マイナンバーカードの利活用拡大を図る改定マイナンバー法案が4月27日に衆院本会議で可決され、政府は、紙の保険証を廃止しマイナ保険証への移行、年金受給者を皮切りにした「公金口座との紐づけ」などを開始しようとしている。医療機関で今年4月からマイナ保険証への対応が義務化されて対応を開始した矢先、マイナカードで別人の住民票が発行されるトラブルや、マイナ保険証に別人の情報が紐づけされる事例が7000件超発生していることがあいついで発覚するなど、個人情報を収集するだけで保護する体制はきわめて脆弱であることが明らかになっている。海外でも類似の制度を導入した後、国民の反発によって廃止したり、情報流出・なりすまし被害が深刻化している実態がある。海外のマイナンバー事情とともに問題点を見てみた。

 

■　　　　　■

 

　日本でマイナンバー制度が始まったのは2016年1月。今から7年前のことだ。1968年、佐藤政府の時代に「国民総背番号制」の導入が検討されて以降、同制度の導入は何度も頓挫。途上で導入された住基ネットも失敗（普及率はわずか5％だったといわれる）しており、マイナンバー制度の導入はじつに50年近い歳月を費やして政府の悲願を叶えたものだった。しかし同年にＩＣチップ入りのマイナンバーカードの発行を開始し、さまざまな普及策をとってもなかなかカードを取得する人は増えなかった。なぜなら国民にはとくに必要なかったからだ。2020年4月時点でカードの普及率は約16％と低調そのものだった。

 

　この状況に業を煮やした安倍政府は、2019年にマイナンバーカードを健康保険証として使えるようにする健康保険法改定案、行政手続きでカードを利用する場面を増やす「デジタル・ファースト」法案、戸籍とマイナンバーを紐づける戸籍法改定案を立て続けに通し、国民がカードを持たざるを得ない状況をつくり出してきた。

 

　そこにコロナ禍が到来。政府は緊急事態をも利用して「10万円給付がオンラインで申請できる」などと宣伝し、カード普及率を上げようとした。この政府の施策は、コロナ禍という非常事態への対処に追われる地方自治体の窓口にカード申請者が殺到する「密」状況を生み出し、自治体側は「郵送申請の方が早い」と呼びかけたり、カードの申請を停止するなどの対処をとらざるを得なくなった。「行政の効率化」といいながら政府の願望が先行し、現場に混乱を生み出した典型的な事例だ。だがそれでも懲りずに「給付に時間がかかったのはマイナンバーカードの普及率が低かったからだ」といい、現在、全国民に持たせるための目玉施策である紙の健康保険証の廃止や、マイナンバーカードの利用範囲を閣議決定だけで拡大できるようにする法案を成立させようとしている。

 

トラブル増で信頼失墜　整わぬ管理体制

 

　ポイント還元策に次いで昨年10月に紙の保険証廃止の方針がうち出されたことは、カード取得に拍車をかけており、2023年5月14日時点で普及率は約77％と急激に取得者が増加している。そのなかで続々と発覚しているトラブルとその対応は、日本政府が国民の膨大な個人情報や機微情報を保護し、管理する能力を有していないことを浮き彫りにしている。

 

　まず発覚したのがコンビニで証明書を受けとれるサービスでのトラブルだ。「市役所まで行かなくても住民票などを取得できて便利」というのが宣伝文句だったが、別人の住民票や印鑑証明書が発行される事例が、横浜市、東京都足立区、川崎市、徳島市でのべ14件確認された。システムを提供している富士通Japanにシステムの一時停止と再点検を要請する事態となり、このシステムを使う約200自治体に影響が拡大した。本人確認証として最も信用度が高いはずの公的証明書で別人のものが発行されたのだから致命的だ。

 

　続いてマイナ保険証に別人の情報が紐づけされたケースが7312件(2021年10月~2022年11月)あることが判明し、このうち医療機関でマイナ保険証を使用したさいや「マイナポータル」にアクセスしたさいに医療情報が他者に閲覧されていたケースが少なくとも5件あることが明らかになった。

 

　マイナ保険証をめぐっては、政府が昨年10月に2024年秋までに紙の健康保険証を廃止する方針を示してから急ピッチで準備が進められ、医療現場が対応する期間もほとんどないまま今年4月にマイナ保険証への対応が義務化された。「紙の保険証の廃止」という施策は、マイナカードをつくらない人が医療から排除されるという大問題を抱えている。同時に医療機関など現場がもっとも懸念しているのは、こうした情報漏洩などのトラブルだ。

 

