なか2656のblog

とある会社の社員が、法律などをできるだけわかりやすく書いたブログです

タグ:東京都

kojinjouhou_rouei_businessman
2024年7月8日付で東京都が「個人情報の漏えい」というプレスリリースを出しています。
・個人情報の漏えい|東京都

本リリースを読むと、「東京都産業労働局(委託元)と公益財団法人東京しごと財団(委託先)は、「シニア中小企業サポート人材プログラム」という再就職のためのプログラムを実施しているところ、このプログラムの希望者56名について、本来、個人が特定されないよう匿名加工を施した人材情報を提供すべきところ、個人が特定できる内部保存用のファイルを、488社に対しEメールで誤って送付した。」というのが本個人情報漏洩事故の概要のようです。

ところが本リリースの「漏洩した個人情報」の部分を読むと、つぎのようになっています。

3 漏えいした個人情報
本来送信予定の項目
「希望職種」「希望条件」「主な職歴」「資格、自己PR」「最寄駅」

実際に送信してしまった項目
上記に加え、「漢字氏名」「年齢」「性別」
漏洩した個人情報

・・・これは「匿名加工情報」(個人情報保護法2条6項)の問題なのでしょうか?つまり、東京都産業労働局および東京しごと財団は、個人情報の生データ(「希望職種」「希望条件」「主な職歴」「資格、自己PR」「最寄駅」)から氏名・年齢・性別などを除外しただけのデータを「匿名加工」した個人情報ではないデータと認識しているということなのでしょうか?(もしそうであるなら、東京都産業労働局および東京しごと財団における情報管理が心配です。)

そこで東京都産業労働局および東京しごと財団に電話で質問してみたところ、おおむね次のような回答でした。

〇「Excelで人材情報を管理しているところ、「希望職種」「希望条件」「主な職歴」「資格、自己PR」「最寄駅」などのデータから、氏名・年齢・性別を除外したデータなので「匿名加工」とプレスリリースに標記した。」

〇「ただしこれらの情報を求人企業に第三者提供するにあたっては、求職者の本人同意は得ている。」

〇「「匿名加工」という記載が妥当ではないとのご意見に関しては、貴重なご意見としてうけたまわる。」

いうまでもなく個人情報保護法上の「匿名加工情報」は、「次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。」(法2条6項)であり、個人データの生データのデータセットから氏名・住所などを削除しただけでは匿名加工情報とはいえず、このデータは以前として個人情報・個人データです。

本プレスリリースによると、東京都産業労働局は再発防止策として、「個人情報の適切な取扱い及びメール送信内容のダブルチェックを改めて徹底する。」「産業労働局における、委託業務を含めた個人情報の適切な管理について、改めて注意喚起を行った。」の2点をあげていますが、まずは東京都産業労働局および東京しごと財団における個人情報保護法の再教育を実施したほうがよいのではと思いました。

人気ブログランキング

PR
このエントリーをはてなブックマークに追加 mixiチェック

ai_pet_family
情報法制研究所の高木浩光先生がTwitter(X)で「東京都教育ダッシュボードにおける教育データ取扱い方針について」を取り上げておられたので私も読んでみました。

ひろみちゅ
(高木浩光先生のTwitterより)

東京都教育ダッシュボードにおける教育データ取扱い方針について|東京都

教育ダッシュボードについて
(東京都「東京都教育ダッシュボードにおける教育データ取扱い方針について」より)

東京都教育ダッシュボードにおける教育データ取扱い方針
(東京都「東京都教育ダッシュボードにおける教育データ取扱い方針について」より)

この取扱い方針によると、教育データの利用目的は①生徒の学習指導・進路指導・生活指導、②指導方法の検討・学校経営の検討等となっています。しかしこれは漠然としており、また幅広すぎて、個情法61条(17条)の「利用目的をできるだけ特定」に抵触のおそれがあるのではないでしょうか。

また、この東京都の取組は、学校の学習データに係る個人データをありったけ集めて利用しようとしている点で個情法61条(17条)の「必要最小限」の趣旨に反しているように思われます。

さらにこの東京都の取組は、生徒の検診データや体力データ等で生徒の学習指導・進路指導・生活指導をするようですが、これは最近、高木先生が主張されておられる「関係のないデータで判断しない」とのOECDガイドライン第2原則違反ではないでしょうか。

加えて生徒・保護者の本人同意につき、オプトインでなくオプトアウト方式なのは大丈夫なのかと気になります。それとデータの保存期間が「卒業後5年間」となっているのは、やや長すぎるのではないかと思われます。

そもそも教育データで生活指導や児童福祉みたいなことを判断するのは個人データの「関連性」がなくアウトなのでは…と心配になります。

このように、東京都の「東京都教育ダッシュボードにおける教育データ取扱い方針について」はツッコミどころ満載です。東京都は再検討が必要なのではないでしょうか。

このブログ記事が面白かったらシェアやブックマークをお願いします!

