特定個人情報保護評価(PIA)実施に向けた準備作業について

マイナンバー制度導入に伴い、これまで以上のプライバシー保護対策が必要

マイナンバー制度の導入によって国民に一意の番号を付番することで、個人の特定が容易になると共に、個人に紐づく氏名、住所、生年月日等の住民基本台帳に係る情報や、所得情報、社会保障に係る情報等の把握が可能になることで、住民及び自治体の事務手続きの簡素化、効率化が期待されます。
一方で、利便性の向上は、情報セキュリティ面のリスク増加に繋がります。例えば、2012年に発生したストーカー殺人事件では、市役所の職員が調査業者からの電話に対し、被害者情報を検索し、提供してしまった疑いがあり、自治体が取り扱う情報の漏えいは、刑事事件にまで発展することがあります。特に、マイナンバー制度では、自治体内で管理する情報だけでなく、他自治体、中央省庁等で管理する情報も入手可能となり、自治体側で管理する情報範囲は大きく広がることから、より一層のプライバシー保護対策が求められます。

法律にてPIA実施を義務付けることにより、プライバシー保護対策を推進

政府は、マイナンバー制度導入におけるプライバシー等に対する懸念に対し、番号法第27条の中で、「行政機関の長、地方公共団体の長等は、特定個人情報ファイルを保有しようとするときは、特定個人情報保護評価を実施することが原則義務付けられる」と定めており、マイナンバーを取り扱う前に、個人のプライバシー等に与える影響を予測・評価し、かかる影響を軽減する措置を予め講じるように、PIAの実施を義務付けています。加えて、政府はプライバシー保護対策の策定にあたって検討すべき事項、検討の観点、進め方を明確化したPIA実施指針を定めることで、各自治体のプライバシー保護対策が十分なレベルになるように、取り組んでいます。

PIA実施に関して政府は、2014年4月にPIA実施指針を公表

これまでに、政府の定めるPIA実施指針案が2回にわたって内閣官房と特定個人情報保護委員会より公開されています。まず、2013年12月に公開されたPIA実施指針案では、情報保護評価の概要、評価軸・目的、実施主体、評価対象、実施時期、実施の仕組み等について、内閣官房案として取りまとめたものになっています。

• 特定個人情報保護評価指針(内閣官房案) 2013年12月公開

続いて、2014年3月に公表されたPIA実施指針案は、2014年1月に設置された特定個人情報保護委員会が内閣官房案をベースに、さらに検討を深めたものとなっており、2014年4月3日までパブリックコメントを実施していました。

• 特定個人情報保護評価指針(案)の解説 等 2014年3月公開

そして、パブリックコメントの結果を踏まえ、内閣官房は2014年4月18日にPIA実施指針の正式版を公表しています。

• 特定個人情報保護評価指針、特定個人情報保護評価に関する規則等 2014年4月公開

PIA実施指針において定められていること(各自治体でやらなければならないこと)

PIA実施指針の中で、PIAの目的は以下の2つを定めています。

• 事後的な対応にとどまらない積極的な事前対応
• 情報保有機関が、国民のプライバシー等の権利利益保護にどのように取り組んでいるかについて宣言し、国民の信頼を獲得

上記の目的を達成するために、具体的には、次のような作業を行い、本番運用を開始し、定期的に改善を図っていくことが求められます。

1. マイナンバーを取り扱う事務の把握などの準備作業を行う
2. それらの事務において、予測されるリスクの評価を行う
3. システム設定、業務運用、職員教育の3つの観点でプライバシー保護対策を策定する
   • システム設定での対応：システム内での権限設定、操作ログの取得、データの媒体出力の制限等
   • 業務運用での対応：個人番号カードによる本人確認、特定個人情報の取扱い時における上長承認の義務化等
   • 職員教育での対応：新人教育、他自治体等のセキュリティ事故の共有等
4. 検討結果を国民へ公表する
5. 運用結果の評価を行い、必要に応じて改善する

