IT用語集 2021/08/08

マイナンバーを企業はどのように管理すればよいのか

コラム

企業がマイナンバーを扱えるのは、社会保険や税の法定手続に必要な範囲に限られます。民間企業で中心になるのは、従業員や支払先の個人番号を源泉徴収票、支払調書、社会保険関係書類などへ記載して提出する個人番号関係事務です。したがって、管理の出発点は「どの手続のために、誰の番号を、どの期間扱うのか」を先に絞ることです。

マイナンバーは、通常の個人情報より利用目的や提供範囲の制限が強く、本人の同意だけを根拠に用途を広げることはできません。企業側では、取得時の本人確認、取扱担当者とアクセス権の限定、委託先の監督、保存期間経過後の削除・廃棄までを一続きの管理として設計しておく必要があります。

企業がマイナンバーを取り扱う範囲

企業がマイナンバーを取り扱う場面は、番号法上の個人番号利用事務と個人番号関係事務に分かれます。一般の民間企業で通常発生するのは、法令にもとづいて従業員や支払先の個人番号を書類へ記載し、行政機関や健康保険組合等へ提出する個人番号関係事務です。一方、個人番号利用事務は主として行政機関等が行うもので、民間企業では健康保険組合等や委託を受けた場合などに限られます。

この違いを曖昧にしたまま運用すると、「取得できる相手」「保管してよい期間」「他社へ渡せる場面」の判断を誤りやすくなります。まずは、自社が実際に行っているのがどの事務なのかを確認してください。

個人番号関係事務の代表例

従業員の個人番号を、源泉徴収票や健康保険・厚生年金保険関係の届出書に記載する
扶養控除等申告書に記載された扶養親族の個人番号を受け取り、税務手続に用いる
講演料、原稿料、地代などの支払先個人から個人番号の提供を受け、支払調書を作成する

民間企業でマイナンバーを扱う理由は、「番号を持っておくと便利だから」ではありません。提出義務のある法定書類を作成するために必要だからです。不要な場面まで対象を広げると、情報漏えいや目的外利用のリスクだけが増えます。

取得前に棚卸ししておく項目

取扱範囲の整理では、単に「扱うかどうか」だけでなく、業務フローとしてどこで発生し、誰が受け取り、どこへ保管し、いつ消すのかを明確にします。最低限、次の項目は表にしておくと判断しやすくなります。

対象者：従業員、扶養親族、退職者、支払先個人など
対象手続：年末調整、社会保険、支払調書など
取得経路：紙、Webフォーム、委託先経由、郵送など
保管場所：書庫、専用システム、限定フォルダなど
保存期間：所管法令にもとづく保管期間
削除・廃棄方法：紙と電子の両方で復元困難な方法を定義する

この棚卸しを省くと、必要な書類だけでなく、コピー、スキャンデータ、メール添付、作業メモまで残りやすくなります。管理対象を狭く定義すること自体が、安全管理措置の一部です。

マイナンバーが厳格に扱われる理由

マイナンバーは、個人番号をその内容に含む個人情報として特定個人情報に該当します。個人情報保護法が一般的な個人情報の取扱いを定めているのに対し、番号法は、個人番号を利用できる事務、提供できる場面、収集・保管できる範囲をより限定的に定めています。

そのため、通常の個人情報管理の感覚で「本人が同意しているから使える」「グループ会社だから共有できる」と考えると判断を誤ります。確認すべきなのは、本人の意思だけではなく、番号法上その利用や提供が認められるかどうかです。

個人情報保護法との違い

個人情報保護法では、一定の要件の下で利用目的の変更や第三者提供が認められる場面があります。一方、個人番号については、本人の同意があっても、個人番号を利用できる事務の範囲を超えて使うことはできません。企業は、源泉徴収票作成事務や健康保険・厚生年金保険届出事務など、具体的な事務に結び付けて利用目的を特定します。

社員番号や社内IDへ転用できない

企業は、社員の管理のために個人番号を社員番号として利用できません。社内システムを統一したい、複数部門の情報を突合しやすくしたいといった理由があっても、社内識別子として転用するのは避けるべきです。社内で使う識別子が必要なら、個人番号とは別に管理番号を発番し、法定手続に必要な場面だけ紐付ける構成にしたほうが安全です。

本人同意だけで企業間共有はできない

法人が異なる場合、マイナンバーや特定個人情報を自由に受け渡しできるわけではありません。番号法第19条で認められた提供事由に該当するかどうかを確認する必要があります。たとえば、委託や合併に伴う提供、法令にもとづく提供などは認められることがありますが、単に同じグループ企業だからという理由だけでは足りません。

共有データベースを用いる場合も、他社が参照できないようアクセス制御を分けることが前提です。出向や転籍のたびに本人確認や提供根拠を飛ばして自動的に閲覧可能にする設計は避けたほうが無難です。

