１．はじめに
2024年2月26日付の日経クロステックの記事「マイナカード利用「認証アプリ」、個人の利用状況を国が一元管理のプライバシーリスク」が、デジタル庁が本年４月から提供予定のマイナンバーカードを使って本人確認をする「デジタル認証アプリ」が、個人が行政や民間企業のサービスのログインなどで同アプリを使って認証することで、その本人の様々な官民の各種サービスの利用状況がデジタル庁のサーバーに蓄積され、国が個人について広範囲に情報を把握することとなり、不当なプロファイリングなどにつながるプライバシーリスクがあるという趣旨の報道しています。２．デジタル認証アプリのしくみ
このデジタル認証アプリとは、マイナンバーカードの内臓ICチップに搭載されている電子証明書を読み取り、オンラインで本人確認を行うためのアプリであるそうです。
（「マイナカード利用「認証アプリ」、個人の利用状況を国が一元管理のプライバシーリスク」2024年2月26日付日経クロステックより）
官民の各種サービスのウェブサイトのログインなど、本人確認が必要な際に、デジタル庁のアプリサーバーがそのサービスからのリクエストに応じてマイナンバーカードの電子証明書を受け付け、J-LIS（地方公共団体情報システム機構）のサーバーに問い合わせてその有効性を確認し、有効性が確認できたらその結果をサービス側のサーバーに返すことでサービス利用時の本人確認が行われる仕組みとなっています。
そしてこの本人確認の際に、デジタル庁のアプリサーバーにマイナンバーカードのICチップの電子証明書発行番号（シリアル番号）、事業者別リンクコード、認証状況などの情報が保存されます。電子証明書発行番号は個人の保有するマイナンバーカードと１対１で紐付き、事業者別リンクコードはサービス事業者と１対１で紐付くため、誰がどのサービス事業者のサービスの利用において本人確認を行ったかという情報がデジタル庁のサーバーに保管・蓄積されることになります。
このようなデジタル認証アプリの仕組みにより、国民個人が行政や民間企業のサービスのログインなどで同アプリを使って認証することで、その本人の様々な官民の各種サービスの利用状況がデジタル庁のサーバーに蓄積され、国が個人について一元的に情報を把握することとなり、不当なプロファイリングなどのプライバシーリスクがあることになります。
（なお、このマイナンバーカードの電子証明書は５年ごとに失効するので心配ないとの意見もあるようですが、J-LISは平成29年からいわゆる「新旧シリアル番号の紐付けサービス」を提供しており、官民の機関・事業者は電子証明書の新旧の発行番号を管理することにより、本人を追跡し続けることが可能です。）
３．マイナンバーカードの電子証明書の発行番号に関する法規制
このようにマイナンバーカードのICチップの電子証明書の発行番号（シリアル番号）は、マイナンバー（個人番号）と同様に取扱注意な番号ですが、それに対する法規制がマイナンバーに対する法規制と異なりゆるいことが大きな問題の一つであるといえます。マイナンバーについてはマイナンバー法が利用目的を税、社会保障、災害対応の３分野に限定しそれ以外の用途への利用を禁止し、提供先の機関も法定され（9条、別表１）、厳格な安全管理措置が規定され（27条以下）、罰則（48条以下）も設けられています。
一方、電子証明書の発行番号についてはそこまでの利用目的の制限がなく、また発行番号は特定個人情報（マイナンバーを含む個人情報）にも該当しないとなっており、特定個人情報に対する厳格な安全管理措置の適用もありません。公的個人認証法（JPKI法）で、発行番号を含めた外部提供用のデータベースを作成することが禁止されていますが（63条）、罰則についてはそのようなデータベースを繰り返し作成する等した事業者が、国の命令に従わなかった場合にしか科されないなど、ゆるい法規制にとどまっています（75条）。
このように、マイナンバーカードの電子証明書の発行番号の法規制はマイナンバーに比べて非常にゆるいと言わざるを得ません。これで国民の個人情報保護やプライバシー保護などは大丈夫なのでしょうか。
この点、上でみた日経クロステックの記事によると、取材に対してデジタル庁幹部は「サーバーに保有する記録の中には氏名、住所、生年月日、性別といった個人情報は含まずプライバシーインパクトは大きくないため、特段の法制度上の対応は必要ないと考えている」と回答したとのことです。
しかしこのデジタル庁の見解はいろいろと甘いのではないでしょうか。「氏名、住所、生年月日などが含まれていなければ個人情報ではない」との個情法の定義の理解は完全に間違っています。
また、個人情報保護委員会は、例えばCookieやサービス利用履歴等についても「連続的に蓄積」され特定の個人を識別できるものは個人情報としているのですから（個情法GL（通則編）2-8（※））、デジタル庁のサーバーに「連続的に蓄積」された発行番号や利用履歴等も個人情報として安全管理措置を講じる必要があるはずです（個情法66条）。
（個人情報保護委員会の個人情報保護法ガイドライン（通則編）2-8（※）より）
しかも上で見てきたように、デジタル認証アプリでデジタル庁のサーバーに広範囲に保存・蓄積されるマイナンバーカードの電子証明書の発行番号のデータは本人の様々な官民の各種サービスの利用状況であり、国家による個人の監視や不当なプロファイリング、関連性のないデータによる個人の選別・差別のおそれがあるのですから、マイナンバー並みの厳格な管理が必要なはずです。
この点、上の記事では日経クロステックの取材に対して、OpenID ファウンデーション・ジャパンの富士榮尚寛代表理事がつぎのように回答されています。
