没収・追徴が行われる可能性があります。

加えて、偽りその他不正の手段により個人番号カードの交付を受けた者」に対しては、六月以下の懲役又は五十万円以下の罰金の刑罰が科されます(法55条)。例えば、行政機関の担当者を買収したり、甘言を弄したり、懇願するなどしてマイナンバーカードの交付を受けるなどの行為は、「不正」に他人のマイナンバーカードの交付を受けることに該当し、この法55条の罰則が適用されるされています(宇賀・前掲246頁)。

8.まとめ
渋谷区では民間のITベンチャー企業と連携した、LINEによる住民票の写しの申請が違法であり許されないと総務省からダメ出しが出されたばかりであり、今回の渋谷区とxID社の件は「またか」との感があります。

一方、国においても、国・自治体のデジタル化やマイナンバー制度の推進などを任務とするデジタル庁が9月から正式発足しましたが、同庁幹部の向井治紀氏がNTTから違法不当な接待を何度も受けていたことが発覚し、また事務方トップのデジタル監に、アメリカの性犯罪者の富豪から巨額の寄付を受けた不祥事でMITメディアラボを辞任したばかりの伊藤穣一氏をあてる人事が大きな社会的批判を浴びて撤回されたものの、代わってデジタル監に就任した石倉洋子・一橋大学名誉教授が自身のウェブサイトで画像素材サイトの画像を無断で対価を支払わずに多数利用していたという著作権法違反の事件が発覚しました。

さらに平井卓也・デジタル庁大臣も、違法不当な接待をIT企業から受けていた問題や、特定企業との癒着や脱税、NECを「徹底的に干せ」「脅せ」などと発言したことなどが社会的批判を浴びています。加えてデジタル庁自体も、民間IT企業の職員を数百人規模で中途採用して職員にするなど、利益相反や特定企業との癒着の危険性、憲法15条2項や国家公務員法96条1項などが要求する行政の公平性・中立性が保たれるのかなどの憲法レベルのさまざまな問題をはらんでいます。

近年のわが国の政府や経済界は、新自由主義的思想のもとに、露悪趣味的な、「自分達の考えた政策や事業の実現のためには法律やモラルなどどうでもよい」という雰囲気が漂い、日本社会は法治主義や「法の支配」ではなく、政治力や経済力、腕力・発言力などの強い人間が社会を支配する「人の支配」が横行する社会となってしまい、日本社会全体が大きく低迷・迷走しています。

日本のマイナンバー制度などを含む個人情報保護に関する行政やデジタル行政に対する国民からの信頼確保のためには、個人情報保護委員会や総務省などは、xID社や提携企業、xIDなどを導入や導入を検討している渋谷区、石川県加賀市、兵庫県三田市、町田市などに対して報告徴求や立入検査などを実施し、状況を分析した上で行政指導を行い罰則を科すなどの厳格な対応を早急に実施すべきではないでしょうか。

同時に、日本のITベンチャー企業や、デジタル化を推進している行政官庁や全国の自治体も、マイナンバー法や個人情報保護法制など憲法・法律やモラルなどを遵守することが、国民からの日本のIT業界や国・自治体のデジタル行政や個人情報保護行政への信頼を保つため、そして低迷する日本社会を再び活力ある社会、主権者たる国民の人権保障が重視され、法治主義・「法の支配」が貫徹される社会にするために重要なのではないでしょうか。

■追記(9月28日)
「7.マイナンバー法上の個人情報保護委員会の権限・罰則」にマイナンバー法51条に関する説明を追加するなどしました。

■追記(9月29日)
9月28日に、渋谷区議会議員の須田賢氏(@sudaken_shibuya)よりつぎのようなコメントをTwitterにて頂戴しました。

『渋谷区で現在公募している施設予約リニューアルのシステムで引用RTの記事のように問題が指摘されているxIDについて、法令上の問題の有無について提供しているxID社及び所管する総務省に確認をするよう渋谷区の所管部門に要請しました。今後の渋谷区の対応についてフォローしていきます。』

須田賢渋谷区議のツイート
(須田賢氏のTwitterより)
https://twitter.com/sudaken_shibuya/status/1442741641370955776

そのため、私の方からは、須田区議に対し、「マイナンバー法の所管の官庁は個人情報保護委員会であるので、総務省だけでなく個人情報保護委員会にも渋谷区から照会していただきたい」旨をTwitterで返信させていただきました。

個人情報保護委員会および総務省の渋谷区やxID社などへの回答や対応が待たれます。

■追記(9月30日)
加賀市9月29日付のプレスリリース「xIDを利用しているサービスの一時利用停止について」によると、ネット上の炎上を受けて、xID社は現在、個人情報保護委員会に対してxIDがマイナンバー法違反であるかどうかについて照会を行っているとのことであり、また、それを受けて加賀市はxIDを利用している同市の電子申請サービスなどの一時停止を決定したとのことです。
・【プレスリリース】xIDを利用しているサービスの一時利用停止について|加賀市

加賀市プレスリリース
(加賀市サイトより)

今後の展開が注目されます。

■追記(10月4日)
愛媛県官民共創デジタルプラットフォーム「エールラボえひめ」が10月1日のプレスリリースにおいて、xIDを利用した新規会員登録とログイン認証の一時停止を発表しています。
・xIDアプリと連携した新規会員登録及びログイン認証の一時停止について|エールラボえひめ
エールラボえひめ

■追記(10月6日)
富士ソフトのデータ連携基盤「UXP」と政府のスーパーシティ構想・スマートシティ構想等について追記しました。

■追記(10月7日)
xID社が10月6日付で新たなプレスリリースを公表しました。このリリースによると、同社は9月29日に個人情報保護委員会に対して、xIDアプリの詳細仕様及びこれまでの経緯に関する事実説明を行ったとのことです。個人情報保護委員会の判断や対応が待たれます。
・個人情報保護委員会への当社xIDアプリの個人番号入力に関する説明について|xID
xIDプレスリリース2
(xID社サイトより)

また、高木浩光先生が10月6日付で「裏個人番号」に関するブログ記事を公開されています。
・緊急速報:マイナンバー法の「裏番号」禁止規定、内閣法制局でまたもや大どんでん返しか|高木浩光@自宅の日記

■追記(10月12日)
読売新聞が10月12日付の記事でxIDのマイナンバー法違反の件を報道しています。
・行政手続きアプリに「違法」指摘、利用停止の動き広がる…自治体側は問題に気づかず|読売新聞

この読売新聞の記事は高木浩光先生のつぎコメントも掲載されています。

『マイナンバーの収集が制限されているのは、唯一の番号に国民の様々な情報が紐付けられるのを避けるため。デジタル化で多様な情報が集約される流れにあり、自治体は法の趣旨を忘れてはならない。』(「行政手続きアプリに「違法」指摘、利用停止の動き広がる…自治体側は問題に気づかず」読売新聞2021年10月12日夕刊より)

■追記(2021年10月22日)
個人情報保護委員会は、10月22日に『個人番号(マイナンバー)を非可逆的に変換しているものであっても、個人番号の唯一無二性・悉皆性の特性により個人の特定に用いるものは、個人番号に該当し(マイナンバー法2条8項かっこ書き)、同法9条に定めのない利用は違法』との趣旨のプレスリリースを出しました。
・「行政手続における特定の個人を識別するための番号の利用等に関する法律」第2条第8項に定義される個人番号の範囲について(周知)|個人情報保護委員会