■参考文献
ニッポンの教育ログを考える——プライバシーフリーク・カフェ#16(後編)|Cafe JILIS

■関連するブログ記事
デジタル庁「教育データ利活用ロードマップ」は個人情報保護法・憲法的に大丈夫なのか?
小中学校のタブレットの操作ログの分析により児童を評価することを個人情報保護法・憲法から考えた-AI・教育の平等・データによる人の選別
埼玉県の公立中学校の「集中しない生徒をリアルタイムで把握」するシステムを個人情報保護法や憲法から考えた

人気ブログランキング

PR




このエントリーをはてなブックマークに追加 mixiチェック

building_tokyo_tochou
東京都がパブコメ「令和5年度以降の東京都における個人情報保護制度に関する条例整備の考え方について(意見募集)」を2022年10月31日まで実施していたので、次のようなパブコメ意見を書いて提出してみました。

・令和5年度以降の東京都における個人情報保護制度に関する条例整備の考え方について(意見募集)|東京都

1.該当箇所(御意見の内容に該当する箇所)と御意見
(1)該当箇所
「8 個人情報の適正な取扱いを確保するために専門的な知見に基づく意見を聴くことが特に必要であると認めるときは、東京都情報公開・個人情報保護審議会(情報公開条例第 39条)に諮問します。」について

(2)意見
「個人情報の適正な取扱いを確保するために専門的な知見に基づく意見を聴くことが特に必要であると認めるとき」に限定されず、従来どおり東京都または東京都議会等は東京都情報公開・個人情報保護審議会に幅広く諮問を行うべきである。

2.御意見の理由
個人情報保護法129条は「個人情報の適正な取扱いを確保するために専門的な知見に基づく意見を聴くことが特に必要であると認めるとき」は、審議会などの機関に諮問することができると規定しているため、地方自治体は「特に必要であると認める場合」に限り審議会などに諮問することができるのかが問題となり、同法129条の趣旨・目的が問題となる。

この点、同法129条の趣旨について、令和3年5月11日の参議院内閣委員会において政府参考人(冨安泰一郎・内閣官房内閣審議官)は「個別の個人情報の取扱いの判断については、国が策定するガイドラインも作られ、個人情報保護委員会の助言等もあるので、そういったものを参照することで解決される場合が多いと考えられる。したがって地方公共団体が個別の個人情報の取扱いの判断について審議会に諮問する必要性は減少するものと考えている」と述べている(https://kokkai.ndl.go.jp/txt/120414889X01720210511/66)。

つまり、個人情報保護法においては、個人情報保護委員会が地方自治体における個人情報の取扱いについて監督することになり、地方自治体の審議会などが審議する必要がある場合が減少するため同法129条を設けたものと解される。そのため、地方自治体の審議会等が幅広く審議を行うことによる弊害の防止が立法趣旨となっているわけではない。

したがって、同法129条はあくまで例示規定であり、特に必要と認める場合以外に審議会等に諮問を行うことが法律により禁止されるわけではないと解される。そのように考えても個人情報保護法の全体的な趣旨・目的である「個人情報の有用性に配慮」と「個人の権利利益の保護」および「個人の人格尊重の理念を尊重」が阻害されるわけではない(個人情報保護法1条、3条)。地方自治や団体自治(権力分立)により国民・住民の個人情報、プライバシー権および人格権など(憲法13条)を保護しようという憲法92条、94条の趣旨からもそのように解すべきである。

そのため、東京都情報公開・個人情報保護審議会への諮問については、「個人情報の適正な取扱いを確保するために専門的な知見に基づく意見を聴くことが特に必要であると認めるとき」に限定せず、従来どおりに東京都または東京都議会等は幅広く諮問を行うべきである。(斎藤裕「令和3年改正個人情報保護法と個人情報保護条例の効力」『判例時報』2510号97頁参照。)

このブログ記事が面白かったらブックマークやシェアをお願いします!

