マイナンバーカードなど本人確認書類のマスキングの必要性について

マイナンバーカードの本人確認書類としての法的位置づけ

2016年1月1日以降、マイナンバーカードを本人確認書類として用いることが可能ですが、個人番号などの情報収集は、「行政手続きにおける特定の個人を識別するための番号の利用等に関する法律」第15条および第20条に基づき、原則として禁止されています。

その他、本人確認の際にお客様がマイナンバーカードを提示された場合は、企業側が個人番号を書き写すこと、マイナンバーカードの裏面のコピーを取ることは、法律で禁止されています。

マイナンバーカードのコピーが可能な条件

個人番号が記載されている裏面のコピーが可能なのは、条件を満たす場合に限られます。満たす条件とは、行政機関や雇用主などの決められた機関のみ、コピー・保管が認められています。 したがって、マイナンバーカードは、金融機関などの本人確認が必要な窓口において、本人確認書類の一つとして利用できます。

しかし、法律に規定されていない機関や事業者の窓口において、個人番号が記載されている裏面をコピー・保管することは法律違反となります。 また、お客様が提出したマイナンバーカードの写しにより本人確認を行う場合に、裏面の写しを受理した場合は、裏面の写しを復元不可能にして破棄するか、個人番号の部分を復元できない程度にマスキングを施したうえで当該写しを確認記録に添付することが必要です。

マイナンバーカード裏面に潜むリスク

マイナンバーカードの裏面には、12桁の個人番号とともに、個人番号が記録された二次元コードが記載されています。この二次元コードを他人のスマートフォン等で読み取られると、容易に個人番号が流出する恐れがあります。 また、個人番号だけではなく臓器提供の意思という機微情報も表示されており、他人が容易に目視できないように隠す目的の保管ケースが付属されています。

しかし、このケースは、二次元コードが隠れていないので、セキュリティは万全ではありません。 裏面にリスク要因を持つマイナンバーカードは、外出時に紛失するケースや、ショップ会員の登録で店員に身分証明書としてコピーを取られるケースなど、他人に個人番号を知られるリスクが高いと言っても過言ではないでしょう。

マイナンバーの本人確認書類としての有効性

マイナンバーカードの表面には、氏名、住所、生年月日、性別、顔写真と、本人であることを確認できる情報がそろっています。住所変更の記載が裏面にある運転免許証や、顔写真がない健康保険証は、表裏のコピーを用意したり、他の身分を証明する書類を添えて提出したりするなど手間がかかります。

しかし、マイナンバーカードは表面のみ提示すれば本人確認書類として通用するために使い勝手が良く便利です。表面ではなく、裏面に個人番号が記載されていることが重要なポイントとなります。

本人確認書類のマスキングについて

マスキング方法

本人が企業に本人確認書類を提出する際のマスキングについて、現状では本人がマスキングを施すことが一般的です。以下、4種類の方法・パターンを紹介しますが、特に「郵送する場合」と「アプリで送付する場合」が該当します。

【郵送する場合】
1．本人確認書類に記載されている機微情報に対し、付箋・マスキングテープや紙片などでマスキング
2．マスキングした本人確認書類をコピー、郵送手続き

【アプリで送付する場合１】
1．郵送の場合と同様に機微情報を付箋・マスキングテープや紙片などでマスキング
2．マスキングした本人確認書類の画像をアップロード

【アプリで送付する場合２】
1．本人確認書類を撮影後、画像編集ソフトを活用して機微情報をマスキング
2．マスキングした本人確認書類の画像をアップロード

【企業側で自動マスキング機能を持つ場合】
1．利用者は本人確認書類を撮影後、画像をアップロードする
2．企業側が不要項目に対して自動でマスキング処理

以下の注意点を認識したうえで、正しいマスキングを施しましょう。
1．提示が必要な情報（氏名や住所など）が隠れてない
2．マスキング対象の機微情報にマスキング処理をしている
3．画像編集ソフト活用する場合は、編集時に他の情報の編集も可能な状態にする

本人確認書類・身分証明書についてマスキングが必要となる対象項目

マスキングが必要な項目は、個人情報のうちの個人関連情報と機微情報の２つです。機微情報というのは、臓器提供意思の有無、個別に付与された番号、本籍地、障害の等級、犯歴といった情報で受け取ってはなりません。 マスキングが必要となる情報は、本人確認書類・身分証明書ごとに異なります。

本人確認書類として健康保険証のマスキングが必要となる法的根拠

2020年10月1日より施行された「健康保険法改正」により、「記号」と「番号」が個人単位化されました。本人確認書類として健康保険証を用いる場合、プライバシー保護の観点から機微情報として扱われ、「保険者番号」と「二次元コード」の情報提供が不要になったことで、マスキング対象の項目に加わりました。

マスキングを施さずにアップロードされた場合はどうなるか

法的に縛りがあるマイナンバーカードの裏面の写しがアップロードされた場合、即破棄が原則ですが、法的な縛りがない書類に関しては、たとえ不備がなくても企業が破棄するかマスキング処理を行います。基本的には受理せずに、書類の再提出をお願いする企業が多いです。

オンラインで提出された本人確認書類と手続き書類のソリューションサービス

本人確認書類のマスキングの合否判定

すべての機微情報にマスキングを施しているかを判断したうえで、本人確認書類として認められたものを後続する手続きに進めさせなければなりません。不合格とみなされた本人確認書類は、企業側のルールに従って処理を行う必要があります。この際の判定作業と不合格の処理による負荷は大きいです。

画像アップロード時のセキュリティを確保できれば、自動で処理を行う「自動マスキング」により、お客様自身がマスキングを行わなくて済むだけでなく、本人確認書類のマスキングの合否判定も必要なくなるため一考の価値があります。

本人であることの認定

マスキングの合否判定で合格した本人確認書類の画像が、企業側へ提出した手続き書類と個人情報の突合確認により、本人であることが証明されると、その後は企業の本来の事務手続き処理に進むことになります。

マスキングの合否判定と本人であることの認定作業は、企業の本業ではありませんが、非常に重要な工程の一つです。そして、この作業を自動化するには、紐づけするシステム開発が欠かせないことから、人手や目検に頼る範疇とはいえ、アウトソースが可能な工程であると考えられます。

証明書類Web取得サービス

ヤマトシステム開発の「証明書類Web取得サービス」は、手続き書類と本人確認書類の突合を行うアウトソーシングを提供しています。企業における負荷の大きい作業や処理を外部委託することで、本業に専念できます。 自動マスキングを導入したとしても、突合作業は人手に頼らざるを得ないのであれば、「証明書類Web取得サービス」を活用し、本人確認書類のマスキングの合否判定を行うことで、法律や各社の企業ルールに則ったきめ細やかな対応が実現できるでしょう。

まとめ：マスキング処理の範囲やリスクを理解した上で、業務負荷を考慮して外部委託も検討しましょう

eKYCを端に発するオンライン完結の本人認証サービスは、手続き処理のオンライン化が進む現代社会において欠かせない存在です。しかし、個人情報や身分証をネット上にアップロードすることは、企業にとっては不正利用のリスクと常に隣り合わせだということは間違いありません。

セキュリティ面も含めて、ヤマトシステム開発は、本人確認書類をWeb上で回収できる「証明書類Web取得サービス」を提供しています。金融機関に限らず、オンラインでの本人確認を必要とする企業様は、このような本人認証に関わる外部サービスを積極的に活用して、負荷の大きい作業を効率化してみてはいかがでしょうか。