2026-09-24 / 最終更新日時 : 2026-09-24 onesongglory Cookie・データプライバシー

【動画公開】法律と現場実務のギャップ｜マイナンバー本人確認義務とクッキー規制から考える法規制設計の課題

本記事のポイント

  • 法律のルールと企業・行政の実装方法には大きなギャップが存在する
  • マイナンバー制度ではマイナンバーの収集方法実務が独り歩きし、本人確認義務という制度の趣旨を凌駕している場合すらある
  • クッキー規制対応では「何が法的義務か」と「現場で採用されている実装」が一致していない場合がある
  • 法規制では、立法措置・ルールメイキングだけでなく現場での実装方法まで含めた設計が重要である
  • 規制当局にも実装を踏まえたPDCAや規制の実証実験が求められるのではないか

担当者がまず確認すべき事項

  • 自社が採用している実装方法は、どの法的要請に対応するものか
  • 業界慣行や他社事例を、そのまま法的根拠として採用し、法適要請との整合性を確認せずにいないか
  • 制度趣旨を踏まえ、不必要な実装方法を採用していないか

立法担当者が確認すべき事項

  • 検討中の規制を、現場では実際どう現場実務に落とし込むのか、想像がついているのか
  • 現場で利用されている実装方法と規制との間にギャップがないか、あればどう埋めることができるのか

動画解説

本記事に記載しきれていない部分も動画には含まれています。動画の方が、内容が豊富で、かつ熱量や細かなニュアンスまでお伝え可能なため、ぜひ動画でご視聴ください。1.5倍速視聴もおすすめです。

タイムライン

  • 00:00 法規制対応で現場が苦しい理由
  • 01:05 マイナンバー制度と本人確認義務
  • 03:48 デファクトスタンダード化の問題
  • 04:38 なぜ公的デジタル基盤が必要なのか
  • 06:29 Cookie規制と実務担当者の悩み
  • 08:11 あるべき姿
  • 09:30 企業はルールより現場対応方法に関心がある
  • 11:11 規制当局もPDCAを回すべきではないか
  • 13:15 国際ルール統一の難しさ
  • 14:57 法律とITのギャップを埋める
  • 16:24 法改正とシステム改修コスト
  • 16:55 実証実験を制度設計に組み込むべき理由
  • 19:32 AI規制・AI活用と実装検証の必要性
  • 21:04 実装できないルールは意味があるのか

法規制対応で問題となる「法律と実装のギャップ」

法改正対応で企業や自治体が苦労する原因の一つは、法律上のルールと実装方法が十分につながっていないことである。

法務担当者やコンプライアンス担当者は法律の内容を理解できても、それを業務フローやシステムにどのように落とし込むべきかで悩むことが少なくない。

私は以前から、法律上のルールと現場実装との間には大きなギャップが存在すると考えている。

法律はルールを定める。しかし実際には、そのルールをどのような仕組みで守るのかが重要である。

その部分が十分に整理されていない場合、制度は存在しても現場では混乱が生じる。

マイナンバー制度にみる実装上の課題

結論として、マイナンバー制度では「本人確認義務」が法律上の本質であり、マイナンバーカードを紙でコピーして切って糊で貼る収集方法が義務付けられているわけではない。

マイナンバー制度の本人確認義務とは

本人確認義務の目的

本人確認義務とは、番号だけによる識別ではなく、その番号が実在する本人のものであることを確認するための制度上の要請である。

マイナンバー制度において重要なのは、なりすまし防止である。

仮に番号だけで給付金や保険料算定などの事務処理を行うと、第三者による詐取リスク等が考え得る。

そのため、

  • この人が本人であること
  • この番号がその本人の番号であること

を確認する仕組みが求められている。

「コピーして切って貼る」は法律の要求ではない

実務では、マイナンバーカードの表裏をコピーし、切り貼りして提出させる運用が見られることがある。

しかし、その方法自体を法律やガイドラインが要求しているわけではない。

法律が要求しているのは本人確認義務である。

本人確認を果たす方法には複数の選択肢が存在する。

実装方法がデファクトスタンダード化する問題

本人確認の実現方法は、本来であれば各事業者が選択できる。

国では、どの本人確認手法がOKでNGか、ガイドラインなどで公表することが多い。
例えば国税庁では、認められる本人確認方法を極めて細かく公表している。

しかし実際には、事業者側で個別に国の告示・ガイドラインにおける細かい説明文章を読むのは厳しい場合も多く、

  • 民間サービス・商材
  • 民間収集キット
  • 他社事例

などを参考にし利用する場合もおおい。そして、それらが事実上の標準となる場合も多い。

すると、

「なぜその方法を採用するのか」

よりも、

「皆がやっているから」

が優先される場合がある。

これは制度趣旨と実装方法の関係が見えにくくなる典型例である。

実務上のポイント

  • 本人確認義務の目的を理解する
  • 手段と目的を混同しない
  • デファクトスタンダードの妥当性を検証する
  • 法制度趣旨と業務効率とのバランスを検討する