■参考文献
・斎藤裕「令和3年改正個人情報保護法と個人情報保護条例の効力」『判例時報』2510号97頁
・冨安泰一郎『一問一答令和3年改正個人情報保護法』61頁

■関連する記事
・「調布市個人情報保護法施行条例(案)の概要」のパブコメに意見を送ってみた
・調布市の陥没事故の被害者住民の情報公開請求に係る個人情報の漏洩事件について考えた(追記あり)
・マイナポータル利用規約と河野太郎・デジタル庁大臣の主張がひどい件
・保険証の廃止によるマイナンバーカードの事実上の強制を考えたーマイナンバー法16条の2(追記あり)
・デジタル庁「教育データ利活用ロードマップ」は個人情報保護法・憲法的に大丈夫なのか?



[広告]








このエントリーをはてなブックマークに追加 mixiチェック

東京ワクションのアイコン
(東京都「TOKYOワクション」サイトより)


このブログ記事の概要

東京都LINEを利用したコロナワクチン啓発のための「TOKYOワクション」は、東京都個人情報保護条例違反し、また、2021年4月30日付の内閣官房・個人情報保護委員会・金融庁・総務省の「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方(ガイドライン)」などにも違反している。

具体的には、同ガイドラインは、国・自治体がLINEの行政サービスで国民の個人情報や機微情報を取扱う場合には、(1)監督官庁のセキュリティーポリシーに適合することと、(2)LINE社以外の事業者にシステムを構築させ、当該システム上で個人情報・機微情報の保存などをすることを要求しているところ、東京都の「TOKYOワクション」は、(1)(2)のどちらも満たしておらず、同ガイドラインに違反している。

そのため、東京都の「TOKYOワクション」は、個人情報保護法制や情報セキュリティの観点から非常に問題である。

1.東京都の「TOKYOワクション」政策
東京都は、2021年10月15日付のプレスリリース「新型コロナウイルスワクチン接種促進キャンペーン「TOKYOワクションアプリ」を開始します」によると、都民の新型コロナワクチンの接種を促進するために、「TOKYOワクション」という施策を11月1日から開始したようです。
・新型コロナウイルスワクチン接種促進キャンペーン「TOKYOワクションアプリ」を開始します|東京都(2021年10月15日付)

このプレスリリースによると、この「TOKYOワクション」とは、「1.TOKYOワクションアプリ特設ホームページでの情報発信、2.スマートフォンアプリ(LINEアプリ)を活用した接種記録の登録と特典の提供」を内容とするものであるそうです。

つまり一言でいうと、この東京都の「TOKYOワクション」とは、都民のコロナワクチン接種を促進すると同時に、ワクチン接種済の住民に協賛企業からの特典等を提供することにより協賛企業の売上をアップさせる「町おこし」のために、コロナワクチンの接種を受けた都民がLINEの「TOKYOワクション」に「友達登録」し、運転免許証などの「本人確認書類」と医療機関や自治体などが発行したワクチンの「接種済証」等の画像をLINEの「TOKYOワクション」にアップロードし、当該画像を確認した東京都の事務局がワクチン登録済の住民として登録し、当該住民は「TOKYOワクション」のワクチン接種済の登録画面を提示して、「TOKYOワクション」の協賛企業(イオングループの飲食店など)から特典を受けられるという施策であるそうです。
・TOKYOワクション 公式サイト|東京都

しかし、LINEについては本年3月に個人情報と通信の秘密に関する不祥事が発覚し、また本年9月も渋谷区がLINEとeKYCにより住民票の写しの申請を行うスキームを導入しようとしたところ、総務省から技術的な安全が確保されていないとダメ出しが行われたばかりですが、この東京都の「TOKYOワクション」は、個人情報保護法や情報セキュリティの観点から大丈夫なのでしょうか?

そこで東京都ウェブサイトに設置された「TOKYOワクション」サイトをみると、「TOKYOワクション」サイトは、たしかに大きく4つの機能があるようです。
・TOKYOワクション|東京都

つまり、「1.ワクチンを知る」として、「そもそも予防接種とは何か」等のコロナワクチンに関するQAが用意されており、つぎに「2.ワクチンを接種する」として、ワクチン接種に関連する注意事項などのQAが用意されています。さらに、「3.TOKYOワクションアプリに登録する」という項目と、「4.ワクションに協賛する」という項目がありますが、とくにこの3番目の「3.TOKYOワクションアプリに登録する」が法的あるいは情報セキュリティ的に大丈夫なのか気になります。

2.LINEの「TOKYOワクション」の仕組み
そこで、不肖・私めが人柱として、スマホのLINEの「TOKYOワクション」に友達登録をしてみました。すると次のようなトップ画面が出てきました。
東京ワクションのLINEの画面

