本人確認書類の漏洩から店舗を守る再発防止策｜マイナ免許証をstera端末で扱う現場の実務指針

最近、本人確認書類の画像を含む個人情報の漏えいが相次いで報じられています。レンタカーや建機レンタル、不動産、金融機関などの店舗で、受付時に受け取った免許証コピーや身分証画像が外部に流出する事故は、どの業種にも起こり得る課題です。本記事は、店舗オペレーション責任者、DX推進、情報システム、コンプライアンス・法務の担当者に向けて、本人確認書類の漏洩を止めるための再発防止策と、stera terminalでマイナ免許証を扱う運用の整理ポイントをまとめました。

結論から先に書きます。再発防止の軸は、「保存する個人情報の種類と量を減らすこと」「アクセスできる人と機器を限ること」「不正アクセスを前提にログで監視すること」の三点です。従来のように免許証をコピー・撮影して長期保存する運用は、万一の不正アクセスで被害が一気に広がります。マイナ免許証のICチップから必要な項目だけを読み取り、合意済み項目だけを基幹システムへ送信する設計に切り替えることで、持たない情報・送らない情報を増やし、漏洩そのものの起点を減らせます。

なお、本記事は店舗業務でのマイナ免許証利用を前提にしており、健康保険証の一体化（いわゆるマイナ保険証）や、マイナンバー12桁の利活用とは別の制度を扱います。両者を混同すると法令対応の整理がぶれるため、分けて考えてください。

事故を単発の不運として処理していると、再発防止策は現場で定着しません。個人情報保護委員会が公表した行政指導では、外部からの不正アクセス等の防止に関する技術的な不備や、保管ルールの未整備、VPN機器の未更新、パスワードポリシーの不徹底など、複数の原因が重なって被害が拡大する構図が示されています ［JPAC］。

免許証の画像やコピーを受付・審査・事故対応・社内監査などの各工程で複製していくと、どの端末・どのメール添付・どの共有フォルダに最終的に残ったかを追い切れなくなります。ログ取得が不十分だった事案では、個人データの取扱いの検証ができない状態になっていた点が指摘されました ［JPAC］。

本人確認書類の情報漏洩で何が起きるか

本人確認書類の画像は、氏名・住所・生年月日・顔写真がそろった「身元の写し」です。メールアドレスや電話番号だけの情報漏洩と比べて第三者のなりすましに使われやすく、クレジットカードの不正な発行やローン・口座の申し込み、フリマアプリなどのアカウント作成、詐欺の連絡に悪用されるおそれがあります。住所や顔写真は後から変えにくいため、被害者への影響が長く続く点も重い特徴です。他社で流出した画像を使ったなりすまし申込みを自社の受付で止める方法は、「免許証の画像が漏えいしたら？流出情報によるなりすましを店頭受付で防ぐ対策」で整理しています。

事業者の側では、報告や本人への通知に加えて、問い合わせ窓口の設置、信用情報機関の本人申告制度など被害者が取れる手段の案内、不審な連絡への注意喚起が必要になります。業務を外部に委託している場合は、委託先が本人確認書類の画像をどこに、いつまで残しているかも確認の対象です。こうした事後対応の負担は、そもそも画像を持っていなければ生じません。再発防止策の出発点は、「いま何を持っているか」の棚卸しです。

「保存しない・送信しない」を増やす対策の考え方

再発防止の第一歩は、技術対策の前に「業務で本当に保存すべき項目は何か」を棚卸しすることです。氏名、住所、生年月日、免許証番号、有効期限、免許の種類は、貸渡簿や顧客台帳に文字情報として必要ですが、券面全体の画像は必ずしも必要ではありません。画像を持たない運用に寄せれば、万一の流出時に悪用されるデータの範囲を抑えられます。

同時に、「送信しない情報」を仕様で固定することが重要です。暗証番号(PIN)、カードの未加工バイナリ、APDUのやり取りそのもの、顔写真画像を基幹システムへ送信しない設計であれば、API連携経路からの情報漏えいの被害を小さくできます。

