5年3月9日判決は住基ネット訴訟と同様に構造審査の手法をとりマイナンバー制度を合憲とした。本判決はマイナンバーカードについては検討していないため、「マイナ保険証」等の問題や、xIDなどの民間企業によるマイナンバーカードの利用にはお墨付きを与えていない。提供(以下、併せて「利用、提供等」という。)をする行為は、憲法13条の保障する上告人らのプライバシー権を違法に侵害するものであると主張して、Yに対し、プライバシー権に基づく妨害予防請求又は妨害排除請求として、Xらの個人番号の利用、提供等の差止め及び保存されているXらの個人番号の削除を求めるとともに、国家賠償法1条1項に基づき、慰謝料等の支払を求める事案である。裁判所はつぎのように判示してXらの上告を棄却した。62巻3号665頁)。そこで、行政機関等が番号利用法に基づき特定個人情報の利用、提供等をする行為が上告人らの上記自由を侵害するものであるか否かを検討するに、前記...のとおり、同法は、個人番号等の有する対象者識別機能を活用して、情報の管理及び利用の効率化、情報連携の迅速化を実現することにより、行政運営の効率化、給付と負担の公正性の確保、国民の利便性向上を図ること等を目的とするものであり、正当な行政目的を有するものということができる。特定個人情報の中には、個人の所得や社会保障の受給歴等の秘匿性の高い情報が多数含まれることになるところ、理論上は、対象者識別機能を有する個人番号を利用してこれらの情報の集約や突合を行い、個人の分析をすることが可能であるため、具体的な法制度や実際に使用されるシステムの内容次第では、これらの情報が芋づる式に外部に流出することや、不当なデータマッチング、すなわち、行政機関等が番号利用法上許される範囲を超えて他の行政機関等から特定の個人に係る複数の特定個人情報の提供を受けるなどしてこれらを突合することにより、特定個人情報が法令等の根拠に基づかずに又は正当な行政目的の範囲を逸脱して第三者に開示又は公表される具体的な危険が生じ得るものである。番号利用法は、前記第1の2イ及びのとおり、個人番号の利用や特定個人情報の提供について厳格な規制を行うことに加えて、前記第1の2のとおり、特定個人情報の管理について、及び特定個人情報の漏えい等を防止し、特定個人情報を安全かつ適正に管理するための種々の規制を行うこととしており、以上の規制の実効性を担保するため、これらに違反する行為のうち悪質なものについて刑罰の対象とし、一般法における同種の罰則規定よりも法定刑を加重するなどするとともに、独立した第三者機関である委員会に種々の権限を付与した上で、特定個人情報の取扱いに関する監視、監督等を行わせることとしている。番号利用法の下でも、個人情報が共通のデータベース等により一元管理されるものではなく、各行政機関等が個人情報を分散いところ、前記第1の2管理している状況に変わりはなのとおり、各行政機関等の間で情報提供ネットワークシステムによる情報連携が行われる場合には、総務大臣による同法21条2項所定の要件の充足性の確認を経ることとされており、情報の授受等に関する記録が一定期間保存されて、本人はその開示等を求めることができる。用いて特定個人情報の授受がされることとなっており、その通信が暗号化され、提供される特定個人情報自体も暗号化されるものである。以上によれば、上記システムにおいて特定個人情報の漏えいや目的外利用等がされる危険性は極めて低いものということができる。(略)これらの諸点を総合すると、番号利用法に基づく特定個人情報の利用、提供等に関して法制度上又はシステム技術上の不備があり、そのために特定個人情報が法令等の根拠に基づかずに又は正当な行政目的の範囲を逸脱して第三者に開示又は公表される具体的な危険が生じているということもできない。すると、行政機関等が番号利用法に基づき特定個人情報の利用、提供等をする行為は、個人に関する情報をみだりに第三者に開示又は公表するものということはできない。したがって、上記行為は、憲法13条の保障する個人に関する情報をみだりに第三者に開示又は公表されない自由を侵害するものではないと解するのが相当である。23巻12号1625頁)の趣旨に徴して明らかである。論旨は採用することができない。上告理由のうち憲法13条違反をいう部分について」のおおむね上で引用したような判旨でマイナンバー制度の合憲性を検討しています。その検討をみてみると、まず「1」の部分では、住基ネット訴訟最高裁判決(最高裁平成20年3月6日判決)を引いて、「憲法13条は...個人の私生活上の自由の一つとして、何人も、個人に関する情報をみだりに第三者に開示又は公表されない自由を有するものと解される」と憲法13条に基づくいわゆる古典的プライバシー権(静的プライバシー権)が問題になっていることを明らかにしています。つぎに本判決は「2」の部分で、マイナンバー制度がこのプライバシー権を侵害しているかを検討するためにマイナンバー制度の目的の検討が必要であるとします。「同法は、個人番号等の有する対象者識別機能を活用して、情報の管理及び利用の効率化、情報連携の迅速化を実現することにより、行政運営の効率化、給付と負担の公正性の確保、国民の利便性向上を図ること等を目的とするものであり、正当な行政目的を有する」として、マイナンバー制度の目的は行政権の行使として正当であるとしています。限定されていること、政令への委任も白地委任とはなっていないこと等を判示し、法的にマイナンバー制度が問題ではないとしています。設置されている等の理由で、そのような目的外利用や情報漏洩などがなされる危険性は「極めて低い」としてしまっています。(そのため、本判決はプライバシー権の本質論について、基本的に古典的プライバシー論と構造審査論に立っており、最近の「自己の情報を適切に取扱われる権利」論は採用していないように思われます。)加えて本判決は、マイナンバー制度は情報連携を行う情報提供ネットワークシステムにおいてはマイナンバーそのものは利用されていないこと等を理由として情報システム上もマイナンバー制度は問題がないとしています。その上で本判決は「これらの諸点を総合すると、番号利用法に基づく特定個人情報の利用、提供等に関して法制度上又はシステム技術上の不備があり、そのために特定個人情報が法令等の根拠に基づかずに又は正当な行政目的の範囲を逸脱して第三者に開示又は公表される具体的な危険が生じているということもできない。」とし、マイナンバー制度は法的にもシステム的にも問題はなく、上告人らのプライバシー侵害はないと結論付けています(いわゆる「構造審査」論)。