マイナンバー法第2条第8項において、個人番号(マイナンバー)とは、第5項に定義される番号そのものだけでなく「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む」こととされています。また、その該当性については、その生成の由来から個人番号に対応するものと評価できるか否か及び個人番号に代わって用いられることを本来の目的としているか否かの観点を総合的に勘案して判断されます。

したがって、例えば個人番号(マイナンバー)の一部のみを用いたものや、不可逆に変換したものであっても、個人番号(マイナンバー)の唯一無二性や悉皆性等の特性を利用して個人の特定に用いている場合等は、個人番号(マイナンバー)に該当するものと判断されることがあり、その場合、マイナンバー法第9条に定めのない目的に利用していたり、保管していたりすると、マイナンバー法に抵触するおそれがありますのでご留意ください。』(2021年10月22日・個人情報保護委員会「行政手続における特定の個人を識別するための番号の利用等に関する法律」第2条第8項に定義される個人番号の範囲について(周知)」より)

PPCxIDプレスリリース


したがって、やはり、マイナンバーからスマホアプリで非可逆的なxIDを生成し、その唯一無二性・悉皆性の性質を利用して個人を特定するための共通IDとしてxIDを利用しているxID社のスキームは、それが非可逆的なものであっても、マイナンバー法9違反です。

この点、マイナンバー法2条8項かっこ書きの「裏個人番号」・「広義の個人番号」の規定について、宇賀克也先生「脱法的に個人番号を変換したもので可逆的に個人番号を識別できるものを含む」(宇賀克也『番号法の逐条解説』24頁)とし、「可逆的に個人番号を識別できないもの」は「裏個人番号」に含まれないとしていますがこれは正しくありません。

上でみた高木浩光先生や水町雅子先生のように、やはり、マイナンバーを非可逆的に変換した番号などであっても、唯一無二性・悉皆性を備え、個人の特定に使われる番号・符号などは「裏個人番号」・「広義の個人番号」に該当し、つまり法的にマイナンバーと同等のものであると考えるのが正しいことになります。

そのため、xIDをマイナンバー法9条が規定する税・社会保障・災害対応以外の目的の共通IDやデジタルIDなどに利用することはマイナンバー法9条違反となります。

そのため、xID社や、同社のxIDを共通ID・デジタルIDとして個人の特定に利用している加賀市、三田市、町田市や導入を計画中の渋谷区などの各自治体や、同社と業務提携して業務を行っている富士ソフト、LayerX、セブン銀行などは、直ちにxIDの利用や利用の計画を中止する必要があります。また、同様に、xIDやxIDと同等の共通IDをスーパーシティ構想などに利用しようと計画している国・自治体や事業者なども、xIDなどを共通ID・デジタルIDとして利用することはマイナンバー法9条違反となるので、計画などの再検討が必要です。

■参考文献
・宇賀克也『番号法の逐条解説』14頁、24頁、234頁、237頁
・水町雅子『Q&A番号法』56頁
・特定個人情報の漏えい事案等が発生した場合の対応について|個人情報保護委員会
・マイナンバー制度について|内閣府
・「株式会社リクルートキャリアに対する勧告等について」(令和元年12月4日)|個人情報保護委員会
・緊急速報:マイナンバー法の「裏番号」禁止規定、内閣法制局でまたもや大どんでん返しか|高木浩光@自宅の日記

■関連する記事
・LINEの個人情報事件に関するZホールディンクスの有識者委員会の最終報告書を読んでみた
・デジタル庁がサイト運用をSTUDIOに委託していることは行政機関個人情報保護法6条の安全確保に抵触しないのか考えた(追記あり)
・デジタル庁のプライバシーポリシーが個人情報保護法的にいろいろとひどい件(追記あり)-個人情報・公務の民間化
・デジタル庁の事務方トップに伊藤穣一氏との人事を考えた(追記あり)
・健康保険証のマイナンバーカードへの一体化でカルテや処方箋等の医療データがマイナンバーに連結されることを考えた
・文科省が小中学生の成績等をマイナンバーカードで一元管理することを考える-ビッグデータ・AIによる「教育の個別最適化」
・小中学校のタブレットの操作ログの分析により児童を評価することを個人情報保護法・憲法から考えた-AI・教育の平等・データによる人の選別
・JR東日本が防犯カメラ・顔認証技術により駅構内等の出所者や不審者等を監視することを個人情報保護法などから考えた
・令和2年改正の個人情報保護法ガイドラインQ&Aの「委託」の解説からTポイントのCCCの「他社データと組み合わせた個人情報の利用」を考えた-「委託の混ぜるな危険の問題」
・河野太郎大臣がTwitterで批判的なユーザーをブロックすることをトランプ氏の裁判例や憲法から考えたー表現の自由・全国民の代表(追記あり)
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング
・令和2年改正個人情報保護法ガイドラインのパブコメ結果を読んでみた(追記あり)-貸出履歴・閲覧履歴・プロファイリング・内閣府の意見
・欧州の情報自己決定権・コンピュータ基本権と日米の自己情報コントロール権
・リクルートなどの就活生の内定辞退予測データの販売を個人情報保護法・職安法的に考える
・トヨタのコネクテッドカーの車外画像データの自動運転システム開発等のための利用について個人情報保護法・独禁法・プライバシー権から考えた



































このエントリーをはてなブックマークに追加 mixiチェック

デジタル庁トップページ
1.デジタル庁のウェブサイト
9月1日から正式に発足したデジタル庁は、サイト作成や運用にSTUDIO株式会社というベンチャー企業の「コード不要」というSTUDIOというサービスを利用して同庁サイトの作成や運用を行っていますが、STUDIO社のプライバシーポリシーは個人情報保護法違反の部分があり、また同社の利用規約は「当社システムは高度な安全性はない」と明示しています。つまり、デジタル庁(および内閣IT戦略室)は厚労省のCOCOAの件などと同様に、委託先の選定等の安全確保措置を十分に実施していない行政機関個人情報保護法6条違反の可能性があります。

2.STUDIO社の利用規約
ITmediaニュースなどの報道によると、デジタル庁のサイトは、ベンチャー企業のSTUDIO株式会社のSTUDIOという「コード不要」なシステムで作成されているようです。同社サイトをみると、主に個人事業主や中小企業向けのサービスのようですが。「コード不要」とは、いかにも新しいものがお好きな平井大臣が好みそうなサービスですが、共同入札などの正式な手続きは経ているのでしょうか?
・デジタル庁発足 公式サイトにITエンジニアから反応続々「シンプル」「重い」「ロゴが丁寧」「苦労が見える」|ITmediaニュース

この点、ある方の9月1日のツイッターの投稿によると、デジタル庁のサイトの利用者のログやブラウザ情報、端末データなどの個人データはやはりSTUDIO社のサーバーに送信されているようであり、STUDIO社がデジタル庁サイトの運営を委託されていることは間違いないようです。

デジタル庁のサイトのサーバー

また、サイトを作成さえすればドメイン、サーバなどはS社が一括管理と説明されていますが、中央官庁サイトの安全管理措置などには十分対応できるのでしょうか。

スタジオ社
(STUDIO社サイトより)
https://studio.inc/

そこでSTUDIO社の利用規約をみると、IT企業の利用規約のよくあるパターンで、利用規約9条(保障・免責)の各号では「本サービスの利用による保障はしないし、責任も負わない」旨を明示しています。
・利用規約・プライバシーポリシー・特定商取引法上の表記|STUDIO

