取引先・委託先のマイナンバー使用で注意することは？

マイナンバー導入後に様式が新しくなる支払調書には、
・報酬、料金、契約金及び賞金の支払調書
・不動産の使用量等の支払調書
・不動産等の譲受けの対価の支払調書
・不動産等の売買または貸付けのあっせん手数料の支払調書
があり、これらの支払調書を作成するためにはマイナンバーを記載することになります。

○以前の支払調書との４つの変更点
・「支払を受ける者」の欄に、「個人番号又は法人番号」の項目が加わる
・「支払者」の欄に、「個人番号又は法人番号」の項目が加わる

○報酬、料金、契約金及び賞金の支払調書の３つの注意点
・支払側は、支払先にマイナンバーを提供してもらう必要がある
・法人はマイナンバーを支払先から直接提供してもらう必要はない
・作成する際、支払金額欄は消費税込の金額を記入する
・未払い金額も支払調書の支払金額とする

報酬を支払う側は、支払調書を作成する際にマイナンバーが必要なので、支払先にマイナンバーを提供してもらう必要があります。
ただ、法人の場合は国税庁HPで公表されているため、直接入手する必要はありません。
また、個人の場合はマイナンバーを使用する際に制限があり、マイナンバー提供時に本人確認もしないといけませんが、法人の場合は用途に制限がありません。

マイナンバー制度では、社会保障及び税に関する手続書類の作成事務の全部又は一部の委託をする者は、業務の委託先において、委託者自らが果たすべき安全管理措置と同等の措置が講じられるように必要かつ適切な監督を行わなければならないとされています。

委託者は、業務の委託先を適切に監督するための必要な措置を講じず、又は、必要かつ十分な監督義務を果たすための具体的な対応をとらなかった結果、特定個人情報の漏えい等が発生した場合、番号法違反と判断される可能性があります。

また、マイナンバー法では、社会保障及び税に関する手続書類の作成事務の全部又は一部の委託を受ける者は、委託者の委託を得た場合に限り、再委託を行うことができるとされています。そして、再委託を受けた者は、更に別の委託先に再委託を行う場合は、最初の委託者の許諾を得る必要があるものとされます。

１．委託先の適切な選定
ガイドラインでは、「委託者は、委託先において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるか否かについて、あらかじめ確認しなければならない。」と、確認することは義務として規定されています。委託先の設備や業務・教育体制・経営環境などを事前にチェックし、信頼できるかどうかを確認しましょう。プライバシーマークやISMSといった認証を受けていることも、一つの判断材料となるでしょう。

２．委託先に安全管理措置を遵守させるために必要な契約の締結
通常、業務を委託する場合は業務委託契約を締結することが多いですが、その契約書の中に安全管理措置委託先に遵守させるための事項を盛り込むことが必要です。すでに業務委託契約や顧問契約を締結済みの場合は、追加で覚書を交わすという方法もあります。そして、この契約には以下の事項を入れることがガイドラインで義務付けられています。
・秘密保持義務

・事務所内からの特定個人情報の持ち出しの禁止

・特定個人情報の目的外利用の禁止

・再委託における条件

・漏洩事案が発生した場合の委託先の責任

・委託契約終了後の特定個人情報の返却又は廃棄

・従業員に田尾する監督・教育

・契約内容の遵守状況について報告を求める規定

３．委託先における特定個人情報の取扱状況の把握

契約した内容を委託先が正しく実行しているか、確認する義務が委託先にはあります。先の契約内容に「契約内容の遵守状況について報告を求める規定」を入れているので、その報告を受けることで取扱い状況の把握が可能になります。

Q3-12
特定個人情報を取り扱う情報システムにクラウドサービス契約のように外部の事業者を活用している場合、番号法上の委託に該当しますか。
A3-12
当該事業者が当該契約内容を履行するに当たって個人番号をその内容に含む電子データを取り扱うのかどうかが基準となります。当該事業者が個人番号をその内容に含む電子データを取り扱わない場合には、そもそも、個人番号関係事務又は個人番号利用事務の全部又は一部の委託を受けたとみることはできませんので、番号法上の委託には該当しません。
当該事業者が個人番号をその内容に含む電子データを取り扱わない場合とは、契約条項によって当該事業者が個人番号をその内容に含む電子データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等が考えられます。

現状、クラウドサービスは契約終了時に一定期間が経過すると、クラウド上のデータを消去するものがほとんどです。
（弊所が問い合わせた事業者が提供するサービスも、契約終了後、一定期間経過後にデータを削除するものでした）
この場合は「個人番号をその内容に含む電子データを取り扱わない場合」とは言えなさそうです。
消去のためにクラウド上のデータにアクセスできるということは、マイナンバーの取扱責任者・担当者以外の者がマイナンバー等にアクセスできるという事です。
この状況は、適切なアクセス制御がなされているとは言えないというのが、弊所の判断です。