特定個人情報保護評価の運用状況に関する質問主意書

行政手続における特定の個人を識別するための番号の利用等に関する法律（「本法」という。）に基づき、国民一人一人に個人番号（「マイナンバー」という。）が付与されている。

マイナンバー制度は、税負担の公平化、社会保障給付の適正化等を目的としており、主に税、社会保障の分野に導入されている。

マイナンバー制度の導入により、各種手続が便利になるものの、制度に対する懸念（国家による個人情報の一元管理、特定個人情報の不正追跡・突合、財産その他の被害等）にどのように対応するかが課題となる。

そこで、行政機関等が特定個人情報ファイルをシステム上で保有しようとする場合、個人のプライバシー等の権利利益に与える影響を予測した上で、特定個人情報の漏えい等の事態を発生させるリスクを分析し、このリスクを軽減するための適切な措置を講ずる仕組みを設けている。

すなわち、「特定個人情報保護評価」であり、「個人のプライバシー等の権利利益の侵害の未然防止」と「国民・住民の信頼の確保」の実現を図るものである。

他方、平成二十七年五月、日本年金機構の業務用端末が不正アクセスされ、約百二十五万件の個人情報流出の事案が発生した（「本不正アクセス事案」という。）。対象者は約百一万人で、基礎年金番号、氏名、生年月日、住所などの個人情報が流出した。この事案は直ちに調査が行われ、平成二十七年八月二十日、日本年金機構の不正アクセスによる情報流出事案に関する調査委員会は、「不正アクセスによる情報流出事案に関する調査結果報告について」（「本報告書」という。）を公表している。

本報告書では、「今後、関係機関と協力し、更なる調査を進めるとともに、この度の事案を重く受け止め、情報セキュリティ対策の一層の強化に取り組んでまいります。また、原因調査、再発防止等のための委員会を設置します」との見解が示されているが、この教訓がどのように「特定個人情報保護評価」に反映されているのか、明らかではないので、以下質問する。

一　本不正アクセス事案を踏まえて、特定個人情報保護評価はどのような見直しがなされているのか。政府の見解を示されたい。

二　本不正アクセス事案以外の様々なセキュリティ事故を踏まえて、特定個人情報保護評価は適時適切に見直しが行われているのか。政府の見解を示されたい。

三　日本年金機構以外の組織でも、同様な不正アクセス事案が発生しないように、個人情報保護評価の基準を見直す必要があるのではないか。政府の見解を示されたい。

四　不正アクセス等のセキュリティ事故が発生した事業主体等に対する安全管理措置の再確認は誰が行うこととなっているのか。また、政府はその証跡をどのように把握しているのか。政府の見解を示されたい。

五　特定個人情報の安全管理措置に関して、地方公共団体、広域連合、民間企業等のマイナンバーを取り扱う者の中でどのように徹底されているのか。また、これらの者の安全管理措置の実施状況について、政府はどのように把握しているのか。政府の把握状況を具体的に示されたい。

六　特定個人情報の安全管理措置に関して、地方公共団体、広域連合、民間企業等のマイナンバーを取り扱う者の実施状況の十分な把握に至ってないのであれば、本法の施行に係る努力を怠っているのではないか。またどのような課題が残されているのか。政府の見解を示されたい。

七　特定個人情報は国と地方公共団体（広域連合含む）で相互に利用しているものであり、国と地方公共団体が一体となり、セキュリティ確保のための基盤を構築すべきである。行政サービスに関して、地方自治の原則が尊重されるとしても、共通的な基盤については、国が一括整備することも検討すべきではないか。政府の見解を示されたい。

八　マイナンバー制度は、新たな社会基盤として政府が整備すべきものであるが、その具体的な責任者は誰か。組織縦割りで、実質的には統制が取れていないとの懸念がある。政府の見解を示されたい。

九　情報システムの導入について、政府は社会基盤として統制が取れているとの認識を有しているとすれば、その効果と証跡について明示されたい。

十　政府のマイナンバーに関する広報においては、例えば、「国の行政機関や地方公共団体などにおいて、マイナンバーは、社会保障、税、災害対策の分野で利用されることとなります」との方針が示されている。今次の平成二十八年熊本地震において、政府はどのようなマイナンバーの利用を行っているのか、あるいは行おうとしているのか。これらにはどのような効果が見込まれるのか。政府の取り組みを具体的に示されたい。

右質問する。

一及び二について

行政手続における特定の個人を識別するための番号の利用等に関する法律（平成二十五年法律第二十七号。以下「番号利用法」という。）第二十七条において、行政機関の長等（番号利用法第二条第十四項に規定する行政機関の長等をいう。以下同じ。）は、特定個人情報ファイル（番号利用法第二条第九項に規定する特定個人情報ファイルをいう。以下同じ。）を保有しようとするときは特定個人情報保護評価を実施することとされている。また、特定個人情報保護評価指針（平成二十六年特定個人情報保護委員会告示第四号。以下「指針」という。）において、特定個人情報（番号利用法第二条第八項に規定する特定個人情報をいう。以下同じ。）に関する重大事故の発生に伴い、行政機関の長等がリスクの分析及びリスクを軽減する措置（以下「リスク対策等」という。）を見直す場合等においては、特定個人情報ファイルについて重要な変更（番号利用法第二十七条第一項に規定する重要な変更をいう。以下同じ。）を加えようとするときに該当し、特定個人情報保護評価を再実施することとされている。一方、評価書（番号利用法第二十七条第一項に規定する評価書をいう。以下同じ。）の修正については、特定個人情報保護評価に関する規則（平成二十六年特定個人情報保護委員会規則第一号。以下「規則」という。）第十四条において、行政機関の長等が重大事故を発生させた場合その他当該評価書に記載した事項に変更があった場合（重要な変更に該当する場合を除く。）は、速やかに当該評価書を修正する旨、規定されている。政府としては、行政機関の長等は、それぞれの実態に照らし、適切に特定個人情報保護評価の実施又は修正を行うものと認識している。

