なか2656のblog

とある会社の社員が、法律などをできるだけわかりやすく書いたブログです

タグ:マイナンバー

デジタル認証アプリトップページ
1.デジタル庁のデジタル認証アプリのパブコメ結果が公開される
デジタル庁のデジタル認証アプリについてはこのブログで何回か取り上げていますが、そのパブコメ結果が公表されているので読んでみました。つぎのパブコメ意見13番は私が送った意見とその回答です。
・「電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律施行規則の一部を改正する命令案」に係る意見募集の結果について|e-Gov

パブコメ結果1
パブコメ結果2
パブコメ意見13番のデジタル庁の回答
デジタル認証アプリにおいては、個人情報を取り扱う場合、個人情報保護法に基づき適切に取り扱い対応します。シリアル電子証明書の発行番号をもとに、氏名等の4情報を照会することは、目的外利用に当たるため行うことができません。
また、デジタル庁がデジタル認証アプリを提供する際には、改正案の第29条第2項に基づき、セキュリティに関してプラットフォーム事業者と同等の基準を遵守する必要があります。
なお、デジタル庁を含む署名検証者については、電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律(以下「公的個人認証法」といいます。)第52条及び第53条において、シリアル番号を含む、地方公共団体情報システム機構から受領した電子証明書失効情報等について確認以外の目的での利用・提供が禁止されております。


2.「基本4情報は個人情報保護法上、目的外利用しない」
公的個人認証法の施行規則の一部改正で、デジタル庁が署名検証者になると個人の官民の各種サービスの利用履歴が一元管理され、国による名寄せやプロファイリング等の危険があるのでは?との趣旨の意見を私は送りました。しかし、デジタル庁の回答は「基本4情報は個人情報保護法上、目的外利用しない」だけです。

名寄せやプロファイリングの危険の対象は氏名・住所などの基本4情報というよりは官民の各種サービスの利用履歴であるわけですが、これら基本4情報以外の利用履歴等の情報の問題についてはデジタル庁は答えていないのは肩透かしであるように思えます。

3.公的個人認証法52条、53条の「電子証明書失効情報等」
また、パブコメ回答は公的個人認証法52条、53条が「電子証明書失効情報等」についても認証業務以外の利用が禁止されている旨を書いていますが、電子証明書失効情報等は同法の条文を読む限り、電子証明書が失効しているかどうかの情報であって、個人の官民の各種サービスの利用履歴の問題には関係ないように思われます。ここも肩透かしの回答のように思われます。

4.法律による行政の原則
さらに、デジタル庁が署名検証者になるという国民のプライバシーリスクのある今回の重大な制度改正について、国会による法律でなく施行規則(行政の内部規則)の一部改正だけで対応することは、「法律による行政の原則」(=国会による行政の民主的コントロール、憲法 41 条、65 条、 76 条)に反するとも私はパブコメ意見を書きました。しかし、この点は完全にゼロ回答となっています。

この点に関しては、デジタル庁に憲法・行政法をわかっている職員の方がいないのだろうかと、やや心配です。(デジタル庁の役職員の方々は、自分達を行政ではなく民間IT企業と勘違いしているのではないかと心配になることがあります。)

5.デジタル認証アプリのプライバシーポリシー
なお、デジタル庁は「基本4情報は個人情報保護法上、目的外利用しない」と回答しているので、デジタル認証アプリの利用目的をみるためにデジタル認証アプリのプライバシーポリシーを見てみると、「2. 取得する情報の範囲及び利用目的」の2項が「デジタル認証アプリサービスは、行政機関等又は民間事業者の依頼を受け、マイナンバーカードの読み取り等又は検証等を行い、当該読み取り等又は当該検証等に係る情報を当該行政機関等又は当該民間事業者(以下「委託者」という。)に連携するに当たり、利用者証明用電子証明書のシリアル番号、委託者、依頼に係るサービス、検証等の結果又は検証等若しくは連携等の日時を記録します。保有する当該記録は、デジタル認証アプリサービスの運用のために必要がある場合のみ利用します。」と規定しています。

