会社としてマイナンバーを管理するためにはどういったことをやらなければいけないのか多くのことがあります
マイナンバーを管理する為にやること
本人確認の措置
会社は、税や社会保障関係の事務を行うために、本人等からマイナンバーの提供を受けることになりますが、その際に、会社は必ず本人確認をしなければなりません。いわゆる「成りすまし」を防ぐためにも厳格な本人確認が求められます。
本人確認では、2つのことを確認することになります。一つは、正しい番号であることの確認、つまり「番号確認」です。もう一つは、正しい番号の持ち主であることの確認、つまり「身元確認」です。以上の2つの確認がワンセットになって「本人確認」となります。
番号確認と身元確認のための確認書類については、番号法施行規則等により定められています。顔写真入りの「個人番号カード」であれば、個人番号カード1枚で番号確認と身元確認の両方を確認できます。紙製の「通知カード」や「マイナンバー付きの住民票」により番号確認する場合は、「運転免許証」や「パスポート」等による身元確認でワンセットの本人確認となります。安全管理の措置
マイナンバーは非常に重要な個人情報ですので、漏えい・滅失・毀損等の防止、その他の適切な管理のために、必要かつ適切な安全管理措置を講じる義務があります。番号法により、全ての事業者は、マイナンバーについて安全管理措置を講ずることとされています。担当者任せではなく、会社として取り組む必要があります。
そのためにも、個人情報の取り扱う範囲の明確化など会社側としての説明責任も発生します。
こういった時間を実際に取れるのかという懸念はあります。
安全管理の方法
安全管理措置の5つの手順事業者は、特定個人情報等の取扱いに関する安全管理措置について、次の5つの手順で検討を行う必要があります。
1. 個人番号を取り扱う事務の範囲を明確にする
事業者は、個人番号関係事務又は個人番号利用事務の範囲を明確にしておく必要があります。
2. 特定個人情報等の範囲を明確にする
事業者は、1で明確にした事務において取り扱う特定個人情報等の範囲を明確にしておく必要があります。
3. 事務取扱担当者を明確にする
事業者は、1で明確化した事務に従事する事務取扱担当者を明確にしておく必要があります。
4. 基本方針を策定する
特定個人情報等の適正な取扱いの確保について組織として取り組むために、基本方針を策定する必要があります。
5. 取扱規程等を策定する
事業者は、1～3で明確にした事務における特定個人情報等の適正な取扱いを確保するために、取扱規程等を策定する必要があります。
これだけの方法を企業側が行わなければいけないのは大変です。
実際に行うことは出来るのでしょうか。心配は多いですね。
基本方針と取り扱い規定の策定
企業がマイナンバーを扱うにあたっては、あらかじめ取扱いのルールを定めた「基本方針」と「取扱規程」を策定することが求められています。
特に「基本方針」は、中小規模の事業者であっても策定が必要になるものです。まず、「基本方針」とは、自社における特定個人情報の取扱いに関しての安全性確保等を図る目的で対応の方針を明確にするものです。
この基本方針は、企業規模を問わず、組織として策定する必要があります。
実際のところ、法律に「基本方針を定めなさい」とは書いてありませんが、特定個人情報保護委員会が示す「特定個人情報の適正な取扱いに関するガイドライン」に、基本方針の事例が掲載されているので、これを参考に策定しておくことが企業側のリスク管理につながります。基本方針については、監督官庁等への届出は不要で、社外への公表も義務付けられているものではありませんが、社内規程（情報管理規程）への記載や社内報における告知、社内のイントラネット上への掲載といった形で従業員に周知させることが重要です。できる限り、個人番号が通知される2015年10月までに、基本方針の策定と周知が済んだ状態にしておきましょう。
前述した「基本方針」のほか、従業員数が100人を超える企業は、自社におけるマイナンバーの取扱いを明確にした「取扱規程」を策定することも求められています。
マイナンバー制度がスタートする2016年１月までに、企業はマイナンバーの運用や管理がしやすいように、取扱規程を策定しましょう。
特に、情報漏えいの事故が生じる可能性があるマイナンバーの運用では、以下に示した５つの管理段階で、取扱方法、責任者・事務取扱担当者とその任務等を定めることが求められています。
特定個人情報取扱規程については、従業員の労働条件に関するものではありませんから、一般的な他の規程の運用のように、従業員代表の意見聴取を行なったり、管轄の労働基準監督署への提出は必要ありません。
ですが、策定作業には時間も労力もかかってしまいます。
この時間も、経営者にとっては大きな問題です。
人的な措置
１．事務取扱担当者の監督
会社等の事業者は、特定個人情報が取扱規程等に基づき適切に取り扱われるよう、事務取扱担当者に対して、必要かつ適切な監督を行う必要があります２．事務取扱担当者の教育
会社等の事業者は、事務取扱担当者に、特定個人情報等の適正な取扱いを周知徹底するとともに、適切な教育を行う必要があります。
•特定個人情報の取扱いに関する留意事項等について、従業者には定期的な研修、セミナーや勉強会を行うことが考えられます。
•特定個人情報等についての秘密保持に関する条項を就業規則等に盛り込むことが考えられます。
こういった研修時間を割かなくてはいけないのは、経営者としては頭の痛い問題です。
物理的な措置
企業における負担となるのが物理的な対策の検討です。
1. 特定個人情報等を取り扱う区域の管理
・管理区域に関する物理的安全管理措置としては、入退室管理および管理区域へ持ち込む機器等 の制限等が考えられる。
2. 機器および電子媒体等の盗難等の防止
・特定個人情報等を取り扱う機器、電子媒体または書類等を、施錠できるキャビネット・書庫等 に保管する。
3. 電子媒体等を持ち出す場合の漏えい等の防止
・特定個人情報等が記録された電子媒体を安全に持ち出す方法としては、持出しデータの暗号 化、パスワードによる保護、施錠できる輸送容器の使用等が考えられる。ただし、行政機関等 に法廷調書等をデータで提出するにあたっては、行政機関等が指定する提出方法に従う。
4. 個人番号削除、機器および電子媒体等の廃棄
・特定個人情報等が記載された書類等を廃棄する場合、焼却または溶解等の復元不可な手段を採 用する。
中小企業側としては、利便性が高まる分、設備投資を行わなければいけないといった状況です。
その分、マイナンバー制度が始まることで、他の業務の効率化が進めば良いのですが。
これからに期待です。