悪用させない！マイナンバー管理のすゝめ

マイナンバー制度が導入され、様々な制度の公的手続きにもマイナンバーが用いられるようになりました。しかし、現在のところ専ら会社に求められた時しか使わない、なんて人も少なくないようです。新しく便利なものには必ずと言っていいほど悪の手が忍び寄るもの。自社の働き手の方々を危険にさらさないためにも、マイナンバーに関する正しい知識を身に付けましょう。

番号法に基づく特定個人情報の保護

マイナンバー（個人番号）を含む個人情報は、「特定個人情報」と呼ばれます。複数の分野・機関間で個人情報をひも付けするというマイナンバーの性質上、特定個人情報に関しては個人情報保護法以上に厳格な基準が設けられています。
「行政手続における特定の個人を識別するための番号の利用等に関する法律」（通称「番号法」）に基づき特定個人情報を保護するうえで設けられている規定は、以下に挙げる3つに大分されます。

特定個人情報の利用制限

個人情報保護法が規定するような一般的な個人情報に関しては、それらの情報を利用することができる事務目的に特段の制限が設けられていません。それに対して、特定個人情報に関しては、利用できる事務目的が社会保障、税及び災害対策に関する特定の事務に限定されているので注意が必要です。また、必要な範囲を超えて特定個人情報ファイル（＝マイナンバー情報を含んだファイルのこと）を作成することは禁止されています。

特定個人情報の安全管理措置

新しく制定された番号法では、従来の個人情報保護法の規定に加えて、事業者が主体となって既に死亡した人の物も含めた特定個人情報に対して安全管理措置を講ずることが義務付けられています。また、従業者に対し必要かつ適切な監督を行わなければなりません。
具体的には、組織として特定個人情報を扱う際の基本方針の策定、および具体的な取扱規定の策定を行い、以下の安全管理措置を講じます。

組織的安全管理措置

組織体制の整備、取扱規程等に基づく運用、取扱状況を確認する手段の整備、情報漏えい等事案に対応する体制の整備、取扱状況の把握及び安全管理措置の見直し

人的安全管理措置

事務取扱担当者の監督・教育、法令・内部規程違反等に対する厳正な対処

物理的安全管理措置

特定個人情報等を取り扱う区域の管理、機器及び電子媒体等の盗難等の防止、電子媒体等を持ち出す場合の漏えい等の防止、マイナンバーの削除、機器及び電子媒体等の廃棄

技術的安全管理措置

アクセス制御、アクセス者の識別と認証、外部からの不正アクセス等の防止、情報漏えい等の防止

また、業務委託を行う際にも注意が必要です。特定個人情報に関連する事務を委託する際には、委託先で自らが果たすべき安全管理措置と同等の措置が講じられるように、必要かつ適切な監督を行うことが義務付けられています。再委託の際には、最初の委託者の許諾が必要なほか、再委託者は再委託先について適切かつ必要な監督を行わなければなりません。

特定個人情報の提供制限

番号法では、特定個人情報の利用と同様に特定個人情報の提供についても、個人情報保護法よりも限定的に定められています（具体的にどのような場合に提供可能かに関しては、番号法19条を参照してください）。
さらに、特定個人情報の提供を受けることが許可されている場合を除いて、他人（＝同一の世帯に属する者以外）に対して、個人番号の提供を求めることは禁じられています。特定個人情報の収集・保管についても同様です。なお、本人から個人番号を提供してもらう際には、本人確認が必須となっています。

中小規模事業主による安全管理の特例や措置具体例

さて、特定個人情報の保護規定は上で触れたとおりなのですが、かなり厳重な措置が必要なため、対応が難しいと感じた方も多いかと思います。そこで、中小企業では取り扱う件数が少ないなどの理由から、特例が定められており、実務への影響が少なくて済むような配慮がなされています。
この特例が適用されるのは、従業員数が100名以下である事業者のうち、下記に該当しない事業者です。
・個人番号利用事務実施者（例：国や地方公共団体、税務署など）
・個人番号関係事務及び個人番号利用事務の委託を受けている事業者
・個人情報取扱事業者
・金融分野の事業者

それでは具体的に、中小企業ではどのような対応が求められているのかを、特定個人情報保護委員会事務局が平成26年に発表した資料に基づき作成した以下の表で確認してみましょう。

マイナンバーに関連する罰則

上でも触れてきたとおり、マイナンバーに関連する情報は特定個人情報と呼ばれ、一般的な個人情報とは区別されており、それに関連する法的罰則は個人情報保護法などの従来の類似した法律に比べて厳重なものとなっています。
具体的にどのような点が厳しくなっているのでしょうか。まずは罰金の額や懲役年数など、罰則そのものが厳しくなっています。さらに、類似したほかの法律との差異として、違法行為があったと認められた場合、行政指導や行政命令といったステップを踏むことなく、すぐに罰則が与えられる点も挙げられます（直罰規定）。
そして、もう一つの大きな違いに、「一部の違法行為に関して両罰規定が適用されること」が挙げられます。両罰規定とは、罰則に当たる行為が法人の業務内で行われた際に、その行為を行った張本人のみならず、その人が属する法人に対しても罰則が及ぶというものです。両罰規定が当てはまる行為としては、個人番号の漏洩や、詐欺行為などによる個人番号の不正取得があります。

まとめ

マイナンバーが導入されたことに伴い、マイナンバーに関連する個人情報をいかに正しく管理していくかが重要な問題となっています。特定個人情報を保護するためにいかなる規定が存在しているのか、中小企業にはいかなる対応が求められているのか、そして法的にはどのような罰則が存在しているのかを改めて学ぶ機会にしましょう。