なか2656のblog

とある会社の社員が、法律などをできるだけわかりやすく書いたブログです

タグ:広義の個人番号

まえばしIDのイメージ図
(前橋市サイトの「まえばしID」の解説資料より)

このブログ記事の概要
前橋市の「まえばしID」にはマイナンバー法の「広義の個人番号」「裏番号」の問題がある。また、政府の推進するスーパーシティ構想、デジタル田園都市構想には個人情報保護法や憲法上の法的問題がある。

1.デジタル田園都市構想・スーパーシティ構想の問題
前回のブログ記事(「スーパーシティ構想・デジタル田園都市構想はマイナンバー法・個人情報保護法や憲法から大丈夫なのか?-プロファイリング拒否権・デジタル荘園」)で、政府与党が推進している「デジタル田園都市構想」・「スーバーシティ構想」にはマイナンバー法や個人情報保護法だけでなく憲法に抵触するおそれがあることを見てみました。
(関連)
・スーパーシティ構想・デジタル田園都市構想はマイナンバー法・個人情報保護法や憲法から大丈夫なのか?-プロファイリング拒否権・デジタル荘園

2.群馬県前橋市のスーパーシティの共通IDの「まえばしID」
ところで、政府の推進するデジタル田園都市構想(スーパーシティ構想)の交通・医療・介護・行政サービス・水道・エネルギーなどの官民のさまざまなサービスを利用する住民の利用履歴などの個人番号を連結して利活用するために、群馬県前橋市は「まえばしID」という共通IDを作成し利用する方針だそうです。

・まえばしIDの利活用アイデア及び名称に関する公募について|前橋市

まえばしIDに関する前橋市や、同市から委託を受けている日本通信の資料によると、スーパーシティ構想(デジタル田園都市構想)における住民の共通IDとして「まえばしID」を準備しているところ、これは①マイナンバーカードの公的個人認証の利用者電子証明書の発行番号(シリアル番号)と②電子署名法の認定した証明書と、さらに③顔認証データ3つを組み合わせて利用するものと説明されています。そして日本通信は前橋市以外にも2つの自治体で「myID」という名称で、同様の準備をすすめているとのことです。

・年頭にあたり - JCI blog(日本通信公式ブログ)

3.「まえばしID」の問題点
まえばしIDを本人確認の目的に利用すること自体はもちろん合法です。しかし、まえばしIDをスーパーシティ構想の、交通・医療・介護・行政サービス・水道・エネルギーなどの官民の各サービスの個人データの名寄せの共通IDに利用するためには、住民が転入・転出することを考えると「まえばしID」がだぶらないように、国が国民すべてに(悉皆性)、一人一つの番号(唯一無二性)の備える番号にならざるを得ないように思われます。

しかし、悉皆性・唯一無二性の性質を持つ番号は「広義の個人番号」「裏番号」(番号法2条8項かっこ書き)であり、税・社会保障・災害対策以外の「スーパーシティの共通ID」という目的に利用するとマイナンバー法9条違反となるのではないでしょうか。

この点、官民のサービスの共通IDとして作成されたxID社のxIDはマイナンバー法違反ではないかと2021年秋にネット上で炎上したことを受けて、個人情報保護委員会は10月22日付で「番号法第2条第8項に定義される個人番号の範囲について(周知)」とのプレスリリースを出して、「悉皆性・唯一無二性の「広義の個人番号」の性質を有する番号・符号等はマイナンバー(個人番号)と法的に同等のもので、これを税・社会保障・災害対応以外の目的で利用することはマイナンバー法9条違反のおそれがある」とダメ出しをしたばかりです。
・「番号法第2条第8項に定義される個人番号の範囲について(周知)」|個人情報保護委員会(令和3年10月22日)

そのため、まえばしIDも個人情報保護委員会などからマイナンバー法9条違反と判断されてしまう可能性があるのではないでしょうか。

4.政府のデジタル田園都市構想・スーパーシティ構想の問題
同様に、内閣官房とデジタル庁の「デジタル田園都市会議」の資料でも、デジタル田園都市(スーパーシティ)の官民の様々なサービスの住民の個人データの名寄せに「統合ID」を使うと解説されていますが、この共通IDも悉皆性・唯一無二性のある番号・符号でないとだぶってしまい意味がないので、xIDやまえばしIDと同様に「広義の個人番号」であり、法的にマイナンバーと同等のものであり、これを税・社会保障・災害対策以外の「スーパーシティの共通ID」という目的で利用することは、マイナンバー法9条違反となるのではないでしょうか。
・デジタル田園都市国家構想実現会議(第1回)議事次第|内閣官房

