行政機関の長等が保有する住民等の個人情報を確実に保護するために国内法等が適用される場所で保管することを確認することに関する質問主意書

各省庁や地方公共団体等の行政機関の長等が保有する住民等の個人情報がリスクにさらされるようなことがあってはなりません。行政機関の長等が保有する住民等の個人情報は正確であって網羅的であるので、情報としての価値は極めて高いといえます。

グローバル化が進展する中で、情報通信会社はサービスの開発・提供・運営を複数の国に拠点を置いて一体的に行うことが増加しています。行政機関が住民に行政サービスを提供するにあたって、民間会社に業務を委託している場合には、当該民間会社が行政機関の長等が保有する住民等の個人情報にアクセスする必要がある場合があります。したがって、個人情報がさらされる漏洩リスクは高まっています。

大久保勉前参議院議員の質問主意書「国の電子データのクラウド上における管理に関する質問主意書」（平成二十七年四月十六日）に対して、「行政機関の保有する個人情報保護に関する法律」で定義する個人情報については、国内法が適用される場所に制限する必要があると考えるため、個人情報を取り扱う委託業務においては、保存された情報等において国内法令が適用されること等を外部委託の際の判断条件としておくべきである、と答弁しています。

また、各府省情報化統括責任者（ＣＩＯ）連絡会議決定（平成三十年六月七日）では、「クラウドサービスに保存される利用者データの可用性の観点から、我が国の法律及び締結された条約が適用される国内データセンタと我が国に裁判管轄権があるクラウドサービスを採用候補とするものとする。ただし、データの保存性、災害対策等からバックアップ用のデータセンタが海外にあることが望ましい場合、又は争訟リスク等を踏まえ海外にあることが特に問題ないと認められる場合はこの限りではない。」とされています。

さらに、令和元年十一月十三日の経済産業委員会において、内閣府副大臣は、「公開情報によれば、ＬＩＮＥ社は、サーバーは主要なサーバーを日本国内に置いていて、その管理は日本国内の法令に準拠をしているということでありますので、特段問題があるというふうな認識はしておりません。」と答弁しております。

しかし、今通常国会において、ＬＩＮＥ社が取り扱う個人情報が中国にあるＬＩＮＥ社の子会社から閲覧可能となっていた問題が取り上げられました。中国の国家情報法第七条によれば、「いかなる組織及び個人も、法に基づき国の情報活動に協力し、国の情報活動に関する秘密を守る義務を有し、国は、情報活動に協力した組織及び個人を保護する」旨が規定されています。ＬＩＮＥ社の子会社であって、契約で保護していたとしても、中国に所在する限りは中国の情報活動に協力することが求められており、個人情報が漏洩するリスクがあります。そして、日本国外で個人情報を漏洩した者に対して、日本の法律で裁くことはできず、十分に個人情報を保護できないリスクがあります。

そこで、以下の質問を行います。

一　前記のＬＩＮＥ社の問題を踏まえて、行政機関の長等が保有する住民等の個人情報が海外からの漏洩リスクに対して十分に対応できているか、総点検すべきと考えますが、政府の見解は如何。

二　万が一、日本国外で行政機関の長等が保有する住民等の個人情報が漏洩してしまった場合には、漏洩した個人情報の回収など、どのようにして問題を解決しますか。

三　行政機関の長等が保有する住民等の個人情報を保存するデータセンターについて、我が国の法律及び締結された条約を適用させること、又は我が国に裁判管轄権があるクラウドサービスの利用を基本とすることを法律で定めるべきと考えますが、政府の見解は如何。

四　行政機関の長等が保有する住民等の個人情報について、我が国の法律及び締結された条約を適用させることができないところからのアクセスは禁止すべきと考えますが、政府の見解は如何。

右質問する。

一から三までについて

行政機関の保有する個人情報の保護に関する法律（平成十五年法律第五十八号）第六条第一項の規定に基づき、国の行政機関の長は、保有個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報の適切な管理のために必要な措置を講じなければならないとされており、政府としては、「政府機関等の情報セキュリティ対策のための統一基準（平成三十年度版）」（平成三十年七月二十五日サイバーセキュリティ戦略本部決定）において、情報セキュリティ対策の項目ごとに遵守すべき事項を定め、また、「行政機関の保有する個人情報の適切な管理のための措置に関する指針」（平成十六年九月十四日付け総管情第八十四号総務省行政管理局長通知別紙）において、行政機関の保有する個人情報の適切な管理のために講ずべき措置として最小限のものを示しているところであり、国の行政機関は、これらに基づき必要な情報セキュリティ対策を講じているところである。また、「地方公共団体における情報セキュリティポリシーに関するガイドライン」等により、地方公共団体に対して必要な情報セキュリティ対策を講ずることを求めているところである。

御指摘の「ＬＩＮＥ社の問題」は、現在、個人情報保護委員会や総務省等においてＬＩＮＥ株式会社における個人情報の取扱い等について調査中であり、詳細な事実関係やどのようなリスクに対応する必要があるのかが明らかになっていない段階で、御指摘の「総点検」を実施することや御指摘のような内容を法律で定めることについては、慎重な検討を要するものと考えており、また、仮定の質問についてお答えすることは差し控えたい。

四について

お尋ねの「我が国の法律及び締結された条約を適用させることができないところからのアクセスは禁止すべき」の意味するところが明らかではないため、お答えすることは困難である。