取得時に整理しておくこと

取得できるのは必要な場面だけ

事業者が個人番号の提供を求められるのは、個人番号関係事務または個人番号利用事務を処理するために必要な場合に限られます。採用候補者の段階で広く集める、将来使うかもしれないから先に取得しておく、といった運用は避けるべきです。

本人確認は番号確認と身元確認の両方

本人から個人番号の提供を受けるときは、本人確認を行います。実務では、番号確認と身元確認の両方を行う前提で手順を作ります。書類のコピーを保管する法令上の義務はありませんが、保管するなら、そのコピー自体も安全管理措置の対象になります。不要になった段階で速やかに廃棄する手順まで決めておくと、書類だけが残り続ける状態を防ぎやすくなります。

企業におけるマイナンバー管理のポイント

利用目的を具体的に特定し、通知・公表する

利用目的は、抽象的な書き方では足りません。「税務関係」「人事業務」ではなく、「源泉徴収票作成事務」「健康保険・厚生年金保険届出事務」といった粒度で、本人が一般的かつ合理的に予想できる程度まで具体化します。通知方法としては、社内LANでの通知、自社サイトでの公表、書面での明示などが使えます。

利用目的が曖昧だと、部門ごとに解釈がぶれやすくなります。取得時の案内文、規程、申請書、委託契約の表現をそろえておくと、後から点検しやすくなります。

取扱担当者とアクセス権を限定する

特定個人情報を扱う担当者は明確に定め、担当外の従業員が閲覧や出力をできない状態にします。権限設計では、部署単位の大きな権限付与ではなく、事務単位で必要最小限に切るほうが管理しやすくなります。担当者の異動や退職のたびに権限を見直さないと、過去の担当者が参照可能な状態が残りやすくなります。

また、手順が担当者個人に依存すると属人化しやすくなります。取得、入力、保管、提出、削除・廃棄の各段階で、責任者、実施者、確認者を分けておくと、引継ぎや点検がしやすくなります。

安全管理措置を「規程」と「手順」の両方で用意する

ガイドラインでは、安全管理措置の検討手順として、個人番号を取り扱う事務の範囲、特定個人情報等の範囲、事務取扱担当者の明確化、基本方針の策定、取扱規程等の策定を挙げています。さらに、講ずべき措置は、組織的、人的、物理的、技術的な安全管理措置と外的環境の把握に整理されています。

実務で機能させるには、規程だけで終わらせず、担当者がそのまま使える手順へ書き換える必要があります。例えば、次のように書き換えると運用しやすくなります。

組織的：責任者、報告ルート、点検頻度、例外承認の手順を定める
人的：教育の頻度、誓約書、離任時の権限廃止と持出物確認を定める
物理的：書類保管庫、作業場所、印刷物の回収、持出し条件を定める
技術的：アクセス制御、アクセス者の識別と認証、送信時保護、ログ確認の方法を定める

紙と電子を分けずに管理する

事故は、紙か電子かのどちらか一方だけで起きるわけではありません。紙の申告書は鍵付き保管庫に入っていても、スキャン後のPDFが共有フォルダへ残る、メール添付で送られる、印刷物が机に残る、といった経路があると管理は崩れます。保管場所、アクセス権、出力可否、持出し条件、例外手順を、紙と電子を分けずに整理してください。

共有フォルダ、メール添付、個人端末、個人クラウドを例外なく禁止するのか、代替の受渡し方法をどうするのかまで決めておくと、現場判断のぶれを減らせます。

委託は可能だが、監督責任は残る

給与計算や年末調整などの個人番号関係事務を外部へ委託すること自体は可能です。ただし、委託元には、委託先が自社と同等の安全管理措置を講じるよう必要かつ適切に監督する義務があります。再委託を認める場合は、最初の委託者の許諾を要します。

委託契約では、少なくとも次の項目を具体化しておくと監督しやすくなります。

再委託の可否と事前承認の条件
取扱担当者の範囲、教育、秘密保持義務
保管、移送、返却、削除・廃棄の方法
事故発生時の初動報告期限と協力義務
点検、監査、改善要求の方法

委託先の業務がブラックボックス化すると、ミスの発見が遅れます。契約条項だけでなく、点検票、監査記録、廃棄証明書など、後から確認できる証跡も残してください。

システム保護は「見られない」「持ち出せない」を基準に考える

技術的な安全管理措置では、アクセス制御とアクセス者の識別・認証が基本になります。必要に応じて多要素認証などを組み合わせ、管理画面や保管先へのなりすましアクセスを抑える設計も検討対象です。あわせて、送信経路の保護、端末や媒体の暗号化、閲覧や出力の記録確認も整理しておくと、事故後の追跡がしやすくなります。

複数の業務を同一システムや同一データベースで扱う場合でも、個人番号関係事務と無関係な業務から見えないように分離する必要があります。システム管理者であっても、個人番号関係事務に不要な管理者権限まで一律に与えない設計にしておくと、閲覧範囲を絞りやすくなります。利便性を優先して閲覧範囲を広げる設計は避けたほうが安全です。