図1　策定から運用、改善の流れ

PIA実施指針の記載は汎用的であるため、各自治体個別の判断・検討が必要

PIA実施指針の中では、準備作業及びプライバシー保護対策策定の際に検討すべき事項が挙げられており、各自治体はこの実施指針を十分に理解しておく必要があります。しかし、その内容はマイナンバーを取り扱う中央省庁、自治体等の全ての機関を対象にしているため、汎用的な記載となっている部分もあり、解釈が難しい部分もあります。そのため各自治体は、既存のシステム仕様、業務運用等の特性を考慮しながら、PIA実施指針の記載内容を解釈し、検討を進める必要があります。
また、PIA実施指針の中に「PIAは要件定義段階で実施し、開発作業前までに完了」との記載があり、時間は限られています。そのため、PIAの実施工程を円滑に進められるよう、自治体ごとに入念な準備作業が必要となります。
そこで、各自治体が判断・検討すべき事項、具体的な進め方の例を、準備作業時、プライバシー保護対策策定時に分けて、説明します。

3-1 準備作業時において検討すべき事項と進め方

(1)各自治体が個別に判断・検討すべき事項の例

まずは、準備段階で検討すべき事項の一部を紹介します。
PIAでは、評価したリスクに対する対策を「情報保護評価書」にまとめる必要があります。この「情報保護評価書」の単位について、PIA実施指針では「原則、別表第一の事務単位だが、それでは検討が難しい、わかりにくい等の理由から適宜別表第一の事務を分割、統合してもよい」との記載があり、各自治体の裁量に委ねられています。「検討のしやすさ」、「わかりやすさ」という観点で考えた場合、別表第一の事務を統合し過ぎると、別表第一の各事務に係るプライバシー保護対策が、情報保護評価書のどの部分に検討・記載されているかが不明確となり、分割しすぎると、本来であれば一連業務にも関わらず、異なる情報保護評価書に分割して記載されるため、全体像を把握しづらくなり、検討もしづらくなるといった問題が想定されます。そのため、各自治体は、情報保護評価書の単位として「わかりやすい単位」、「プライバシー保護対策の検討を進めやすい単位」を検討しておく必要があります。

また、PIA実施指針で解釈が難しい記載として、「対象人数」があります。PIAでは、作成する情報保護評価書は、対象とする業務・システムで管理する「対象人数」の数によって、全項目評価書、重点項目評価書、基礎項目評価書、と評価書の種類が異なります。この「対象人数」は、「業務・システムで取り扱う全てのマイナンバーの数」と定義されていますが、この定義だけでは、例えば「マイナンバーを別システムで参照している場合はどうか」、「マイナンバーをシステム上保持しているが、画面表示はしない場合はどうか」等でどのように解釈すべきか判断しにくく、システム仕様、業務運用ごとに「対象人数」を精査する必要があります。

(2)具体的な進め方の例(6,000件を越える対象事務手続きを効率的に整理)

続いて、具体的な進め方の例として、表1の「#1 情報保護評価書の対象について」を例に紹介します。

PIAの実施対象について、実施指針では「特定個人情報を取り扱う業務・システム」と規定していることから、原則、別表第一の事務が対象となります。別表第一の各事務の具体的な手続きは、主務省令で定めることになっています。現在、主務省令は検討中ではありますが、別表第一の各事務に対応する具体的な手続きは、約6,000程度と見込まれており、さらには関連法令、条例等を含めると、対象範囲を調査するだけでも、膨大な作業になり、時間もかかります。
そこで、本調査では広く自治体内の業務、システムに精通している職員等(例えば番号制度取りまとめ課の職員等)が中心となって、事前に各課各係で調査してもらう範囲を明確にしたうえで、調査を進めることが望ましいと考えます。また、あがってくる調査結果についても、各課各係の認識の相違により、ばらつき(例えば、受付のみ行う経由事務において、申請書の「形式審査」を別表第一で定義される「審査」に含めるか等)が生じることも想定されることから、広く自治体内の業務、システムに精通している職員等による全体チェックによる整合性確認も必要になります。
整理結果の一例を示します。