構造審査論をとっていることから、本判決は基本的に構造審査論を採用した住基ネット訴訟判決を承継するものといえます。(最高裁昭和44年2月24日大法廷判決)の趣旨に徴して明らかである」として、本判決は警察官によるデモ隊の写真撮影によるプライバシー権および肖像権の侵害が争われた京都府学連事件(最高裁昭和44年2月24日大法廷判決)に連なる判例であることを明らかにしています。(2)本判決は令和3年改正前のマイナンバー法を対象としており、またマイナンバーカードについては検討していないこのように本判決は、国民個人のプライバシー権との関係でマイナンバー制度は違法・違憲ではないと判示しましたが、その一方で、本判決は令和3年改正前のマイナンバー法を対象としており、またマイナンバーカードについては検討していない点は注意が必要です。令和3年(2021年)のいわゆるデジタル社会形成法案の一つとしてマイナンバー法も一部改正がなされましたが、その際に追加された、国家資格をマイナンバーに紐付け管理する等の法改正は本判決の範囲外となります。限定せず「規制緩和」を行うことや、その改正を法律によらず政省令で可能にすること等も本判決の対象外であり、司法府のお墨付きを得ているわけではありません。違法・違憲の可能性があるのではないでしょうか。本判決はマイナンバーカードについては司法判断を行っていないため、例えば本年大きな問題となっている、保険証をマイナンバーカードに一体化して国民にマイナンバーカードを事実上強制する等の「マイナ保険証」の問題も司法のお墨付きを得ているわけではありません。同様に、児童・子どもの教育データをマイナンバーで国が一元管理するというデジタル庁の「子どもデータ利活用ロードマップ」等も司法のお墨付きを得ているわけではありません。xIDなどのようにマイナンバーカードのICチップ部分の電子証明書等の民間企業の利用についても司法は合憲と判断しているわけではない状況です。(3)まとめ以上見てきたように、本判決は住基ネット訴訟と同様に構造審査の手法をとりマイナンバー制度を合憲としています。違法の可能性があります。本判決はマイナンバーカードについては検討していないため、「マイナ保険証」等の問題や、xIDなどの民間企業によるマイナンバーカードの利用にはお墨付きを与えていません。なか2656mixiチェック2021年11月05日xID社がプレスリリースで公表した新しいxIDサービスもマイナンバー法9条違反なことについて(追記あり)(xID社サイトより)■追記(2021年11月11日)渋谷区は、11月10日付で施設予約システムの開発業務の委託先を、xID社でなく別の企業にすることを決定したとのことです。詳しくは本ブログ記事下部の追記をご参照ください。3つの利用目的以外に利用しようとしていることに変わりはないので、やはり12月以降のxIDもマイナンバー法9条違反の違法なサービスである。利用目的に利用することは法9条等に違反する違法なものではないかとの問題を取り上げました。・xIDのマイナンバーをデジタルID化するサービスがマイナンバー法違反で炎上中(追記あり)この問題に関して11月4日に、xID社は、xIDに関する新たなプレスリリースを公表しました。そのため、本ブログ記事では、このxID社の新しいプレスリリースをみてみたいと思います。結論を先取りしてしまうと、xID社が12月から提供を開始するとしている新しいxIDサービスも、マイナンバー法9条などに違反する違法なサービスであることに変わりはないと思われます。・xIDアプリの個人番号入力を伴う仕様に関するご指摘への回答と当社の今後の対応について|xID・違法性指摘のxIDアプリが一時停止へ、社長が明かした「マイナンバー入力仕様」のわけ|日経XTECH(xID社プレスリリース「xIDアプリの個人番号入力を伴う仕様に関するご指摘への回答と当社の今後の対応について」(2021年11月4日)より)2.なぜxIDの初回登録でマイナンバーの入力が必要なのか?xID社のリリースによると、xID社はxIDサービスを11月4日から一旦中止とし、12月中旬から仕組みを変えた新しいxIDサービスの提供を行うとしています。xID社のリリースによると、共通ID・デジタルID・アカウントIDであるxIDそのものは、マイナンバーとは関係なくランダムに生成される番号であるとのことです。それでは何故、初回登録時にマイナンバーの入力が必要となるかについて、日経XTECHの記事はつぎのように説明しています。『初回登録時は、ユーザーがスマートフォンにマイナンバーカードをかざすと、xIDアプリがJPKI(=マイナンバーカードのICチップ部分の公的個人認証サービス)の署名用電子証明書を読み取り、マイナンバーカードとxIDアプリをひも付ける。)を暗号化し、xID社のサーバーに送信・保管する。』そして、初回登録時になぜ利用者がマイナンバーの入力を要求されるかについて、日経XTECHの記事はつぎのように記述しています。『xID社の日下光社長は次のように説明する。「マイナンバーの一部と他の情報を使い、アカウント作成者が新規登録者であるか、それとも過去にアカウントを登録した人物であるかを確認するための(xIDアプリ独自の)要素である『確認要素』を生成している」。『確認要素を生成する具体的な手順はこうだ。入力させた12桁のマイナンバーと、マイナンバーカードから読み取った8桁の生年月日を加えた20桁の数字をつくる。これをハッシュ化したうえでバイト配列に変換し、さらにそこから数カ所のバイトを抽出・変換して確認要素とする。ここまでの過程はxIDアプリ内で実行する。『xIDアプリは生成した確認要素のみを、xID社のサーバーに送信し、サーバー側で確認要素とアカウントIDとをひも付けて保管する。同一のユーザーが異なるメールアドレスや異なるスマホを使って、新規にアカウントを登録したとしても、登録時に確認要素を生成することで、1人が複数のアカウントを登録することを防げるというわけだ。確認要素は一意となるデータではなく、「他人の確認要素と一定確率で衝突する可能性はある」(日下社長)。』(「違法性指摘のxIDアプリが一時停止へ、社長が明かした「マイナンバー入力仕様」のわけ」日経XTECH2021年11月4日より)つまり、デジタルID・共通IDのxIDそのものはxIDアプリがマイナンバーとは関係なくランダムに生成する番号である一方で、利用者に入力させたマイナンバーと8桁の生年月日を加えた20桁の番号をハッシュ化し、それをバイト配列に返還し、さらにそこから数か所のバイトを抽出・変換して「確認要素」を生成し、この「確認要素」とxIDをセットでxID社のサーバーに保管していたとのことです。