マイナンバー制度による中小企業のリスクって？

今回のマイナンバーへの対応は、あらゆる企業にとって大きな負担とリスクを伴うものなのです。
「従業員から個人番号を教えてもらって、必要な書類に記入するだけじゃないの？」とよく聞かれますが、必要な番号を集めて照合するだけでも膨大な労力と時間がかかります。
しかも担当者はその新たなタスクを、日々の業務と並行してこなさなければなりません。
何よりもマイナンバーは、取り扱い全般に厳格な管理が求められ、万一漏えいや不正利用が発覚した場合には重い罰則が科せられる、特定個人情報です。
企業にとっては、“持っているだけでリスク”と言っても過言ではありません。

企業では多くのマイナンバー情報を管理することになりますが、危惧されるのは情報漏えいや不正利用の問題です。
対策を怠り、マイナンバーを含む個人情報（以下、特定個人情報）の情報漏えいが発生した場合、信用の失墜、企業イメージの低下、損害賠償、マイナンバー法（※）による厳しい刑罰が待っています。

万が一、内部犯行ともなれば当事者だけでなく企業も責任を負う。
400万社を超える日本の企業は例外なく従業員の特定個人情報を収集・管理しなければならないが、漏洩に対する罰は厳しい。

マイナンバーは非常に高い社会的価値を持つため、マイナンバー法では、個人情報保護法より罰則の種類も多く法定刑も重くなっています。

例えば、正当な理由なく、業務で取り扱う特定個人情報ファイルを提供した場合には、4年以下の懲役または200万円以下の罰金が科せられ、過失による漏えいの場合でも、裁判所の判断に基づく民事責任が問われることになります。
さらには故意／過失を問わず、情報漏えいが明らかになれば、自社の社会的責任は大きく失墜してしまいます。

また情報漏えいを起こしていなくても、第三者機関として設立された特定個人情報保護委員会により情報の管理体制に不適切な箇所を指摘された後、指示に従わない等の命令違反を犯した場合には、2年以下の懲役または50万円以下の罰金、報告を求められた際に虚偽や拒否または検査妨害を行った場合には、1年以下の懲役または50万円以下の罰金となり、企業には従来以上に厳しい罰則が科せられることになります。

ただし、ここで十分注意しておく必要があるのは、情報漏えいが起きた場合は罰則以外にも多大な影響を企業にもたらすということです。

情報漏えい時には原因や影響範囲を洗い出した後に迅速な対応が求められます。直接的被害としてあげられるのが、原因究明や関係各所への報告、再発防止策の実施です。
これにより多大なコストと工数を余儀なくされる事は容易に想像できることだと思います。
また、間接的被害としては、営業自粛や社会的信用低下による売上減があげられます。
さらには、漏えいした情報の持ち主、または二次被害者からの訴訟による損害賠償が発生する可能性もあります。

マイナンバーの対応業務は、個人に配布された番号の取得から始まります。
制度の運用開始までに、正社員だけでなく、準社員、パート・アルバイトなど非正社員を含めたすべての従業員本人とその扶養親族から、個人番号を収集し確認しなければなりません。
たとえば従業員が30名ぐらいの企業だとしても、当然、結婚して家庭を持っている人がいるわけですから、その配偶者や扶養者を加えると、だいたい3～4倍になります。
つまり、社内だけで100人近い個人番号を集めなければいけない。
また、社外の有識者などに講演料や原稿料の支払いが発生する場合は、そうした個人支払先からの番号取得も必要です。
誰が、どこで、どのような集め方をするかにもよりますが、仮に担当者一人が手作業で対応するとなると、法令に則った管理の徹底は困難でしょう。起こりうるリスクも増大するばかりです。

匿性が非常に高い情報であるがゆえに、厳重な保管を含めた安全管理措置が求められます。

さらに、従業員が退職するなどマイナンバーがその企業にとって不要になった場合は、原則として7年間厳重に保管した上で復元不可能な形で破棄するというルールも定められています。

つまり、従業員が入社してから退社した後も厳格な管理が必要となるのです。

マイナンバー制度が施行されるに当たって、事業者は国の定めた「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」に則り、特定個人情報等の厳正な取扱い基本方針の策定や、個人番号取扱い事務と特定個人情報等の厳正な取扱いを確保するために、取扱規定等を策定しなければなりません。

そして特定個人情報保護のため、全ての事業者は、 「組織的安全管理措置」「人的安全管理措置」「技術的安全管理措置」「物理的安全管理措置」という4つの安全管理措置を講じる必要があります。