See the entire conversation

ナニコレ、違法だよ。どこにある?
使ってみようと思ったけど個人番号入力させるのはええんか?ヘルプの説明通り一意のIDを生成するためであればサーバー側で一意のIDを発行すれば済む話なので入力の必要ないじゃん、ということになる。
35 replies and sub-replies as of Oct 02 2021

番号法立案時、大綱までの時点で、WGでの議論で、ハッシュ化による裏番号が使われてしまうのを阻止する必要があると整理されて、裏番号も個人番号に含めるように規定されたはずだが……
ぶら下げ。
これはダメかもわからんね。本質的に禁止されていることをやろうとしている様子。番号法が裏番号まで個人番号に含まれると規定したのは、こういう行為に使われるのを防ぐため。 meti.go.jp/shingikai/exte…
ぶら下げ。
なくても確認できた。現にやっとるやないか。これはアカンぞ。アカン、アカン。通報!通報!
ぶら下げ。
saltじゃなくて鍵付きハッシュ関数の鍵ね。その鍵もアプリの中に組み込まれているかアプリにサーバから送信されてくるわけだから、誰でも入手できる。よって復元も可能。 なお、復元できるから違法なのではなく、トラッキングに使える形だから禁止されている。
そういう問題じゃあないんだよねえ。 help.xid.inc/68b5aac87ba641…
個人側の立場で「見られても大丈夫」というのはその通りなんだけども、取得しようとする側の規制があるわけで、これを見てやって良いんだと思っちゃうのは困るね。 mhlw.go.jp/content/102000…
個人側の立場では、求められてもみだりに入力しないことは注意喚起してもいい。1個でも入れたらアウトになるのではなく、あちこちに入れると危うくなる。今回のようなアプリはPPCの執行で排除される。パンフではこう言っているが、ちょっとズレている。
6年前にも言っていた。改善されないなあ。
政府の広報でも「むやみにマイナンバーを他人に教えないように」と注意喚起するものの、なぜそうなのかを説明していない。それを説明しないから、「本当は(なりすましされるという意味で)危ないんだろ?」という疑心暗鬼が生じているのではないか。トラッキングの問題がいかに理解されていないかだ。
自治行政局住民制度課は、この時点で気づいて教えてあげられなかったのか? というか、この検討されている構想自体、大丈夫なのかしらん?全然追っていないのでどうなっているのか…… soumu.go.jp/main_content/0…
いやいや、理由がおかしいよ。「かねてより当社も利用者様の不安を招く可能性を認識しており」じゃなくて、番号法違反の違法アプリでしたので直ちに停止しますと言わないといけない。気の毒だけど残念ながら。
ソーシャルメディア等で頂いているxIDアプリに関するご意見について xid.inc/news/39/0
PPCの中止勧告、命令来るか? 番号法 第34条 委員会は、特定個人情報の取扱いに関して法令の規定に違反する行為が行われた場合において…必要があると認めるときは、当該違反行為をした者に対し、期限を定めて、当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を勧告することが…
勧告飛ばして緊急命令かも? 3 委員会は、前2項の規定にかかわらず、…個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があると認めるときは、当該違反行為をした者に対し、期限を定めて、当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を命ずることができる。
これはね、最初の新保委員の裏番号を規制する提案を事務局は良い提案だと受け入れながらも、復元できないようになってればOK的な案を出してきたので、次の回で新保委員がそれじゃダメだと理由を述べて指摘して事務局を理解させたのでした。
この赤線引いた方の、復元できないケースは当たらないとみなせるてのもそのあとで否定されたのだろうか?(pdf のこの辺りを少し見た感じでは見つけられず。「復元できないがどの程度か難しい」とかはすこし話題に上がってた程度。)
その指摘はあまり意味なくて、暗号論的ハッシュ関数だと衝突確率は真の0ではないが衝突耐性のあるアルゴリズムを使えば実質的に衝突はないとみなすので単射的であるし、利用する側が全値域を使わず変換されたものだけ使うなら全単射的とも言える。
数学的には、「一対一」は単射、「一対一に対応」は全単射を表す…ので字面だけを見ると、(全射の方は本質的でないので置いといて) 単写でないハッシュは注2に該当しないと思えます。 しかし示していただいている経緯から該当させる意図だったようで。 法令の読み方は難しいですね。
それより問題は、あえてそういう定義から外れる変換を用いられて潜脱されてしまうこと。この大綱の記述にはパブコメ意見を出していた。 takagi-hiromitsu.jp/diary/20110807… 意見4. 一対一に対応するものに限らず、多対一対応のものも同様に「番号」に該当するものとするべき (注:変換結果と元番号が多対一)
そんなわけで条文上はこうなった。使う側の意図で定義されている。 「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号」
違法は確実でPPCが中止勧告・命令に至るのは確実なので焦ることはないし、ミログのような目的の邪悪さがあるわけでなし。
ひろみちゅ先生が穏やかに指摘されている。これは相手方が無駄に噛み付くこともごねることもしてないからななのか。それとも単純に遅い夏休み効果からなのか。
いやあ、10年前にこういう事態を予見して裏番号禁止規定を入れ込んでおいたわけだけど、ホント良かったよ。10年目にして結実した。
ナニコレ、違法だよ。どこにある?
ぶら下げ。
番号法の公式逐条解説はPDFで一般公開されたものの内容が薄く本件部分の説明が皆無なところ、立案担当者(内閣官房社会保障改革担当室参事官補佐)だった水町雅子弁護士が『逐条解説マイナンバー法』(商事法務2017)でしっかり解説している。一般向けには『Q&A番号法』(有斐閣2014)がわかりやすい。
なるほど、ありがとうございます!
これは『デジタル・ガバメント実行計画(令和2年12月25日閣議決定)』で示された民間IDの紹介例で、またサービスの都合で一意のIDを生成するために個人番号を画面で入力させることは説明されていないので、自治行政局住民制度課は知りようがないし、協議からも外されていた感
「何人たりとも、個人番号(マイナンバー)をハッシュ変換して一意のIDを生成することを目的として、マイナンバーの提供(入力)を求めることも、提供(入力)することも認められていない」ので、この時点で事業者も利用者も法令違反に該当してそうな件。
x-id.me これって問題ないんですね。 こんなのがあるとは知りませんでした。
xIDがマイナンバー入力からハッシュで一意のIDとしているとしたら、渋谷区の例は、番号法9条(19条、別表)に規定されている範囲を超えているような。マイナンバーカードでの本人確認は出来ますが、マイナンバーは"利用"してはいけないって法律に書いてある。
下記のように書かれています マイナンバーの 収集・保管はいたしません xID作成時に入力いただくマイナンバーは、xID生成時にのみ、端末上で利用・表示されます。したがって、番号法における「収集」「保管」には該当せず、xIDのデータベースに保存されることもありません。 x-id.me
住基番号をつかったらどうなんでしょうね
仮定の話ですが、電子証明書から、裏番号を生成するのも駄目なんでしょうか?
詐欺だぁ! 真っ黒くろすけだ!