スタジオ1

とくに利用規約9条4項は、STUDIOのサービス・システムは「本サービスは高度の安全性が要求され…重大な損害が発生する用途には設計しておりません」と明示しています。中央官庁であるデジタル庁のサイトは、「高度な安全性」が必要だと思うのですが、これはまずいのではないでしょうか?
スタジオ社利用規約9条4項

この点、デジタル庁などの行政機関に適用される行政機関個人情報保護法6条は行政機関とその委託先に個人データの滅失・毀損・漏洩などが発生しないように安全確保措置を講じることを要求しています。

行政機関個人情報保護法6条
これを受けて、総務省総管情第84 号・平成 16 年9月14 日通知「行政機関の保有する個人情報の適切な管理のための措置に関する指針について(通知)」「第8 保有個人情報の提供及び業務の委託等」4項は、行政機関が委託を行う際は、委託先が安全確保の能力があることを事前に確認し、年1回以上の立入検査の実施、個人データの利用の制限や障害対応、秘密保持条項、障害対応、損害賠償、再委託の制限などを明記した契約書を締結しなければならない等と規定しています(岡村久道『個人情報保護法 第3版』430頁)。

総務省安全確保指針
・「行政機関の保有する個人情報の適切な管理のための措置に関する指針」及び「独立行政法人等の保有する個人情報の適切な管理のための措置に関する指針」の改正|総務省

にもかかわらず、利用規約において「当社のサービスは高度の安全性が要求される用途のためには設計されていない」と明記しているSTUDIO社にサービスやシステムの運用を委託しているということは、デジタル庁およびその前身の内閣IT戦略室は、個人データを取り扱う情報システムの委託について、委託先が安全確保の能力があることを事前に確認するなどの安全確保措置を十分に講じておらず、行政機関個人情報保護法6条および総務省「「行政機関の保有する個人情報の適切な管理のための措置に関する指針」第8第4項などに違反しているのではないでしょうか?

この点に関しては、コロナの接触確認アプリCOCOAのシステム開発の委託においても厚労省や内閣IT戦略室が杜撰な委託を行っていたことが発覚したばかりであり、また、今年春にはLINE社のLINEが個人情報や通信の秘密の杜撰な安全管理を行っており、かつLINE社が国・自治体に対して繰り返し「LINEの日本の個人データは日本のサーバーに保存されている」等と虚偽の説明を行い、国・自治体がこの説明を鵜呑みにして立入検査・実地検査などをしてLINE社が安全管理措置を本当に講じているかどうか確認を行わず、安全確保措置を講じていないという行政機関個人情報保護法6条などの違反などを行っていたことが発覚したばかりなのにです。

デジタル庁や内閣IT戦略室などは、高度な法令順守・コンプライアンスが要求される国の機関であるにもかかわらず、このような度重なる行政機関個人情報保護法6条の違反を漫然と繰り返していることは、「法の支配」や法治主義、「法律による行政の原則」、「法律による行政の民主的コントロールの原則」(憲法41条、65条、76条)の観点から非常に問題なのではないでしょうか。国・行政がコンプライアンス意識を無くし、憲法や法律を無視するようになっては、国民から選挙で選ばれた国会の法律で行政を民主的にコントロールしようという議会制民主主義が破綻してしまいます。

総務省や個人情報保護委員会などは、デジタル庁や内閣IT戦略室などに対して法律を守れと指導・勧告等を実施すべきではないでしょうか。

3.STUDIO社のプライバシーポリシー
なお、STUDIO社のプライバシーポリシーについても簡単にみてみると、利用者のcookieや端末情報、操作ログなどの個人データを収集・利用するとあるのはある意味当然ですが、STUDIO社はプライバシーポリシー6条で、それらの個人データの共同利用(個人情報保護法23条5項3号)を行うとしているのに、共同利用を行う者の範囲、利用される個人データの項目、共同利用の利用目的などが同社サイトにどこにも明示されてないのは個人情報保護法23条5項3号違反です(岡村久道『個人情報保護法 第3版』264頁)。

スタジオプライバシーポリシー共同利用

また、STUDIO社のプライバシーポリシー9条は、開示・削除・利用停止等の請求の手続や手数料などについては「当社が別途定める所定の方式により」としていますが、肝心のこの別記がサイト上にどこにも掲載されてないのは、個人情報保護法27条1項3号違反です(岡村・前掲295頁)。個人情報保護委員会はSTUDIO社やデジタル庁などに対して指導・勧告などを実施すべきではないでしょうか(法40条、41条、42条)。

このようにSTUDIO社は、プライバシーポリシーについても個人情報保護法違反が複数存在します。同社にサイトの作成や運用を委託したデジタル庁・内閣IT戦略室が委託先の選定などの安全確保措置に関していかに杜撰であるかがここにも見受けられます。

デジタル庁は日本の国・自治体のデジタル行政を所管する官庁のはずなのに、行政機関個人情報保護法や個人情報保護法などの法律の素人しか存在しないのでしょうか?それ以前に国の官庁なのに法令を遵守して業務を行おうというコンプライアンス意識が非常に低いように見受けられるのは非常に心配です。

個人情報保護法は「個人情報の有用性に配慮しつつ、個人の権利利益を保護」(法1条)とし、また「個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべき」(法3条)との立法目的・趣旨を明記しています。

国・自治体のデジタル化は重要です。しかし、国民の個人の尊重と基本的人権の確立(憲法13条)と、「個人の権利利益を保護」、「個人の人格尊重の理念」(個人情報保護法1条、3条)、つまり国民の人権保障という憲法や個人情報保護法の基本理念を大原則として、デジタル庁はコンプライアンス意識を持ってデジタル行政を企画立案、実施していただきたいと思います。

デジタル庁は民間のITスタートアップ企業ではなく、国の行政官庁であり、その大臣や職員は公務の中立性・公平性とともに法令順守が要求され(国家公務員法96条1項、98条1項、憲法15条2項)、憲法尊重擁護義務(憲法99条)を負うのですから。

■追記(9月4日)
9月3日のマスメディア各社の報道によると、デジタル庁デジタル監の石倉洋子氏が、画像素材サイト「PIXTA」の複数の画像を、同サイトから購入せずに自身のウェブサイトに勝手に掲載していたとのことです。同サイトからの申し出に対して石倉氏はこの事実を認め、自身のサイトを閉鎖したとのことです。これにはさすがに呆れてしまいました。

1630756714318
(石倉洋子氏のTwitterより)

石倉氏は経営学者であり、ITや情報法などの専門家ではないが、2000年代からTwitterやFacebookなどを利用しておりITリテラシーの高い人物である」と、石倉氏を高く評価する投稿が9月になってからTwitter上で多く見られたところですが、画像素材サイトの画像を購入せずに勝手にパクって自分のサイトに掲載するとは、石倉氏の「ITリテラシー」は最低です。

デジタル庁は国・自治体のデジタル政策を担う官庁であり、その業務のためには、ITの知識やノウハウだけでなく、著作権法などの知的財産権法や個人情報保護法制や憲法、行政法、独禁法や消費者法などの法律知識は必須のはずですが、事務方トップの石倉氏はこのような素人レベルな法律知識で、デジタル庁の役職員の業務に違法・不当がないか監督できるのでしょうか? 多いに疑問です。