プラポリ
すなわち、「シリアル番号、委託者、依頼に係るサービス、検証等の結果又は検証等若しくは連携等の日時」などの利用履歴に関する情報については、「デジタル認証アプリサービスの運用のために必要がある場合のみ利用します。」と規定されています。

そのため、デジタル認証アプリによりデジタル庁のサーバーに蓄積・保存された国民個人のさまざまな官民のサービスの利用履歴を政府(デジタル庁)が不当に名寄せ・プロファイリングなどしてしまうのではないかとのプライバシーリスクの問題については、デジタル認証アプリのプライバシーポリシーで一応対応がなされているように思われます。(しかしこのような重大な問題を、法律でなくプライバシーポリシー・レベルで対応してよいのか?という問題は依然として残るように思われます。)

ただし、デジタル認証アプリのプライバシーポリシーの「3. 利用及び提供の制限」は、「デジタル庁は、法令に基づく場合を除き、デジタル認証アプリサービスにおいて保有する情報を前条の利用目的以外の目的のために自ら利用し、又は第三者に提供いたしません。」と規定しており、「法令に基づく場合」にはデジタル庁が保有する各種の利用履歴が政府の各部門に利用やされる余地が残されている点は、やや心配です。

人気ブログランキング

PR
このエントリーをはてなブックマークに追加 mixiチェック

my_number_card_omote

厚労省が「保険証の規定を削除する」ことについて6月22日までパブコメを実施しているので、次のような意見を送ってみました。

厚労省の政省令から健康保険等の被保険者証の規定を削除するということはいわゆるマイナ保険証の政策を推進することですが、この政策はマイナンバーカードの事実上の強制であり、マイナンバーカードは任意であるとするマイナンバー法16条の2違反であり違法です。
法律による行政の原則からも、法治国家の観点からも、政省令から健康保険等の被保険者証の規定を削除しないことを求めます。
またいわゆるマイナ保険証は利用率が約5%等と国民の支持が低迷しています。厚労省やデジタル庁など政府は、国民の声に耳を傾けた行政運営をお願いします。国民にマイナンバーカードを押し付けないでください。
人気ブログランキング

PR
このエントリーをはてなブックマークに追加 mixiチェック

welcomeHRトップ画面

1.WelcomeHRの個人情報漏洩事故が発覚

カオナビ子会社のワークスタイルテック(東京都港区)が運営する労務管理クラウドサービス「WelcomeHR」で、ユーザー情報16万人分近くが外部から閲覧可能になっており、うち15万人分近くが実際に第三者にダウンロードされたとワークスタイルテック社が3月29日にニュースリリースを公表しました。
・弊社サービスをご利用いただいているお客様への重要なご報告とお詫び|Workstyle Tech

プレスリリース
(ワークスタイルテックのプレスリリースより)

ワークスタイルテックのリリースによると、2020年1月5日から2024年3月22日にかけて、ユーザーの氏名、性別、住所、電話番号、ユーザーがアップロードした身分証明書(マイナンバーカード、運転免許証、パスポートなど)や履歴書の画像が閲覧可能だったとのことです。原因は、ストレージサーバのアクセス権限に設定ミスがあったことであり、外部からファイルを閲覧したり、ダウンロード可能な状態だったということです。

このニュースリリースに対しては、個人情報保護委員会に報告は行われているのか、マイナンバーカードの表面の画像の情報が漏洩したことは間違いないとして裏面のマイナンバーなどの情報も漏洩したのか?の2点がネット上で話題となっていました。

2.マイナンバーも漏洩していたことが発覚

その後、4月13日頃より、Twitter(現X)などSNSにおいて、ワークスタイルテックより今回の個人情報漏洩事故の被害者の方々に対して、お詫びのメールにて漏洩事故の詳細が送られてきたことが報告されています。このお詫びのメールによると、マイナンバーそのものも漏洩していたことが明らかにされています。

被害者のツイート
通知1
通知2
(被害者の方のTwitterの投稿より)

3.ワークスタイルテックの個人情報漏洩事故の対応の問題点

このワークスタイルテックの個人情報漏洩事故の対応については、いくつも疑問があります。

まず第一に、今回の事故の原因から、マイナンバーの漏洩も当初から明らかであり、ワークスタイルテックは3月29日のプレスリリースの段階で、マイナンバーも漏洩していたことをぼかさずに明らかにすべきだったのではないでしょうか。

