デジタル庁が十月二十六日に基本契約を行ったＡＷＳに関する質問主意書

デジタル庁は、全国の自治体がばらばらに管理してきた国民のデータベースを中央で一括管理する「ガバメントクラウド」システムの構築にあたり、そのデータを保管するサーバーとして、米国アマゾン社のＡＷＳ（アマゾンウェブサービス）を導入することとしているが、同盟国の企業とはいえ、国民の個人情報を外国企業のサーバーに保管することについて懸念があるので以下質問する。

一　日本企業と契約しなかったことについて、デジタル庁に問うたところ、ＡＷＳは政府情報システムのためのセキュリティ評価制度であるＩＳＭＡＰ（イスマップ）に登録されており、不正アクセス防止やデータ暗号化などにおいて、最新かつ最高レベルの情報セキュリティが確保できることに加え、データセンターの物理的所在地が日本国内であることや、「一切の紛争は、日本の裁判所が管轄するとともに、契約の解釈が日本法に基づくものであること」を契約等により担保できることなどから、問題がないものと判断したとのことだが、多少契約金額が高くても、日本企業との契約を優先的に検討するべきではなかったのか。応札した日本企業は何社あったのか、あきらかにされたい。

二　今回の契約は、行政機関の保有する個人情報の保護に関する法律及び個人情報保護法に照らして問題がないのか、総務省及び個人情報保護委員会の見解をあきらかにされたい。

三　報道によれば、英国の諜報機関もＡＷＳとの契約をしたところ、英国議会がこれを知り、自国の極秘情報を別の国のクラウドサーバーで管理してよいのかという問題認識から本件を調査するとのことであり、米国においても、ＣＩＡ（中央情報局）がＡＷＳと契約を結んだ件で、ＮＳＡ（国家安全保障局）が再検討の指示を出しているとのことだが、これらの動きについて政府の見解をあきらかにされたい。

四　ＥＵやシンガポールにおいては個人情報を域内から出すことを禁じている措置があることを個人情報保護委員会に問い合わせたところ、日本とＥＵの間では日ＥＵ相互認証の枠組みが発効されていて同等の法制を有しており、日本とシンガポールもともにＡＰＥＣ（アジア太平洋経済協力）におけるＣＢＰＲ（越境プライバシールール）という企業認証制度を推進しており、同等の仕組みを有しているとの見解であったが、それらの国々の法制においても、データセンターの物理的所在地が国内（域内）であれば、外国企業のクラウドサーバーでの保管が許されているのか。政府として承知しているところをあきらかにされたい。

五　私たちの個人情報は、年明けからＡＷＳに順次保管されていくことになると承知しているが、万一その個人情報が他国や他者に漏洩した場合、デジタル庁は米国アマゾン社に対して賠償金を請求することになるとのことだが、仮に一人の日本国民の住所と生年月日が漏洩した場合、いくらの賠償額となるのか。またその場合、自治体や個人は、デジタル庁に対しても賠償を求めることができるのか。また行政機関の保有する個人情報の保護に関する法律及び個人情報保護法に基づき、デジタル庁はどのような責任が問われるのか。

右質問する。

一について

お尋ねのデジタル庁において公募を行った「デジタル庁におけるガバメント・クラウド整備のためのクラウドサービスの提供−令和三年度地方公共団体による先行事業及びデジタル庁ＷＥＢサイト構築業務−」に係る調達については、令和三年四月十四日の参議院本会議において、平井国務大臣（当時）が、「クラウドサービスの選定基準としては、政府情報システムのためのセキュリティ評価制度であるＩＳＭＡＰに登録されたサービスから調達することを原則とし、不正アクセス防止やデータ暗号化などにおいて、最新かつ最高レベルの情報セキュリティーが確保できること、データセンターを国内に置くことを含め、契約から開発、運用、廃棄に至るまで、国によってしっかりと統制できることなどを検討しております。これらの要件を満たす事業者から、国内企業か外国企業であるかによらず選定されることとなると考えます。」と答弁したとおりである。また、当該調達に係る公募参加者は、いずれも外国企業であった。

二について

お尋ねについては、行政機関の保有する個人情報の保護に関する法律（平成十五年法律第五十八号）及び個人情報の保護に関する法律（平成十五年法律第五十七号）の規定に基づいて、お尋ねの契約を締結した行政機関の長及び当該契約に基づいて行政機関から個人情報の取扱いの委託を受けた者が個別具体的に判断すべき事柄であり、総務省及び個人情報保護委員会として、お答えすることは困難である。

三について

他国の政府機関の動向について、政府として評価を述べることは差し控えたい。なお、政府としては、情報セキュリティの確保に係る国際的な動向について、引き続き注視してまいりたい。

四について

お尋ねの欧州連合やシンガポールの法制において「データセンターの物理的所在地が国内（域内）であれば、外国企業のクラウドサーバーでの保管が許されているのか」については、政府として承知していない。

五について

お尋ねについては、個別具体の事実関係を踏まえて判断されるものと考えられるため、一概にお答えすることは困難である。