OpenID ファウンデーション・ジャパンの富士榮尚寛代表理事のコメント
「問題は、性質や提供者が異なる、国のサービスも民間サービスも含めて1人の個人にひも付いた利用状況がデジタル庁のサーバーに蓄積することだ」と指摘。デジタル庁のWebサイトでは同アプリについて「行政サービスでも民間サービスでも利用可能な国が認定する個人認証サービスを提供します」としている。
「例えばデジタル認証アプリで本人確認をして『富士榮が確定申告をした』だけならば、そもそも国家が把握している情報なので問題ない。ところが、そこに『富士榮が映画のチケット購入時に本人確認をした』『富士榮が18禁のサービス利用時に本人確認をした』など民間サービスの利用状況もひも付き一元管理されるとどうか」
「Google Knows You Better Than You Know Yourself」ならぬ「デジタル庁はあなたよりあなた自身のことを知っている」ということになりかねない懸念があるというわけだ。
（「マイナカード利用「認証アプリ」、個人の利用状況を国が一元管理のプライバシーリスク」2024年2月26日付日経クロステックより）
４．まとめ・デジタル庁のパブコメが実施中
デジタル認証アプリについては、個人が官民の各種サービスを利用した履歴が一元管理され、不当な個人のプロファイリングや、関連性のないデータによる個人の選別・差別、国家による個人の監視などの個人の権利利益の侵害や個人の人格権侵害のリスクがあります（マイナンバー法１条、個人情報保護法１条、３条、憲法13条）。そのため、「法律による行政の原則」（憲法 41 条、65 条、 76 条）の観点から、デジタル認証アプリについて、公的個人認証法の施行規則の一部改正だけではなく、マイナンバー法そのものを一部改正し、根拠条文を設置し、利用目的や目的外利用の禁止、安全管理措置等を規定し、違法・不当な利用に歯止めをかけるべきと考えます。
また、デジタル認証アプリで収集された個人情報（「連続的に蓄積」された電子証明書の発行番号（シリアル番号）やサービス利用履歴等も含む。個情法ガイドライン（通則編）2-8（※）参照。）についても、利用目的の制限、第三者提供等の制限、安全管理措置、保存期間の設定、データ最小限の原則、開示・訂正請求など本人関与の仕組みの策定、情報公開・透明性の仕組みの確保、不適正利用・プロファイリングの禁止などの法規制がなされるべきと考えます。
さらに、マイナンバーカードの電子証明書の発行番号（シリアル番号）についても、マイナンバー（個人番号）に準じたものとして取扱うように法規制し、利用目的の厳格化、目的外利用の禁止、第三者提供の制限、厳格な安全管理措置などの法規制を、マイナンバー法を改正するなどして盛り込むべきだと考えます。（同様に、マイナンバーカードやマイナポータルなどについてもマイナンバー法に根拠条文が非常に少ないため、これらについても「法律による行政の原則」の観点から、政令や施行規則・通達等の整備ではなく、まずは法規制を実施すべきだと思われます。）
なお、このデジタル認証アプリに関しては、現在、デジタル庁がパブコメを実施中です。（2024年2月29日まで。）
・電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律施行規則の一部を改正する命令案に対する意見募集について｜e-GOV
この問題に興味・関心のある多くの方が意見を提出することが望まれます。
■追記（2024年2月28日）
上でもコメントを引用させていただいた、OpenID ファウンデーション・ジャパン代表理事の富士榮尚寛先生が、ブログでこのデジタル認証アプリのパブコメを取り上げておられます。
・デジタル認証アプリがやってくる（その後）｜IdM実験室
・デジタル認証アプリがやってくる｜IdM実験室
■追記（2024年2月29日）
一般社団法人MyDataJapanが本パブコメに対する意見を公表しています。
・「電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律施行規則の一部を改正する命令案」に対するパブコメ(2024/2/29)｜MyDataJapan
■追記（2024年2月29日）
本パブコメに意見を提出しました。
・デジタル庁のデジタル認証アプリに関するパブコメに意見を提出してみた
■追記（2024年6月17日）
6月17日付でこのデジタル認証アプリのパブコメ結果が公表されています。
・「電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律施行規則の一部を改正する命令案」に係る意見募集の結果について｜e-Gov
このブログ記事が面白かったらシェアなどをお願いします！
■参考文献
・マイナカード利用「認証アプリ」、個人の利用状況を国が一元管理のプライバシーリスク｜日経クロステック
・マイナンバーカードの取得を強く求める政府 本当の狙いはどこに｜朝日新聞
・マイナカード、目に見えない「もう一つの番号」 規制緩くて大丈夫？｜朝日新聞
・民間事業者が公的個人認証サービスを利用するメリット｜J‐LIS
・水町雅子『逐条解説マイナンバー法』267頁、269頁
■関連するブログ記事
・備前市が学校給食無償をマイナンバーカード取得世帯のみにすることをマイナンバー法から考えたーなぜマイナンバー法16条の２は「任意」なのか？（追記あり）
・健康保険証のマイナンバーカードへの一体化でカルテや処方箋等の医療データがマイナンバーに連結されることを考えた
・政府の検討会議で健康・医療データについて患者の本人同意なしに二次利用を認める方向で検討がなされていることに反対する
PR