この「確認要素」は、同一の利用者がメールアドレスやスマホ端末などを変えて登録作業を行うことにより、同じ人間が複数のxIDを持てないように、つまり一人一つのxIDを付与するために利用していたとのことです。3つの利用目的以外に利用することは法9条違反のおそれがある。」とのプレスリリースを出しました。見解を受けて、12月中旬以降の新しいxIDサービスにおいては、マイナンバーから「確認要素」を生成するスキームを止めるとし、その上で、次のような新しい仕組みを導入するとしています。同一の個人が複数のアカウントを持てない仕組みを提供するために、新たにマイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」を利用します。「新旧シリアル番号の紐付けサービス」は、J-LIS(地方公共団体情報システム機構)が提供する⺠間事業者向けの付加サービスです。マイナンバーカードの電子証明書が更新された場合に、更新前と更新後それぞれの電子証明書を紐づけ、保有者の同一性を確認できるようになります。』(xID社のリリースより)つまり、xID社は、あくまでも利用者・国民に一人一つの共通IDであるxIDを付与するために、マイナンバーをハッシュ化するなどして「確認要素」を生成するかわりに、12月中旬以降は、マイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」を利用する方針であるとのことです。シリアル番号を提供するサービスを、平成29年1月から開始しました。』と解説されています。カードの概要及び公的個人認証サービスを活用したオンライン取引等の可能性について(参考資料)」には、マイナンバーカードのICチップ部分の電子証明書のシリアル番号等を利用して、例えば銀行口座の新規開設などの場面でマイナンバーカードの電子証明書のシリアル番号等が「なりすまし」や「改ざん」防止のための本人確認として利用できることが説明されています。・個人番号カードの概要及び公的個人認証サービスを活用したオンライン取引等の可能性について(参考資料)(PDF)|総務省(総務省「個人番号カードの概要及び公的個人認証サービスを活用したオンライン取引等の可能性について(参考資料)」より)しかし、総務省サイトやその説明ページの資料の解説などを読むと、このマイナンバーカードのICチップ部分の公的個人認証サービスは、あくまでも「なりすまし」や「改ざん」などを防ぐための本人確認のための機能です。銀行口座の開設の場面でいえば、銀行口座の新規開設をしたいという利用者・国民が確かに当該利用者・国民の本人であることの確認を行って「なりすまし」や「改ざん」を防止することが「本人確認」です。国民に一人一つの唯一無二性を証明する機能ではないはずです。)を担保することの代わりに利用することは、マイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」や、マイナンバーカードの電子証明書の「本人確認」という利用目的を逸脱した脱法的なものなのではないでしょうか?4.なぜxID社は国民一人に一つの共通IDのxIDに執着するのか?そもそも、xID社はなぜここまでして、xIDを国民に一人一つの番号とすることに異常なまでに執着するのでしょうか。)の性質を持つ共通IDとする方針は継続する方針です。5.0の社会においては、パーソナルデータ(個人情報)を活用した個人最適なサービスの提供などを実現するにはデジタル世界で、あらゆるサービスを利用するAさんがどのサービスにおいても同一の人物である。利便性・信頼性と透明性を担保しながら利用できるデジタルIDがあれば、ユーザー同意に基づくパーソナルデータの活用が実現できます。』とxIDの趣旨・目的を説明しています。性質を持つ「民間版マイナンバー」」(=裏個人番号・裏マイナンバー・「広義の個人番号」、マイナンバー法2条8項かっこ書き)と言えます。17年5月30日判決)が発生することとなってしまいます。そのような状況下では、国民のプライバシーや私的領域(憲法13条)、表現の自由(21条1項)、内心の自由(19条)、信仰の自由(20条)などの国民の基本的人権が国家・大企業の前でゼロとなってしまい、国民が国家や大企業による監視・モニタリングにおびえ、日々の生活における行動や表現行為などが委縮し、安心して人間らしいのびのびとした生活を送れなくなってしまう危険があります。限定的に定めてそれ以外の利用を罰則付きで禁止しています。法9条の定める利用目的以外にマイナンバーを提供することを禁止しており、かりに「本人の同意」があったとしても、法9条の定める利用目的以外のマイナンバーの提供・利用・保存などは禁止されています(法19条)。マイナンバー法はこのような厳しい法制度により、行政の効率化とともに、マイナンバーが国や大企業などに悪用され、日本社会が中国や北朝鮮などのような超監視国家となるリスクを防止しているのです。マイナンバー法を潜り抜けて、あらゆる用途に好き勝手に国民のあらゆる個人情報・個人データを名寄せ・突合して利活用できるようにするために、日本社会の「超監視国家」化を防止するためのマイナンバー法9条を潜脱するための脱法的なサービスが目的であると思われ、これはマイナンバー法9条違反として許されないものなのではないでしょうか。xID社は、今回のプレスリリースで、マイナンバーをハッシュ化等して「確認要素」を生成するスキームは止めて、12月中旬以降は、マイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」を利用した新サービスを提供する方針であるそうです。上でみたように、この電子証明書の「新旧シリアル番号の紐付けサービス」の利用は、マイナンバーカードの電子証明書機能の「本人確認」という本来の目的を逸脱した脱法的な利用です。いう法9条が規定する利用目的以外の、自治体の施設予約システムのIDや、自治体の各種の行政サービスへの電子申請のIDに利用・提供・保存などをすることは、やはりマイナンバー法9条違反や、法19条違反となると思われます。マイナンバー」)のxIDというマイナンバー法を潜脱する脱法的なサービス自体を断念する経営判断を行うべきではないでしょうか。日本は個人の尊重や個人の基本的人権の確立を掲げる近代立憲主義憲法を持つ民主主義国であり、そのような近代民主主義国家においては、主権者たる国民の基本的人権を守るために、国民から負託された国会において制定された法律を遵守して行政や民間企業等が行政活動や経済活動を行う「法の支配」や法治主義が大原則です。