デジタル田園都市のイメージ
(内閣官房の「デジタル田園都市国家構想実現会議(第1回)議事次第」サイトより)

前橋市サイトによると、2020年に成立したスーパーシティ法により、同市はスーパーシティ構想の対象となる国家戦略特区に指定され、自治事務に関する部分は条例の制定で、国の事務に関する部分は国の立法や法改正により、マイナンバー法や個人情報保護法などの規制緩和を行い、まえばしIDの利用を行うようですが、まえばしIDは前橋市内ではスーパーシティ法で合法でも、同市の外ではマイナンバー法違反となるのではないでしょうか。
・地域の「困った」を最先端のJ-Tech(※)が、世界に先駆けて解決する。企業の技術力を、地域で役立てる!スーパーシティの実現を国がともに取り組みます!|内閣府

スーパーシティ法の概要図
(スーパーシティ法の概要。内閣府サイトより。)

まえばしIDや国のスーパーシティ構想の共通IDは、マイナンバーカードの公的個人認証の利用者電子証明書の発行番号(シリアル番号)を利用することになっていますが、このシリアル番号にはマイナンバーのような厳格な法規制はなく、黒田充先生の『あれからどうなった?マイナンバーとマイナンバーカード』85頁は、総務省やJ-LISは企業にシリアル番号で顧客の個人情報管理や顧客のプロファイリングができると利活用を奨励しているなど、法規制のない「野放し」の状態にあるとしています。
・民間事業者が公的個人認証サービスを利用するメリット|J-LIS

マイナンバーカードの電子証明書は5年更新の証明書ですが、総務省とJ-LISは新旧のシリアル番号の同一性を証明する仕組みも用意しているので、企業等はシリアル番号で国民・個人を一生追跡できることになります。

しかし、マイナカードの電子証明書のシリアル番号も、国が国民すべてに発行し国民に一人一つの関係となるので、悉皆性・唯一無二性を有する「広義の個人番号」「裏番号」(番号法2条8項かっこ書き)ですので、これを企業などが顧客個人情報の管理に使ったり、顧客個人情報のデータベースの管理IDに利用したり、国・自治体がスーパーシティの共通IDに使うことは、これもxIDのように、マイナンバーや裏番号は税・社会保障・災害対応以外の目的に使ってはならないとの番号法9条違反なのではないでしょうか。

(ご参考)
・xID社がプレスリリースで公表した新しいxIDサービスもマイナンバー法9条違反なことについて(追記あり)

そもそもマイナンバーカードの電子証明書は、「なりすまし」などを防ぐための「本人確認」のための機能です。にもかかわらずマイナンバーカードの電子証明書のシリアル番号を、「共通ID」としてマイナンバーのように利用することは、マイナンバーカードの趣旨・目的そのものに反しているのではないでしょうか。

また、マイナンバー(個人番号)は、行政の効率化やコストダウンなどのために、国がすべての国民に(悉皆性)、一人一つのマイナンバーを付番し(唯一無二性)、さまざまな官庁や自治体などが分散して保有する国民・住民の個人データをマスターキーとして名寄せ・突合できるようにしたものです。

しかしマイナンバーは行政や自治体が保有するさまざまな国民の個人データを名寄せ・突合できてしまう強力なマスターキーであるため、それが国や大企業などに不正に利用されると、国民の個人データが国に勝手に名寄せ・突合され、プライバシー侵害のリスクや監視国家のリスク、国により国民がさまざまな個人データを名寄せ・突合されその情報をもとに国民が勝手にプロファイリングされてしまうリスクなど深刻な人権侵害のリスクが存在します。

そこでマイナンバー法は、マイナンバーの利用目的を、税・社会保障・災害対応の3つだけに限定し、それ以外の目的で行政や自治体、民間企業などがマイナンバーを利用することを禁止しています(法9条)。また、本人や行政や自治体、民間企業などが税・社会保障・災害対応の3つ以外の目的でマイナンバーを提供することも禁止(法19条)するなど、厳しい歯止めの法規制を設けて、マイナンバーによるプライバシー侵害のリスクやプロファイリングのリスクを防止しています。