　医療機関には患者の情報を漏洩してはならないという守秘義務がある一方で、患者が来院するたびに医療情報が紐づけされたマイナ保険証を持参するのが日常になる。高齢者などで危険性を認識していない患者も多いなか、「カードを院内で紛失したときにどう対処するか」「高齢者が暗証番号やマイナンバーをスタッフに伝えてしまった場合はどうするのか」「カードリーダーやシステムの不具合で本人確認できないときは窓口で10割負担を求めるのか」「介護施設や高齢者の長期入院の場合、緊急対応のために保険証を預かっていたが、マイナ保険証は情報が多すぎて預かることができない」など、さまざまな疑問や不安がある。しかし、政府から方針が示されることはなく、すべて現場任せだ。

 

　今回発覚したトラブルにさいしても、「富士通が悪い！」「健康保険組合が入力ミスをした！」と、デジタル庁、総務省、厚生労働省それぞれが責任を現場に押しつけて、政府のどの機関も責任をとらない姿を見せている。「もし小さな診療所でトラブルが起こったとき、“お前のせいだ”と責任を押しつけられるのだということを改めて実感している」とさめざめと語られている。

 

　国民を統制・管理したいという願望に対して、能力・実力が追いついていないのが日本の実態ともいえる。日本だけでなく世界的に見ても、国民に共通番号を付与して管理する国では情報漏洩やなりすまし被害が社会問題になっており、「生涯変わらない一つの番号に個人情報を紐づける」という行為が危険きわまる政策であることがすでに明らかになっている。

 

なりすましや漏洩が多発　アメリカ

 

　アメリカでは、社会保障番号（Social Security Number/SSN）が使われている。1943年の大統領令により、連邦機関がこの番号を個人システムに用いることが義務づけられている。

 

　このSSNは、1936年にニューディール社会保障計画の一環として導入された。当初は単に労働者個人の生涯所得を把握し、年金等社会保障の給付に利用するために創設されたものだった。しかし1960年代以降、段階的に利用範囲が拡大され、今では福祉・医療の補助金や税の還付などの行政手続きに加え、ローンの申請やクレジットカードの発行、銀行口座開設、携帯電話の契約、運転免許取得などあらゆる場面においてSSNが身分証明書として使われている【表】。

 

　アメリカでは、建前上、番号の取得は「任意」とされている。しかし、SSNは医療・福祉の補助金申請などに必要で、銀行口座開設やクレジットカード取得のさいにも提示が求められる。そのため事実上の「義務化」であり、どの国民もSSNを取得しなければ行政サービスが受けられない仕組みになっている。

 

　こうしたなかアメリカでは、従業員の不正などによって盗まれたＳＳＮによる「なりすまし」が横行し大問題になっている。1960年代以降、個人情報の流出やなりすましなどの犯罪が社会問題化し、クレジットカードを勝手に作られたり、ローンを組まれたりする被害が後を絶たない。

 

　2005年には、データブローカー（保有する消費者の情報を使って身元調査や転売をする企業）が、消費者情報の購入者になりすました架空企業に対して、SSNや住所、クレジットカード情報などの個人情報約14万5000人分を流出させる事件が起きた。

 

　2021年には、ミズーリ州の初等中等教育局のウェブサイトで、10万人以上の教員のSSNが閲覧可能な状態になっていた事件も起きている。

 

　また、SSNをめぐるなりすましのなかでとくに多いのが、他人のSSNを使ってクレジットカードを作って金を借りたり、税金の還付金をだましとるなど金銭がかかわる事件だ。アメリカでは暗証番号や顔写真などの認証をクリアすれば銀行口座も開設できる。そのためローン地獄に直面した大人が子どものSSNで金を借りて、その子どもが大人になり銀行口座を開設したときにはすでにブラックリストに載っていたという事例もある。他にも、患者が病院で職員に提示したＳＳＮが漏洩してなりすまし犯罪に使われていた例もある。

 

　2017年には、３大信用調査会社の一つエキファックスから1億4300万人分の情報漏洩が発表され、米国史上最悪の情報漏洩事件となった。同社は消費者の信用度を測る信用調査会社であり、アメリカ人の成人ほぼ全員に関する膨大な個人データや財務データにアクセスできる立場にあった。ここを何者かがハッキングし、氏名や社会保障番号、生年月日、住所、一部の運転免許証番号と20万9000件近くのクレジットカード番号、18万2000件の「紛争文書」などが盗まれた。最終的に被害者の数は1億4700万人、アメリカの人口の約44％にのぼった。とくに一生変わらない社会保障番号は闇市場で転売され、当分のあいだ価値を持ち続けることになると指摘されている。