平井大臣の特定企業との癒着の問題や、NECを「徹底的に干せ」「脅せ」などとヤクザのような暴言を吐いていた問題や、アメリカの性犯罪者の富豪から多額の寄付金を受けていた伊藤譲一氏のデジタル監の人事の問題など、デジタル庁や菅政権はとにかく憲法や法律・モラルを遵守しようというコンプライアンス意識が致命的に欠落しています。

デジタル庁は、デジタル行政の業務を始める前に、まずは大臣やデジタル監をはじめとする全役職員が、憲法や国家公務員法、国家公務員倫理法や、個人情報保護法、知的財産権法、独占禁止法などの法令の基礎に関する全庁的なコンプライアンス研修を実施すべきではないでしょうか。

このままでは、デジタル庁は、役職員が「法令を守っていては日本は潰れる」などと嘯いて官民のデジタル利権を牛耳って、中抜きで私腹を肥やす経済マフィアのような組織になっていまいます。

■追記・デジタル庁ナンバー3の岡下昌平・デジタル大臣政務官が違法Youtuberであることが発覚(9月30日)
nukalumix様「畳之下新聞」の9月30日付の記事「(逃走中) 違法Youtuber が #デジタル庁 ナンバー3 の大臣政務官 という地獄」によると、デジタル庁ナンバー3岡下昌平・デジタル大臣政務官が、自身のYouTubeチャンネル「おかしょうちゃんねる堺」において、ABEMAなどの動画を切り取り、自身のYouTubeチャンネルにアップロードするなどの著作権法違反の行為を繰り返していたことが発覚したとのことです(自動公衆送信権(著作権法23条1項)の侵害)。
・(逃走中) 違法Youtuber が #デジタル庁 ナンバー3 の大臣政務官 という地獄|畳之下新聞

おかしょうちゃんねる堺
(岡下昌平氏の「おかしょうちゃんねる堺」より)

デジタル庁は、上から下まで法令無視のアウトローの人間しかいないのでしょうか。呆れてしまいます。このような無法者集団がデジタル行政を行っては、日本の官民のデジタル部門やIT業界などは、法律無視が当たり前で、腕力や発言力、経済力、政治力が強い人間が幅を利かす原始時代のような世界になってしまうような気がします。

■関連する記事
・デジタル庁の事務方トップに伊藤穣一氏との人事を考えた(追記あり)
・デジタル庁のプライバシーポリシーが個人情報保護法的にいろいろとひどい件(追記あり)-個人情報・公務の民間化
・西村大臣の酒類販売事業者や金融機関に酒類提供を続ける飲食店との取引停止を求める方針を憲法・法律的に考えた
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた
・LINEの個人情報事件に関する有識者委員会の第一次報告書をZホールディンクスが公表
・新型コロナの接触確認(感染追跡)アプリ(COCOA)の内閣府の仕様書を読んでみた
・コロナ禍の緊急事態宣言で国民の私権制限をできないのは憲法に緊急事態条項がないからとの主張を考えた

■参考文献
・岡村久道『個人情報保護法 第3版』264頁、295頁、430頁
・宇賀克也『個人情報保護法の逐条解説 第6版』179頁、432頁



















このエントリーをはてなブックマークに追加 mixiチェック

政府は、デジタル庁事務方トップの「デジタル監」に実業家の伊藤穣一氏をすえる方針というニュースが大きな話題となっています。

伊藤穣一氏
(ANNニュースより)
・デジタル庁事務方トップに伊藤穰一氏 政府最終調整|ANNニュース

伊藤氏は、2019年に買春・未成年性的虐待で有罪判決を受けた米の富豪ジェフリー・エプスタイン氏などから8億円を超える寄付を受け取っていたことが発覚し、MITメディアラボ所長を辞任したばかりのいわくつきの人物です。
・人身売買容疑の大富豪との関係は…伊藤穰一氏がMITメディアラボの所長を辞任

公務員については、「すべての公務員は、全体の奉仕者であって、一部の奉仕者ではない」憲法15条2項に明記され、また「すべて職員は、国民全体の奉仕者として、公共の利益のために勤務し、且つ、職務の遂行に当っては、全力を挙げてこれに専念しなければならない。」国家公務員法96条1項に規定されるように、公務員や国・行政には、公平・中立性、公益性などが憲法や法律上、要求されます。

憲法
第15条2項
すべての公務員は、全体の奉仕者であって、一部の奉仕者ではない

国家公務員法
第96条1項
すべて職員は、国民全体の奉仕者として、公共の利益のために勤務し、且つ、職務の遂行に当っては、全力を挙げてこれに専念しなければならない。

それを受けて、国家公務員倫理法および人事院の国家公務員倫理程は、「利害関係者から金銭、物品又は不動産の贈与を受けること」、「利害関係者から供応接待を受けること」などを禁止しています(規程3条1号、6号、法6条)。

国家公務員倫理規程
(禁止行為)
第3条 職員は、次に掲げる行為を行ってはならない。
 利害関係者から金銭、物品又は不動産の贈与(せん別、祝儀、香典又は供花その他これらに類するものとしてされるものを含む。)を受けること。
 利害関係者から供応接待を受けること。

さらに、デジタル庁サイトをみると、「デジタル社会形成の10原則」として、「1.オープン・透明」「2.公平・倫理」などの大変立派な原則が掲げられています。

デジタル庁の10原則
デジタル庁サイトより)

このように、公務員国・自治体などの行政には、公平性・中立性・公益性高度な職業倫理が憲法や法令上要求されます。

この点、8億円を超える巨額の寄付を性犯罪などで悪名高い富豪から受け取り、アメリカのMITの要職を辞任したという不祥事の経歴のある伊藤氏は、公平性・中立性・公益性や高度な職業倫理が憲法や法令上要求される行政官庁であるデジタル庁の要職には、あまりにもふさわしくないのではないでしょうか。

また、デジタル庁の事務方トップに伊藤氏を据えようとしている、平井大臣菅首相ら政府与党の幹部達は、同様に憲法や法令が要求する公平性・中立性・公益性の意識や、公務を行うための高い職業倫理が欠落しているのではないでしょうか。

平井大臣はNECについて「徹底的に干せ」「脅しておけ」などと部下の官僚に発言していたことが発覚した問題や、東京大学工学系研究科の松尾豊教授の関連企業との癒着や脱税の問題などが報道され、最近、税務申告の修正を行うなど、疑惑の渦中にあります。

・平井デジタル相に資産公開法違反の疑い “五輪アプリ受注”の親密ITグループの株を不記載|文春オンライン

また、デジタル庁幹部の向井治紀室長代理も、NTTから違法な接待を何回も受けていたことが発覚したばかりです。

9月から発足するデジタル庁そのものも、民間IT企業から数百人規模の人材を職員として受け入れる等、特定の民間企業との癒着のおそれなど、中央官庁の公平性・中立性・透明性が大いに疑問視されています。

今年春に国会でデジタル関連法とセットで成立した、官民の個人情報保護法制の一元化のための法改正も、例えば全国の自治体のこれまでの個人情報保護条例を廃止させ、国の定めるモデルに一元化するなど、権力分立により国民・住民の人権保障を行うという地方自治・団体自治(憲法92条、94条)に抵触するなど、憲法レベルの問題をはらんでいます。

同時にデジタル関連法とセットで成立した改正マイナンバー法も、看護師などの国家資格保有者の個人情報をマイナンバーで国が一元管理することを可能にするなど、政府による国民の個人情報やプライバシーの管理・監視がますます推進される内容となっています。