そしてこの画面左下の「アプリを開く」を押すと、「LINEで応募 TOKYOワクション キャンペーン概要」という説明ページが現れました。そこでこの「キャンペーン概要」の説明ページを読み進めてゆくと、「情報の取り扱いについて」という記述が現れました。
キャンペーンの概要1
キャンペーンの概要2

そこでこの「情報の取り扱いについて」を読むと、「本キャンペーンは東京都が主催するものであり、LINE社の「LINEで応募」機能を利用しています。」となっています。そして、「「LINEで応募」機能のサービス提供のために、本キャンペーンへの参加状況等の情報をLINE社が取得し、当該情報は東京都に提供されます(ただし、本人確認書類とコロナワクチンの接種記録の情報は含まない)。」と説明されています。そして「LINE社は本キャンペーンへの参加状況等から応募者の「ワクチン接種の事実」の情報を取得し、LINE社は応募者の「ワクチン接種の事実」の情報を「LINEで応募」の機能提供に利用し、東京都はLINE社から提供された応募者の「ワクチン接種の事実」の情報を、本キャンペーンの実施および「TOKYOワクション」LINE公式アカウントからの当キャンペーンに関する情報の案内に利用し、さらに東京都は個人が特定できない形で、応募者の居住地・年齢の統計情報を特典提供者に提供する場合があります。」と説明されています。

「LINEで応募 TOKYOワクション キャンペーン概要」の「情報の取り扱いについて」の概要

①本キャンペーンは東京都が主催するものであり、LINE社の「LINEで応募」機能を利用する。

②「LINEで応募」機能のサービス提供のために、本キャンペーンへの参加状況等の情報をLINE社が取得し、当該情報は東京都に提供されます(ただし、本人確認書類とコロナワクチンの接種記録の情報は含まない)。

③LINE社は本キャンペーンへの参加状況等から応募者の「ワクチン接種の事実」の情報を取得し、LINE社は応募者の「ワクチン接種の事実」の情報を「LINEで応募」の機能提供に利用する。

④東京都はLINE社から提供された応募者の「ワクチン接種の事実」の情報を、本キャンペーンの実施および「TOKYOワクション」LINE公式アカウントからの当キャンペーンに関する情報の案内に利用する。

⑤東京都は個人が特定できない形で、応募者の居住地・年齢の統計情報を特典提供者に提供する。

この「LINEで応募 TOKYOワクション キャンペーン概要」の「情報の取り扱いについて」を読むと、東京都の「TOKYOワクション」は、LINE社の「LINEで応募」機能を利用して実施するとされています。そして、この「TOKYOワクション」キャンペーンにより協賛企業から特典を受けたりLINEポイントを受けるために、ワクチン接種済の都民がLINEの「TOKYOワクション」に友達登録しLINE社は当該都民を「LINEアカウント認証」を行い、当該都民はLINEの「TOKYOワクション」に運転免許証などの本人確認書類の画像と、医療機関や自治体が発行したワクチンの「接種済証」等の画像をスマホのカメラ機能で読み取り、LINEの「TOKYOワクション」に当該画像をアップロードするとなっています。そしてLINE社は「TOKYOワクション」に登録した都民のLINEアカウント情報や、本人確認書類の画像とワクチンの接種済等の書類の画像を東京都に提供するとなっています。

(なお、「情報の取り扱いについて」には、「(ただし、本人確認書類とコロナワクチンの接種記録の情報は含まない)」とのかっこ書きがありますが、「TOKYOワクション」サイトの説明を読むと、LINE社から「TOKYOワクション」に登録した都民のアカウント情報や本人確認書類とコロナワクチンの接種記録の情報をもとに東京都当局(あるいはその委託先企業)が原則24時間以内に情報を確認し、登録したワクチン接種済で「TOKYOワクション」に申し込んだ住民の情報をデータベースに登録し、協賛企業から店頭で特典を受けるための証明画面などを提供するとされているので、LINE社が本人確認書類とコロナワクチンの接種記録の情報をスマホのLINEアプリから収集し、東京都に当該情報を提供しないと東京都は「TOKYOワクション」の住民の確認と特典提供などのためのデータベースに登録できないので、このこのかっこ書きは虚偽か間違いではないかと思われます。)

■追記(2021年11月3日)
この「情報の取り扱いについて」の「(ただし、本人確認書類とコロナワクチンの接種記録の情報は含まない)」とのかっこ書きに関する私の上の説明について、ネット上で「認証しているだけなので技術的に正しくない」とのご指摘をいただきました。