事故が起きた際の対応は、初動（封じ込め・調査・報告）と、恒久対策（再発防止）に分けて考えます。個人データの漏えい等のうち個人の権利利益を害するおそれが大きいものは、個人情報保護委員会への報告と本人への通知が必要で、発覚日からおおむね3〜5日以内に速報、発覚日から30日以内（不正目的の事案等は60日以内）に確報を提出することが求められます ［BUSINESS LAWYERS］。

初動は停止と記録です。該当のアカウントを止め、ログを保全し、関係者を社内で集めます。要配慮個人情報が含まれる事態、財産的被害が生じるおそれがある事態、不正の目的で行われた漏えい等、1,000人を超える漏えい等が発生した事態は、報告対象として明確に定められています ［個人情報保護委員会］。

本人確認そのものの仕様も、全体として「画像送信型からICチップ読み取り型へ」移行する流れにあります。［TRUSTDOCK］2027年4月施行の犯罪収益移転防止法の改正では、対面取引におけるICチップ読み取りの原則化や、非対面取引における公的個人認証（JPKI）への一本化、画像送信型のいわゆるホ方式の廃止などが整理されています ［primagest.co.jp］（2026-10-05時点）。

警察庁は施行規則改正によりホ方式を廃止することを決め、2027年4月1日に施行されるため、犯収法で認められるeKYCは原則としてICチップを搭載した本人確認書類の読み取りに限られる方向です ［ポケットサイン］。レンタカー事業に直接の義務が課されるという話ではありませんが、本人確認の標準がICチップ前提に移っていく流れは業界横断で参照しておきたい動きです。

マイナ免許証は、マイナンバーカードに運転免許証の機能を追加する仕組みで、2025年3月24日から導入されました。［警察庁］マイナンバーカードのICチップに運転免許証の番号や有効期限、免許の種類、顔写真などを記録し、従来の運転免許証との継続利用や併用も選べます ［Impress Watch］。

マイナンバーカードのICチップ内に免許証情報を搭載する一方で、券面自体は変わりません ［xtech.nikkei.com］。つまり、受付スタッフが券面を目視するだけでは免許の種類や条件、有効期限といった業務に必要な項目を確認できない場面が増えます。ここが、受付でのICチップ読み取りが必要になる実務上の理由です。

免許証を複合機でコピーする、スマートフォンで撮影して自社サーバーへアップロードする、メールやチャットで共有する——いずれの運用も、保存した画像データが長期間残ります。退会後の保管期限が長い、権限管理が緩い、ログが短期間しか残らない、といった状態と組み合わさると、サイバー攻撃を受けた際に被害が拡大します。

行政指導の事案では、パスワードポリシーの桁数や文字種に制限がなく、更新ルールが遵守されていなかった点も指摘されています ［JPAC］。画像を取り扱うほど、同じ水準のパスワード運用と機器管理をあらゆる保存先に行き渡らせる必要が生じ、現場の負担は増えます。

ICチップ読み取りが「漏洩しない」ではなく「量を減らせる」理由

ここは誤解されやすいポイントです。ICチップ読み取り方式に変えても、受付で取得した氏名・住所・免許証番号などの文字情報を保存すること自体はあり、保存した情報は漏えいしうるデータです。正しく言えば、券面画像という容量の大きい情報を持たずに済む分、保存する情報の種類と量を減らせる、ということです。

一方で、別の効果として、券面を印刷しただけの偽造カードや画像のコピー、過去に漏れた画像では、ICチップの読み取りと暗証番号照合を通れません。読み取り時に表示されるICチップ内の顔写真と、目の前の本人を見比べることもできます。これが、不正利用の防止に効くポイントです。

個人情報保護法のガイドラインが求める安全管理措置は、組織的・人的・物理的・技術的の四つの観点に加え、2022年改正で導入された外的環境の把握を含みます。技術的な観点ではアクセス制御、暗号化、ログ管理などの対策が明記されています ［リーガルスケープ］。

