ページの本文へ

Hitachi

株式会社 日立コンサルティング

特定個人情報保護評価(PIA)実施に向けた準備作業について

小林 雅貴
株式会社 日立コンサルティング シニアマネージャー

2014年4月22日

今回のコラムでは、マイナンバー制度対応にあたり、各自治体で実施が義務付けられている特定個人情報保護評価に関して、自治体内で準備及び検討すべき事項について紹介します。

「特定個人情報保護評価」は、諸外国で採用されているプライバシー影響評価(Privacy Impact Assessment)に相当するものであり、一般的に「PIA」と呼ばれていることから、本コラムは「PIA」として記載します。

1.PIAとは何か
〜マイナンバー制度におけるプライバシー保護対策としてのPIA〜

マイナンバー制度導入に伴い、これまで以上のプライバシー保護対策が必要

マイナンバー制度の導入によって国民に一意の番号を付番することで、個人の特定が容易になると共に、個人に紐づく氏名、住所、生年月日等の住民基本台帳に係る情報や、所得情報、社会保障に係る情報等の把握が可能になることで、住民及び自治体の事務手続きの簡素化、効率化が期待されます。
一方で、利便性の向上は、情報セキュリティ面のリスク増加に繋がります。例えば、2012年に発生したストーカー殺人事件では、市役所の職員が調査業者からの電話に対し、被害者情報を検索し、提供してしまった疑いがあり、自治体が取り扱う情報の漏えいは、刑事事件にまで発展することがあります。特に、マイナンバー制度では、自治体内で管理する情報だけでなく、他自治体、中央省庁等で管理する情報も入手可能となり、自治体側で管理する情報範囲は大きく広がることから、より一層のプライバシー保護対策が求められます。

法律にてPIA実施を義務付けることにより、プライバシー保護対策を推進

政府は、マイナンバー制度導入におけるプライバシー等に対する懸念に対し、番号法第27条の中で、「行政機関の長、地方公共団体の長等は、特定個人情報ファイルを保有しようとするときは、特定個人情報保護評価を実施することが原則義務付けられる」と定めており、マイナンバーを取り扱う前に、個人のプライバシー等に与える影響を予測・評価し、かかる影響を軽減する措置を予め講じるように、PIAの実施を義務付けています。加えて、政府はプライバシー保護対策の策定にあたって検討すべき事項、検討の観点、進め方を明確化したPIA実施指針を定めることで、各自治体のプライバシー保護対策が十分なレベルになるように、取り組んでいます。

2.PIA実施指針とはどのようなものか
〜PIAの目的と、そのために実施すべき事項を定めたガイドライン〜

PIA実施に関して政府は、2014年4月にPIA実施指針を公表

これまでに、政府の定めるPIA実施指針案が2回にわたって内閣官房と特定個人情報保護委員会より公開されています。まず、2013年12月に公開されたPIA実施指針案では、情報保護評価の概要、評価軸・目的、実施主体、評価対象、実施時期、実施の仕組み等について、内閣官房案として取りまとめたものになっています。

続いて、2014年3月に公表されたPIA実施指針案は、2014年1月に設置された特定個人情報保護委員会が内閣官房案をベースに、さらに検討を深めたものとなっており、2014年4月3日までパブリックコメントを実施していました。

そして、パブリックコメントの結果を踏まえ、内閣官房は2014年4月18日にPIA実施指針の正式版を公表しています。

PIA実施指針において定められていること(各自治体でやらなければならないこと)

PIA実施指針の中で、PIAの目的は以下の2つを定めています。

  • 事後的な対応にとどまらない積極的な事前対応
  • 情報保有機関が、国民のプライバシー等の権利利益保護にどのように取り組んでいるかについて宣言し、国民の信頼を獲得