上でも書いたとおり、東京都の公式サイトの説明では、利用者は本人確認書類とコロナワクチン接種済の証明書をスマホのカメラで撮影し、この2つの画像をLINEアプリにアップロードせよとなっています。そして、つぎに「登録内容をTOKYOワクション事務局が確認後、「LINEで応募」アカウントより登録完了の通知を行います。*原則として24時間以内に通知します。登録が集中した場合、お時間をいただくことがあります。」と説明されています。
本人確認1
本人確認2

登録内容をTOKYOワクション事務局が確認後、登録完了の通知を送ります」とあり、また「*原則として24時間以内に通知します。登録が集中した場合、お時間をいただくことがあります。」とも記載されていることから、LINEアプリにアップロードされた本人確認書類とワクチン接種済証の画像が、LINE社サーバーに送信され、LINE社サーバーから東京都事務局に提供され、東京都事務局の職員等が目視で、あるいはAIなどで登録の確認を行っているのではないかと私は思いました。

しかし、この点指摘をいただいたので、ある情報システムの専門家の方に質問したところ、東京都のこの公式サイトの説明が正しいかどうかあやしくLINEアプリ上で本人確認書類とワクチン接種済証の画像を認証していて、LINE社のサーバーには本人確認書類とワクチン接種済証の画像が送信されず、東京都の事務局にも本人確認書類とワクチン接種済証の画像は提供されていない可能性もあるとのご回答をいただきました。そしてどちらが正しいかは、システムの仕様書を見ないとわからないとのことでした。

3.LINEをこのような用途に利用して大丈夫なのか?
この「LINEで応募 TOKYOワクション キャンペーン概要」の「情報の取り扱いについて」に基づく東京都とLINE社の「TOKYOワクション」にはいくつかの疑問がわきます。つまり、まず第一は、都民・国民のセンシティブな個人データであるコロナワクチン接種に関する個人情報をLINE等で東京都などが取り扱ってよいのかという問題第二に、本年9月に渋谷区で問題になった、渋谷区のLINEにより本人確認手段の「eKYC」を利用した住民票の写し交付申請は総務省から「技術的に安全を確保できない」として違法と判断されたわけですが(現在、渋谷区は総務省に対して訴訟を提起中)、東京都のこの「TOKYOワクション」のLINEを利用した本人確認とワクチン接種済の確認は法的に大丈夫なのか?という問題、さらに第三にこのような用途に自治体である東京都がLINEを利用してよいのか?という問題、などが個人情報保護法的に、あるいは情報セキュリティ的に大丈夫なのかという疑問がわきます。

4.都民・国民のセンシティブな個人データであるコロナワクチン接種に関する情報の取扱いについて
東京都の個人情報保護条例4条2項は、「実施機関は、思想、信教及び信条に関する個人情報並びに社会的差別の原因となる個人情報については、収集してはならない。ただし、法令又は条例(以下「法令等」という。)に定めがある場合及び個人情報を取り扱う事務の目的を達成するために当該個人情報が必要かつ欠くことができない場合は、この限りでない。」と規定しています。

東京都個人情報保護条例

(収集の制限)
第4条 実施機関は、個人情報を収集するときは、個人情報を取り扱う事務の目的を明確にし、当該事務の目的を達成するために必要な範囲内で、適法かつ公正な手段により収集しなければならない。

2 実施機関は、思想、信教及び信条に関する個人情報並びに社会的差別の原因となる個人情報については、収集してはならない。ただし、法令又は条例(以下「法令等」という。)に定めがある場合及び個人情報を取り扱う事務の目的を達成するために当該個人情報が必要かつ欠くことができない場合は、この限りでない。

つまり、東京都個人情報保護条例は、センシティブな個人情報である、「思想、信教及び信条に関する個人情報並びに社会的差別の原因となる個人情報」については原則、収集を禁止しています。

この点、民間企業などに対する一般法である個人情報保護法2条3項は、要配慮個人情報を「本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。」と定義しています。