個情委の個人情報保護法ガイドライン3-5-2は、「なお、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましい。」としているからです。

第二に、この被害者あてのお詫びのメールを読むと、「マイナンバーについて(略)一方で、マイナンバーに記載されている情報(略)から、より詳しい個人情報を抜き取られることはありません。」と説明されていることは非常にミスリーディングなのではないでしょうか。

つまり、いわゆる名簿屋がこのような個人情報のデータセットを収集した場合、他で取得した複数の個人情報のデータセットと名寄せ・突合し、被害者本人の人物像を作り出し、それを販売するであるとか、プロファイリングを行う等の行為が可能となってしまいます(鈴木正朝・高木浩光・山本一郎『ニッポンの個人情報』224頁)。そしてマイナンバーは悉皆性・唯一無二性を有する究極のマスターキーなので、これが漏洩してしまうと他の個人情報のデータセットとの名寄せ・突合が容易になってしまいます。

にもかかわらず、まるで「マイナンバーが漏洩したけれどあまり心配はいりません」と言いたげなこのお詫びメールのアナウンスは非常に不適切であると思われます。

そのため、ワークスタイルテックは被害者の方々に対して、市役所等の自治体にマイナンバーカードの再発行を行うことを奨励すべきなのではないかと思われます(マイナンバー法17条5項参照、下の追記参照)。

第三に、本事件ではマイナンバーを含む約15万件の個人情報が漏洩してしまったわけであり、ワークスタイルテックは被害者の方々に対してお詫び金(例えば500円程度)を支払うべきであるのに、それがお詫びメールに記載されていないのは奇異な感じがします。(なお、お詫び金はお詫びの意思を表明するものであり、損害賠償の金銭とは別物です。)

このように、ワークスタイルテックの個人情報漏洩事故の対応は非常に稚拙であると思われます。社内にしっかりとした情報システム部門や法務・コンプラ部門がないのだろうかと心配になります。

■追記:4月15日 マイナンバーカードの利用停止・再発行について

個人情報保護委員会に電話で確認したところ、「本件のようにマイナンバーの悪用のおそれがある場合には、被害者の方は、市役所等の自治体にマイナンバーカードの利用停止と再発行の申出を行ってほしい、それにより再発行されるマイナンバーは新しい番号に切り替わるとのことでした。なお、自治体によってはデジタル庁のマイナンバー総合フリーダイヤルへの申出を行うようお願いされるかもしれないが、まずは自治体に問い合わせてほしい」とのことでした。

このブログ記事が面白かったらシェアやブックマークをお願いします!

人気ブログランキング

PR
このエントリーをはてなブックマークに追加 mixiチェック

デジタル認証アプリイメージ図
前回のブログ記事でも取り上げた、デジタル庁のデジタル認証アプリに関するパブコメに対して以下のような意見を提出しました。


『デジタル認証アプリについては、個人が官民の各種サービスを利用した履歴が一元管理され、不当な個人のプロファイリングや、関連性のないデータによる個人の選別・差別、国家による個人の監視などの個人の権利利益の侵害や個人の人格権侵害のリスクがあります(マイナンバー法1条、個人情報保護法1条、3条、憲法13条、「マイナカード利用「認証アプリ」、個人の利用状況を国が一元管理のプライバシーリスク」2024年2月26日付日経クロステック参照)。そのため、「法律による行政の原則」(憲法 41 条、65 条、 76 条)の観点から、公的個人認証法の施行規則の一部改正だけではなく、マイナンバー法そのものを一部改正し、根拠条文を設置し、利用目的や目的外利用の禁止、安全管理措置等を規定し、違法・不当な利用に歯止めをかけるべきと考えます。

また、デジタル認証アプリで収集された個人情報(「連続的に蓄積」されたサービス利用履歴等も含む。個情法ガイドライン(通則編)2-8(※)参照。)についても、利用目的の制限、第三者提供等の制限、安全管理措置、保存期間の設定、データ最小限の原則、開示・訂正請求など本人関与の仕組みの策定、情報公開・透明性の仕組みの確保、不適正利用・プロファイリングの禁止などの法規制がなされるべきと考えます。