上記の目的を達成するために、具体的には、次のような作業を行い、本番運用を開始し、定期的に改善を図っていくことが求められます。

  1. マイナンバーを取り扱う事務の把握などの準備作業を行う
  2. それらの事務において、予測されるリスクの評価を行う
  3. システム設定、業務運用、職員教育の3つの観点でプライバシー保護対策を策定する
    • システム設定での対応:システム内での権限設定、操作ログの取得、データの媒体出力の制限等
    • 業務運用での対応:個人番号カードによる本人確認、特定個人情報の取扱い時における上長承認の義務化等
    • 職員教育での対応:新人教育、他自治体等のセキュリティ事故の共有等
  4. 検討結果を国民へ公表する
  5. 運用結果の評価を行い、必要に応じて改善する

図解
図1 策定から運用、改善の流れ

3.PIA実施において各自治体で行うべきことは何か
〜実施指針に明確に規定されない事項と各自治体で準備・検討すべき事項〜

PIA実施指針の記載は汎用的であるため、各自治体個別の判断・検討が必要

PIA実施指針の中では、準備作業及びプライバシー保護対策策定の際に検討すべき事項が挙げられており、各自治体はこの実施指針を十分に理解しておく必要があります。しかし、その内容はマイナンバーを取り扱う中央省庁、自治体等の全ての機関を対象にしているため、汎用的な記載となっている部分もあり、解釈が難しい部分もあります。そのため各自治体は、既存のシステム仕様、業務運用等の特性を考慮しながら、PIA実施指針の記載内容を解釈し、検討を進める必要があります。
また、PIA実施指針の中に「PIAは要件定義段階で実施し、開発作業前までに完了」との記載があり、時間は限られています。そのため、PIAの実施工程を円滑に進められるよう、自治体ごとに入念な準備作業が必要となります。
そこで、各自治体が判断・検討すべき事項、具体的な進め方の例を、準備作業時、プライバシー保護対策策定時に分けて、説明します。

3-1 準備作業時において検討すべき事項と進め方

(1)各自治体が個別に判断・検討すべき事項の例

まずは、準備段階で検討すべき事項の一部を紹介します。
PIAでは、評価したリスクに対する対策を「情報保護評価書」にまとめる必要があります。この「情報保護評価書」の単位について、PIA実施指針では「原則、別表第一の事務単位だが、それでは検討が難しい、わかりにくい等の理由から適宜別表第一の事務を分割、統合してもよい」との記載があり、各自治体の裁量に委ねられています。「検討のしやすさ」、「わかりやすさ」という観点で考えた場合、別表第一の事務を統合し過ぎると、別表第一の各事務に係るプライバシー保護対策が、情報保護評価書のどの部分に検討・記載されているかが不明確となり、分割しすぎると、本来であれば一連業務にも関わらず、異なる情報保護評価書に分割して記載されるため、全体像を把握しづらくなり、検討もしづらくなるといった問題が想定されます。そのため、各自治体は、情報保護評価書の単位として「わかりやすい単位」、「プライバシー保護対策の検討を進めやすい単位」を検討しておく必要があります。

また、PIA実施指針で解釈が難しい記載として、「対象人数」があります。PIAでは、作成する情報保護評価書は、対象とする業務・システムで管理する「対象人数」の数によって、全項目評価書、重点項目評価書、基礎項目評価書、と評価書の種類が異なります。この「対象人数」は、「業務・システムで取り扱う全てのマイナンバーの数」と定義されていますが、この定義だけでは、例えば「マイナンバーを別システムで参照している場合はどうか」、「マイナンバーをシステム上保持しているが、画面表示はしない場合はどうか」等でどのように解釈すべきか判断しにくく、システム仕様、業務運用ごとに「対象人数」を精査する必要があります。