この「病歴」とは「病気に罹患した経歴を意味するもの、または特定の病歴を示したものなどが該当する」とされており(岡村久道『個人情報保護法 第3版』89頁)、また、「その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等」に関する個人情報保護法施行令2条2項「本人に対して医師その他医療に関連する職務に従事する者(次号において「医師等」という。)により行われた疾病の予防及び早期発見のための健康診断その他の検査(同号において「健康診断等」という。)の結果」と規定し、同施行令2条3項は「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。」と規定しているので、国民がコロナワクチンの接種を受けたという情報は、個人情報・個人データに該当することは当然としても、個人情報保護法上の「要配慮個人情報」には該当しないということになってしまっています。(これは正直、法律の不備ではないかと思われます。コロナワクチンなどの「予防接種」も、厚労省などが準備し接種を奨励するコロナワクチンを、コロナの予防のために医師や看護師などの問診を受けた上で医師または看護師の注射によるワクチン接種という医療行為が行われるのですから、「予防接種」も、施行令2条3項の医師などの「指導」・「診療」・「調剤」と同等に、要配慮個人情報とすべきではないでしょうかうか。)

とはいえ、ある個人が新型コロナワクチン接種を受けた、あるいは受けないという事実は、国民・個人の自分はコロナワクチン接種を受ける/受けないという、自らの生命のあり方や医療に関する自己決定権(憲法13条)や、自分はコロナワクチン接種を受ける/受けないという、個人の思想・良心などの内心の自由(憲法19条)や、宗教的な理由でワクチン接種を受けない個人にとっては信仰の自由(憲法20条)などに直結する極めてセンシティブな個人情報・個人データです。

とくにコロナワクチン接種を受けないとの判断をした個人のワクチン接種に関する個人情報・個人データは、「本人に対する不当な差別、偏見その他の不利益」が生じるおそれのある情報であると思われ、東京都や厚労省などの国・行政は、コロナワクチン接種に関する接種を受けた/受けていないとの情報、接種の年月日・時間、接種を受けた場所・医療機関、接種を受けたコロナワクチンの種類・メーカー名・シリアル番号などは、要配慮個人情報に準じたセンシティブな個人情報として、国や自治体などは特に厳格な取扱いが必要であると思われます。

5.本人確認の問題
渋谷区のLINEによる住民票の写し交付申請の事例は、渋谷区から委託を受けたBot Express社がLINE上に住民票の写し交付申請のためのチャットボットのアプリを準備し、スマホのカメラ機能で申請者の本人確認書類に添付された顔写真から顔写真の画像データを取得し、また、同じくスマホのカメラ機能で申請者本人の顔の画像データを取得し、これらの画像データをAIが照合して本人確認を行うという「eKYC」と呼ばれる本人確認の手法が、「なりすまし」のリスクを防止できないとして総務省から違法と指摘されたものです。

つまり、市区役所窓口などにおける市や区の職員による対面の本人確認と異なり、渋谷区のLINEによる申請スキームでは、申請者が本人確認書類を偽造するなどして「なりすまし」をして申請を行うリスクが回避できないので、官民のさまざまな手続きにおいて公的な本人確認書類として重要な役目を果たす住民票の写しの交付のためには、「eKYC」だけでは足りず、電子証明書などの利用も必要であるというのが総務省の見解です。
・「総務省は常識を逸脱」 渋谷区と総務省が対立の“住民票LINE交付”巡り、技術提供会社が国を提訴|ITmediaニュース

この点、今回の東京都の「TOKYOワクション」における本人確認は、渋谷区の事例と異なり、運転免許証などの本人確認書類の画像データはスマホのカメラ機能でLINE社が取得し東京都に提供されるものの、渋谷区のように申請者本人の現実の顔画像をスマホアプリで収集するプロセスが存在しません。

東京都は、LINE社によるアカウント認証で本人確認を補っていると主張するかもしれませんが、そもそもLINEのアカウントを利用者・国民が開設する際には、携帯電話番号やメールアドレスなどによる本人確認が行われるだけであり、LINE社のアカウント認証は非常に弱い本人確認といえます。

そのため、この東京都の「TOKYOワクション」の本人確認は、渋谷区のLINEによる住民票の写し交付申請の「eKYC」方式よりも脆弱な本人確認であり、悪意のある第三者による「なりすまし」のリスクを回避できないので、情報セキュリティの観点から問題なのではないでしょうか。

また、東京都の個人情報保護条例(東京都個人情報の保護に関する条例)7条は、第1項が「実施機関は、保有個人情報を取り扱う事務の目的を達成するため、保有個人情報を正確かつ最新の状態に保つよう努めなければならない。」と規定し、同条2項は「実施機関は、保有個人情報の漏えい、滅失及びき損の防止その他の保有個人情報の適正な管理のために必要な措置を講じなければならない。」と規定し、民間企業向けの一般法である個人情報保護法19条と同等の「個人データの内容の正確性の確保」と、個人情報保護法20条の安全管理措置と同様の、「適正管理措置」を東京都の各行政機関・部局は講じなければならないと規定しています。
東京都個人情報保護条例