 

　大規模な流出事件としては、2015年に保険会社アンセムがサイバー攻撃を受けて約8000万人分の社会保障番号を含む個人情報が流出した事件、米連邦政府の人事管理局（OPM)が発表した約2150万人分の社会保障番号の流出事件（2015年）もある。

 

　2012～2016年にかけては、不法移民の就職のために390万件もの大量のSSNが盗まれ不正に使用される事件も発生した。社会保障局は、普段からむやみな個人番号の開示を避け、開示を求められたさいには何に基づいて求めているのか根拠を問うよう勧告している。しかし事実上SSNの所有が義務化され、あらゆる手続きにおいて提示が強いられるのが現実であり、その管理や防犯について基本的には「自己責任」のようなスタンスでいるのがアメリカ政府だ。

 

口座紐づけが生む不正使用　韓国

 

　韓国では、個人を識別する番号として、「住民登録番号」が幅広い行政分野と民間分野で利用されている。この番号は出生届出のさいに付番がなされ、生涯を通じて変わることがない。

 

　韓国では、1962年に住民登録法にもとづいて住民登録番号の付番が始まったが、当初対象は希望者だけだった。しかし1968年に、北朝鮮のスパイが大統領府を襲撃したとされる「青瓦台襲撃未遂事件」が起きたのを契機に、住民管理・スパイ防止の名目で全国民が付番の対象となった。この時から住民登録証が発行されるようになり、カードには徴税や社会保障、クレジットカード情報などあらゆる個人情報が紐づけされている。

 

　また韓国では1987年に「情報通信ネットワーク法」が制定され、行政機関の業務におけるコンピュータネットワークの普及拡大と利用促進がおこなわれた。住民登録や不動産登記、自動車登録などにかかわる業務の電子化が進み、その過程で何度も住民登録法の改定がおこなわれてきた。こうして、住民登録番号は、官民の電子サービスにおける社会インフラといわれるほど個人情報が詰め込まれ、利用が促進されてきた。

 

　民間分野でも1990年代から2000年代にかけて、携帯電話やインターネットの契約、銀行口座の開設、インターネットバンキングやネットショッピングなどあらゆる場面において本人確認のためのツールとして利用されていた。

 

　こうしたなか、住民登録番号の盗用によるなりすまし事件が頻発するようになった。悪用を防ぐため、2006年にはインターネットで利用できる仮想的な住民登録番号である「IPIN｣が導入され、2011年には個人情報保護法が制定・施行された。それでもハッキングによる住民登録番号の流出などがあいつぎ、2014年には個人情報保護法が改正され、民間企業による住民登録番号の収集・利用は原則として禁止された。

 

　だが同年、韓国では一億人分をこえるクレジットカードや預金口座の情報が流出する事件が発生した。この事件では、クレジットカード会社の社員が顧客情報を持ち出してそれを業者に販売し、さらにそこからマーケティング会社などに転売されていたことが発覚した。

 

　さらに、人口の約70％にあたる2700万人分の個人情報2億2000件が流出する事件（2014年）が起こり、情報を不正利用して利益を上げていたとして16人が逮捕された。24歳の容疑者は、オンラインゲームで知り合った中国人ハッカーから2億2000件の情報を入手したとされている。この情報を使って他人のゲームアカウントに不正侵入してゲーム内通貨を盗んで換金し、４億ウォン（約4000万円）を稼いで中国人ハッカーに一部を渡していた。また、個人情報の転売でも稼いでいた。中国人ハッカーはゲームやチケット販売などのウェブサイトからユーザーの氏名や住民登録番号、パスワードなどを盗んでいたという。

 

　現在、韓国では住民登録番号の利用の範囲は大幅に縮小されており、おもに金融、教育機関に限定されている。だが個人情報流出は今年も起きており、移動通信会社「ＬＧユープラス」の利用者18万人の名前と生年月日、電話番号などの個人情報が流出した。

 

制度浸透も悪用が頻発　スウェーデン

 

　スウェーデンでは1686年から住民登録制度があり、古くから教会区ごとの住民記録管理に関する統一規則が制定されていた。そして1947年には、統一的な個人認証番号である個人識別番号（PIN)が導入され、従来の世帯単位から、個人単位での管理に移行した。さらに1966年には住民登録事務の所管が教会から国税庁へと移管され、現在の個人識別番号制度となっている。

 

　スウェーデンで生まれた子どもは、名前より先にPINを手に入れる。病院から税務署経由で出生の連絡を受けた同国の国税庁が、一人一人に10桁の番号をつけ、国税庁からの書類に、親が子どもの名前を記入して返送すると登録が完了する。