(最近、社会的に注目されているSDGsの「17の目標」も、「公正」を目標の一つに掲げています。)xID社は日本社会の「良き企業市民」として、マイナンバー法や個人情報保護法などの法律や社会倫理・モラルを遵守するというコンプライアンス意識を持った企業活動が求められます。法律の抜け道を探すことに力を注ぎ、脱法的な企業活動を行うことは、「Gov-tech」を標榜する「良き企業市民」のやることではありません。高木浩光先生も11月5日にTwitterで、xIDのプレスリリースについて次のように批判する投稿をしておられます。『この期に及んで(何度変換しようが照合させようが対応して変わって用いられる限りそれが法の個人番号の定義だと言われているのに)まだこんなこと言うのですね。思考力の弱い自治体相手ならまだまだこれで通せそうでしょうか?』(高木浩光先生(@HiromitsuTakagi)のTwitterより)https://twitter.com/HiromitsuTakagi/status/1456333854680092695『サイバートラストはこんな用途(1人1アカウントを実現)に新旧シリアル番号ひも付け機能を使わせちゃダメだよ。利用者が自ら証明書更新時にアカウントを継続するときに使うものだからね。』(高木浩光先生(@HiromitsuTakagi)のTwitterより)https://twitter.com/HiromitsuTakagi/status/1456339328137789440■追記(11月11日)11月10日に、渋谷区議会議員の須田賢様より、渋谷区は施設予約システム開発の業務委託先をXID社ではない企業に委託することを決定したとの情報提供をTwitterにていただきました。いただき誠にありがとうございました。ついて、xID社ではなく、ぴあ株式会社を業務委託先の選定事業者に決定したと公表しています。渋谷区をはじめとする自治体・行政機関について憲法15条2項、地方公務員法32条などは行政サービスの公平性・中立性や法令遵守を要求しており、法律の抜け穴を探すことばかりに熱心でコンプライアンス意識が希薄な企業風土のxID社との業務提携を行わない決定した渋谷区や渋谷区議会の判断は、極めて正当であると思われます。このxIDを電子申請システムなどに既に導入しているとのことです。マイナンバー法のガイドライン(事業者編)Q&A9-2は、「個人番号は、仮に暗号化等により秘匿化されていても、その秘匿化されたものについても個人番号を一定の法則に従って変換したものであることから、番号法第2条第8項に規定する個人番号に該当します。xID社や渋谷区など)については、法9条と別表一は利用目的や利用機関・事業者として認めていません。法9条および別表一の法定する以外の利用目的や利用機関などに対して、本人や事業者・行政機関などがマイナンバーを提供することも禁止されています(法19条)。xIDを電子申請システムなどに利用することも同様に法9条、19条および2条8項かっこ書き違反となります。マイナンバー法違反を回避するために、施設予約システムや電子申請システムなどにxIDを利用する業務や計画を直ちに中止すべきです。実施すべきではないでしょうか。プレスリリースを受けて、11月4日に今後の方針に関するプレスリリースを公表しました。こちらのブログ記事をご参照ください。特性ににより個人の特定に用いる場合は、個人番号に該当し、マイナンバー法9条に定めのない利用は違法』とのプレスリリースを出しました。したがって、マイナンバーからスマホアプリでxIDを生成し、個人を特定する共通IDとしてxIDを利用しているxID社のスキームはマイナンバー法違反です。(詳しくは本記事下部の追記をご参照ください。高木浩光先生(@HiromitsuTakagi)などがマイナンバー法との関係で違法であると9月23日頃よりTwitter上で指摘し、Twitter上でxIDが炎上中です。(高木浩光先生のTwitterより)https://twitter.com/HiromitsuTakagi/status/14412385965397278862.xIDxID社サイトによると、xIDとは、官民のさまざまなサイトやデジタル上のサービスで、いちいちIDやパスワードなどを入力しなくても済むように、マイナンバーカードの公的個人認証サービスを利用して、マイナンバーカードと連携した独自のID(xID)を生成しするというデジタルIDおよびそのためのスマホアプリであるようです。5.0の社会においては、「パーソナルデータ(個人情報)を活用した個人最適なサービスの提供などを実現するにはデジタル世界で、あらゆるサービスを利用するAさんがどのサービスにおいても同一の人物である。利便性・信頼性と透明性を担保しながら利用できるデジタルIDがあれば、ユーザー同意に基づくパーソナルデータの活用が実現できます。」と説明されています。とって利便性が高くなる」と考えています。xID社はxIDの趣旨・目的を「民間事業者や行政における個人データの管理は、各事業者や自治体ごとに個別に個人データ管理するよりも、あらゆるサービスを利用する個人がどのサービスにおいても同一の人物であると特定できる、同一性・一意性が担保できるデジタルIDであるxIDを用いた個人データ管理をするほうが、個人データの活用が実現できて、利便性が高くなる」と説明しています。国民の個人データの活用を実現するもの」です。国・大企業が自由な用途に利用できる「民間版マイナンバー」」(=裏個人番号・裏マイナンバー・「広義の個人番号」)と言えるでしょう(詳しくは後述)。プライバシー・人格権などの国民の基本的人権を大きく侵害する危険があり、マイナンバー法はこのような「民間版マイナンバー」(裏個人番号・裏マイナンバー・「広義の個人番号」)を禁止しています(法9条、19条など)。3.なぜマイナンバーを入力させるのか?xIDはたしかに一見、便利そうなサービスではありますが、しかしこのxIDが、マイナンバーカードの公的個人認証サービスに関するICチップの部分の利用だけであれば問題がないところ、なぜかxIDの生成のために本人にマイナンバー(個人番号)を入力させ、そのマイナンバーをもとにスマホアプリのプログラムで非可逆的なxIDを生成していることに対してネット上ではマイナンバー法違反であると大きな批判が起きています。(xID社サイトより)つまり、xID社サイトは「ヘルプ」の画面のなかの「なぜマイナンバーを入力する必要があるのですか?」