(適正管理)
第7条 実施機関は、保有個人情報を取り扱う事務の目的を達成するため、保有個人情報を正確かつ最新の状態に保つよう努めなければならない。
 実施機関は、保有個人情報の漏えい、滅失及びき損の防止その他の保有個人情報の適正な管理のために必要な措置を講じなければならない。

したがって、東京都が「TOKYOワクション」においていい加減な本人確認を行うことは、東京都個人情報保護条例7条1項および2項に抵触する違法・不当なものであると思われます。

さらに、「eKYC」方式による本人確認は、上の総務省の見解のように、第三者による「なりすまし」を防止できないため、金融機関が自社の口座開設など、自社が「なりすまし」によるリスクを負いきれる場面だけに利用されるものです。

この点、東京都の「TOKYOワクション」は、都民・国民のコロナワクチン接種というセンシティブな個人情報に扱うものであり、また、協賛企業から店舗での特典や、LINE社の「LINEポイント」の提供などを協賛企業やLINE社に求める仕組みであり、東京都のみが「なりすまし」が発生した場合のリスクを負いきれないスキームとなっています。

もし「なりすまし」を受けて偽造した「TOKYOワクション」のワクチン接種済の証明画面の提示などにより特典などを提供した協賛企業やLINE社などは、当該特典の相当額の損害賠償を東京都に請求することになり、杜撰な本人確認のスキームを導入していた東京都は、協賛企業に対する支援金だけでなく、その損害賠償請求に応じて損害額相当の金銭を支払わねばならない法的リスクを負うことになります(民法415条、709条)。

したがって、東京都は「TOKYOワクション」を一旦中止し、本人確認の方法などについて再検討を行うべきではないでしょうか。

6.東京都はこのような用途にLINEを利用してよいのか?
LINE社の通信アプリLINEは、2021年3月に朝日新聞の峯村健司氏などによるスクープ記事で、中国の関連会社に日本のユーザーのLINEの個人データへのアクセス権を付与していた問題や、日本のユーザーの画像データ・動画データなどの個人データのすべてを韓国の関連会社のサーバーに保管していた問題などが発覚し、個人情報保護法20条の安全管理措置の違反や同22条の委託先の監督の違反、憲法21条2項や電気通信事業法4条が定める「通信の秘密」を侵害していることが、「経済安全保障」という概念とともに大きな社会問題となりました。
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた

この事件を受けて、個人情報保護委員会と総務省は同年4月にLINE社に対して行政指導を実施しました。そして、同年4月30日付で内閣官房・個人情報保護委員会・金融庁・総務省「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方(ガイドライン)」を制定し公表しました。
・「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方(ガイドライン)」の公表について|金融庁

この「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方(ガイドライン)」は、国・自治体の行政機関に対して、LINEによる行政サービスにおいては、原則、機密情報や個人情報などのやり取りは禁止とし、原則、国・自治体からの国民への単なる広報などに用途を限るものとして、おおむね、つぎの3点を規定しています。
内閣官房・個人情報保護委員会・金融庁・総務省「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方(ガイドライン)」(2021年4月30日)の概要

①個人情報や機密情報に関する取扱いは原則禁止とする。

相談業務サービスなどをLINE上で実施する場合には、大前提として各政府機関・地方公共団体等のセキュリティポリシーへの合致が必要であり、その上で、LINE社とは別の委託先に適切にセキュリティが確保されたシステムを構築させること。

④国・自治体等が個人アカウントで機密情報・個人情報等を取扱うことは禁止。


今回の東京都の「TOKYOワクション」におけるLINEの利用は、この「「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方(ガイドライン)」の「②相談業務サービスなどをLINE上で実施する場合には、大前提として各政府機関・地方公共団体等のセキュリティポリシーへの合致が必要であり、その上で、LINE社とは別の委託先に適切にセキュリティが確保されたシステムを構築させること。」が問題になると思われます。

この点、「各政府機関・地方公共団体等のセキュリティポリシーへの合致が必要」の点に関しては、「TOKYOワクション」が、都民・国民のコロナワクチンの接種という医療に関する個人データを取扱うものであるため、厚労省の「医療情報システムの安全管理に関するガイドライン 第5.1版(令和3年1月)」などへの合致が要求されると思われます。そこで厚労省の同ガイドラインをみると、「6.11.外部と個人情報を含む医療情報を交換する場合の安全管理」(77頁以下)「③「なりすまし」の危険性への対応」(79頁)において、医療関係の個人データを扱う情報システムについては、「なりすまし」のリスクを防止するために、公開鍵方式共有鍵方式等の確立された認証の仕組み」や「電子署名」を導入することが求められています。