にもかかわらず、マイナンバーは利用できないから、マイナンバーカードの電子証明書のシリアル番号を共通IDとしてマイナンバーのように利用するということは、マイナンバー法を潜脱して電子証明書のシリアル番号を利用するものであり、法9条に照らして許されないのではないでしょうか。

5.まとめ
内閣官房・デジタル庁などの政府は、デジタル田園都市構想・スーパーシティ構想がマイナンバー法、個人情報保護法、憲法などの観点から法的に問題ないのか再度、検討するとともに、野党やマスメディアなどはこの問題を追及するべきなのではないでしょうか。

このブログ記事が面白かったらブックマークやシェアをお願いします!

■参考
・水町雅子『逐条解説マイナンバー法』85頁、86頁
・堤未果『デジタル・ファシズム 日本の資産と主権が消える』39頁、41頁、45頁
・黒田充『あれからどうなった?マイナンバーとマイナンバーカード』85頁
・「番号法第2条第8項に定義される個人番号の範囲について(周知)」(令和3年10月22日)|個人情報保護委員会
・緊急速報:マイナンバー法の「裏番号」禁止規定、内閣法制局でまたもや大どんでん返しか|高木浩光@自宅の日記


■関連する記事

・スーパーシティ構想・デジタル田園都市構想はマイナンバー法・個人情報保護法や憲法から大丈夫なのか?
・xID社がプレスリリースで公表した新しいxIDサービスもマイナンバー法9条違反なことについて
・xIDのマイナンバーをデジタルID化するサービスがマイナンバー法違反で炎上中(追記あり)

・トヨタのコネクテッドカーの車外画像データの自動運転システム開発等のための利用について個人情報保護法・独禁法・プライバシー権から考えた
・健康保険証のマイナンバーカードへの一体化でカルテや処方箋等の医療データがマイナンバーに連結されることを考えた
・文科省が小中学生の成績等をマイナンバーカードで一元管理することを考える-ビッグデータ・AIによる「教育の個別最適化」
・小中学校のタブレットの操作ログの分析により児童を評価することを個人情報保護法・憲法から考えた-AI・教育の平等・データによる人の選別

・コインハイブ事件の最高裁の弁論の検察側の主張がひどいことを考えた(追記あり)
・コインハイブ事件高裁判決がいろいろとひどい件―東京高裁令和2・2・7 coinhive事件
・Log4jの脆弱性に関する情報をネット上などでやり取りすることはウイルス作成罪に該当するのか考えた
・飲食店の予約システムサービス「オートリザーブ」について独禁法から考えた
・LINE Pay の約13万人の決済情報がGitHub上に公開されていたことを考えた
・コロナ禍の就活のウェブ面接での「部屋着を見せて」などの要求や、SNSの「裏アカ」の調査などを労働法・個人情報保護法から考えた
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング





















このエントリーをはてなブックマークに追加 mixiチェック

xidトップ画面2
(xID社サイトより)

■追記(2021年11月11日)
渋谷区は、11月10日付で施設予約システムの開発業務の委託先を、xID社でなく別の企業にすることを決定したとのことです。詳しくは本ブログ記事下部の追記をご参照ください。

このブログ記事の概要
xID社は11月4日付のプレスリリースで、12月から提供開始としている新しいxIDについて、マイナンバーから「確認要素」を生成することを止めて、マイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」を利用するとしているが、xIDの法的性質が「広義の個人番号」(法2条8項かっこ書き、いわゆる「裏番号」「裏個人番号」)であることは従来と同じであり、xID社がxIDを法9条の定める税・社会保障・災害対応の3つの利用目的以外に利用しようとしていることに変わりはないので、やはり12月以降のxIDもマイナンバー法9条違反の違法なサービスである。

1.はじめに
このブログでは、以前、初期登録時にマイナンバーの入力が必要であるxID社のデジタルID・共通IDのxIDが、「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号」つまりマイナンバーと法的に同等の性質を持つ「広義の個人番号」(いわゆる「裏番号」・「裏個人番号」)であり、そのようなxIDをマイナンバー法9条が定める税・社会保障・災害対応以外の利用目的に利用することは法9条等に違反する違法なものではないかとの問題を取り上げました。
・xIDのマイナンバーをデジタルID化するサービスがマイナンバー法違反で炎上中(追記あり)