とのQAにおいて、『マイナンバーをもとに一意のIDを生成するために、マイナンバーをご入力いただいています。』・『非可逆的な方法で生成するのでxIDからマイナンバーを検出することはできません』とはっきりと記述しています。xID社サイトが上のように説明しているとおり、xID社は、xIDというデジタルIDの生成について、xID社がCCCのTポイントなどのような共通ポイント運営会社のように自社独自の会員番号・ユーザー番号をIDとして作成すれば特に問題がないのに、なぜかわざわざユーザー本人にマイナンバーをアプリに入力させ、当該マイナンバーをアプリのアルゴリズムで変換してxIDというユーザーIDを生成しているのです。渋谷区の施設予約システムなどへのxIDの利用に関する資料を読むと、xIDを施設予約システムのデジタルIDとして利用することが明記されています。|渋谷区しかし、マイナンバー法9条および「別表第一(法9条関係)」にマイナンバーの取扱が許された事業者・機関として法定されていないxID社が、マイナンバー法9条および別表が法的する利用目的以外の目的でマイナンバーを収集・利用などすることは、マイナンバー法違反です。本人や行政機関、事業者なども、マイナンバー法が法定する事業者や国・自治体の機関以外に、マイナンバー法の規定する利用目的以外のためにマイナンバーを提供することは禁止されています(法19条)。マイナンバー法(番号法)2条8号は、つぎのように規定しています。マイナンバー法2条8項この法律において「特定個人情報」とは、個人番号(個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む。第7条第1項及び第2項、第8条並びに第48条並びに附則第3条第1項から第3項まで及び第5項を除き、以下同じ。)をその内容に含む個人情報をいう。マイナンバー法2条8項の個人番号(マイナンバー)の後ろについているかっこ書きが示すとおり、「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む」は、マイナンバー法上、原則としてマイナンバー(個人番号)と同等のものして扱われます。マイナンバー法の法案の立案担当者である弁護士の水町雅子先生の『Q&A番号法』56頁はつぎのように解説しています。『番号法(=マイナンバー法)は、特定個人情報(=マイナンバーを含む個人情報)の取扱いが安全かつ適正におこなれれるようにするための法律です。番号法で狭義の個人番号(=マイナンバー)に対してのみ規制しても、個人番号を脱法的に変換した番号などを個人番号の代わりに悪用されてしまっては、番号法の目的を達成することはできません。そこで個人番号の代替物と考えられるような番号・符号については、広義の個人番号として、番号法の各種規制をおよぼせるようにしています(法2条8項)。(略)すなわち、広義の個人番号に該当するものは、個人番号を脱法的に変換したものや、個人番号や住民票コードから生成される番号・符号など、個人番号に性質上対応するものをいいます。特定個人情報ガイドラインQ&A(事業者編)9-2もつぎのように解説しています。個人番号を暗号化等により秘匿化すれば、個人番号に該当しないと考えてよいですか。個人番号は、仮に暗号化等により秘匿化されていても、その秘匿化されたものについても個人番号を一定の法則に従って変換したものであることから、番号法第2条第8項に規定する個人番号に該当します。サイトより)このように、「暗号化等によって秘匿化されたものについても、それは個人番号を(プログラム等により)一定の法則に従って変換したもの」であるので、マイナンバー法2条8項が規定するとおりマイナンバー(個人番号)に該当するのです。この点、xID社サイトは「ヘルプ」の画面のなかの「なぜマイナンバーを入力する必要があるのですか?」とのQAにおいて、『マイナンバーをもとに一意のIDを生成するために、マイナンバーをご入力いただいています。非可逆な形で生成していますので、IDをもとにマイナンバーを検出することはできません。xIDではマイナンバーに関するすべての処理をデバイス上でのみ完結させており、マイナンバーを収集・保管することは致しません。(xID社サイトのヘルプより)しかし、上でマイナンバー法2条8項の条文で確認したとおり、そもそも「マイナンバーをもとに一意のIDを生成する」こと自体が「広義の個人番号」(裏個人番号・裏マイナンバー)の生成であり、マイナンバー法上の大問題です。「非可逆な形で生成」したとしても、「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号」はマイナンバーとして法的に扱われるので、マイナンバーをもとにxIDを生成しているのですから、xID社は「非可逆な形で生成」しているからとマイナンバー法の適応除外となるわけではありません。)また、「xIDではマイナンバーに関するすべての処理をデバイス上でのみ完結させており、マイナンバーを収集・保管することは致しません。」とありますが、マイナンバーから別のIDを生成することについては、それが事業者のサーバー上で行われるか利用者のスマホ上のアプリで行われるかはマイナンバー法上は関係のないことであり、また、xID社は利用者のマイナンバーをアプリで生成したxIDというマイナンバーと法的に同等のもの(広義の個人番号)を同社のサーバー等で保存・利用・提供などするわけですから、やはりマイナンバーをもとにアプリでxIDを生成するというxID社のスキームは、マイナンバー法上、完全に違法です(マイナンバー法9条・別表一(法9条関係)、法19条、法2条8項かっこ書き)。高木浩光先生が、マイナンバー法の「裏個人番号」についてブログ記事を書かれています。大どんでん返しか|高木浩光@自宅の日記4.なぜマイナンバー法はマイナンバーの厳格な取扱いを要求するのか?(1)国民の個人データの名寄せ・突合を可能とする究極のマスターキーとしてのマイナンバーこのようにマイナンバー法がマイナンバー(個人番号)について厳格な取扱いを要求するのは理由があります。マイナンバー法に基づき、国家(が法で委託したJ-LIS(地方公共団体情報システム機構))が国民すべてに(悉皆性)、国民一人に一つの個人番号(マイナンバー)を割り当てることにより(唯一無二性)、マイナンバーを国民の個人情報・個人データのマスターキーとして利用して、国・自治体など行政のさまざまな部門の持つ国民の個人情報・個人データのデータマッチングを行うことにより、従来、紙と人間の手によって行ってきた様々な行政上の事務を効率化し、行政のコストダウンなどを行うのがマイナンバー制度です(宇賀克也『番号法の逐条解説』14頁)。