さらに、マイナンバーカードの電子証明書の発行番号(シリアル番号)についても、マイナンバー(個人番号)に準じたものとして取扱うように法規制し、利用目的の厳格化、目的外利用の禁止、第三者提供の制限、厳格な安全管理措置などの法規制を、マイナンバー法を改正するなどして盛り込むべきだと考えます。(同様に、マイナンバーカードやマイナポータルなどについてもマイナンバー法に根拠条文が非常に少ないため、これらについても「法律による行政の原則」の観点から、政令や施行規則・通達等の整備ではなく法規制を実施すべきだと思われます。)』


■参考文献
・電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律施行規則の一部を改正する命令案に対する意見募集について|e-GOV
・マイナカード利用「認証アプリ」、個人の利用状況を国が一元管理のプライバシーリスク|日経クロステック
・マイナンバーカードの取得を強く求める政府 本当の狙いはどこに|朝日新聞
・マイナカード、目に見えない「もう一つの番号」 規制緩くて大丈夫?|朝日新聞
・民間事業者が公的個人認証サービスを利用するメリット|J‐LIS
・水町雅子『逐条解説マイナンバー法』267頁、269頁

■関連するブログ記事
・デジタル庁のマイナンバーカードの「デジタル認証アプリ」で個人の官民の各種サービスの利用履歴が一元管理されるリスクを考えた

人気ブログランキング

PR
このエントリーをはてなブックマークに追加 mixiチェック

my_number_card2

1.はじめに

2024年2月26日付の日経クロステックの記事「マイナカード利用「認証アプリ」、個人の利用状況を国が一元管理のプライバシーリスク」が、デジタル庁が本年4月から提供予定のマイナンバーカードを使って本人確認をする「デジタル認証アプリ」が、個人が行政や民間企業のサービスのログインなどで同アプリを使って認証することで、その本人の様々な官民の各種サービスの利用状況がデジタル庁のサーバーに蓄積され、国が個人について広範囲に情報を把握することとなり、不当なプロファイリングなどにつながるプライバシーリスクがあるという趣旨の報道しています。

2.デジタル認証アプリのしくみ

このデジタル認証アプリとは、マイナンバーカードの内臓ICチップに搭載されている電子証明書を読み取り、オンラインで本人確認を行うためのアプリであるそうです。

マイナンバーカードのデジタル認証アプリサーバーの図
(「マイナカード利用「認証アプリ」、個人の利用状況を国が一元管理のプライバシーリスク」2024年2月26日付日経クロステックより)

官民の各種サービスのウェブサイトのログインなど、本人確認が必要な際に、デジタル庁のアプリサーバーがそのサービスからのリクエストに応じてマイナンバーカードの電子証明書を受け付け、J-LIS(地方公共団体情報システム機構)のサーバーに問い合わせてその有効性を確認し、有効性が確認できたらその結果をサービス側のサーバーに返すことでサービス利用時の本人確認が行われる仕組みとなっています。

そしてこの本人確認の際に、デジタル庁のアプリサーバーにマイナンバーカードのICチップの電子証明書発行番号(シリアル番号)、事業者別リンクコード、認証状況などの情報が保存されます。電子証明書発行番号は個人の保有するマイナンバーカードと1対1で紐付き、事業者別リンクコードはサービス事業者と1対1で紐付くため、誰がどのサービス事業者のサービスの利用において本人確認を行ったかという情報がデジタル庁のサーバーに保管・蓄積されることになります。

このようなデジタル認証アプリの仕組みにより、国民個人が行政や民間企業のサービスのログインなどで同アプリを使って認証することで、その本人の様々な官民の各種サービスの利用状況がデジタル庁のサーバーに蓄積され、国が個人について一元的に情報を把握することとなり、不当なプロファイリングなどのプライバシーリスクがあることになります。

(なお、このマイナンバーカードの電子証明書は5年ごとに失効するので心配ないとの意見もあるようですが、J-LISは平成29年からいわゆる「新旧シリアル番号の紐付けサービス」を提供しており、官民の機関・事業者は電子証明書の新旧の発行番号を管理することにより、本人を追跡し続けることが可能です。)