 

　個人識別番号は行政・民間で広く利用されている。行政分野では利用目的に正当性が認められれば、本人同意は不要とされており、住民登録や納税、年金、医療、雇用、失業保険、徴兵、運転免許、統計調査等幅広い分野で利用されている。さらに民間分野でも金融機関の口座開設や保険会社との保険契約、賃貸契約、携帯電話契約などに用いられる。このように、行政事務等が適法におこなわれる範囲内であれば、個人識別番号の利用に制限はもうけられていない。

 

　スウェーデンでは、1680年代から長きにわたる住民管理制度の歴史があることから、国による個人情報管理に対する国民の危惧が少ないといわれている。ただ、スウェーデンでもＰＩＮを介したなりすまし被害は多く、年間約6万5000人が被害を受けているという。携帯電話を勝手に契約して国外の有料電話サービスに接続し、高額の使用料を請求する例もあり、個人向けの「なりすまし詐欺保険」を提供する会社も登場している。それでも個人番号がなければ生活できないほどに制度が国民生活に浸透している状況がある。

 

共通番号導入が頓挫　　独・英・仏・豪

 

　一方で、政府が共通番号を導入しようとしたものの、国民の抵抗によって頓挫した国も多く、こうした国々では、行政分野ごとに異なる番号の導入・運用に落ち着いている。

 

　ドイツでは1970年代に、行政事務の効率化を目的として行政分野で共通して個人を識別する番号の導入（連邦住民登録法案）が検討されたが、国民のプライバシー侵害の懸念が大きく成立に至らなかった。それは、かつてナチス政権がユダヤ人たちを管理するために番号を割り振っていたことから、国民に番号を割り振る行為そのものが憲法違反だとみなされているという側面もあるからだ。実際に1983年には汎用的な個人を識別する番号を利用することは、連邦憲法に違反する可能性を示唆する判決も下されている。

 

　そのためドイツでは、長らく共通番号の検討はされておらず、現在は行政分野ごとに異なる番号を用いて行政事務をおこなっている。現在、行政分野別に利用されている番号は、税務識別番号、医療被保険者番号、年金保険番号、介護保険番号等がある。

 

　また、ドイツでは連邦の最高機関として位置づけられた「連邦データ保護情報公開コミッショナー」を設置しており、同局は公的機関を監督する権限を有している。そして公的機関には「データ保護責任者」の配置が義務づけられ、責任者は公務員に対して情報とアドバイスの提供や、連邦法及びその他のデータ保護立法の遵守を監視する任務を負う。ドイツではこうした何重にも及ぶ監視体制の下で個人情報のとり扱いがおこなわれている。

 

　イギリスでは、2000年代に入ってテロ対策や犯罪予防等の観点から、厳格に本人確認できる手段として国民ＩＤカードの導入が議論された。2006年には「ＩＤカード法」が成立したものの、費用対効果やプライバシー侵害等が問題視され、2010年の政権交代とともに同法は廃止された。

 

　その後、2016年に公共サービスの共通認証プラットフォーム「GOV･UK Verify｣が導入された。これは、オンラインで行政サービスが受けられるデジタルＩＤの仕組みだが、普及率は１割台と低迷している。

 

　イギリスでは、第二次世界大戦中（1939年）に、「非常下」であることを理由に、国民登録法に基づき身分証明書として利用できるＩＤカードが導入されていた。しかし1951年に、警官に止められ理由もなく身分証明書の提示を求められ、その提示を断った男性が訴追され有罪判決を受ける事件（Willcock vHuckle事件）が起きたのを契機に、個人の身元を証明する行為は強制されるべきではないといった世論の高まりを受け、1953年に国民登録法及びＩＤカードは廃止されている。

 

　このような背景もあり、イギリスでは行政分野ごとに異なる個人識別番号を用いて行政事務がおこなわれてきた。1948年に導入された「国民保険番号」は社会保険分野と税務分野において共通的に利用されているが、これは複数の行政分野を所管する一つの官庁（歳入関税庁）に閉じて利用されている形であり、複数の行政機関で同一の識別番号を利用しているわけではない。

 

　フランスでは、第二次世界大戦中ナチスの影響力が強く及んでいた時代の1941年、ヴィシー政権下の内務省において、人口動態に係る統計調査や徴兵の調査のために、「全国自然人ＩＤ登録簿」（RNIPP)が作成され、この登録簿の識別番号として社会保障番号（NIR）の付番が開始された。

 