表1 PIA実施指針と各自治体が検討すべき事項の一部(準備作業時)
# PIA実施指針の記載 各自治体で個別に判断・検討が
必要な事項の例
1 情報保護評価書の対象について 情報保護評価の対象は特定個人情報を取り扱う業務システムである。
  • 「特定個人情報を取り扱う」とは、原則、別表第一の事務であり、具体的な手続きは6,000件と膨大な件数。
  • 各自治体で全庁的な調査が必要だが、効率的に進められるような対策が必要。
2 情報保護評価書の作成単位について
  • 原則、番号法の別表第一に記載されている事務ごとに評価する。
  • 1つの評価書に多数のシステムを記載しなくてはいけない場合や、逆に複数の項をまとめて記載した方がわかりやすい場合等は、別表第一の事務を分割、統合する。
  • 別表第一の事務を統合しすぎると、事務ごとの具体的な対策が不明確になり、分割しすぎると全体像の把握が難しくなる。
  • 各自治体は、「わかりやすい単位」、「プライバシー保護対策を検討しやすい単位」の検討が必要。
3 特定個人情報ファイルの対象人数について
  • 「対象人数」とは、その業務・システムにおいて取り扱う全ての特定個人情報ファイルに含まれるマイナンバーの数。
  • 業務運用、システム仕様ごとに、「対象人数」にカウントすべきか否かの判断が必要。
  • 例えば、
    • 他システムでマイナンバーを参照する場合は、対象人数をどのようにカウントすべきか?
    • 自システム内でマイナンバーを保持しているが、画面表示しない場合は、対象人数をどのようにカウントすべきか?

(2)具体的な進め方の例(6,000件を越える対象事務手続きを効率的に整理)

続いて、具体的な進め方の例として、表1の「#1 情報保護評価書の対象について」を例に紹介します。

PIAの実施対象について、実施指針では「特定個人情報を取り扱う業務・システム」と規定していることから、原則、別表第一の事務が対象となります。別表第一の各事務の具体的な手続きは、主務省令で定めることになっています。現在、主務省令は検討中ではありますが、別表第一の各事務に対応する具体的な手続きは、約6,000程度と見込まれており、さらには関連法令、条例等を含めると、対象範囲を調査するだけでも、膨大な作業になり、時間もかかります。
そこで、本調査では広く自治体内の業務、システムに精通している職員等(例えば番号制度取りまとめ課の職員等)が中心となって、事前に各課各係で調査してもらう範囲を明確にしたうえで、調査を進めることが望ましいと考えます。また、あがってくる調査結果についても、各課各係の認識の相違により、ばらつき(例えば、受付のみ行う経由事務において、申請書の「形式審査」を別表第一で定義される「審査」に含めるか等)が生じることも想定されることから、広く自治体内の業務、システムに精通している職員等による全体チェックによる整合性確認も必要になります。
整理結果の一例を示します。

図解
図2 別表第一の事務との対応関係整理結果例

3-2 プライバシー保護対策策定時において検討すべき事項と進め方

(1)各自治体が個別に判断・検討すべき事項の例

続いて、プライバシー保護対策策定時に検討すべき事項の一部を紹介します。

先に述べたとおり、各自治体は、既存のシステム仕様、業務運用、予算規模等に応じて、「システム設定での対応」、「業務運用での対応」、「職員教育での対応」の3つの観点で検討を進める必要があります。例えば、「権限のない者(元職員、アクセス権限のない職員等)によって不正に使用されるリスクに対して、どのような措置を立てているか」という項目の場合、

  • システムでの設定により権限のない者をアクセスできないように設定できないか。
  • 権限のない者が不正に利用できないような運用ルールは策定できないか。
  • 職員教育の中で、権限のない業務を利用できないように周知できないか。

といったリスクを検討する必要があります。

表2 PIA実施指針と各自治体が検討すべき事項の一部(プライバシー保護対策策定時)
# PIA実施指針の記載 各自治体で個別に判断・検討が
必要な事項の例
1 特定個人情報ファイルの入手に係るリスク対策
  • 対象者以外の情報の入手を防止するために、どのような措置をしているか。
  • 本人からの入手でなく、第三者(例えば、他自治体、省庁等)を介した情報の入手の場合、何を以って対象者以外の情報入手を防止しているといえるか。
2 特定個人情報の使用に係るリスク対策
  • 権限のない者(元職員、アクセス権限のない職員等)によって不正に使用されるリスクに対して、どのような措置を立てているか。
  • 新規認証方式の導入から担当業務外のシステムを利用しないように周知徹底等、各自治体の特性に応じてどのレベルでの対応とするか。
3 特定個人情報ファイルの取扱いの委託に係るリスク対策
  • 委託先事業者による特定個人情報ファイルの取扱い記録について、どのように対策しているか。
  • 委託先事業者の事業所への持ち出しが必要な場合、どのレベルでプライバシー保護対策を求めるか。