3.マイナンバーカードの電子証明書の発行番号に関する法規制

このようにマイナンバーカードのICチップの電子証明書の発行番号(シリアル番号)は、マイナンバー(個人番号)と同様に取扱注意な番号ですが、それに対する法規制がマイナンバーに対する法規制と異なりゆるいことが大きな問題の一つであるといえます。

マイナンバーについてはマイナンバー法が利用目的を税、社会保障、災害対応の3分野に限定しそれ以外の用途への利用を禁止し、提供先の機関も法定され(9条、別表1)、厳格な安全管理措置が規定され(27条以下)、罰則(48条以下)も設けられています。

一方、電子証明書の発行番号についてはそこまでの利用目的の制限がなく、また発行番号は特定個人情報(マイナンバーを含む個人情報)にも該当しないとなっており、特定個人情報に対する厳格な安全管理措置の適用もありません。公的個人認証法(JPKI法)で、発行番号を含めた外部提供用のデータベースを作成することが禁止されていますが(63条)、罰則についてはそのようなデータベースを繰り返し作成する等した事業者が、国の命令に従わなかった場合にしか科されないなど、ゆるい法規制にとどまっています(75条)。

このように、マイナンバーカードの電子証明書の発行番号の法規制はマイナンバーに比べて非常にゆるいと言わざるを得ません。これで国民の個人情報保護やプライバシー保護などは大丈夫なのでしょうか。

この点、上でみた日経クロステックの記事によると、取材に対してデジタル庁幹部は「サーバーに保有する記録の中には氏名、住所、生年月日、性別といった個人情報は含まずプライバシーインパクトは大きくないため、特段の法制度上の対応は必要ないと考えている」と回答したとのことです。

しかしこのデジタル庁の見解はいろいろと甘いのではないでしょうか。「氏名、住所、生年月日などが含まれていなければ個人情報ではない」との個情法の定義の理解は完全に間違っています。

また、個人情報保護委員会は、例えばCookieやサービス利用履歴等についても「連続的に蓄積」され特定の個人を識別できるものは個人情報としているのですから(個情法GL(通則編)2-8(※))、デジタル庁のサーバーに「連続的に蓄積」された発行番号や利用履歴等も個人情報として安全管理措置を講じる必要があるはずです(個情法66条)。

個情法ガイドライン通則編2-8
(個人情報保護委員会の個人情報保護法ガイドライン(通則編)2-8(※)より)

しかも上で見てきたように、デジタル認証アプリでデジタル庁のサーバーに広範囲に保存・蓄積されるマイナンバーカードの電子証明書の発行番号のデータは本人の様々な官民の各種サービスの利用状況であり、国家による個人の監視や不当なプロファイリング、関連性のないデータによる個人の選別・差別のおそれがあるのですから、マイナンバー並みの厳格な管理が必要なはずです。

この点、上の記事では日経クロステックの取材に対して、OpenID ファウンデーション・ジャパンの富士榮尚寛代表理事がつぎのように回答されています。

OpenID ファウンデーション・ジャパンの富士榮尚寛代表理事のコメント

「問題は、性質や提供者が異なる、国のサービスも民間サービスも含めて1人の個人にひも付いた利用状況がデジタル庁のサーバーに蓄積することだ」と指摘。デジタル庁のWebサイトでは同アプリについて「行政サービスでも民間サービスでも利用可能な国が認定する個人認証サービスを提供します」としている。

「例えばデジタル認証アプリで本人確認をして『富士榮が確定申告をした』だけならば、そもそも国家が把握している情報なので問題ない。ところが、そこに『富士榮が映画のチケット購入時に本人確認をした』『富士榮が18禁のサービス利用時に本人確認をした』など民間サービスの利用状況もひも付き一元管理されるとどうか」

「Google Knows You Better Than You Know Yourself」ならぬ「デジタル庁はあなたよりあなた自身のことを知っている」ということになりかねない懸念があるというわけだ。

(「マイナカード利用「認証アプリ」、個人の利用状況を国が一元管理のプライバシーリスク」2024年2月26日付日経クロステックより)