危険)などのおそれがあります。するのではなく、従来どおり行政の各部門が分散管理して個人データを保管することとしています。対応の3つの分野のみに限定し、マイナンバーの提供を受けたり利用ができる機関・事業者を法律に限定的に規定し、それ以外の事業者や国・自治体の機関は利用禁止にするなどの対応を行い(法9条・別表第一(法9条関係)、19条など)、マイナンバーによる国民のプロファイリング、国民の個人情報の漏洩、国家や大企業などによる国民の個人情報の一元管理などのリスクを防止しようとしているのです。1条、同法3条、憲法13条)。利用するであるとか、そのプロファイリング等の結果を他の事業者や外国に販売・転売するなどのリスクがより発生しやすくなってしまいます。リスク)などの国民の個人の尊重や基本的人権などを大きく侵害しかねない重大なリスクを防止するために、マイナンバー(個人番号)の厳格な取扱を要求しています。マイナンバー」)をも、事業者や行政機関などが勝手に作成して利用・提供などすることを法律で禁止しているのです。(2)ハッシュ化の問題そのため、マイナンバー(個人番号)をプログラムで例えばハッシュ化するなどして生成されたハッシュ値などの番号・記号・符号なども、それが非可逆性という性質を有しているとしても、マイナンバー法上はマイナンバー(個人番号)と同等のものであると評価され、マイナンバー法上の法規制に服することになると思われます(法2条8項かっこ書き)。同等と考えられるもの」(水町逐条85頁)という説明。あることは続く頁に書かれています。書かれてはいるがもっと直接的にはっきり記述した方がよかった。』と投稿しておられます。(高木浩光先生のTwitterより)https://twitter.com/HiromitsuTakagi/status/1442292375011823621マイナンバー法の立案担当者である弁護士の水町雅子先生の『Q&A番号法』56頁も上でみたとおり、「個人番号を脱法的に変換したものや、個人番号や住民票コードから生成される番号・符号など、個人番号に性質上対応するもの」は「広義の個人番号」(=裏個人番号・裏マイナンバー)に該当し、マイナンバー法の個人番号への法規制の対象になるとしており、マイナンバーをハッシュ化による非可逆化の処理をして番号・符号などを生成した場合は、当該番号・符号などは「広義の個人番号」(裏個人番号・裏マイナンバー)から除外されるとはしていません。対応の利用目的以外に利用・提供などすることは法9条違反となり、またxID社などの民間企業や自治体・国などの行政機関や本人が、法9条と別表一が定める以外の行政機関や事業者などにxIDを提供することは、法19条違反となります。(3)GovTech企業としてのxID社ところで、xID社は、同社サイトにおいて、『xID株式会社は「信用コストの低いデジタル社会を実現する」をミッションとして掲げ、マイナンバーカードを活用したデジタルIDソリューション「xID」を中心に、次世代の事業モデルをパートナーと共に創出するGovTech企業です。』と同社の概要を説明しています。システム創造プログラム講師などを歴任しているようです。歴任しているとのことです。大丈夫なのでしょうか?同社サイトによると、xID社は楽天などの新経済連盟に加入し、Fintech協会やスマートシティ・インスティテュートなどの業界団体にも加入しているようです。これらの団体の業務品質やガバナンス・コンプライアンスも大いに気になるところです。5.xIDの導入・運用(1)従業員のメンタルヘルスに関する情報システム・コロナワクチン予約システムへの導入xID社のxIDは、今回問題となっている渋谷区だけでなく、加賀市などでも導入予定となっているそうです。導入予定となっている「ラフールサーベイ」という企業は、企業の人事部門が従業員のメンタルヘルスを管理することを支援する企業であるそうですが、マイナンバーと法的に同じものであるxIDに、従業員のメンタルヘルスに関するセンシティブな医療・健康データを連結させてしまって大丈夫なのかと気になります。(xID社サイトより)また、本年7月のxID社のプレスリリース「xID、コロナワクチン予約システムで採用。地方自治体で実証実験を開始。」によると、東京都日野市などの自治体で、コロナワクチン予約システムにおいて、利用者・住民のIDとしてxIDを利用する実証実験が行われているそうです。・xID、コロナワクチン予約システムで採用。地方自治体で実証実験を開始。|xIDコロナワクチン接種の事実、いつだれが接種をどこで受けたか等は個人情報保護法が規定するセンシティブな個人情報である要配慮個人情報(個人情報保護法2条3項)の「病歴」などの医療データには直接は該当しません。医師・看護師の問診を受けてワクチン接種を受けることは医療行為に該当するものであり、ワクチン接種を受けた本人のプライバシー権や、ワクチン接種を受ける受けないという医療に関する自己決定権(憲法13条)、ワクチン接種を受ける受けないという内心の自由(19条)に関連する、要配慮個人情報に準じる、センシティブな個人情報・個人データです。マイナンバー)であるxIDを導入し、xIDに要配慮個人情報に準じるセンシティブな個人情報であるワクチン接種の予約などに関する個人情報・個人データを連結させることは、これも上でみたように、マイナンバー法9条、19条、2条8項かっこ書きに違反するおそれがあるのではないでしょうか。25自治体に広がったとされています。電子申請サービス「LoGoフォーム電子申請」とは、自治体職員が担当部署や上司などに各種の申請を行うための電子申請サービスであるそうです。マイナンバー法や個人情報保護法制などを十分に理解し、この「LoGoフォーム電子申請」やxIDなどをしっかりと検討した上で導入したのか大いに気になるところです。FORなどとも業務提携しているそうですが、これらの企業も、法務部や情報システム部門などがマイナンバー法や個人情報保護法などの業務に関連する法律をしっかりと理解しているのか気になります。リクルートキャリアに対する勧告等について」(令和元年12月4日))。)(xID社サイトより)セブン銀行の属するセブン&アイ・ホールディングスはセブンイレブンの7payのシステムがあまりにもお粗末で、2019年夏にリリースされた後、社会的批判を受けてあっという間にサービス終了となったことが記憶に新しいものがあります。