この問題に関して11月4日に、xID社は、xIDに関する新たなプレスリリースを公表しました。そのため、本ブログ記事では、このxID社の新しいプレスリリースをみてみたいと思います。

しかし、結論を先取りしてしまうと、xID社が12月から提供を開始するとしている新しいxIDサービスも、マイナンバー法9条などに違反する違法なサービスであることに変わりはないと思われます。

・xIDアプリの個人番号入力を伴う仕様に関するご指摘への回答と当社の今後の対応について|xID
・違法性指摘のxIDアプリが一時停止へ、社長が明かした「マイナンバー入力仕様」のわけ|日経XTECH

リリース3

リリース6
(xID社プレスリリース「xIDアプリの個人番号入力を伴う仕様に関するご指摘への回答と当社の今後の対応について」(2021年11月4日)より)

2.なぜxIDの初回登録でマイナンバーの入力が必要なのか?
xID社のリリースによると、xID社はxIDサービスを11月4日から一旦中止とし、12月中旬から仕組みを変えた新しいxIDサービスの提供を行うとしています。

xID社のリリースによると、共通ID・デジタルID・アカウントIDであるxIDそのものは、マイナンバーとは関係なくランダムに生成される番号であるとのことです。

それでは何故、初回登録時にマイナンバーの入力が必要となるかについて、日経XTECHの記事はつぎのように説明しています。

『初回登録時は、ユーザーがスマートフォンにマイナンバーカードをかざすと、xIDアプリがJPKI(=マイナンバーカードのICチップ部分の公的個人認証サービス)の署名用電子証明書を読み取り、マイナンバーカードとxIDアプリをひも付ける。具体的には、署名用電子証明書に含まれる基本4情報(氏名、生年月日、性別、住所)を暗号化し、xID社のサーバーに送信・保管する。』

そして、初回登録時になぜ利用者がマイナンバーの入力を要求されるかについて、日経XTECHの記事はつぎのように記述しています。

『xID社の日下光社長は次のように説明する。「マイナンバーの一部と他の情報を使い、アカウント作成者が新規登録者であるか、それとも過去にアカウントを登録した人物であるかを確認するための(xIDアプリ独自の)要素である『確認要素』を生成している」。

『確認要素を生成する具体的な手順はこうだ。まず、入力させた12桁のマイナンバーと、マイナンバーカードから読み取った8桁の生年月日を加えた20桁の数字をつくる。これをハッシュ化したうえでバイト配列に変換し、さらにそこから数カ所のバイトを抽出・変換して確認要素とする。ここまでの過程はxIDアプリ内で実行する。』

『xIDアプリは生成した確認要素のみを、xID社のサーバーに送信し、サーバー側で確認要素とアカウントIDとをひも付けて保管する。同一のユーザーが異なるメールアドレスや異なるスマホを使って、新規にアカウントを登録したとしても、登録時に確認要素を生成することで、1人が複数のアカウントを登録することを防げるというわけだ。ただし、確認要素は一意となるデータではなく、「他人の確認要素と一定確率で衝突する可能性はある」(日下社長)。』(「違法性指摘のxIDアプリが一時停止へ、社長が明かした「マイナンバー入力仕様」のわけ」日経XTECH2021年11月4日より)

つまり、デジタルID・共通IDのxIDそのものはxIDアプリがマイナンバーとは関係なくランダムに生成する番号である一方で、利用者に入力させたマイナンバーと8桁の生年月日を加えた20桁の番号をハッシュ化し、それをバイト配列に返還し、さらにそこから数か所のバイトを抽出・変換して「確認要素」を生成し、この「確認要素」とxIDをセットでxID社のサーバーに保管していたとのことです。

そしてこの「確認要素」は、同一の利用者がメールアドレスやスマホ端末などを変えて登録作業を行うことにより、同じ人間が複数のxIDを持てないように、つまり一人一つのxIDを付与するために利用していたとのことです。

しかし、10月22日に個人情報保護委員会は、「マイナンバーを元にハッシュ化するなどして不可逆的に生成した番号も「広義の個人番号」(マイナンバー法2条8項かっこ書き、いわゆる「裏番号」「裏個人番号」)に該当するので、マイナンバーをハッシュ化するなどして生成した番号を法9条の定める税・社会保障・災害対応の3つの利用目的以外に利用することは法9条違反のおそれがある。」とのプレスリリースを出しました。
・番号法第2条第8項に定義される個人番号の範囲について(周知)|個人情報保護委員会