(2)具体的な進め方の例(業務・システムや予算等を踏まえ最適解を導出)

続いて、具体的な進め方の例として、表2の「#1対象者以外の情報の入手を防止するために、どのような措置をしているか」を例に紹介します。

検討にあたって、まずは特定個人情報ファイルの取扱いに係る事務、機能を整理する必要があり、今回の例であれば入手に係る事務、機能の整理が欠かせません。地方税業務を例にマイナンバー制度導入後の特定個人情報の入手部分を整理すると、図3のように住民、企業、他自治体、eLTAX、e-Tax、情報提供NWシステム、住基ネット、庁内の住基システム等から紙、媒体、サーバ間の手動連携、自動連携等で、特定個人情報を入手していることがわかります。

図解
図3 地方税業務における特定個人情報入手例

プライバシー保護対策の検討では、先に述べたとおり、既存のシステム仕様、業務運用、予算規模等に応じて、「システム設定での対応」、「業務運用での対応」、「職員教育での対応」の観点で検討を行います。例えば地方税業務において直接本人から特定個人情報を入手する場合には、個人番号カードでの本人確認、または、通知カードと顔写真付き証明書(運転免許証等)での確認を必須とする業務運用での対応や、サーバ間での自動連携にて住基情報を取得する場合には、職員の操作が介在しない処理であるため、対象者以外の情報の入手は不可能となるようにシステム設定での対応が考えられます。
つまり、入手先ごとに以下のように整理されます。

図解
図4 プライバシー保護対策策定例

4.最後に

PIAに関して時間的猶予は少なく、早々に準備作業は着手する必要があります

PIAについては、実施指針の中でも定められている通り、「特定個人情報ファイルを保有しようとする前までに完了させること」とあることから、要件定義段階、遅くとも設計段階までに完了させておく必要があります。特に、2016年1月のマイナンバー利用開始に向け、2014年度の早期に住基システムや税務システムは、要件定義段階に着手することが想定されるため、準備作業については早々に着手する必要があります。

日立コンサルティングには実績・知見に基づく効率的な推進方法とノウハウがあります

日立コンサルティングでは、これまでに自治体様において準備作業、プライバシー保護対策の検討、情報保護評価書の作成作業を支援させて頂いた実績があります。
例えば、準備作業においては、各種成果物をテンプレート化しており、効率的に推進することができます。また、プライバシー保護対策の検討、情報保護評価書の作成においても、各自治体のシステム仕様、業務運用、予算等から、システム面での対応だけでなく、業務運用、職員教育面での対応と、幅広くプライバシー保護対策を検討することができます。
PIAについて、どのように進めたら良いかわからないという自治体がいらっしゃいましたら、ぜひお問い合わせください。

関連するソリューション

以上

本コラム執筆コンサルタント本コラムへの感想などはこちらから

小林 雅貴
株式会社 日立コンサルティング シニアマネージャー

全国民にマイナンバーを付番し、一意に特定する「行政手続における特定の個人を識別するための番号の利用等に関する法律(以下、「マイナンバー法」とする。)及び関連法が平成25年5月24日に成立しました。
平成27年10月の国民へのマイナンバーの通知、平成28年1月のマイナンバーの利用開始、平成29年1月の国機関での情報連携の開始、平成29年7月の自治体を含めた情報連携の開始といった4つのマイルストーンを見据えて、マイナンバー制度の導入に向けて各関係機関が始動しています。
このコラムでは、最初のマイルストーンとなるマイナンバーの通知や幅広い行政手続きでマイナンバーを利用し、かつ国など複数の機関との情報連携の役割を担う自治体(特に住民サービスの最寄り窓口となる基礎自治体)を対象に、マイナンバー制度導入によりどんな影響があるのか、これから取り組んでいくべき課題は何か、などにつき発信していきます。