・【デジタル関連法案】自治体の個人情報保護条例の国の個人情報保護法への統一化・看護師など国家資格保有者の個人情報の国の管理について考えた

あるいは最近も、東京オリンピック・パラリンピックに関連して、森喜朗氏小山田圭吾氏小林賢太郎氏など幹部達が、相次いで差別問題・人権問題などで辞任・解任されており、国や国周辺の公務の公平性・中立性や倫理感、コンプライアンス意識の欠如が大きな問題となっています。

そのようななか、不祥事の経歴のある伊藤穣一氏を、疑惑をもたれているデジタル庁の事務方トップにすえようという菅政権の人事は、疑念の上に疑念を重ねるものなのではないでしょうか。デジタル庁や国のデジタル行政に対する国民の信頼さらに低下するのではないでしょうか。政府与党はこの人事の再検討や、デジタル庁のあり方の再検討を行うべきではないでしょうか。

■追記(8月11日)
伊藤穣一氏は2003年には住基ネットに関する長野県の侵入実験を実施するなど、当時、インターネットの専門家として住基ネットの反対運動を主導する有識者の一人であったそうです。
・長野県の住基ネット侵入実験、結果はクロ!|日経
・長野県が住基ネットへの侵入実験の結果を公表|INTERNET Watch

住基ネットはマイナンバー制度の前身ともいうべきものであり、マイナンバー制度の推進などを任務とするデジタル庁の事務方トップに、かつて住基ネットの反対運動を主導していた人物をあてるというのは、非常に矛盾しています。このような人物を幹部にすえて大丈夫なのでしょうか。

9月からの正式な設置の前に問題点や不祥事が次々と明らかになっているデジタル庁ですが、国の中央官庁として本当に大丈夫なのだろうかと、国民の一人としては心配な思いです。

ネット上のニュースなどをみていると、政府の要職の人間を採用する際には身元調査などが行われるそうですが、伊藤穣一氏のアメリカでの不祥事については内閣調査室などが承知していなかったとのことであり、日本の政府やデジタル庁などの情報収集能力リスク管理能力の低さが大いに気になります。

■追記(8月18日・8月29日)
報道によると、8月18日、政府は伊藤譲一氏をデジタル庁のデジタル監とする人事を撤回したとのことです。
・デジタル監、伊藤穣一氏見送り 政府|時事通信

また、8月26日のマスメディアの報道によると、政府はデジタル庁のデジタル監に一橋大学名誉教授の石倉洋子氏をあてる方針とのことです。しかし石倉氏はITや情報法、行政法などの専門家ではなく、経営学の学者であるそうです。この人事も伊藤氏同様に、よくわかりません。デジタル庁は民間ITスタートアップの起業の指南でもするつもりなのでしょうか?

さらに最近、デジタル庁はnoteのドメインも急に変更しましたが、旧ドメインから新ドメインへのリダイレクトがなされないこと等にもネット上で批判が殺到しています。また、デジタル庁のプライバシーポリシーが個人情報保護法制的に素人レベルであることは、このブログでも取り上げた通りです。

デジタル庁は国・自治体のデジタル行政の企画立案を担う官庁であり、民間IT企業から数百人規模の優秀な人材を中途採用したはずですが、個人情報保護法制など法律の知識や、ITや情報セキュリティなどの技術面についても素人レベルなのでしょうか?

デジタル庁のキャッチコピーは「誰一人取り残さないデジタル庁」だそうですが、9月の設立前からこんな不祥事続きの状況では、「国民誰からも相手にされない三流官庁のデジタル庁」になってしまいそうで心配です。

■追記・デジタル庁ナンバー3の岡下昌平・デジタル大臣政務官が違法Youtuberであることが発覚(9月30日)
伊藤穣一氏にかわってデジタル庁のナンバー2のデジタル監に就任した石倉洋子・一橋大学名誉教授が、画像素材サイトの画像などを対価を支払わずに無断で自身のウェブサイトに多数使用していたことが9月頭に発覚し、石倉氏も平井大臣や伊藤穣一氏らのご同類の無法者であることが発覚しました。

ところがさらに、nukalumix様「畳之下新聞」の9月30日付の記事「(逃走中) 違法Youtuber が #デジタル庁 ナンバー3 の大臣政務官 という地獄」によると、デジタル庁ナンバー3岡下昌平・デジタル大臣政務官が、自身のYouTubeチャンネル「おかしょうちゃんねる堺」において、ABEMAなどの動画を切り取り、自身のYouTubeチャンネルにアップロードするなどの著作権法違反の行為を繰り返していたことが発覚したとのことです(自動公衆送信権(著作権法23条)の侵害)。
・(逃走中) 違法Youtuber が #デジタル庁 ナンバー3 の大臣政務官 という地獄|畳之下新聞

デジタル庁は、上も下も法令無視のアウトローの人間しかいないのでしょうか。呆れてしまいます。このような無法者集団がデジタル行政を行っては、日本の官民のデジタル部門やIT業界などは、違法状態が当たり前で、腕力や発言力、経済力、政治力が強い人間が幅を利かす原始時代のようになってしまうような気がします。

■関連する記事
・デジタル庁のプライバシーポリシーが個人情報保護法的にいろいろとひどい件-個人情報・公務の民間化
・コロナ対策のために患者の入院制限を行う菅内閣の新方針について考えた
・【デジタル関連法案】自治体の個人情報保護条例の国の個人情報保護法への統一化・看護師など国家資格保有者の個人情報の国の管理について考えた
・【マイナンバー】健康保険証のマイナンバーカードへの一体化でカルテや処方箋等の医療データがマイナンバーに連結されることを考えた
・ドイツで警察が国民のPC等をマルウェア等で監視するためにIT企業に協力させる法案が準備中-欧州の情報自己決定権と日米の自己情報コントロール権
・令和2年改正個人情報保護法ガイドラインのパブコメ結果を読んでみた-貸出履歴・閲覧履歴・プロファイリング
・東京オリンピック開会式トップのディレクター・小林賢太郎氏の解任と中山泰秀氏の件を考えた
・西村大臣の酒類販売事業者や金融機関に酒類提供を続ける飲食店との取引停止を求める方針を憲法・法律的に考えた
・「法の支配」と「法治主義」-ぱうぜ先生と池田信夫氏の論争(?)について考えた

















このエントリーをはてなブックマークに追加 mixiチェック

デジタル庁トップ
5月12日にデジタル関連法案が参議院で可決・成立したことを受けて、デジタル庁が早々とウェブサイトを作成したようです。また、デジタル庁が最近いろいろと物議を醸しているnoteを使った宣伝活動を開始したことが早くも炎上しているようです。

・デジタル庁サイト

・デジタル庁「noteはじめました」→ドメインが「.go.jp」であることの問題点を高木浩光先生が指摘|togetter

そこで、デジタル庁のサイトを私もみてみました。

ざっとみると、現在のデジタル庁サイトは、①情報発信の業務と、②国民からの意見・要望募集の業務、③新卒・中途の職員の採用業務の3つをメインに行っているようです。

そこで、プライバシーポリシーを見てみると・・・

デジタル庁プラポリ1

条文形式にすらなっていないのが気になります。どこかのオシャレなITベンチャー企業のプレスリリースをコピペしてきたのでしょうか?文章も素人臭い感じで、本当に内閣IT推進室などの霞が関の個人情報保護法や情報セキュリティの専門家のエリート官僚達が作っているのか少し心配になってきます。