図2　別表第一の事務との対応関係整理結果例

3-2 プライバシー保護対策策定時において検討すべき事項と進め方

(1)各自治体が個別に判断・検討すべき事項の例

続いて、プライバシー保護対策策定時に検討すべき事項の一部を紹介します。

先に述べたとおり、各自治体は、既存のシステム仕様、業務運用、予算規模等に応じて、「システム設定での対応」、「業務運用での対応」、「職員教育での対応」の3つの観点で検討を進める必要があります。例えば、「権限のない者（元職員、アクセス権限のない職員等）によって不正に使用されるリスクに対して、どのような措置を立てているか」という項目の場合、

• システムでの設定により権限のない者をアクセスできないように設定できないか。
• 権限のない者が不正に利用できないような運用ルールは策定できないか。
• 職員教育の中で、権限のない業務を利用できないように周知できないか。

といったリスクを検討する必要があります。

(2)具体的な進め方の例(業務・システムや予算等を踏まえ最適解を導出)

続いて、具体的な進め方の例として、表2の「#1対象者以外の情報の入手を防止するために、どのような措置をしているか」を例に紹介します。

検討にあたって、まずは特定個人情報ファイルの取扱いに係る事務、機能を整理する必要があり、今回の例であれば入手に係る事務、機能の整理が欠かせません。地方税業務を例にマイナンバー制度導入後の特定個人情報の入手部分を整理すると、図3のように住民、企業、他自治体、eLTAX、e-Tax、情報提供NWシステム、住基ネット、庁内の住基システム等から紙、媒体、サーバ間の手動連携、自動連携等で、特定個人情報を入手していることがわかります。

図3　地方税業務における特定個人情報入手例

プライバシー保護対策の検討では、先に述べたとおり、既存のシステム仕様、業務運用、予算規模等に応じて、「システム設定での対応」、「業務運用での対応」、「職員教育での対応」の観点で検討を行います。例えば地方税業務において直接本人から特定個人情報を入手する場合には、個人番号カードでの本人確認、または、通知カードと顔写真付き証明書(運転免許証等)での確認を必須とする業務運用での対応や、サーバ間での自動連携にて住基情報を取得する場合には、職員の操作が介在しない処理であるため、対象者以外の情報の入手は不可能となるようにシステム設定での対応が考えられます。
つまり、入手先ごとに以下のように整理されます。

図4　プライバシー保護対策策定例

PIAに関して時間的猶予は少なく、早々に準備作業は着手する必要があります

PIAについては、実施指針の中でも定められている通り、「特定個人情報ファイルを保有しようとする前までに完了させること」とあることから、要件定義段階、遅くとも設計段階までに完了させておく必要があります。特に、2016年1月のマイナンバー利用開始に向け、2014年度の早期に住基システムや税務システムは、要件定義段階に着手することが想定されるため、準備作業については早々に着手する必要があります。

日立コンサルティングには
実績・知見に基づく効率的な推進方法とノウハウがあります

日立コンサルティングでは、これまでに自治体様において準備作業、プライバシー保護対策の検討、情報保護評価書の作成作業を支援させて頂いた実績があります。
例えば、準備作業においては、各種成果物をテンプレート化しており、効率的に推進することができます。また、プライバシー保護対策の検討、情報保護評価書の作成においても、各自治体のシステム仕様、業務運用、予算等から、システム面での対応だけでなく、業務運用、職員教育面での対応と、幅広くプライバシー保護対策を検討することができます。
PIAについて、どのように進めたら良いかわからないという自治体がいらっしゃいましたら、ぜひお問い合わせください。