これを受けてxID社の今回のリリースは「マイナンバーから生成された「確認要素」は法2条8項かっこ書きの「広義の個人番号に該当する」との個人情報保護委員会の見解を受けて、12月中旬以降の新しいxIDサービスにおいては、マイナンバーから「確認要素」を生成するスキームを止めるとし、その上で、次のような新しい仕組みを導入するとしています。

同一の個人が複数のアカウントを持てない仕組みを提供するために、新たにマイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」を利用します。』『 「新旧シリアル番号の紐付けサービス」は、J-LIS(地方公共団体情報システム機構)が提供する⺠間事業者向けの付加サービスです。マイナンバーカードの電子証明書が更新された場合に、更新前と更新後それぞれの電子証明書を紐づけ、保有者の同一性を確認できるようになります。』(xID社のリリースより)

つまり、xID社は、あくまでも利用者・国民に一人一つの共通IDであるxIDを付与するために、マイナンバーをハッシュ化するなどして「確認要素」を生成するかわりに、12月中旬以降は、マイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」を利用する方針であるとのことです。

ここで、このマイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」について地方公共団体情報システム機構(J-LIS)サイトの説明ページをみると、たしかに平成29年1月開始の民間向けの新サービスとして、『利用者証明用電子証明書が更新された場合に、更新前と更新後それぞれの利用者証明用電子証明書の保有者の同一性を確認できないことに対応するため、民間事業者向けの付加サービスとして、新しい利用者証明用電子証明書のシリアル番号を用いて公的個人認証サービスに問い合わせると、1世代前の利用者証明用電子証明書のシリアル番号を提供するサービスを、平成29年1月から開始しました 。』と解説されています。
新たに開始したサービス
(地方公共団体情報システム機構(J-LIS)サイトより)
・民間事業者が公的個人認証サービスを利用するメリット|地方公共団体情報システム機構(J-LIS)

3.マイナンバーカードの公的個人認証サービス
総務省サイトのマイナンバーカードの民間利用の説明ページのなかの説明資料「個人番号カードの概要及び公的個人認証サービスを活用したオンライン取引等の可能性について(参考資料)」には、マイナンバーカードのICチップ部分の電子証明書のシリアル番号等を利用して、例えば銀行口座の新規開設などの場面でマイナンバーカードの電子証明書のシリアル番号等が「なりすまし」や「改ざん」防止のための本人確認として利用できることが説明されています。
・マイナンバー制度とマイナンバーカード>公的個人認証サービスによる電子証明書(民間事業者向け)|総務省
・個人番号カードの概要及び公的個人認証サービスを活用したオンライン取引等の可能性について(参考資料)(PDF)|総務省

公的個人認証サービス1
公的個人認証サービス3
(総務省「個人番号カードの概要及び公的個人認証サービスを活用したオンライン取引等の可能性について(参考資料)」より)

しかし、総務省サイトやその説明ページの資料の解説などを読むと、このマイナンバーカードのICチップ部分の公的個人認証サービスは、あくまでも「なりすまし」や「改ざん」などを防ぐための本人確認のための機能です。つまり例えば銀行口座の開設の場面でいえば、銀行口座の新規開設をしたいという利用者・国民が確かに当該利用者・国民の本人であることの確認を行って「なりすまし」や「改ざん」を防止することが「本人確認」です。この「本人確認」は、この銀行口座の新規開設の場合における銀行口座番号を作った利用者・国民が本人であることを確認するための仕組みであって、当該銀行口座番号が国民に一人一つの唯一無二性を証明する機能ではないはずです。

そのため、利用者・国民の「本人確認」をして「なりすまし」「改ざん」を防ぐという目的のための機能である、マイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」を、現行のマイナンバーをハッシュ化等して「確認要素」を生成し、当該「確認要素」により利用者・国民に付与するxIDを利用者・国民に一人一つの番号であること(唯一無二性・悉皆性)を担保することの代わりに利用することは、マイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」や、マイナンバーカードの電子証明書の「本人確認」という利用目的を逸脱した脱法的なものなのではないでしょうか?