店舗受付で押さえたい具体策は次のとおりです。

• 端末上に本人確認書類の画像や原本データを保存しない設計にする。
• 連携先の基幹システムへは、合意した業務項目だけをHTTPS POSTで送信する。
• mTLS・OAuth2・HMAC署名のいずれかで認証し、冪等性キーで重複送信を防ぐ。
• 送信ログを取得し、どの店舗・どの端末・どの担当者が、いつ、どの項目を送ったかを後から追えるようにする。

技術対策だけでは漏洩は止まりません。金融分野のガイドラインでは、移送・送信段階の取扱規程として、取扱者の役割・責任、取扱者の限定、送信対象の限定、送信時の照合・確認手続、アクセス制御、送信状況の記録と分析などを定めるよう求めています ［fsa.go.jp］。この考え方は、店舗の受付現場にもそのまま当てはめられます。

店長・情シス・コンプラ担当の間で、本人確認データの取り扱い責任者を明文化し、権限の棚卸しを定期的に行ってください。社内教育の実施状況や、見直しのタイミングも規程に落としておくと、監査時の説明がしやすくなります。レンタカー事業者が国土交通省の点検要請を受けて自社の管理状況をどこから点検するかは、「レンタカーの個人情報を点検する実務ガイド」でチェックリストにまとめています。

受付の従業員が、暗証番号を聞き取ってメモしたり、お客様から口頭で伝えられた番号を代理入力したりする運用は、避けてください。暗証番号は本人がカスタマーディスプレイのタッチパネルから入力する運用に揃えます。これは、スタッフが知らない状態を仕様で担保するという意味で、人的な事故を減らす対策になります。

パスワードや管理アカウントの共有、USBメモリでの持ち出し、個人のメール宛送付といった古い慣行が残っていないかの点検も重要です。

決済端末や受付端末そのものの物理的な管理も、再発防止のうちです。閉店後の端末の施錠、持ち出しルール、紛失時のリモートロック手順、端末の廃棄時のデータ消去手順を揃えてください。小型のモバイル端末ほど紛失リスクが高いので、物理的なセキュリティは軽視できません。

本人確認書類の漏洩は、受付の人為ミスだけでなく、外部からの不正アクセスやマルウェア感染をきっかけに起きる場合もあります。行政指導の事案では、VPN機器のアップデート未実施、ログ取得や取得状況の把握が不十分だった点が指摘されました ［JPAC］。

社内ネットワークの入口となる機器のパッチ適用、脆弱性情報の継続的な調査、EDR等による端末の監視、フィッシングメール訓練など、サイバー攻撃を想定した多層防御が土台になります。本人確認の仕組みを更新しても、周辺のID管理が緩ければ、別の経路で情報が持ち出されてしまいます。

ICチップから技術的に取り出せる項目と、業務上必要な項目は、必ずしも同じではありません。業務要件から逆算して、使う項目だけを扱う方針に落としてください。基本的に取り扱う項目は、氏名、住所、生年月日、免許証番号、有効期限、免許の種類、免許の条件、免許情報記録番号です。マイナンバー12桁や本籍地は、免許情報の読み取り目的では必要ありません。

送信設計で重要なのは、「送らないものを決める」ことです。暗証番号の値、14桁の補助入力値、APDUのやり取りの生データ、カード内部の未加工バイナリ、そして顔写真画像は、標準運用で基幹システムへ送らない前提にしておくと、万一の経路侵害時にも影響範囲を抑えられます。顔写真はstera terminalの画面上で目視確認に使うだけ、という割り切りが有効です。

カスタマーの受付情報を顧客管理・予約管理・貸渡管理などの基幹システムに連携する際は、次のポイントを設計書に落としてください。

• 通信はHTTPS（TLS）で暗号化する。
• mTLS・OAuth2・HMAC署名のいずれかで認証し、鍵はローテーションする。
• 冪等性キーで同じリクエストの二重登録を防ぐ。
• 送信項目はホワイトリスト方式で定義し、変更時はレビューを通す。
• アプリ側・API受け側の双方でログを取り、保存期間と権限を明文化する。

