(4)日本年金機構の不適正な再委託にどう対応したか?2018年3月に発覚した年金機構の不正再委託問題は、国会でも集中審議が行われるなど、大きな関心を集めました。事業者が従業員や顧客のマイナンバー収集管理を外部委託していることには、以前から不安の声がありました。入力を受託したSAY企画が契約に反して無断で海外の業者に再委託した問題は、年金機構の問題だけではなく、マイナンバー関連業務の外部委託の危険性もあらわにしました。年金機構の水島理事長は3月29日の参院厚労委員会で、「やるべき外部委託とそうでない外部委託というのはある......マイナンバーを取り扱う業務について完全に外部委託をしてもいいかどうかについては慎重な検討を要する」と述べていました1。1月22日に年金機構からこの報告を受けています。その際、どのような指導・監督を行ったか質問しました。回答は、1月22日に機構からこの報告を受けこの事案に関して検査を実施して問題点の指摘を行い指導も行っているというものです。どのような指摘、指導を行ったかを聞きましたが、個別の案件の内容は公表していない。立入検査の件数などは公表している。委託先の監督体制についてしっかり改善してくださいと求めているところという説明しかありませんでした。検査や指導内容の記載はありません。?!番号法では、委託元の許諾がある場合のみ再委託を認めています(第10条)。委託元が再委託先までを、責任をもって監督するよう求めています。)では、個人番号のシステムへの入力等に係る事務については再委託を行わないとしていました。見解を質問しましたが、回答はやはりSAY企画から再委託先に送付された情報に個人番号は含まれていないので、番号利用法第10条の再委託には該当しない。大きな社会的関心を集めた事件でありながら、番号法違反としての指導監督はしないという説明です。一連の事務を分解してしまえば番号法の規制をうけなくなるのか年金機構や国は、SAY企画から中国の関連業者に不正な再委託で提供された情報は「氏名とフリガナ」だけだと繰り返しています。調査報告をみても、マイナンバー(個人番号)が提供されていなかったとは断定はできません6。委託をした者の許諾を得た場合に限り、その全部又は一部の再委託をすることができる。個々の個人情報単位で評価するものではなく、事務単位でリスク評価を行うものです。事務全体として再委託されたかどうかを判断すべきで、ことさらに法律の規定を狭く解釈する理由がわかりません。委員会の説明は番号の事務単位を何ととらえるかによる。特定個人情報ファイル(個人番号を含む個人情報のファイル)の事務の取扱をしていてのリスク対策を対象としているというものです。趣旨を外れてしまいます。そもそも1月22日に委員会が報告を受けた時点では、再委託先に提供された情報に個人番号が含まれていたかどうかは不明です。恵和ビジネスの無断再委託では、マイナンバーも再委託先に提供されています。事後的に含まれていないことがわかったから法違反ではないという姿勢では、流出してしまってから対応するしかなく、事前予防という評価制度の意味をなしません。判断だが、委託した扶養親族等申告書にはマイナンバーが入っており、年金機構も厚労省も事務をバラバラにして考えたらいいと思っているわけではない。管理監督不十分でこういう事態になったことは、真摯に反省している」との説明がありました。委員会からは最後に保護評価としては全体の話だということは認識している。今回個人番号の利用事務として委託していた問題があるので、この点では保護評価書の対象になると認識している。保護評価書どおりにやっているかは立入検査等で確認していくとの説明がありました。不正再委託でマイナンバーが提供されたケースもあった年金機構は2018年4月6日、入力業務を委託された恵和ビジネスが契約に反し再委託していたことを公表しました7。この再委託について、以下の質問をしました。1.委員会はいつ機構からこの再委託の報告を受けたか。2.報告を受けた後、どのような指導・監督を行ったか。3.何名分の個人番号が提供されたのか。4.提供された特定個人情報の処理について、どのような調査を行ったか。5.提供された本人に対して連絡は行われているか。委員会からの回答は、1.判明後速やかに報告を受けている2.原因の究明、再発防止策の検討実施を求めている3~5は、個別の事案の中身になるのでお答えすることはできない6.事実関係を整理中というもので、具体的なことはなにも明らかにされませんでした。機構の知らないところで別の業者に提供された時点で情報流出ととらえるべきではないか、と質問しました。これについては厚労省年金局から「漏洩とか情報流出の言葉の定義は受け取る方によって違うところからあるかもしれないが、質問主意書で答弁しているのは2015年の流出事案は不特定多数の方の情報が外部の空間に出ていった事案で、今回のSAY企画では契約した再委託先に情報がわたっていた事案なので、形態が異なるということを答弁しているところ」との回答がありました。対して、毎年報告している漏えい等事案の集計報告に、この恵和ビジネスが不正再委託でマイナンバーを外部に提供した事例は漏えい件数として入るのかを確認したところ、漏えい等事案の報告の受付件数としてカウントしている。漏えいだけでなく法違反の恐れも含まれているので、どういうふうに整理するか検討中という、あいまいな説明でした。漏えい事件として対策することが必要この再委託問題は、大きな関心を集めた事件です。国会では2015年に不正アクセスで125万件もの年金個人情報が漏えいし、かつて社会保険庁時代には不正閲覧や年金記録の漏れを起こしている年金機構が、今後また不祥事を起こすことは許されないと指摘されていました。マイナンバー制度の開始以降、事業者は従業員や顧客のマイナンバー収集管理の外部委託を進めています。委託先の業者の安全管理措置がどうなっているのか、以前から心配されていました。この問題は委託先からの漏えいがはじめて明らかになった事件です。委員会は年金機構の情報連携開始にあたっての調査もすることになっています。安易な開始は許されません。公開や再委託を認めている番号法10条の見直しの検討も必要です。