4.なぜxID社は国民一人に一つの共通IDのxIDに執着するのか?
そもそも、xID社はなぜここまでして、xIDを国民に一人一つの番号とすることに異常なまでに執着するのでしょうか。今回のプレスリリースでもxID社はマイナンバーカードの「新旧シリアル番号の紐付けサービスを利用」する目的を「同一の個人が複数のアカウントを持てない仕組みを提供するため」として、xIDを国民に一人一つ(唯一無二性・悉皆性)の性質を持つ共通IDとする方針は継続する方針です。

この点、xID社はこのブログでも取り上げたとおり、2020年10月2日の経産省の「第5回インフラ海外展開懇談会」に提出されたxID社のxIDに関する資料(「資料3 xID 日下様 ご提供資料(第5回インフラ海外展開懇談会 日本で唯一の次世代デジタルIDアプリ「xID」)」において、『Society 5.0の社会においては、パーソナルデータ(個人情報)を活用した個人最適なサービスの提供などを実現するにはデジタル世界で、あらゆるサービスを利用するAさんがどのサービスにおいても同一の人物である。と特定すること=”ユーザーの同一性・一意性担保”が重要です。利便性・信頼性と透明性を担保しながら利用できるデジタルIDがあれば、ユーザー同意に基づくパーソナルデータの活用が実現できます。』とxIDの趣旨・目的を説明しています。
xIDの概要1

xidの概要2
(2020年10月2日の経産省「第5回インフラ海外展開懇談会」の「資料3 xID 日下様 ご提供資料(第5回インフラ海外展開懇談会 日本で唯一の次世代デジタルIDアプリ「xID」)」より)
・第5回 インフラ海外展開懇談会|経済産業省

つまり、xIDとは「民間企業や各自治体、各官庁などがばらばらに保有している国民の個人データを、本人の同一性・一意性が担保できるデジタルIDであるxIDにより、官民のさまざまなサービスを利用する個人の個人データを一元管理・集中管理して国民の個人データの利活用を実現するもの」であり、すなわち、xIDとは一言で言うならば、「さまざまな行政機関・自治体やさまざまな民間企業がばらばらに保有する国民の個人データを、国・大企業が一元管理・集中管理して、国・大企業がマイナバー法に縛られずに自由な用途に利用できる唯一無二性・悉皆性の性質を持つ「民間版マイナンバー」」(=裏個人番号・裏マイナンバー・「広義の個人番号」、マイナンバー法2条8項かっこ書き)と言えます。

しかしそのような、国・自治体やさまざまな民間企業などがばらばらに保有する国民の個人情報を、国・大企業などがxIDなどの国・企業などの保有する個人情報を名寄せ・突合できるマスターキーの共通IDで一元管理・集中管理することは、国民のあらゆる分野・項目の個人情報・個人データが国・大企業により一元管理・集中管理され、いわば「国民個人個人が国家・大企業の前であたかも丸裸にされるがごとき状況」(住基ネット訴訟・金沢地裁平成17年5月30日判決)が発生することとなってしまいます。

そのような状況下では、国民のプライバシーや私的領域(憲法13条)、表現の自由(21条1項)、内心の自由(19条)、信仰の自由(20条)などの国民の基本的人権が国家・大企業の前でゼロとなってしまい、国民が国家や大企業による監視・モニタリングにおびえ、日々の生活における行動や表現行為などが委縮し、安心して人間らしいのびのびとした生活を送れなくなってしまう危険があります。つまり「国民総背番号制」の危険や、中国、北朝鮮やかつてのソ連やその衛星国家などの旧共産圏、あるいはジョージ・オーウェルのSF小説「1984」、最近のアニメ「PSYCHO-PASS サイコパス」などのような「超監視国家」・「超監視社会」の危険があります。

マイナンバー法は、行政の効率化や行政のコストダウン等の目的のために、国民すべてに割り当てられ(悉皆性)、国民一人に一つの番号(唯一無二性)の性質を有するマイナンバー(個人番号)という、行政が保有するあらゆる個人情報・個人データを名寄せ・突合できる究極のマスターキーとしてのマイナンバーを創設する一方で、同法9条はマイナンバーの利用目的を税・社会保障・災害対応の3つに限定し、利用できる行政機関・民間企業も限定的に定めてそれ以外の利用を罰則付きで禁止しています。

また、本人や行政機関・民間企業等も法9条の定める利用目的以外にマイナンバーを提供することを禁止しており、かりに「本人の同意」があったとしても、法9条の定める利用目的以外のマイナンバーの提供・利用・保存などは禁止されています(法19条)。

