処理番号の扱いが仕様書/プライバシーポリシーの記載と異なる

[watanabetoshinori]

公開されている接触確認アプリの仕様書とこちらのレポジトリのコードを照らし合わせると、
陽性診断された方から送付された処理番号の扱いが不適切に実装されているように見えます。

処理番号について、プライバシーポリシーには下記の記載があります。

接触確認アプリケーションプライバシーポリシー
３.厚生労働省が取得する情報の利用目的及び利用方法

(1) 処理番号
処理番号は、入力された処理番号が陽性者に対して発行されたものであるか否かの確認が完了した後、アプリ、通知サーバー及び管理システムのそれぞれにおいて、直ちに削除されます。

記載されている利用方法は、システム仕様書では下記機能が該当するものと思われます。

接触確認アプリ及び関連システム仕様書
第2編 仕様(要件定義)

第1章 機能要件の定義

1. 機能に関する事項

3. 認証

これらの記述を総合すると、処理番号は認証機能による確認が完了した時点で削除されるべきと認識しております。

しかし、クライアントから通知サーバーに対して処理番号を送付した後の処理（下記 1〜4）をたどると
処理番号は確認完了後も削除されずに、他の情報と共にDBに保存されているように見えます

1. クライアントから呼ばれる陽性者登録API
   https://github.com/cocoa-mhlw/cocoa/blob/master/src/Covid19Radar.Api/DiagnosisApi.cs#L52

2. 感染者システムによる処理番号の確認処理（仕様書では認証機能）と思われる箇所
   https://github.com/cocoa-mhlw/cocoa/blob/master/src/Covid19Radar.Api/DiagnosisApi.cs#L98

3. 確認完了後、SubmitDiagnosisAsync関数の呼び出し
   https://github.com/cocoa-mhlw/cocoa/blob/master/src/Covid19Radar.Api/DiagnosisApi.cs#L108

4. SubmitDiagnosisAsync関数内、処理番号を含むデータをDBへ保存している
   https://github.com/cocoa-mhlw/cocoa/blob/master/src/Covid19Radar.Api.Common/DataAccess/CosmosDiagnosisRepository.cs#L50

SubmitDiagnosisAsync関数の呼び出しと、DBへの保存処理は削除したほうが適切ではないでしょうか。
仕様書やコードの読み違えなどしておりましたら申し訳ありません。

[heykuro]

@watanabetoshinori さん、ご指摘ありがとうございます。
回答が遅れましたが厚労省および開発チームにて検討しまして、ver.1.2.1で対応を実施しております。

ご指摘を踏まえ、認証機能による確認後の保存処理は削除し、通知サーバーで保持しない形となるよう変更しました。

cffe8ba#diff-d8004ee4f724b7c4a3ac296b833e6f3d4dba98929d6e5dac9e7390027591b47f

今後もお気づきの点がありましたらぜひIssueにてご指摘ください。