プライバシーポリシー(プラポリ)の内容としても、気になる点がいくつかあります。
第一に、このデジタル庁サイトは上でみた①から③までの業務・サービスを行っているのですが、「2.収集する情報の範囲」は、収集する個人情報を、「お問い合わせの種別、お名前、メールアドレス」と、「ご意見・ご要望」に関する個人情報しか記載されていません。

デジタル庁プラポリ2

しかし、デジタル庁サイトは新卒・中途の職員採用業務も実施しており、またプラポリの「3.利用目的」では、「当ウェブサイトが提供するサービスを円滑に運営するための参考として利用」するとも記載されています。

そのため、採用活動でやり取りする、就活生・求職者の氏名、試験区分、参加希望日時、参加希望形式などの個人情報・個人データなども「収集する情報の範囲」に明記するべきです。

デジタル庁プラポリ3

また、「当ウェブサイト運営の参考」のための、ウェブサイト閲覧者のIPアドレス、デバイスの種類、OSの詳細、ブラウザの詳細、サイト閲覧履歴などの個人情報・個人データ・個人関連情報も収集していることを明記すべきです。

第二に、プラポリ「3.利用目的」には、個人情報は、①「当ウェブサイト運営の参考のため」と②「ご意見・ご要望」を今後の政策立案の参考にし、関係府省に第三者提供することの2点しか明記されていません。

しかしデジタル庁サイトは採用活動も行っているのですから、「3.利用目的」に「新卒・中途の採用活動」に関しても個人情報・個人データを利用していることを明記すべきです。

第三に、「4.利用及び提供の制限」やっつけ仕事というか、いい加減です。

デジタル庁プラポリ5

まず冒頭が「当室では」とありますが、主体はデジタル庁であって内閣IT推進室ではないのですから、これは明らかに誤字脱字でしょう。(世の中に公開するプライバシーポリシーなのに、しかも官庁のプライバシーポリシーなのにダブルチェックや上の人の決裁などを受けていない文章なのでしょうか?)

また、法令に基づく開示要請があった場合、不正アクセス脅迫等の違反行為があった場合その他特別の理由のある場合を除き…3の利用目的外に自ら利用し、又は第三者に提供しません」とあります。(ここは完全に素人臭い文章で、官僚なら職場で叩き込まれているはずの法律知識や法令用語の使い方を無視しているので、おそらくどこかの零細ITベンチャー企業などのプラポリをコピペしているのだろうと思われます。)

この部分については、例えば現在はまだデジタル庁に適用される行政機関個人情報保護法の8条1項はつぎの各号の場合には、行政機関は個人情報を目的外利用・第三者提供することができると規定しています。

・「本人の同意があるとき」(1号)
・「行政機関が法令の定める所掌事務の遂行に必要な限度で保有個人情報を内部で利用する場合であって、当該保有個人情報を利用することについて相当な理由のあるとき」(2号)
・「他の行政機関(略)に保有個人情報を提供する場合において、保有個人情報の提供を受ける者が、法令の定める事務又は業務の遂行に必要な限度で提供に係る個人情報を利用し、かつ、当該個人情報を利用することについて相当な理由のあるとき」(3号)
・「学術研究の目的・統計利用の目的」(4号)

しかしデジタル庁のプライバシーポリシーが「4.利用及び提供の制限」でまったくこれらに触れていないのは、デジタル庁がIT・デジタル化や個人情報・マイナンバーや情報セキュリティが所管業務であるのに、その役職員が個人情報保護法制などのまったくのド素人なのか、あるいは最初から法律や社会常識などをはなから守るつもりがないのか、よくわからないところです。

第四に、せっかくプライバシーポリシーを作ったのに、国民・利用者が開示・訂正・削除などの請求をするための手続きやそのための手数料などを明記していない点も非常に疑問です。この点も、完全にド素人の作成したプライバシーポリシーであることを伺わせます。(なお、行政機関は必ず手数料を設定しなければならないと規定されています(行個法28条)。)

第五に、「5.安全確保の措置」では、ここでも冒頭の「当室」が誤字脱字で、その内容も、デジタル庁自身の安全確保措置と、個人データの取扱の委託先に対する監督については一応明記がありますが、デジタル庁の役職員に対する監督や、役職員の守秘義務が記載されていないのも法的にどうなのかと思います(行個法6条、7条)。

また、デジタル庁のプライバシーポリシーにおいては、個人情報の事務の委託先や、第三者提供先がまったく明らかになっていません。これでは国民・利用者は、自分の個人情報がどこに行くのか予測することがまったくできません。

少し前には、LINEの個人情報の問題が大炎上しました。しかしデジタル庁のプライバシーポリシーは、LINEのプライバシーポリシーの足元にもおよばないレベルです。またデジタル庁はnoteでしきりに「透明性」を宣伝しているようですが、自庁の個人情報の取扱の段階で「透明性」がまったく看板倒れとなっています。

これはITやデジタルに関する中央官庁なのに本当に許されるのでしょうか?日本は民主主義国家であり、行政部門の暴走や独断専行を防ぐために、国民から選択された議員による国会で作られた法律を、行政は守らなければなりません(「法律による行政の原則」「行政の法律による民主的統制の原則」)。内閣IT推進室でデジタル庁設立のために働いている官僚の人々は、たとえ理系の方であったとしても、国家公務員試験の憲法・政治学などの科目でこれくらいは勉強しているはずなのに、デジタル庁のプラポリのグデグデな状況は非常に謎です。

5月12日のデジタル関連法案の成立により、今後はデジタル庁などの行政機関についても、個人情報に関する事柄については、個人情報保護委員会の監督下になるそうなので、個人情報保護委員会は、一足早く、このデジタル庁のツッコミどころ満載のプライバシーポリシーと、同庁の情報管理の実務について行政指導などを実施すべきなのではないでしょうか?

なお、Twitterでみかけた次のようなIT企業の社長さんらしき方のツイートによると、デジタル庁に採用されたIT企業の従業員は、出向などでなく、デジタル庁とその民間企業に両方勤務する掛け持ち状態になるようです。しかしそのような状態は、利益相反やデジタル庁職員としての守秘義務、さらにはデジタル庁と特定企業との癒着などの問題は大丈夫なのでしょうか?

デジタル庁は組織や人員という観点からも非常に「ブラックボックス」的であって「透明性」がまったく欠如しているように思われます。

E1NCzW1VEAAlx9q

行政庁や公務員は憲法に定められた国民福祉(25条)基本的人権(11条)などの実現のために働く機関であり、そこで働く人々です。そのためその業務には公共性・公平性・中立性が要求されます。つまり公務員は一部の国民や特定の業界・業種のために働くのではなく、日本の全ての国民のために働く職業(15条2項・「公務員は一部の奉仕者でなく全体の奉仕者」)なのですから、デジタル庁やその役職員がIT企業や製薬会社、自動車メーカーなど特定の企業・業界のために便宜を図ることは許されません。

国家公務員法も、「すべて職員は、国民全体の奉仕者として、公共の利益のために勤務」しなければならないと規定(96条1項)し、国家公務員は業務に関して守秘義務を負い(100条)、さらに国家公務員は営利企業の職員を兼務したり、営利企業を経営することが禁止されています(103条・私企業からの隔離