マイナンバー法はこのような厳しい法制度により、行政の効率化とともに、マイナンバーが国や大企業などに悪用され、日本社会が中国や北朝鮮などのような超監視国家となるリスクを防止しているのです。

にもかかわらず、xID社が実施している「さまざまな行政機関・自治体やさまざまな民間企業がばらばらに保有する国民の個人データを、国・大企業が名寄せ・突合できるようにして一元管理・集中管理して、国・大企業が自由な用途に利用できる「民間版マイナンバー」」というxIDサービスは、つまり、国・自治体・大企業等がマイナンバー法を潜り抜けて、あらゆる用途に好き勝手に国民のあらゆる個人情報・個人データを名寄せ・突合して利活用できるようにするために、日本社会の「超監視国家」化を防止するためのマイナンバー法9条を潜脱するための脱法的なサービスが目的であると思われ、これはマイナンバー法9条違反として許されないものなのではないでしょうか。

xID社は、今回のプレスリリースで、マイナンバーをハッシュ化等して「確認要素」を生成するスキームは止めて、12月中旬以降は、マイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」を利用した新サービスを提供する方針であるそうです。

しかし上でみたように、この電子証明書の「新旧シリアル番号の紐付けサービス」の利用は、マイナンバーカードの電子証明書機能の「本人確認」という本来の目的を逸脱した脱法的な利用です。

また、そもそも12月中旬以降の新しいxIDも、マイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」の利用により、「国民一人に一つで国民すべてに割り当てられた番号」という「唯一無二性・悉皆性」というマイナンバー(個人番号)の法的性質(宇賀克也『番号法の逐条解説 第2版』24頁)が担保された、マイナンバーに代わる番号(=「広義の個人番号」「裏番号」「裏個人番号」、法2条8項かっこ書き)であることに変わりはないので、新しいxIDを税・社会保障・災害対応という法9条が規定する利用目的以外の、自治体の施設予約システムのIDや、自治体の各種の行政サービスへの電子申請のIDに利用・提供・保存などをすることは、やはりマイナンバー法9条違反や、法19条違反となると思われます。

5.まとめ
xID社は、「マイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」の利用」などというマイナンバー法を潜脱するための手段を考案することに力を入れるのではなく、「デジタル世界で、あらゆるサービスを利用するAさんがどのサービスにおいても同一の人物であると特定すること=”ユーザーの同一性・一意性担保”」という「広義の個人番号」(「裏番号」「裏個人番号」「民間版マイナンバー」)のxIDというマイナンバー法を潜脱する脱法的なサービス自体を断念する経営判断を行うべきではないでしょうか。

日本は個人の尊重や個人の基本的人権の確立を掲げる近代立憲主義憲法を持つ民主主義国であり、そのような近代民主主義国家においては、主権者たる国民の基本的人権を守るために、国民から負託された国会において制定された法律を遵守して行政や民間企業等が行政活動や経済活動を行う「法の支配」法治主義が大原則です。(最近、社会的に注目されているSDGsの「17の目標」も、「公正」を目標の一つに掲げています。)

xID社は日本社会の「良き企業市民」として、マイナンバー法や個人情報保護法などの法律や社会倫理・モラルを遵守するというコンプライアンス意識を持った企業活動が求められます。法律の抜け道を探すことに力を注ぎ、脱法的な企業活動を行うことは、「Gov-tech」を標榜する「良き企業市民」のやることではありません。

■追記(11月5日)
産業技術総合研究所主任研究員の高木浩光先生も11月5日にTwitterで、xIDのプレスリリースについて次のように批判する投稿をしておられます。

この期に及んで(何度変換しようが照合させようが対応して変わって用いられる限りそれが法の個人番号の定義だと言われているのに)まだこんなこと言うのですね。思考力の弱い自治体相手ならまだまだこれで通せそうでしょうか?