　その後、1972年には個人の情報を集約・管理する「SAFARI計画」の検討が政府内でおこなわれ、行政分野を横断して個人情報を識別するために社会保障番号を活用することが予定されていた。しかし、国内では反対意見が強くなり「フランス人を狩るためのプロジェクト」などと批判が拡大。社会的な大反対によって政府のSAFARI計画は撤回に追い込まれた。

 

　このような背景もあり、フランスではこれまで行政分野ごとに異なる個人識別番号を用いて手続きがおこなわれてきた。現在、行政分野別に利用されている番号は、前述の社会保障番号の他、税務登録番号、国民健康識別子等がある。

 

　政府は1978年に「情報処理と自由に関する法律」を制定した。同法では、公的機関・非公的機関が保有する個人情報に「不正・違法な個人情報収集の禁止」「情報提供義務の有無や対象等についての通知」「本人の同意なしでの人種・政治的信条等の収集の禁止」など、厳しい制限をもうけている。その監督機関として「情報処理と自由に関する全国委員会（CNIL)」を設置し、国内における個人データ処理に関して強い規制を求めるなど影響力を持たせている。

 

　一方、フランスでは個人認証のための電子的手段として、ある行政機関サイト等のログインＩＤ・パスワードを利用して他のサイトへのログインを可能にする、「France Connect｣がある。このシステムは今後、より高レベルのセキュリティが要求される金融・医療関連のサービス等に利用範囲が拡大される予定となっている。だが昨年夏、フランスではFrance Connectを経由した詐欺や不正なアクセス、なりすましが急増し、同サービスが一時停止するなどの問題も起きている。健康保険の名前とロゴを盗用し、「アカウント確認」を求める偽のメールが届くケースが多く、利用者からＩＤを入手して不正にログインして他人の銀行情報にアクセスしたり、公的扶助を不当に受けとるなどの手口だ。デジタル局も「毎月100件をこえる詐欺」を報告している。

 

　オーストラリアでは、1983年の連邦総選挙により、それまで政権を担ってきた自由党から労働党に政権が移った。新政権は1985年に、課税逃れや社会保障の不正受給の防止等を目的とした「国民背番号」の導入や、統一的な身分証「オーストラリア・カード」の導入等の提案を含む「連邦税制改革白書案」を発表。さらに86年には「オーストラリアカード法案」を提出した。同法案では、国民背番号によって課税や社会保障給付などの行政事務で共通的に利用可能とした。そして導入することで年間約8億㌦税収が増加し、社会保障の充実等の効果を宣伝した。だが、プライバシー保護を優先する国民による反対世論が圧倒し、同年12月に同法案は廃案となった。

 

　こうした経緯から、現在オーストラリアでは行政分野ごとに異なる個人識別番号が導入されている。納税者の識別を目的とする納税者番号や、医療機関で保管される患者の情報を統一管理する個人ヘルスケア識別番号などがある。

 

情報紐づけで被害規模拡大　目的は監視と統制

 

　このような世界の事例からわかるように、古くからどの国の為政者も行政手続きに横断的に使用可能な「共通番号」の導入を図ってきたが、ことごとく国民の反対の声を受けて廃案に追い込まれている。また、アメリカや韓国のように共通番号を導入した結果、詐欺やなりすましが急増して、個人のプライバシーが脅かされたり、金銭的な被害の元凶となるケースは少なくない。行政手続きの「利便性」は、裏を返せばその制度を逆手にとって悪用しようとする人間の「利便性」を格段に向上させる。インターネット上の利用となれば、自国内のみならず世界中どこからでもハッキングを受ける可能性があり、実際にそのような事件も多発している。

 

　あらゆる情報を紐づけすればするほど、一度に流出する個人情報の量は増え、規制を厳しくしたり、法改定をおこなっても、まるでいたちごっこのように次から次へと流出事件が起きている。こうしたことから、一つの番号に余計な情報を紐づけすることなく、その場の行政手続きのみにおいての利便性を求め、行政分野ごとに異なる個人識別番号を導入して運用する形態に落ち着いているケースが多い。

 

　また、こうして個人番号制度をめぐるこれまでの各国の動きを見てみると、「第二次大戦」「徴兵」「非常時」などのキーワードが出てくるのも特徴だ。個人番号による監視・統制を強めることと、国による戦時体制準備が深くかかわっていることを色濃く反映している。

 

　各国ですでに失敗が明白となっているマイナンバー制度をこれから本格的に導入しようとしているのが日本だ。このまま保険証や運転免許証、口座情報などさまざまな情報を紐づけすれば、先行するアメリカや韓国のように、もしくはそれ以上に犯罪のターゲットになりかねない。「国民の生命や財産を守る」のであれば廃止するほかない。