デジタル関連法案などの法改正で、これらの点の手当が一応なされているのかもしれませんが、「日本社会をデジタル化する」「そのために民間企業などのITエンジニアを大量にデジタル庁に中途採用する」というデジタル庁そのものが、本当に公共機関である国が主体となって行うべきものなのか、あるいは民間の職員を大量に採用して公務員に代用するという手法が、公共機関である官庁のやり方として本当に正しいのか、大いに疑問です。

2000年頃から日本でも始まった、新自由主義の政府・与党による「政治主導」「行政改革」「規制緩和」「官から民へ」の政策は、国・自治体の職員の削減・非正規化、指定管理者制度、PFIなどさまざまな形でわが国の公の部門をやせ細らせ、憲法が国民に保障する、本来国民が享受できたはずのさまざまな「福利」、つまり社会保障や社会権をやせ細らせてきました(晴山一穂『現代国家と行政法学の課題』161頁)。今回のコロナ禍における日本全国の医療崩壊、1万人を超える死者などはその典型例であると思われます。

「日本社会をデジタル化」するために、それを主導する公的機関を、民間の人員を動員して行政庁ではなく「スタートアップ企業」的な「民間IT企業的な組織」とすることは、このような「官から民へ」の新たな形態であるように思えます。しかしそれは、上でみたような憲法や国家公務員法の趣旨や基本原則を大きく逸脱しているのではないかと思われます。

■追記(9月1日)
9月1日となり、デジタル庁の発足を受け、同庁サイトもリニューアルされています。そこでプライバシーポリシーをざっと読んでみたのですが、「当室」との単語が「デジタル庁」に変わった以外は変更はないようです。デジタル行政を所管するデジタル庁には、個人情報保護法制の素人しかいないのでしょうか? 国民の一人としては非常に心配です。

■関連する記事
・健康保険証のマイナンバーカードへの一体化でカルテや処方箋等の医療データがマイナンバーに連結されることを考えた
・【デジタル関連法案】自治体の個人情報保護条例の国の個人情報保護法への統一化・看護師など国家資格保有者の個人情報の国の管理について考えた
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた
・海老名市立中央“ツタヤ”図書館に行ってみた/#公設ツタヤ問題
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた-個人情報・プライバシー・労働法・GDPR
・警察庁のSNSをAI解析して人物相関図を作成する捜査システムを法的に考えた-プライバシー・表現の自由・GPS捜査・AIによる自動処理決定拒否権

■参考文献
・岡村久道『個人情報保護法 第3版』423頁、434頁
・晴山一穂『現代国家と行政法学の課題』161頁















このエントリーをはてなブックマークに追加 mixiチェック

display_monitor_computer
1.はじめに
デジタル関連法案が2021年の国会で審議中です。ところが、そのなかの個人情報保護法の改正法案の内容が非常にひどいことに驚いてしまいました。今回の個人情報保護法改正の目玉は、個人情報保護法と行政機関個人情報保護法・独立行政法人個人情報保護法の統一化地方自治体の個人情報保護条例の個人情報保護法への統一化学術研究開発機関における個人情報の取扱の明確化などとなっていますが、とくに研究開発機関に関する改正法案の条文を読むと、政府・与党の「デジタル至上主義」、「研究開発至上主義・経済至上主義」があまりにも露骨となっています。

・「デジタル社会の形成を図るための関係法律の整備に関する法律案」の閣議決定について|個人情報保護委員会
・新旧対照表|個人情報保護委員会
デジタル関連法案の概要
(デジタル関連法案の概要。個人情報保護委員会サイトより)

2.学術研究機関は本人の同意のない個人情報の目的外利用が可能となる
2021年の個人情報保護法改正法案では、学術研究機関は本人の同意なしに個人情報の目的外利用(改正法18条)が可能となってしまっています。

改正法案16条8項は、学術研究機関について、「この章において、「学術研究機関等」とは、大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいう」と幅広に定義しています。

そのため、この条文を読む限り、大学などに限らず、およそ学術研究的な業務を行う団体やそれに所属する人間は、この「学術研究機関等」に該当してしまうように読めます。つまり、「〇〇の研究開発」という業務目的を定款の業務目的の一部にでも規定さえしておけば、民間企業であっても、この「学術研究機関等」に該当してしまうように思われます。

2021年改正個人情報保護法目的外利用

現行法16条1項は、「個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。」と規定し、事業者は個人情報をプライバシーポリシーなどであらかじめ公表している利用目的を超えて、本人の同意なしに利用することを禁止しています(目的外利用の禁止)。

ところが、改正法案18条3項5号、6号の新設条文は、個人情報取扱事業者が学術研究機関である場合(5号)や、一般の事業者が学術研究機関に個人情報を提供する場合(6号)には、目的外利用の禁止の条文の適用外とすると規定しています。つまり、個人情報取扱事業者が学術研究機関である場合や、一般の事業者が学術研究機関に個人情報を提供する場合には、本人の同意のない目的外利用を許すとなってしまっています。

なお、この改正法案18条3項5号、6号はかっこ書きのなかに、一応、「個人の権利利益を不当に侵害する場合を除く」という一文をおいています。個人情報保護法は3条で「個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきもの」と規定し、同1条は「個人の権利利益を保護」と規定しています。そのため、この「個人の権利利益」とは、憲法13条に基づくプライバシー権、自己情報コントロール権などが含まれると思われます(宇賀克也『個人情報保護法の逐条解説 第6版』32頁)。

この点、ベネッセ個人情報漏洩事件に関する最高裁平成29年10月23日判決は、ベネッセの安全管理措置違反による顧客のプライバシー権侵害による不法行為責任(民法709条)を認めています。

ところで、2019年の就活生の内定辞退予測データの販売のリクナビ事件を受けて、2020年の個人情報保護法改正では、「個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。」との不適正利用禁止の条文が新設されました(16条の2)。

この不適正利用禁止の規定に関するガイドライン制定のための資料において、個人情報保護委員会は、同規定の趣旨・目的は、「個人の権利利益の保護」であるとしつつも、「法目的に照らして看過できないような相当程度悪質なケースを念頭において規定」と、消極的な見解を示しています。

・改正法に関連するガイドライン等の整備に向けた論点について(不適正利用の禁止) |個人情報保護委員会

2021年改正の改正法案18条3項5号、6号に関するガイドラインが制定されるのはまだ先の話です。国民の「個人の権利利益の保護」について、個人の側から見て積極的なガイドラインが策定されるかもしれませんが、個人情報保護委員会の大企業寄りの姿勢をみると、消極的なものにとどまるかもしれません。

3.学術研究機関は本人の同意のない要配慮個人情報の収集が可能となる
病院で医師が患者を診察して作成したカルテ情報、処方箋情報、検査結果などの医療データ個人の思想・信条や内心にかかわる情報人種、社会的身分、犯罪歴などの社会的差別の原因のおそれのある個人情報など、いわゆるセンシティブ情報は2017年の法改正で「要配慮個人情報」と定義されました(法2条3項)。

そして、法17条2項は、たとえば患者が意識不明の状態で病院に救急搬送されたような場合など、公衆衛生のために必要で本人の意思を確認することが困難なときなど以外の場合は、あらかじめ本人の同意なしに事業者が要配慮個人情報を収集することを禁止しています。

ところが、2021年の個人情報保護法改正法案では、学術研究機関は本人の同意なしに要配慮個人情報の収集が可能(改正法案20条)となってしまっています。

つまり、法17条2項に対応した改正法案20条2項は、「次に掲げる場合のほか、本人の同意なしに要配慮個人情報の収集をしてはならない」の「次に掲げる場合」として、同条同項5号から7号において、個人情報取扱事業者が学術研究機関等である場合を列挙しているのです。