ひろみつ先生2
(高木浩光先生(@HiromitsuTakagi)のTwitterより)
https://twitter.com/HiromitsuTakagi/status/1456333854680092695

サイバートラストはこんな用途(1人1アカウントを実現)に新旧シリアル番号ひも付け機能を使わせちゃダメだよ。利用者が自ら証明書更新時にアカウントを継続するときに使うものだからね。

ひろみつ先生1
(高木浩光先生(@HiromitsuTakagi)のTwitterより)
https://twitter.com/HiromitsuTakagi/status/1456339328137789440

■追記(11月11日)
11月10日に、渋谷区議会議員須田賢様より、渋谷区は施設予約システム開発の業務委託先をXID社ではない企業に委託することを決定したとの情報提供をTwitterにていただきました。また須田様は、まだxID社のシステム導入を渋谷区が検討中の段階で、xID社が「渋谷区からxIDが問題ないと認定を受けた」趣旨の投稿をTwitterで行っていたことは、民間IT企業の宣伝活動・広報活動のあり方として問題がある旨も指摘しておられます。須田賢・渋谷区議様、情報提供をいただき誠にありがとうございました。
須田賢氏1
須田賢氏2
(須田賢・渋谷区議会議員(@sudaken_shibuya)のTwitterより)
https://twitter.com/sudaken_shibuya/status/1458401780027432961

この点、渋谷区11月10日付プレスリリース「令和3年度施設予約システム再構築に係る設計・開発業務委託の公募型プロポーザルの選考結果について公表します」は、令和3年度施設予約システム再構築に係る設計・開発業務委託について、xID社ではなく、ぴあ株式会社を業務委託先の選定事業者に決定したと公表しています。
・令和3年度施設予約システム再構築に係る設計・開発業務委託の公募型プロポーザルの選考結果について公表します|渋谷区

渋谷区をはじめとする自治体・行政機関について憲法15条2項、地方公務員法32条などは行政サービスの公平性・中立性や法令遵守を要求しており、法律の抜け穴を探すことばかりに熱心でコンプライアンス意識が希薄な企業風土のxID社との業務提携を行わない決定した渋谷区や渋谷区議会の判断は、極めて正当であると思われます。

面白かったらブックマークなどをお願いします!

■参考文献
・水町雅子『Q&A番号法』10頁、56頁
・宇賀克也『番号法の逐条解説 第2版』24頁

■関連する記事
・xIDのマイナンバーをデジタルID化するサービスがマイナンバー法違反で炎上中(追記あり)
・東京都のLINEを利用したコロナワクチン接種啓発の「TOKYOワクション」は個人情報保護法制や情報セキュリティの観点から違法・不当でないのか?(追記あり)
・LINEの個人情報事件に関するZホールディンクスの有識者委員会の最終報告書を読んでみた
・デジタル庁がサイト運用をSTUDIOに委託していることは行政機関個人情報保護法6条の安全確保に抵触しないのか考えた(追記あり)
・デジタル庁のプライバシーポリシーが個人情報保護法的にいろいろとひどい件(追記あり)-個人情報・公務の民間化
・デジタル庁の事務方トップに伊藤穣一氏との人事を考えた(追記あり)
・健康保険証のマイナンバーカードへの一体化でカルテや処方箋等の医療データがマイナンバーに連結されることを考えた
・文科省が小中学生の成績等をマイナンバーカードで一元管理することを考える-ビッグデータ・AIによる「教育の個別最適化」
・小中学校のタブレットの操作ログの分析により児童を評価することを個人情報保護法・憲法から考えた-AI・教育の平等・データによる人の選別
・JR東日本が防犯カメラ・顔認証技術により駅構内等の出所者や不審者等を監視することを個人情報保護法などから考えた
・令和2年改正の個人情報保護法ガイドラインQ&Aの「委託」の解説からTポイントのCCCの「他社データと組み合わせた個人情報の利用」を考えた-「委託の混ぜるな危険の問題」
・河野太郎大臣がTwitterで批判的なユーザーをブロックすることをトランプ氏の裁判例や憲法から考えたー表現の自由・全国民の代表(追記あり)
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング
・令和2年改正個人情報保護法ガイドラインのパブコメ結果を読んでみた(追記あり)-貸出履歴・閲覧履歴・プロファイリング・内閣府の意見
・欧州の情報自己決定権・コンピュータ基本権と日米の自己情報コントロール権
・リクルートなどの就活生の内定辞退予測データの販売を個人情報保護法・職安法的に考える
・トヨタのコネクテッドカーの車外画像データの自動運転システム開発等のための利用について個人情報保護法・独禁法・プライバシー権から考えた







































このエントリーをはてなブックマークに追加 mixiチェック

↑このページのトップヘ