厚生労働大臣は、日本年金機構における個人番号利用事務（番号利用法第二条第十項に規定する個人番号利用事務をいう。以下同じ。）の開始に向け、平成二十七年三月に特定個人情報保護評価を実施したところである。同年五月には、同機構において不正アクセスによる情報流出事案が発生したが、同機構は、当該情報流出事案を受けて「業務改善計画」を取りまとめ、年金個人情報の適切な保護及び管理を確保するための組織面、技術面並びに業務運営面での情報セキュリティ対策の強化に取り組んでいるところである。同大臣は、同機構において、当該取組により、実質的に当該特定個人情報保護評価における個人番号利用事務の開始に向けたリスク対策等を確実に実行できる体制が整備されたことから、当該特定個人情報保護評価について、その再実施を行う必要はないと判断したものである。

一方で、同大臣は、同機構が情報提供ネットワークシステムを利用した情報照会及び情報提供（番号利用法第十九条第七号の規定に基づく特定個人情報の提供の求め及び提供をいう。）等を開始することに向けたリスク対策等についての特定個人情報保護評価の再実施及び規則第十四条に基づく当該情報流出事案についての評価書の修正を速やかに行う予定である。当該再実施においては、同機構における情報セキュリティ対策の強化の取組の内容についても、適切に反映する予定である。今後とも、引き続き、番号利用法等に基づき、個人番号（番号利用法第二条第五項に規定する個人番号をいう。以下同じ。）の適切な利用に努めてまいりたい。

三について

不正アクセス防止対策を含め、特定個人情報の漏えい等を防止するための措置については、指針において、評価書の記載事項として、特定個人情報を入手する際の漏えい又は紛失に係る「リスクに対する措置の内容」や、特定個人情報が漏えい、滅失又は毀損するリスクに対する「技術的対策」等、リスク対策等に係る項目が定められている。

当該項目は、事故発生の有無にかかわらず、リスク対策等の検討の際に用いられる項目となっていることから、日本年金機構において発生した不正アクセスによる情報流出事案等を踏まえて行政機関の長等が特定個人情報保護評価を見直す際においても、引き続き適切な項目であると考えており、指針の見直しを行うことは考えていない。

四から六までについて

お尋ねの「不正アクセス等のセキュリティ事故が発生した事業主体等に対する安全管理措置の再確認は誰が行うこととなっているのか」の意味するところが必ずしも明らかではないが、番号利用法第十二条の規定に基づき、個人番号利用事務等実施者（同条に規定する個人番号利用事務等実施者をいう。以下同じ。）は、個人番号の適切な管理のために必要な措置（以下「安全管理措置」という。）を講じなければならないとされている。また、漏えい等が発生した場合、個人情報保護委員会（平成二十七年十二月三十一日以前は特定個人情報保護委員会。以下「委員会」という。）は、番号利用法第二十八条の四等の規定に基づき、個人番号利用事務等実施者等から、漏えい等が発生した原因、安全管理措置を含む再発防止策等についての報告を受けているところであり、平成二十七年度は八十三件、平成二十八年四月から九月までの間は六十六件が報告されているところである。また、委員会は、個人番号利用事務等実施者への立入検査や、苦情あっせん相談窓口を通じた情報の収集等により、安全管理措置の実施状況を含む特定個人情報の取扱いに関する実態を把握しており、これらを踏まえ、必要に応じて指導等を行っているところである。

また、委員会は、特定個人情報の適正な取扱いに関するガイドライン（事業者編）（平成二十六年特定個人情報保護委員会告示第五号）及び特定個人情報の適正な取扱いに関するガイドライン（行政機関等・地方公共団体等編）（平成二十六年特定個人情報保護委員会告示第六号）を策定及び公表しているほか、特定個人情報の適正な取扱いについて、平成二十七年度及び平成二十八年四月から九月までの間において、経済団体、地方公共団体等が主催する説明会等（以下「説明会等」という。）に講師の派遣を行っており、説明会等の回数は合計三百八十六回であり、説明会等の参加者は合計約五万九千人である。さらに、特定個人情報の適正な取扱いについての分かりやすい資料、参考となる事例等を委員会のホームページに掲載している。

引き続き、委員会がこのような取組を行って、安全管理措置の実施状況を含む特定個人情報の取扱いについての実態の把握並びに特定個人情報の適正な取扱いについての周知及び指導等を行うことを通じて、政府として、特定個人情報の漏えい等の発生の防止が行われるよう取り組んでまいりたい。

七から九までについて

お尋ねの「共通的な基盤」、「具体的な責任者」及び「情報システムの導入」の意味するところが必ずしも明らかでないため、お答えすることは困難である。

十について

災害対策に関する個人番号の利用については、番号利用法第九条の規定において、災害救助法（昭和二十二年法律第百十八号）による救助又は扶助金の支給に関する事務、災害対策基本法（昭和三十六年法律第二百二十三号）による被災者台帳の作成に関する事務及び被災者生活再建支援法（平成十年法律第六十六号）による被災者生活再建支援金の支給に関する事務が掲げられており、地方公共団体がこれらの事務に関し個人番号を利用することにより、行政事務の効率化や国民の利便性向上等の効果が期待されるところである。

政府としては、地方公共団体の状況を見ながら、平成二十八年熊本地震におけるこれらの事務について、個人番号の利用を促してまいりたい。