2021年改正個人情報保護法要配慮個人情報保護法

なお、改正法案20条2項5号から7号は、「個人の権利利益を不当に侵害する場合を除く」という規定を置いているのは上と同様の論点です。

4.学術研究機関は本人の同意のない個人情報の第三者提供が可能となる
また改正法案27条1項5号から7号までは、これも第三者提供には本人の同意が必要とする原則(現行法23条1項)の例外規定として、学術研究機関が研究目的で個人情報を利用する場合は、本人の同意なしに第三者提供を行うことができると規定してしまっています。

2021年改正個人情報保護法第三者提供


この改正法案27条1項5号から7号にも、上と同様に、「個人の権利利益を不当に侵害する場合を除く」との規定が置かれていますが、個人情報保護委員会がガイドラインなどでどのような場合が具体的にそれに該当すると示すかが注目されます。

5.学術研究機関は第三者提供の際の記録作成義務が免除される
2017年の個人情報保護法改正の際に、いわゆる名簿業者対策として、個人情報の第三者提供・個人情報の売買にトレーサビリティー(追跡可能性)を確保するために、事業者が個人情報の第三者提供を行う場合には、提供先の名称や提供年月日などの第三者提供の記録の作成義務が新設されました(現行法25条)。

しかし、改正法案29条ただし書きは、「ただし、個人データの提供が、第27条1項各号(=学術研究機関の第三者提供の場合)…に該当する場合には、この限りではない」と規定し、学術研究機関の個人情報の第三者提供の場合には、記録の作成義務を免除してしまっています。

2021年改正個人情報保護法第三者提供の記録の作成

6.学術研究機関はcookie・サイト閲覧履歴など個人関連情報の第三者提供の際の確認義務が免除される
上でみた2019年の就活生の内定辞退予測データの販売が問題となったリクナビ事件においては、cookieやサイト閲覧履歴などの、それ単体では個人を識別できない情報・データであるが、その情報・データをリクルートキャリアなどの事業者からトヨタなどの求人企業が売買により第三者提供を受けることによって、社内で他のデータと照合するなどして、就活生の内定辞退予測データを活用し、就活生の採用の合否を決めるという、就活生の情報を就活生の意思や利益に明らかに反する形で利用する、個人情報保護法の抜け道を迂回するような脱法的な手法が大きな社会問題となりました。

このリクナビ事件を受けて、2020年の個人情報保護法改正では、cookieやサイト閲覧履歴などの情報・データを「個人関連情報」と定義し、「事業者は、第三者が個人関連情報を個人データとして取得することが想定されるときには、次に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない」と、個人関連情報の第三者提供の制限規定が新設されました(2020年改正法26条の2)。

ところが、この個人関連情報の第三者提供の制限に関しても、今回の改正法は、つぎのように学術研究機関に対して除外規定を設けてしまっています。

「個人情報取扱事業者は、第三者が個人関連情報を個人データとして取得することが想定されるとき第27条1項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない」

2021年改正個人情報保護法個人関連情報の第三者提供

この「第27条1項各号に掲げる場合」とは、上でみたように、学術研究機関等が個人情報を第三者提供する場合のことです。

つまり、学術研究機関が関わる第三者提供に関しては、cookieやサイト閲覧履歴などの個人関連情報を、データの本人の意思や利益に反するように第三者提供しても、個人情報保護法上は問題がないということになってしまいます。これは個人情報保護法の先祖返りとしかいいようがありません。法目的の「個人の権利利益の保護」「個人の人格尊重の理念」(法1条、3条)は一体どこに行ってしまったのでしょうか。

7.まとめ
このように、コロナ禍で国民の関心が削がれていることをいいことに、内閣IT戦略室、デジタル庁、個人情報保護委員会はデジタル関連法案、個人情報保護法改正法案においてやりたい放題の状況です。

上でみたように、とくに学術研究機関等は、本人の同意のない要配慮個人情報の収集が許されることになり、また、学術研究機関等は、本人の同意なしに個人情報の目的外利用と第三者提供が可能となり、さらに第三者提供の際の記録作成義務も免除されてしまっています。

これでは、学術研究機関等が新たな名簿業者として、個人情報を法の網の目を逃れてやり取りするための新たなブラックボックスとなってしまうのではないでしょうか。

つまり、IT企業、製薬会社、自動車メーカーなどの研究開発を行う大企業に対しては、個人情報保護法の本人同意のない目的外利用の禁止・第三者提供の禁止・要配慮個人情報の取得禁止などの規制が骨抜きとなってしまうおそれがあります。

第三者提供の記録の作成義務が除外されるということは、IT企業、製薬会社、自動車メーカーなどに対して、個人情報保護委員会などが報告徴求や立入検査しても何もわからないということになりかねません。これは、国民の知る権利(憲法21条)や国民主権・民主主義(1条)の観点からも大問題なのではないかと思われます。

かつての20世紀の帝国主義時代の列強諸国や日本は、「国家は間違うはずがない」という国家無謬説の国家観に立った行政活動や立法が行われていました。この点、わが国の2021年の個人情報保護法改正法案やデジタル関連法案は、「自然科学は間違うはずがない、研究開発は間違うはずがない、自然科学による経済発展は間違うはずがない」という「科学技術無謬説」・「デジタル無謬説」あるいは「科学技術の発展による経済成長無謬説」に立脚しているように思えます。しかしそれは20世紀の帝国主義が悲惨な2度の世界大戦を招いたように、時代錯誤な考え方に思えます。

国家主義・全体主義の中国などとは異なり、日本は国民の個人の尊重と基本的人権の確立を国の目的とする近代憲法の自由主義・民主主義の国家です(憲法11条、97条)。にもかかわらず、国民の人権保障を放棄して国や経済界のエゴをむき出しにした感のある、デジタル至上主義、研究開発至上主義・経済至上主義の2021年の改正個人情報保護法は、わが国の憲法の趣旨そのものにも反しているように思われます。

大企業・国の経済的利益のための2021年の個人情報保護法改正は、国民の人権保障を重視するEUのGDPRなどの西側世界の個人データ保護法からどんどん乖離して、むしろ全体主義の中国などの個人情報保護法制に近づいてゆくように思われます。日本の個人情報保護法がEUのGDPRの十分性認定を取消しされる日も近いかもしれません。

■関連するブログ記事
・デジタル関連法案による、自治体の個人情報保護条例の国の個人情報保護法への統一化について
・リクルートなどの就活生の内定辞退予測データの販売を個人情報保護法・職安法的に考える

・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた
・健康保険証のマイナンバーカードへの一体化でカルテや処方箋等の医療データがマイナンバーに連結されることを考えた

・トヨタのコネクテッドカーの車外画像データの自動運転システム開発等のための利用について個人情報保護法・独禁法・プライバシー権から考えた

■参考文献
・宇賀克也『個人情報保護法の逐条解説 第6版』32頁、92頁
・佐脇紀代志『一問一答令和2年改正個人情報保護法』33頁、60頁
・EUがAIに包括規制案 世界で初、顔認証利用に事前審査も|日経新聞
・Europe fit for the Digital Age: Commission proposes new rules and actions for excellence and trust in Artificial Intelligence|European Union







このエントリーをはてなブックマークに追加 mixiチェック

↑このページのトップヘ