そのなかで同グループのセブン銀行は金融業だけあって比較的手堅く業務を行っているイメージがあったのですが、やはりセブン&アイ・ホールディングスのグループ会社といういうことなのでしょうか。LayerXは、ITや個人情報保護法制の専門家集団の企業のはずですが、この点どうなのでしょうか。行政機関の職員などが個人番号と法的に同等のものであるxIDに簡単にアクセスなどができるとしたらこれもマイナンバー法9条、19条、2条8項かっこ書きとの関係で大問題の予感がします。富士ソフトは法人向けシステム開発とともに、「筆ぐるめ」の企業であるようですが、もし筆ぐるめの住所録機能にxIDを入力する項目などがあったら大問題であると思われます。Platform)」を開発しxID社と業務提携しているとのことです。Platform)」とは、富士ソフトのプレスリリースなどによると、「エストニア政府でも採用されているX-Roadを商用化した製品」であり、「暗号化技術を活用することで、複数のデータベース間のデータ連携を安全に共有することを可能」とする「分散型のシステム」であり、「機微・機密データ」の連携に強い、「複数のシステムやデータベース、そのデータレイアウトを変更することなく連携・利活用することが可能」な「分散型」の「データ連携基盤」であるそうです。・富士ソフトとxID、データ連携基盤「UXP」と次世代デジタルID「xID」の共同提供の検討における基本合意書を締結(2020年9月1日)|富士ソフト富士ソフトは同社サイトによると、このxID社と提携したデータ連携基盤「UXP」を、近年、政府が推進している未来都市創生プロジェクト「スーパーシティ構想」(スマートシティ)に提供したい方針のようです。し、これら国民・住民のセンシティブな個人データを研究機関やIT企業や製薬会社などに提供するようです。いう利用目的からはずれており違法です。)をもたらしてしまうものであり、国・大企業による国民のあらゆる種類の個人データによるプロファイリングやスコアリングなどが行われてしまう危険が非常に高いのではないでしょうか。3分野に法律で限定し、利用できる行政機関・事業者も法律で限定して、国や大企業などによるマイナンバーの濫用による国民の個人の尊重や基本的人権の侵害に歯止めをかけています。マイナンバーの利用による国民の個人情報の利活用というマイナンバー法や個人情報保護法制の潜脱行為であり、行政の効率化と国民の人権保障の調和を図ろうとするマイナンバー法やマイナンバー制度、そしてマイナンバー法の一般法である個人情報保護法などの趣旨・目的そのものに反し、国民の個人の尊重や個人情報、プライバシー権、人格権や自己情報コントロール権の侵害(憲法13条)であり、もし裁判所で争われた場合、違法・違憲との判断が出される可能性があるのではないでしょうか。十分に理解した上で業務を実施しているのか気になります。加えて、Googleのandroidスマホのplayストアをみると、android版スマホアプリのxIDは既に約1000件以上ダウンロードされて利用されているようです。日本はiPhoneなどのapple製品のシェアのほうがずっと高いので、xIDアプリの実際の利用者はこの数倍となるのではないでしょうか。xID社によるマイナンバーの違法な収集・利用が少なくとも1000件(実際にはその数倍)、すでに行われていることは間違いないようです。対して速やかに報告をしなければならないと、報告を法的義務としています。対して「第一報」(速報)を行わなければならないとしています。報告することを義務付けています。この点、xID社はネット上の炎上を受けて9月24日付で「ソーシャルメディア等で頂いているxIDアプリに関するご意見について」とのプレスリリースを公表しています。(xID社サイトより)・ソーシャルメディア等で頂いているxIDアプリに関するご意見について|xIDしかしこのプレスリリースを読むと、「関係官庁や顧問弁護士と法律面の確認はしてきた」と、xIDがマイナンバーの入力を要求し、入力されたマイナンバーからアプリでxIDを生成していることの違法性を否定しています。(この関係官庁が具体的にどの官庁で、また顧問弁護士が具体的に何という弁護士なのか大いに気になりますが。)そして、「多くのご意見を頂いております個人番号の入力につきまして、かねてより当社も利用者様の不安を招く可能性を認識しており、そのため、現在開発中で年内リリース予定の次期バージョンでは個人番号入力を伴う手順を廃止するよう進めております。報告を行うなどとも書かれておらず、マイナンバー法が規定するマイナンバーの重大インシデントが発生中であるにもかかわらず、状況は深刻です。行政機関や自治体、事業者などに対して報告徴求を行い、立入検査などを実施することができると規定しています(法35条)。この報告徴求に対して虚偽の報告をしたり、立入検査に対して検査を妨害などした場合には、一年以下の懲役又は五十万円以下の罰金の刑罰が科されます(法54条)。マイナンバーの安全管理などのために、総務省やその他の官庁、行政機関などに対して「必要な措置」の実施を要求することができます(法37条)。(2)罰則さらに、「人を欺き」、「個人番号を取得した者」は、三年以下の懲役又は百五十万円以下の罰金に処する」と罰則が規定されています(法51条1項)。ここでいう「個人番号」には、個人番号からプログラムで生成された「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号」(法2条8項)も含まれると解されています(宇賀・前掲234頁)。)その他の罰則の適用を妨げない。(組織的な犯罪の処罰及び犯罪収益の規制等に関する法律)の定める犯罪収益等の没収・追徴なども可能と解されています(宇賀・前掲237頁、(組織犯罪処罰法2条2項1号ロ、別表第二(第二条関係)37号はマイナンバー法51条1項に該当する罪の収益には組織犯罪処罰法が適用されると規定しているため))。そのため、マイナンバー法9条および別表に定める利用目的および機関・事業者に該当しないにもかかわらず、利用者・ユーザーにマイナンバーの提供(入力)を要求して当該マイナンバーからxIDを生成して利用・管理・提供しているxID社の業務はこの「人を欺き」、「個人番号を取得」に該当するとして、法51条1項の三年以下の懲役又は百五十万円以下の罰金の罰則が科される可能性があるのではないでしょうか。