デジタル庁に行政指導、個人情報保護委員会もアテにならない
個人情報保護委員会という部署は、その程度ということなのでしょう。
日本経済新聞(2023/9/20)デジタル庁や国税庁に行政指導 マイナンバー誤登録で
マイナンバーに他人の銀行口座が誤って登録されていた問題を巡り、政府の個人情報保護委員会は20日、デジタル庁に行政指導したと発表した。全ての国民に関わる個人情報の管理について同庁の体制不備を問題視し、再発防止の徹底を求めた。同庁が行政指導を受けたのは初めて。
調査の結果、誤登録は2022年7月から複数の自治体からデジタル庁に報告があがっていたにも関わらず、同庁内で適切な情報共有がされず対応が遅れたことが明らかになった。当初は自治体の側の事務ミスとの意識があったという。
同委は「個人情報の漏洩であるとの意識が欠如していた」として、同庁の不備を厳しく指摘した。自治体窓口で複数の職員が連続して作業する事態を想定していなかったシステム設計の甘さも問題視した。同庁に対し10月31日までの改善対応の報告を求めた。
個人情報保護委員会が公表した報告書
には、公金受取口座の誤登録に関して、システム上の問題が２つ指摘されています。
１つは、ログアウト忘れの問題です。
公金受取口座の誤登録の直接的な原因は、支援窓口において、先にマイナポータルアカウント上で手続を開始したＸが、ログアウト確認不徹底などによりログアウトを失念した結果、後に手続を開始したＹが、Ｘのマイナポータルアカウントに紐付けて、Ｙの口座情報を登録したことである。
デジタル庁に対する特定の個人を識別するための番号の利用等に関する法律及び個人情報の保護に関する法律に基づく行政上の対応について
Ｘさんが端末にログインして、途中で手続きを中止した後、そのままＹさんが口座番号を登録できてしまった件です。
前の人のログイン状態がそのまま放置されて、次の人が操作できてしまうという、不特定多数が使う端末としては致命的な問題だと思います。
個人情報保護以前の、基本的な「設計問題」だと思いますが、個人情報保護委員会の結論はこうです。
デジタル庁は、本人確認の措置を求める番号法第16条の趣旨に鑑み、特にオンラインでマイナンバーに紐付く特定個人情報を取得する場合には、法定された本人確認措置に加え、複数の操作によって取得した特定個人情報の全項目につき同一人の情報であることを確認するため、公金受取口座登録手続全体を通じた実効的な本人確認の手法について、検討することが望ましい。
「検討することが望ましい。」
だそうです。
せめて「必要である」くらい、言えないのでしょうか。
システムの仕様や設計に関しては、個人情報保護委員会の所管外ということでしょうか？
もう１つの問題は、指導の対象になっていません。
家族口座の登録に関する問題です。
公金受取口座に家族口座等が登録されることの直接的な原因は、現行システム上、公金受取口座の本人情報と、口座情報の一致確認が行えず、口座が金融機関に実在するか否かはシステム的に確認できるものの、本人が意図的に本人名義でない口座情報を入力した場合は、システム的に確認できないことにある。
口座登録法において、公金受取口座は、本人名義の預貯金口座、かつ、一人一口座と定められているため、本人が公金受取口座に家族口座等を登録する行為は想定されていなかった。
もっとも、本人が家族口座等を自己の公金受取口座として意図的に登録した場合、本人のマイナンバーに別人の口座情報が紐付く状態は不適切であるものの、本人が意図した通りの状況が生じている以上、原則として、デジタル庁による個人情報の漏えい（個人情報保護法第 68 条又は番号法 29 条の４で報告対象等となる事態）には該当しないと考えられる。
「本人」が「家族の口座」を「自己の公金受取口座」として意図的に登録
とありますが、実際に多く行われていたのは、
「親」が「親の口座」を「子供の公金受取口座」として意図的に登録
だと思います。
急ぎすぎたマイナンバー制度…公金受取口座、家族名義が13万件、他人誤登録が748件
デジタル庁によると、家族名義などの約13万件のうち、親が口座を持たない子どもの手続きをする際に、親名義の口座で登録したケースが多いという。
「本人」が自分の口座の代わりに「家族の口座」を登録するのは、本人が意図した通りの状況と言えるかもしれませんが、
「親」が子供の口座の代わりに「親の口座」を登録するのは、本人（子供）が意図した通りの状況とは言い切れないと思います。
個人情報保護委員会が事実関係を正しく認識できているのか、大いに疑問です。
デジタル庁は、後述の特定個人情報保護評価に係る評価書において「本人が入力した口座情報については、統合ＡＴＭスイッチングサービスを用いた口座情報の実在性確認を行い、正確性を担保する」などと記述していることや、前記口座登録法の規律を前提とした公金受取口座登録の目的からすると、家族口座等が登録されている状態は、解消されることが望ましい。
また「望ましい」と言っていますが、法律を守っていないシステムは直ちに修正させるべきではないでしょうか。
デジタル庁は、家族口座等の問題を中長期的に解消すべき課題として認識していたところ、本件の発覚を受け、
①マイナポータルにおいて家族口座等の登録変更又は削除を求める通知を実施すると共に、
今後、
②登録口座重複チェック機能の追加実装、
③漢字氏名・カタカナ口座名義の検知モデルの開発及び検知精度の検証を踏まえた実装の検討、
④戸籍法改正後の漢字氏名・カタカナ口座名義の自動照合機能の実装等、
具体的な再発防止策を実施していくことを予定している。
当委員会は、家族口座等の問題は解消されるべきとの観点から、これらの対策の実施状況を注視することとしたい。
「注視することとしたい」などと他人事のように言っています。
口座の重複チェックや口座名義の照合機能など、実装されていて当然の必須機能だと思います。
本来なら、それらが全て正常に動作するまで、公金受取口座の登録は中止すべきだと思うのですが。
結局、個人情報保護委員会という部署は、その程度ということなのでしょう・・
