基本4情報の同意取得｜取り消し・運用まで解説

マイナンバーカードの署名用電子証明書を活用し、本人の同意にもとづいてJ-LIS（地方公共団体情報システム機構）から最新の基本4情報の提供を受ける「最新の利用者情報（基本4情報）提供サービス」は、2023年5月16日に開始されました。住所変更の確認を郵送に頼ってきた運用を見直す手がかりとして、金融機関を中心に検討が進んでいます。

このサービスを利用するうえで避けて通れないのが、利用者本人からの同意です。同意の取得方法や有効期間、取り消しへの対応、取得後に継続して求められる運用には細かな定めがあり、要件定義の段階で見落とすと後半で設計のやり直しが生じやすい領域です。この記事では、同意にまつわる実務要件を、デジタル庁・総務省の公表資料にもとづいて整理します。

サービスそのものの仕組みや導入効果については、別記事で整理しています。

関連記事
＞ 基本4情報提供サービスとは｜仕組み・効果・2027年改正

【当社は公的個人認証サービスをリリースしました】

プリマジェスト、公的個人認証サービスをコアとした「Primagest Trust Services」を提供開始

1.基本4情報の同意取得｜電子的取得が原則

最新の基本4情報の提供を受けるには、事前に利用者本人から同意を取得することが前提となります。まず、同意の形式・単位・期間といった基本の要件から確認します。

1-1.同意は電子的に取得し、紙による取得は認められない

同意は電子的に取得することとされており、紙での取得は認められていません。また、本人の意思にもとづくものであることを確実に示すため、マイナンバーカード用の署名用電子証明書を用いることとされています。スマートフォン用の署名用電子証明書を用いることも可能です。

取得された同意は、サービスプロバイダ事業者からプラットフォーム事業者を経由してJ-LISに提供されます。各事業者およびJ-LISは、それぞれ同意情報に関するデータベース等を構築し、保存・管理することになります。事業者側に同意の管理基盤が必要になるのは、この構造によるものです。

1-2.同意の単位はサービスごと、取得は任意のサービス提供時に

同意の取得単位は、サービスプロバイダ事業者のサービスごととされています。利用者からの同意は、原則として実務上利用者と接点を持つサービスプロバイダ事業者が受け付けます。

取得のタイミングは、サービスプロバイダ事業者の任意のサービス提供時とされており、署名用電子証明書を活用したサービスの申込時や、マイページ等を通じて利用者へ案内する時などが想定されています。同意取得の期限は、J-LISに対して最新の基本4情報の提供を求める前までと整理されています。

なお、サービスの利用申請と最新の基本4情報提供の同意について、それぞれ暗証番号の入力が必要になるのかという点は、実務でよく問われます。ガイドラインでは、利用申請と同意に関する画面を分け、利用者の意思がそれぞれ確認できる形になっているのであれば、1回の暗証番号の入力でそれぞれに署名用電子証明書を付すこととして差し支えない、とされています。

1-3.複数サービスの同意を一度の電子署名で取得する方法

サービスごとに署名用電子証明書を付与する利用者の負担を軽減するため、複数サービスの同意を一括して取得する取り扱いが示されています。

複数のサービスについて同意を得たい場合には、当該複数のサービスが同意の対象であることを利用者に明示し、各サービスに対する利用者の同意を明示的に取得することを前提として、一度の同意（一度の電子署名の付与）を得ることで差し支えないとされています。想定される場面として、ホールディングカンパニー傘下の企業群が提供する各サービスについて同意を取得するケースや、引越し等の際に利用者が有する継続的契約の各サービスについて同意を取得するケースが挙げられています。

明示的な同意の取得方法としては、同意画面において同意対象となる各サービスを具体的かつ網羅的に記載して利用者が容易に確認できるようにする方法や、利用者が選択したサービスが同意対象として表示されるようにする方法が示されています。グループ横断でJPKIの活用を検討している場合には、この取り扱いを踏まえて同意画面を設計しておくと、後からの作り直しを避けやすくなります。

1-4.有効期間は受付日の翌日を起算日として10年

同意には有効期間があります。サービスプロバイダ事業者が利用者から同意を受け付けた翌日を起算日として10年とされています。有効期間内に署名用電子証明書が複数回失効した場合であっても、有効期間中の同意は引き続き有効です。

10年の有効期間が経過した時点、またはそれ以前に、署名検証者から利用者に対して同意の更新を促す必要があります。10年という期間は事業の計画期間を超えることも多く、担当者の交代も見込まれるため、更新時期の管理を誰がどの仕組みで担うのかを、導入時点で決めておくことが大切です。

1-5.4項目の一部のみ同意された場合の取り扱い

利用者は、同意の対象である住所・氏名・生年月日・性別の4項目のうち、どの項目の提供に同意するかを選択できます。J-LISは、利用者が同意した項目に限って最新の基本4情報を提供します。