ところが上でみたように、東京都の「TOKYOワクション」は、LINE経由で住民・国民の本人確認を行う際に、本人確認書類の画像をスマホのカメラ機能で収集し、LINE社のLINEアカウント認証を利用しているだけであり、公開鍵方式などや電子署名などの「なりすまし」防止のための仕組みを導入していないため、「各政府機関・地方公共団体等のセキュリティポリシーへの合致」に違反しています。

また、東京都の「TOKYOワクション」サイトやLINEの「TOKYOワクション」の「LINEで応募 TOKYOワクション キャンペーン概要」の「情報の取り扱いについて」などを読む限り、東京都は「TOKYOワクション」について、都民・国民のコロナワクチン接種というセンシティブな個人情報・個人データを取扱うにもかかわらず、LINE社の「LINEで応募」機能で都民のコロナワクチン接種に関する個人データを取扱うこととし、「LINE社とは別の委託先に適切にセキュリティが確保されたシステムを構築させること」を実施していないようです。

このように、東京都の「TOKYOワクション」は、内閣官房・個人情報保護委員会・金融庁・総務省の「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方(ガイドライン)」に完全に違反しています。

7.まとめ
したがって、東京都の「TOKYOワクション」のスキームは、東京都個人情報保護条例に違反し、情報セキュリティの観点からも問題があり、さらに「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方(ガイドライン)」に違反した、違法・不当なものです。

個人情報保護委員会や総務省などは、東京都に対して報告徴求や立入検査などを行うとともに、東京都に対して「TOKYOワクション」を中止する等の対応を行うべきではないでしょうか。

(なお、この東京都の「TOKYOワクション」サイトに掲載されているプライバシーポリシー(個人情報保護方針)も、「個人情報」の定義が明らかに間違っていたり、「個人情報の利用目的」の明示がなかったり、個人情報の開示・訂正・利用停止などの請求の手続きがまったく規定されていない等、個人情報保護法制的にツッコミどころ満載です。東京都の「TOKYOワクション」の担当部署は、厚労省のCOCOAの担当部署やデジタル庁などのように、個人情報保護法制や情報セキュリティの素人の人々の集まりなのでしょうか・・・。)
・「TOKYOワクション」の個人情報保護方針|東京都

面白かったらブックマークなどをお願いします!

■関連する記事
・LINEの個人情報事件に関するZホールディンクスの有識者委員会の最終報告書を読んでみた
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた
・xIDのマイナンバーをデジタルID化するサービスがマイナンバー法違反で炎上中(追記あり)
・JR東日本が防犯カメラ・顔認証技術により駅構内等の出所者や不審者等を監視することを個人情報保護法などから考えた
・「幸福追求権は基本的人権ではない」/香川県ゲーム規制条例訴訟の香川県側の主張が憲法的にひどいことを考えた
・令和2年改正の個人情報保護法ガイドラインQ&Aの「委託」の解説からTポイントのCCCの「他社データと組み合わせた個人情報の利用」を考えた-「委託の混ぜるな危険の問題」
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング
・令和2年改正個人情報保護法ガイドラインのパブコメ結果を読んでみた(追記あり)-貸出履歴・閲覧履歴・プロファイリング・内閣府の意見
・欧州の情報自己決定権・コンピュータ基本権と日米の自己情報コントロール権
・トヨタのコネクテッドカーの車外画像データの自動運転システム開発等のための利用について個人情報保護法・独禁法・プライバシー権から考えた
・小中学校のタブレットの操作ログの分析により児童を評価することを個人情報保護法・憲法から考えた-AI・教育の平等・データによる人の選別
・デジタル庁がサイト運用をSTUDIOに委託していることは行政機関個人情報保護法6条の安全確保に抵触しないのか考えた(追記あり)
・デジタル庁のプライバシーポリシーが個人情報保護法的にいろいろとひどい件(追記あり)-個人情報・公務の民間化
・健康保険証のマイナンバーカードへの一体化でカルテや処方箋等の医療データがマイナンバーに連結されることを考えた
・文科省が小中学生の成績等をマイナンバーカードで一元管理することを考える-ビッグデータ・AIによる「教育の個別最適化」





























このエントリーをはてなブックマークに追加 mixiチェック

↑このページのトップヘ