4.まとめ・デジタル庁のパブコメが実施中

デジタル認証アプリについては、個人が官民の各種サービスを利用した履歴が一元管理され、不当な個人のプロファイリングや、関連性のないデータによる個人の選別・差別、国家による個人の監視などの個人の権利利益の侵害や個人の人格権侵害のリスクがあります(マイナンバー法1条、個人情報保護法1条、3条、憲法13条)。

そのため、「法律による行政の原則」(憲法 41 条、65 条、 76 条)の観点から、デジタル認証アプリについて、公的個人認証法の施行規則の一部改正だけではなく、マイナンバー法そのものを一部改正し、根拠条文を設置し、利用目的や目的外利用の禁止、安全管理措置等を規定し、違法・不当な利用に歯止めをかけるべきと考えます。

また、デジタル認証アプリで収集された個人情報(「連続的に蓄積」された電子証明書の発行番号(シリアル番号)やサービス利用履歴等も含む。個情法ガイドライン(通則編)2-8(※)参照。)についても、利用目的の制限、第三者提供等の制限、安全管理措置、保存期間の設定、データ最小限の原則、開示・訂正請求など本人関与の仕組みの策定、情報公開・透明性の仕組みの確保、不適正利用・プロファイリングの禁止などの法規制がなされるべきと考えます。

さらに、マイナンバーカードの電子証明書の発行番号(シリアル番号)についても、マイナンバー(個人番号)に準じたものとして取扱うように法規制し、利用目的の厳格化、目的外利用の禁止、第三者提供の制限、厳格な安全管理措置などの法規制を、マイナンバー法を改正するなどして盛り込むべきだと考えます。(同様に、マイナンバーカードやマイナポータルなどについてもマイナンバー法に根拠条文が非常に少ないため、これらについても「法律による行政の原則」の観点から、政令や施行規則・通達等の整備ではなく、まずは法規制を実施すべきだと思われます。)

なお、このデジタル認証アプリに関しては、現在、デジタル庁がパブコメを実施中です。(2024年2月29日まで。)

・電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律施行規則の一部を改正する命令案に対する意見募集について|e-GOV

この問題に興味・関心のある多くの方が意見を提出することが望まれます。

■追記(2024年2月28日)
上でもコメントを引用させていただいた、OpenID ファウンデーション・ジャパン代表理事の富士榮尚寛先生が、ブログでこのデジタル認証アプリのパブコメを取り上げておられます。
・デジタル認証アプリがやってくる(その後)|IdM実験室
・デジタル認証アプリがやってくる|IdM実験室

■追記(2024年2月29日)
一般社団法人MyDataJapanが本パブコメに対する意見を公表しています。
・「電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律施行規則の一部を改正する命令案」に対するパブコメ(2024/2/29)|MyDataJapan

■追記(2024年2月29日)
本パブコメに意見を提出しました。
・デジタル庁のデジタル認証アプリに関するパブコメに意見を提出してみた

■追記(2024年6月17日)
6月17日付でこのデジタル認証アプリのパブコメ結果が公表されています。
・「電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律施行規則の一部を改正する命令案」に係る意見募集の結果について|e-Gov

このブログ記事が面白かったらシェアなどをお願いします!

■参考文献
・マイナカード利用「認証アプリ」、個人の利用状況を国が一元管理のプライバシーリスク|日経クロステック
・マイナンバーカードの取得を強く求める政府 本当の狙いはどこに|朝日新聞
・マイナカード、目に見えない「もう一つの番号」 規制緩くて大丈夫?|朝日新聞
・民間事業者が公的個人認証サービスを利用するメリット|J‐LIS
・水町雅子『逐条解説マイナンバー法』267頁、269頁

■関連するブログ記事
・備前市が学校給食無償をマイナンバーカード取得世帯のみにすることをマイナンバー法から考えたーなぜマイナンバー法16条の2は「任意」なのか?(追記あり)
・健康保険証のマイナンバーカードへの一体化でカルテや処方箋等の医療データがマイナンバーに連結されることを考えた
・政府の検討会議で健康・医療データについて患者の本人同意なしに二次利用を認める方向で検討がなされていることに反対する

人気ブログランキング

PR
このエントリーをはてなブックマークに追加 mixiチェック

↑このページのトップヘ