マイナンバーの安全な管理を行うためには「３つの明確化」が必要です

実際に安全管理措置を策定するためには

番号法が事業者に対して安全管理措置を要求するのは、マイナンバーがとても重要な個人の情報を含むためでした。
そして、マイナンバーの取扱いを厳正な手続で行うことは、従業員やその家族、取引先や株主の信頼と安心につながります。
今後、必ず行わなければならない安全管理措置は、具体的にはどのように行うべきでしょうか？

番号法における安全管理措置の検討手順

番号法及びガイドラインでは、事業者が安全管理措置を策定する際に、次の手順で検討することを求めています。

1. マイナンバー取扱事務の範囲の明確化
2. マイナンバー取扱事務を行うために必要な、特定個人情報等の範囲の明確化
3. マイナンバー取扱事務を担当する者の明確化

このように事務内容・扱われる情報・扱う担当の三つの分野に分けて、検討を始めるのです。
それでは、例を挙げて検討していきます。

マイナンバー取扱事務の範囲の明確化について

この部分は「マイナンバーを利用することが法律で求められている事務は何か？」という一言に尽きます。
現状、マイナンバーは法で定められた事務にしか利用できません。
そこで、事業者内で行われている事務の中で、どの事務でマイナンバーを利用しなければいけないのか、を明確にします。
原則として、社会保障・税の分野ですので、以下の部門が関係してくる可能性が高いと考えることができます。

上記のような部門が取扱っている可能性が高いわけですが、実際にはその他の部門でもマイナンバーを利用する事務があるかもしれません。
例えば、情報システムの管理などを行っている部門では、マイナンバーを用いたデータを管理している可能性があります。
また事業者のデータ整理をクラウド上で行っている場合、マイナンバー管理の「委託」に該当する可能性があります。
また、提携先の税理士や社労士などの窓口になっている部門も、マイナンバーの「提供」を行っていることとなります。
以上のように、マイナンバー取扱事務の範囲を明確化するためには、組織横断的な調査が必要となります。

このようにして明確化した事務の範囲は、後で事業者内部でのマイナンバー利用目的を定める際にも参考となります。

特定個人情報等の範囲の明確化

マイナンバーを取扱う事務の範囲が明確となったら、次に必要なのは、その事務において「特定個人情報」を取扱う範囲を明確にしていきます。
ここでいう「特定個人情報」とは、マイナンバーに関連付けられた個人情報のことです。
つまり、マイナンバー取扱事務において、マイナンバーの他にどういった個人情報が必要となるかを、明らかにする必要があります。

たとえば「源泉徴収表作成事務」においては「従業員並びに扶養親族等の個人番号、氏名、生年月日及び住所」となります。
「健康保険・厚生年金保険届出事務」においては「従業員並びに第3号保険者たる配偶者及び被扶養者」のマイナンバー・氏名・生年月日・住所」が明確化された範囲と言えるでしょう。
要するに、従来までその事務で取り扱っていた個人情報の範囲を改めて確認すれば良いのです。

事務取扱担当者の明確化

最後に、上記までで明確化した事務及び特定個人情報を取扱う担当者を明確化します。
これについて、担当者の明確化はどこまで行えば良いのでしょうか？
終局的には、事業者ごとで扱いが異なるとしか言えないのですが、目安として特定個人情報保護委員会の回答では、担当者を個人名で特定する必要はなく、部門として明確化されていれば良い、としています。
ですので「A課」や「B部門」といった形や「C事務担当者」 といった形での明確化も可能です。
そのため、経理課の内部でそれぞれ担当する事務が決まっている場合は、実際に源泉徴収票作成事務に該当する者ではなく、経理課という明確化の仕方も可能です。
しかし、担当者の範囲をあまりに広くしてしまうと、実際の安全管理措置を実施する際にかえって大きなコストがかかることがあります。

事務担当者を明確にする理由は、マイナンバー取扱事務の範囲を超えたところでマイナンバーを含む特定個人情報が利用されないような管理体制を構築するためです。
事業者がその特定した範囲で、適切な安全管理措置を実施できるかどうか、が重要なのであって、形式的に明確化したところで意味はありません。

検討をするのは、適切な取扱いを実施するためであることを忘れない

上記の三段階での検討は、安全管理措置を適切に行い、マイナンバーが正しく利用されるために行います。
そのため、ただ漫然と取り組むのではなく、その事務においてマイナンバーの利用がどのような影響を与えるのかについて、特に留意していく必要があります。
たとえば、マイナンバー記載が要求される時期は、各事務によって異なります。
そのほか、従業員の家族環境が変化したり、退職したりとなると、その都度変更届を出さなくてはならない事務も多いことでしょう。
事業者としては早い段階でマイナンバー取扱事務を把握し、場合によっては従業員らに呼びかけて、事情変更の予定を把握しておく必要が生じることもあります。

主なマイナンバー記載書類と、記載が要求される時期

社会保険関係書類

健康保険及び厚生年金保険関係手続は、２０１７年１月１日提出分より、マイナンバーの記載が必要となります。
一方で、雇用保険関係手続は、２０１６年１月１日提出分よりマイナンバーの記載が必要ですので、より早い対応が求められます。

税務関係書類

税関係の書類へのマイナンバー記載要求時期は、２０１７年１月からとされていますが、退職者の事務や申請書・届出書の事務が生じます。
そのため、事実上、２０１６年１月より事務を開始できるよう、体制・システム構築へ向けた準備が必要となるのです。

本ページのまとめ

• 安全管理のために「事務内容・扱われる情報・扱う担当」の明確化を
• 明確化の際には、各事務への影響度も同時に調査する
• 事業者だけでなく、従業員らへの周知も徹底する
• 多くの関係書類は２０１７年からマイナンバー記載
• ２０１６年中に行う手続も多いので、それらは特に注意