漏洩を「起こさない」だけでなく、「早く気づく」仕組みも対策の一部です。アクセスログ、送信ログ、認証失敗のログを一元的に収集し、異常な時間帯のアクセスや、特定の店舗IDから急増する送信件数などを監視します。「高度な暗号化等の秘匿化がされている場合」については、技術水準に照らして第三者が見読可能な状態にすることが困難な技術的措置が講じられ、復号手段が適切に管理されていることが必要と解されています ［BUSINESS LAWYERS］。暗号化だけでは足りず、鍵と手段の管理まで含めて設計する前提になります。

ルールが整っていても、現場で判断がぶれると初動が遅れます。「気づいた従業員→店長→情シス→経営・法務→個人情報保護委員会・本人」の連絡経路、連絡期限、連絡様式、保存すべき証跡を手順書にまとめ、年に一度は机上訓練を実施してください。速報の期限が、従業者が事態を把握してから概ね3〜5日以内と短いため、社内での報告・連絡体制を機能させることが重要です ［JPAC］。

• 事例1：免許証をスキャンしてメール添付で本部に送っている。→ 送付経路、保存先、閲覧権限、保管期限が実質的に無限大になりがちです。送らない運用に切り替えます。
• 事例2：共有アカウントで基幹システムにログインしている。→ 誰がいつ操作したか追えません。個人IDに紐づけ、ログを残します。
• 事例3：古い端末がバックヤードに残っている。→ 機器の棚卸しを行い、不要端末は確実にデータ消去して廃棄します。

無人店舗や自動精算機と連携する場合は、暗証番号入力画面のタッチパネルを本人以外が見られない位置に配置する、カメラ映像の保存範囲を明確にする、トラブル時の遠隔オペレーターのアクセス権限を限定する、といった設計上の工夫が必要です。省力化と、守るべきプライバシーのバランスを個別に詰めてください。

ここで一度整理します。マイナ保険証は健康保険証の仕組み、マイナンバー12桁の利活用は税・社会保障の番号利用の仕組みで、どちらもマイナ免許証とは別制度です。マイナ免許証の店舗利用で参照するのは免許情報であって、マイナンバー12桁ではありません。コンプライアンスレビューの際は、「どの制度の、どの情報を、何の目的で、どこへ送るのか」を一枚の表で整理すると、関係者間の認識が揃います。

実務に落とすときの流れは、次の順序で考えると迷いにくくなります。

技術で全部を解決することはできません。貸渡の可否判断や、与信・反社チェック、約款の提示といった法的・業務的な判断は、現場と本部の責任で行う領域です。暗号化や分離設計は漏洩時の影響を小さくする手段であり、ゼロにする保証ではありません。導入すれば法令対応が完全に終了するわけでもないので、安全管理措置の全体像の中に位置づけてください。

ここまで整理した運用を店頭で素早く回すための選択肢として、stera terminalのstera marketから導入できる本人確認アプリ「マイナドライブID」があります。［マイナドライブID］マイナ免許証のICチップを4桁の暗証番号で読み取り、画面と帳票で免許情報を確認したうえで、合意した項目だけをHTTPS POSTで基幹システムへ連携します。暗証番号は本人がカスタマーディスプレイのタッチパネルで入力する運用で、スタッフは聞き取り・記録を行いません。

標準運用では、暗証番号の値、14桁の補助入力値、APDUの生データ、カード内部の未加工バイナリ、顔写真画像を基幹システムへ送信しません。顔写真は端末上で目視確認に使います。レンタカー、建機レンタル、カーシェア、不動産、金融機関などで、受付・無人店舗・自動精算機との連携に合わせた設計相談が可能です。

導入検討や連携仕様の相談は、デモ申込ページからお問い合わせください。

マイナドライブIDのデモ・連携相談を申し込む