同時に、法51条2項の規定により、xID社には刑法上の詐欺罪、窃盗罪などが適用される可能性もあり、さらに組織犯罪処罰法に基づき、同社がxIDの業務により得ていた収益も、「犯罪収益」に該当するとして、没収・追徴が行われる可能性があります。加えて、「偽りその他不正の手段により個人番号カードの交付を受けた者」に対しては、六月以下の懲役又は五十万円以下の罰金の刑罰が科されます(法55条)。行政機関の担当者を買収したり、甘言を弄したり、懇願するなどしてマイナンバーカードの交付を受けるなどの行為は、「不正」に他人のマイナンバーカードの交付を受けることに該当し、この法55条の罰則が適用されるされています(宇賀・前掲246頁)。8.まとめ渋谷区では民間のITベンチャー企業と連携した、LINEによる住民票の写しの申請が違法であり許されないと総務省からダメ出しが出されたばかりであり、今回の渋谷区とxID社の件は「またか」との感があります。自身のウェブサイトで画像素材サイトの画像を無断で対価を支払わずに多数利用していたという著作権法違反の事件が発覚しました。平井卓也・デジタル庁大臣も、違法不当な接待をIT企業から受けていた問題や、特定企業との癒着や脱税、NECを「徹底的に干せ」「脅せ」などと発言したことなどが社会的批判を浴びています。加えてデジタル庁自体も、民間IT企業の職員を数百人規模で中途採用して職員にするなど、利益相反や特定企業との癒着の危険性、憲法15条2項や国家公務員法96条1項などが要求する行政の公平性・中立性が保たれるのかなどの憲法レベルのさまざまな問題をはらんでいます。強い人間が社会を支配する「人の支配」が横行する社会となってしまい、日本社会全体が大きく低迷・迷走しています。対して報告徴求や立入検査などを実施し、状況を分析した上で行政指導を行い罰則を科すなどの厳格な対応を早急に実施すべきではないでしょうか。同時に、日本のITベンチャー企業や、デジタル化を推進している行政官庁や全国の自治体も、マイナンバー法や個人情報保護法制など憲法・法律やモラルなどを遵守することが、国民からの日本のIT業界や国・自治体のデジタル行政や個人情報保護行政への信頼を保つため、そして低迷する日本社会を再び活力ある社会、主権者たる国民の人権保障が重視され、法治主義・「法の支配」が貫徹される社会にするために重要なのではないでしょうか。権限・罰則」にマイナンバー法51条に関する説明を追加するなどしました。■追記(9月29日)9月28日に、渋谷区議会議員の須田賢氏(@sudaken_shibuya)よりつぎのようなコメントをTwitterにて頂戴しました。『渋谷区で現在公募している施設予約リニューアルのシステムで引用RTの記事のように問題が指摘されているxIDについて、法令上の問題の有無について提供しているxID社及び所管する総務省に確認をするよう渋谷区の所管部門に要請しました。今後の渋谷区の対応についてフォローしていきます。総務省の渋谷区やxID社などへの回答や対応が待たれます。対してxIDがマイナンバー法違反であるかどうかについて照会を行っているとのことであり、また、それを受けて加賀市はxIDを利用している同市の電子申請サービスなどの一時停止を決定したとのことです。・【プレスリリース】xIDを利用しているサービスの一時利用停止について|加賀市(加賀市サイトより)今後の展開が注目されます。■追記(10月4日)愛媛県の官民共創デジタルプラットフォーム「エールラボえひめ」が10月1日のプレスリリースにおいて、xIDを利用した新規会員登録とログイン認証の一時停止を発表しています。・xIDアプリと連携した新規会員登録及びログイン認証の一時停止について|エールラボえひめ■追記(10月6日)富士ソフトのデータ連携基盤「UXP」と政府のスーパーシティ構想・スマートシティ構想等について追記しました。■追記(10月7日)xID社が10月6日付で新たなプレスリリースを公表しました。当社xIDアプリの個人番号入力に関する説明について|xID(xID社サイトより)また、高木浩光先生が10月6日付で「裏個人番号」に関するブログ記事を公開されています。■追記(10月12日)読売新聞が10月12日付の記事でxIDのマイナンバー法違反の件を報道しています。動き広がる...自治体側は問題に気づかず|読売新聞この読売新聞の記事は高木浩光先生のつぎコメントも掲載されています。『マイナンバーの収集が制限されているのは、唯一の番号に国民の様々な情報が紐付けられるのを避けるため。デジタル化で多様な情報が集約される流れにあり、自治体は法の趣旨を忘れてはならない。特性により個人の特定に用いるものは、個人番号に該当し(マイナンバー法2条8項かっこ書き)、同法9条に定めのない利用は違法』との趣旨のプレスリリースを出しました。マイナンバー法第2条第8項において、個人番号(マイナンバー)とは、第5項に定義される番号そのものだけでなく「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む」こととされています。その該当性については、その生成の由来から個人番号に対応するものと評価できるか否か及び個人番号に代わって用いられることを本来の目的としているか否かの観点を総合的に勘案して判断されます。したがって、例えば個人番号(マイナンバー)の一部のみを用いたものや、不可逆に変換したものであっても、個人番号(マイナンバー)の唯一無二性や悉皆性等の特性を利用して個人の特定に用いている場合等は、個人番号(マイナンバー)に該当するものと判断されることがあり、その場合、マイナンバー法第9条に定めのない目的に利用していたり、保管していたりすると、マイナンバー法に抵触するおそれがありますのでご留意ください。性質を利用して個人を特定するための共通IDとしてxIDを利用しているxID社のスキームは、それが非可逆的なものであっても、マイナンバー法9違反です。個人番号」の規定について、宇賀克也先生は「脱法的に個人番号を変換したもので可逆的に個人番号を識別できるものを含む」(宇賀克也『番号法の逐条解説』24頁)とし、「可逆的に個人番号を識別できないもの」は「裏個人番号」に含まれないとしていますがこれは正しくありません。個人番号」に該当し、つまり法的にマイナンバーと同等のものであると考えるのが正しいことになります。目的の共通IDやデジタルIDなどに利用することはマイナンバー法9条違反となります。導入を計画中の渋谷区などの各自治体や、同社と業務提携して業務を行っている富士ソフト、LayerX、セブン銀行などは、直ちにxIDの利用や利用の計画を中止する必要があります。Analysticsを利用しています。