デジタル時代に求められる公共インフラ

制度を普及させるためにはルールだけでなく実装基盤も重要である。

例えばマイナンバー制度では、本人確認やマイナンバー取得を実現する公的なアプリケーション基盤が制度導入当初よりあれば、より効率的な運用が可能であったかもしれない。

かつて国は、

  • 鉄道
  • 電力
  • 高速道路
  • 図書館

といった公共インフラを整備してきた。

デジタル時代においては、

  • 認証基盤
  • なりすまし防止基盤
  • フィッシング対策基盤
  • セキュリティ基盤

なども公共インフラとして考える余地があるのではないか。

クッキー規制にみるルールと実装の乖離

クッキー規制は制度理解と実装理解の双方が必要な分野であり、対応方法の選択に苦慮している企業も少なくないと思われる。

クッキー規制で登場する概念の複雑さ

クッキー規制に関する議論では、以下のような概念が登場する。

  • 必須クッキー
  • オプショナルクッキー
  • カテゴリ別同意
  • クッキーウォール
  • みなし同意
  • 外部送信規律
  • 個人関連情報規制
  • クッキーバナー

これらはクッキー規制に日常的に関わる担当者であれば理解できるだろう。

しかし、一般の利用者にとっても、企業の担当者にとっても、必ずしも分かりやすい概念とは言えないのではないか。

クッキーバナーの普及と法的ルール

実務上は、クッキーバナーが導入されているウェブサイトを数多く見かける。

その結果、

「他社がやっているから自社も導入する」

という判断が生じることもある。

しかし、本来は、

  • 法律上のルールは何か
  • 選択可能な実装方法は何か
  • 自社に適した実装はどれか

という順番で検討されるべきである。

実際には、ルールから考えるのではなく、他社の実装例から考えてしまう場面も少なくない。

実務上のポイント

  • 他社事例を法的根拠と誤解しない
  • クッキーバナーの導入理由を整理する
  • 日本法対応と外国法対応を区別する
  • 制度趣旨を理解した上で実装方法を選択する

なぜ規制当局と事業者で関心が異なるのか

結論として、規制当局はルールに着目し、事業者は実装に着目するため、両者には関心のギャップが生じやすい。

規制当局は、

  • 法律
  • 下位規範
  • ガイドライン
  • QA

を整備する。

一方で事業者が知りたいのは、

「結局何をしたらよいのか」

である。

したがって、

  • 法律として何を求めるのか
  • 現場ではどう実現するのか

を橋渡しする作業が必要になる。

規制にもPDCAが必要ではないか

制度設計もPDCAサイクルを回しながら改善していくべきである。

規制当局の業務は、

  • ルール作成
  • ガイドライン作成
  • QA対応
  • 監督権限の行使

に重点が置かれやすい。

しかし、それだけでは実装上の課題を十分に把握できない可能性がある。

せっかく作ったルールであっても、実装との乖離が大きい場合には効果が限定的になる。

そのため、

Plan Do Check Action

を回しながら改善していく考え方が重要ではないかと考える。

実務上のポイント

  • 制度導入後の検証を行う
  • 現場課題を収集する
  • 実装コストを把握する
  • 制度趣旨とのズレを確認する

法律とITをつなぐ視点

法制度設計ではITシステムへの実装可能性まで考慮する必要がある。

法改正が行われるたびに、多くのシステムは改修を迫られる。

近年は共通システム化によって法改正対応を集約する流れもある。

しかし、

法律上の要求仕様

と

システム実装

が整合していなければ、制度は机上の空論となりかねない。

要求仕様とは、実現したいルールや要件をシステムに求める条件である。

実装可能性を無視した要求仕様は、現実には実装できない場合がある。

そのため、ルール策定段階から実装を見据える必要がある。

ルールを作る時に、

  • 社会でどういうふうに実装されているのか
  • それが例えば業務システムを使って運用されているのだったら、業務システムをどう変えなければいけないか

そこまで考えてルールを作っていかないと、机上の空論になってしまう可能性がある。

しかしながら、ルールを作る時に実装まで踏まえて考えるというのは、口で言うのは簡単だが、現実には困難。
現場は業界ごとに全く違うし、会社の規模も全く違うし、やり方も千差万別。しかも全員の声を聞く方法もなかなかない。だから、昭和の時代から国は業界団体を通して現場の声を聴いてきた。しかし、その手法にも限界がある。

実証実験を制度設計に活用できないか

そこで、提案がある。ルール策定前に実証実験を行うことで、実装上の課題を把握できる可能性がないか。

例えばクッキー規制であれば、

  • このルールを採用するとどう実装されるか→実装方法を数種類特定する
  • 実装方法ごとの課題は何か
  • どのようなコストが発生するか
  • どのような抜け道・悪用があるか
  • 利用者への影響はどうか

