【事務所通信バックナンバー】

マイナンバー制度―事業者の事務への影響(3)

 前々号、前号とマイナンバー制度についての実務対応について書きましたが、今月号も引き続きマイナンバー制度を採り上げます。

 事業者は、マイナンバーを収集し始めた時から適正に保管する義務を負います。マイナンバーを取り扱う事業者は、以下の6つの安全措置を講じなければなりません。

  • A 基本方針の策定
  • B 取扱規程等の策定
  • C 組織的安全管理措置
  • D 人的安全管理措置
  • E 物理的安全管理措置
  • F 技術的安全管理措置

 特定個人情報保護委員会が示す「国定個人情報の適正な取扱いに関するガイドライン(事業者編)」の別添資料「特定個人情報に関する安全管理措置(事業者編)」では、B、C、E及びFの項目内で「中小規模事業者(従業員数100人以下)における対応方法」を示しています。本記事では、当事務所の関与先様の状況に鑑みて、この中小規模事業者における特例的な対応方法を中心に解説します。

 まずB取扱規程等の策定については、

  • 特定個人情報等の取扱い等を明確化する。
  • 事務取扱担当者が変更となった場合、確実な引継ぎを行い、責任ある立場の者が確認する。
と示されています。多くの場合マイナンバーを取り扱う担当者は経理事務担当者ということになると思いますが、責任の範囲を明確化するために、改めて担当者が誰であるか社内で明確にしておきましょう。社内の誰でも取り扱えるという状況はあまり好ましいものではありません。また、社長さんや役員さんなど、経営の中心にいる方が監督する体制を取ってください。

 C組織的安全管理措置についてはまず「a 組織体制の整備」として、

  • 事務取扱担当者が複数いる場合、責任者と事務取扱担当者を区分することが望ましい。
と示されています。事務取扱担当者が不適切な取扱いをしているとか、情報漏えいの発生や、その徴候・危険がある場合、その事実を責任者に滞りなく報告連絡ができる体制、責任者が把握できる体制作りが求められます。さらに「b 取扱規程等に基づく運用」「c 取扱状況を確認する手段の整備」として、
  • 特定個人情報等の取扱状況の分かる記録を保存する。
と示されています。特に紙の書類でマイナンバーの記載されたものを取り扱う場合、管理簿などを設け、取得から削除に至るまでの過程を管理するなどしてください。退職した従業員のマイナンバーが記載された書類がいつまでも放置されているというようなことがないようにしなければなりません。

 続いて「d 情報漏えい等事案に対応する体制の整備」として、

  • 情報漏えい等の事案の発生等に備え、従業者から責任ある立場の者に対する報告連絡体制等をあらかじめ確認しておく。
と示されています。前述したように、社内の連絡体制を整え、情報漏えいが起こった場合は速やかに対応しなければなりません。漏えいの影響を受ける本人に連絡すると共に、原因を調べ、対策を講じる必要があります。

 「e 取扱状況の把握及び安全管理措置の見直し」では、

  • 責任ある立場の者が、特定個人情報等の取扱状況について、定期的に点検を行う。
と示されています。取扱状況について定期的に点検を行い、時には外部の者による監査を実施することも有効でしょう。

 E物理的安全管理措置については、「c 電子媒体等を持ち出す場合の漏えい等の防止」として、

  • 特定個人情報等が記録された電子媒体又は書類等を持ち出す場合、パスワードの設定、封筒に封入し鞄に入れて搬送する等、紛失・盗難等を防ぐための安全な方策を講ずる。
と示されています。パソコン等にマイナンバーを記録している場合、パスワードを設定し、取扱担当者や責任者以外の者に見られないようにしなければなりません。書類については封緘する、目隠しシールを貼付するなどの対応例が示されていますが、実質的にあまり有効な方法とは言えないでしょう。原則持ち出しはしないこととした方が無難です。持ち出し禁止とした場合でも、事業所内で来客者や担当者以外の者に見られないように、部屋の間仕切りを工夫したり、保管場所を施錠できる所にするなどの対応も必要です。

 「d 個人番号の削除、機器及び電子媒体等の廃棄」については、

  • 特定個人情報等を削除・廃棄したことを、責任ある立場の者が確認する。
と示されています。取扱担当者任せにせず、社長他役員さんなどが、適切に処理されているか監督することが大事です。

 F技術的安全管理措置の項目では、パソコン等の情報機器でマイナンバーを管理する際の措置について示しています。「a アクセス制御」及び「b アクセス者の識別と認証」では、

  • 特定個人情報等を取り扱う機器を特定し、その機器を取り扱う事務取扱担当者を限定することが望ましい。
  • 機器に標準装備されているユーザー制御機能(ユーザーアカウント制御)により、情報システムを取り扱う事務取扱担当者を限定することが望ましい。
と示されています。

 前号の記事でもお伝えした通り、これらの安全管理措置が不十分だったとしても、そのことで罰せられることはありません。しかし、安全管理に不備があればマイナンバーの不当な提供や漏えいといった事態を招きかねません。そういった行為については懲役または罰金が科せられ、法人や個人事業者であれば行為者のみならず、法人や個人事業者そのものも罰金刑が科されます。

 当事務所では、この事業者向けガイドラインに準拠した「TKC給与計算システム」を提供しています。次号ではその機能について、詳しく解説します。

(2015/07/22・相原愛紀)