一部の項目にしか同意が得られなかった場合の取り扱いについては、サービスプロバイダ事業者の判断により、「最新の基本4情報の提供をするサービス」自体を不可とすることが認められています。ただしここには重要な留保があり、本サービスについて利用者が同意しない場合に、事業者が提供するサービスが受けられない等、利用者が不利益を被ることのないようにすることが求められています。

つまり、4情報提供サービスの利用可否と、本体サービスの提供可否を切り分けて設計する必要があります。同意を取得できなかった顧客についても従来どおりの手続きで対応できる導線を、あわせて用意しておくことになります。

なお、最新の基本4情報を提供する過程では、J-LISからプラットフォーム事業者に最新の発行番号（シリアル番号）が提供されますが、発行番号はサービスプロバイダ事業者へ提供する内容には含まれず、同意の対象にもなりません。

出典：
デジタル庁・総務省「公的個人認証サービス利用のための民間事業者向けガイドライン（第1.8版）」5(3) 本人同意の取得／【APPENDIX③】FAQ

2.既存顧客から同意を取得する方法

新規の顧客であれば、申込の手続きのなかで同意を取得する導線を組み込むことができます。一方、導入時点ですでに取引のある顧客からどのように同意を得るかは、検討が難しくなりやすい部分です。この点については、デジタル庁により本人同意取得を支援する仕組みが用意されています。

2-1.マイナポータルを活用した本人同意の取得支援サービス

デジタル庁は、マイナポータルを活用した「本人同意の取得支援サービス」を2024年10月29日に開始しています。新規の顧客については申込の際に同意を取得できる一方、既存の顧客に対しても円滑に本人同意を取得するための方法として用意されたものです。

このサービスを利用する場合、事業者は自社で同意取得用の画面や導線をゼロから作り込むのではなく、マイナポータル上の仕組みを通じて既存顧客に同意を求めることができます。既存顧客をどう扱うかは、最新の基本4情報提供サービスを実運用できるかどうかを左右する要素になるため、導入検討の早い段階で確認しておきたい選択肢です。

2-2.事業者と利用者の双方に生じる効果

デジタル庁は、本人同意の取得支援サービスによる効果を、事業者側と利用者側の両面から整理しています。

事業者側については、既存顧客からの同意取得が容易になること、同意取得に関するシステム開発コストを低減できること、住所等の基本4情報の変更手続きにかかる事務コストを低減できること、そして顧客による変更書類の誤入力等を防ぎ顧客情報を常に最新の状態に保てることが挙げられています。

利用者側については、マイナポータル上で容易に手続きができること、引越し等で住所等に変更があった場合に必要となる手続きが不要になることが示されています。同意の取得は事業者にとっての負担であると同時に、利用者にとっては住所変更の届出という手間が減る話でもあるため、案内の設計ではこの点を伝えることが理解を得やすくします。

2-3.案内メールと同意画面のひな形の扱い

デジタル庁は、顧客への案内メールのサンプルを公開しています。同意取得にあたって利用者へ示す内容についてもひな形が示されており、その扱いには定めがあります。

ガイドラインでは、ひな形に記載されている項目を省略することは適当ではないとされる一方、利用者にとってわかりやすくするために文言を平易化することは差し支えないとされています。同意は利用者にとってわかりやすいことが求められ、かつ確実に取得されることが必要とされているため、この趣旨に沿って自社の顧客層に合わせた表現に整えることになります。

出典：
デジタル庁「公的個人認証サービス（JPKI）」6.1.1 マイナポータルを活用した本人同意の取得支援サービス
デジタル庁・総務省「公的個人認証サービス利用のための民間事業者向けガイドライン（第1.8版）」【APPENDIX③】FAQ

3.同意の取り消しと、運用で見落とされやすい要件

同意は一度取得すれば終わりというものではありません。取り消しへの対応と、取得後に継続して求められる運用があります。

3-1.同意の取り消し方法｜利用者クライアントソフトも選択肢に

利用者は、同意をいつでも取り消すことができます。取り消しの受付は、原則として実務上利用者と接点を持つサービスプロバイダ事業者が行います。

ただし、それだけではありません。サービスプロバイダ事業者の営業時間外である場合、複数の事業者に対する同意を一括して取り消したい場合、その他緊急の場合等については、J-LISが提供する「利用者クライアントソフト」でも取り消しを受け付けることとされています。取り消しの申請にあたっては、同意の取得時と同様に署名用電子証明書が用いられ、J-LISが申請を受信し次第、当該事業者への最新の基本4情報の提供は即時に停止されます。

なお、利用者クライアントソフトを用いて取り消した後に改めて同意する場合は、サービスプロバイダ事業者に確認のうえ手続きを行うこととされており、利用者クライアントソフトからの再同意はできません。同意の状況を照会する際は利用者証明用電子証明書、取り消しの際は署名用電子証明書と、用いる証明書が異なる点にも留意が必要です。