を検証することが考えられる。

その結果をルールへ反映させていくことで、より実効性の高い制度設計につながる可能性がある。

ルールを決めたらはい、やってくださいではなく、実装までの間に、実証実験の場を入れることで、ルールと実装のギャップを埋められないかという提案である。

AI・個人情報保護法改正にも共通する論点

2026年個人情報保護法改正ではAI統計特例が大きな話題となっている。

こうした議論でも、

  • 個人情報保護
  • AI活用

という価値の調整が課題となる。

議論だけでなく、

  • 実際に試す
  • 課題を把握する
  • 検証結果を反映する

というプロセスが重要ではないかという問題提起である。

特区制度や実証実験というと規制緩和の文脈で語られることが多いが、規制強化についても実証実験などの枠組みを活用しながら制度設計を検討する余地がある。

動画解説

本記事に記載しきれていない部分も動画には含まれています。動画の方が、内容が豊富で、かつ熱量や細かなニュアンスまでお伝え可能なため、ぜひ動画でご視聴ください。1.5倍速視聴もおすすめです。

  • 法律と実装のギャップ
  • マイナンバー本人確認義務
  • デジタル公共インフラ
  • クッキー規制と実装
  • 規制のPDCA
  • 実証実験による制度改善
  • AI統計特例と実装論

よくある質問（Q&A）

Q1. マイナンバーカードのコピー提出は法律上の義務ですか？

その方法自体を法律やガイドラインが要求しているわけではない。

Q2. マイナンバー制度の本人確認義務の目的は何ですか？

なりすまし防止である。番号だけによる識別を避けることが制度趣旨である。

Q3. なぜ法改正対応は大変なのですか？

法律上の要求を、実際の業務やシステムに落とし込む必要があるためである。

Q4. 規制当局に求められることは何ですか？

ルール整備だけでなく、実装との整合性や制度運用状況の検証も重要ではないかという問題提起を行っている。

まとめ

本動画では、クッキー規制とマイナンバー制度を例に、法律上のルールと実際の実装との間に存在するギャップについて考察した。

制度はルールを定めるだけでは十分ではない。

そのルールをどのように業務、システム、サービスへ落とし込むのかという実装の視点が重要である。

さらに、制度設計においても実装可能性や現場の運用実態を踏まえたPDCA、実証実験、デジタルインフラ整備などを検討していく必要があるのではないかという問題提起が示された。

法律とIT、規制と実装の橋渡しは、今後ますます重要なテーマになると考えられる。

筆者は法律とITの融合をライフワークとして考えているし、また政策提言を趣味としているため、今後ともぜひこのような動画・ブログを作成していきたい。

関連資料集

水町雅子作成資料

マイナンバー関連

クッキー関連

公的資料

社内情報共有・紹介について

個人情報保護法、プライバシーガバナンスに関する理解の促進を目的として情報発信を行っています。
本記事および動画が参考になりましたら、同様の課題や関心を持つ方へご共有いただけますと幸いです。

YouTube動画、水町雅子ブログおよび水町雅子Webサイトは、著作権法の範囲内での、社内研修・勉強会・研究活動・社内情報共有（社内チャット・社内ポータル）・SNS等での紹介を歓迎しています（出典表示をお願いします）。なお、著作権を放棄するものでも、引用の範囲を超える利用を許諾するものでもありません。

執筆者プロフィール

弁護士　水町雅子（第二東京弁護士会、宮内・水町IT法律事務所所属）

現在、法人様向けのご相談のみお受けしております。
個人の方からのご相談には対応しておりませんので、ご了承ください。

SE（ITシステム開発）、コンサルティング等をシンクタンクにて行った後、弁護士登録。内閣官房・特定個人情報保護委員会にてマイナンバーの制度設計、ガイドライン作成、PIA制度化等を行う。
個人情報・ITに関して、首相官邸パーソナルデータに関する検討会参考人、内閣府「マイナンバーの利活用拡大のための検討タスクフォース」委員、こども家庭庁「こどもデータ連携の取組に関する検討会」委員、厚生労働省ITシステム等技術審査委員、東京都東京デジタルサービス会議構成員、東京都足立区情報公開・個人情報保護審議会委員、つくば市プライバシー影響評価制度検討懇話会委員、総務省・経産省・AMED実証事業等の支援等、実績豊富。
マイナンバー、個人情報、AI、医療情報、IT法務、企業法務、行政法務等に対応。書籍・論文執筆・講演のほか、日本経済新聞、朝日新聞、読売新聞、雑誌、TV等メディアコメント多数。

詳細な略歴はこちら。

カテゴリー
Cookie・データプライバシー、おしごと活動報告、その他法律・政策論、マイナンバー・公的個人認証
タグ
かわいいもの

前の記事

しまむらキティグッズNew!!
2026-09-23