3-2.取り消しの事実は自動通知されず、事業者側から取得しに行く

実装上、特に注意しておきたいのがこの点です。利用者が同意を取り消したという事実は、J-LISから事業者へ自動的に通知されるわけではありません。

ガイドラインでは、利用者が同意を取り消した場合、プラットフォーム事業者はJ-LISに対してサービスプロバイダ事業者ごとのIDを用いて取り消しに関する情報を取得する必要がある、とされています。つまり取り消しの把握もまた、事業者側から取りに行く動作を前提としています。

最新の基本4情報の取得と同様に、取り消しの反映も自社の照会設計に依存します。取り消しの確認をどの頻度で行うか、取り消しを検知した顧客の情報更新フローをどう止めるかを、あわせて設計しておく必要があります。

3-3.年1回程度の同意状況の情報提供とその例外

同意を取得した後の継続的な運用として、利用者への情報提供が求められています。ガイドラインは、少なくとも1年に1回程度、利用者にリマインドメールを発信する等、同意状況について情報提供を実施することを留意事項として挙げています。

ただし、この運用には例外が示されています。同意を自動的に更新せず利用者自らの更新を促す場合や、利用者の確認を経て更新する場合等、利用者が最新の基本4情報の提供が行われていることを把握でき、その意思に反して提供が継続されるおそれがない場合には、この限りではないとされています。

自社の同意更新の設計によって、リマインドの要否と設計が変わる構造になっています。10年という有効期間の管理とあわせて、年次の情報提供を運用に組み込むかどうかを判断することになります。

3-4.開示請求への備えと、同意しない利用者への不利益取り扱いの禁止

取得した情報についての開示請求への備えも、留意事項として示されています。利用者から、最新の基本4情報を取得した日時や取得した情報等について開示請求があった場合に回答できるよう備えておくこととされ、その窓口はプライバシーポリシー等で案内することが想定されています。

ログを単に保存しておけばよいということではなく、いつ・どの項目を取得したかを利用者に対して説明できる粒度で残す必要があります。この要件は、システムの設計段階で織り込んでおかないと、後から対応することが難しくなります。

あわせて、同意は本人の任意にもとづくものである以上、同意しないことによって利用者が不利益を被ることのないようにすることが求められています。同意を取得できなかった顧客に対する従来手続きの導線を残しておくことが、この要件への実務的な対応になります。

3-5.取得した情報の管理と、取り消し後の取り扱い

同意が取り消された場合、取得済みの情報をどう扱うかについても整理されています。ガイドラインのFAQでは、同意の取り消しがあった場合に、取り消しの時点で保有している基本4情報の廃棄を義務付けるものではないとされています。

一方で、同意の取り消しに伴ってサービスの提供も停止する場合には、個人情報保護法等にもとづいて消去等の対応を行うことになります。同意の取り消しと、本体サービスの継続・停止は別の話であるため、両者を切り分けたうえで、それぞれの場合のデータ取り扱いを社内規程に落としておくことが望まれます。

なお、取得した基本4情報は、J-LIS、署名検証者およびサービスプロバイダ事業者において保管・管理されますが、プラットフォーム事業者は保管・管理せず、サービスプロバイダ事業者へ提供した後に廃棄します。最新の基本4情報は法令上「特定署名用電子証明書記録情報」と位置づけられ、公的個人認証法にもとづく目的外利用および提供の禁止と、秘密保持義務の対象となる点も、社内規程の整備にあたって押さえておきたいところです。

関連記事
＞ JPKIとは？仕組み・導入メリット・2027年法改正対応まで徹底解説

出典：
デジタル庁・総務省「公的個人認証サービス利用のための民間事業者向けガイドライン（第1.8版）」5(3) 本人同意の取得・留意事項／【APPENDIX③】FAQ

4.同意設計は、要件定義の初期段階で整理しておく

最新の基本4情報提供サービスにおける本人同意には、いくつもの実務要件が伴います。電子的な取得に限られること、単位はサービスごとであること、有効期間は受付の翌日から10年であること、4項目のうち同意する項目を利用者が選べること——いずれも、同意画面と管理基盤の設計に直接影響します。

取得した後の運用も同様です。取り消しは利用者クライアントソフトからも行われ、その事実は事業者側から取りに行かなければ把握できません。年1回程度の同意状況の情報提供、開示請求への備え、取り消し後のデータ取り扱いも、あらかじめ整理しておく必要があります。一方で、既存顧客への対応にはマイナポータルを活用した本人同意の取得支援サービスが用意されており、案内メールのサンプルやひな形も公開されています。これらを踏まえて、自社の顧客接点にどう組み込むかを早い段階で設計しておくことが、実務的な第一歩になります。

プリマジェストは、2026年1月にプラットフォーム事業者として主務大臣認定を取得し、同年5月13日より「Primagest Trust Services」の提供を開始しています。公的個人認証（JPKI）や基本4情報取得などをSDK/APIとして提供しており、同意の取得から失効の確認、最新の基本4情報の取得までを自社サービスへ組み込みやすい形で設計しています。要件定義から運用設計までの導入支援もあわせて提供しています。

【基本4情報の取得・JPKI導入】のお問い合わせはこちら　＞