マイナンバーに関する事務の委託・再委託

事業者は、個人番号関係事務の全部または一部を外部に委託することができます。委託を受けた事業者は、委託元の事業者の許諾を受けた場合に限り、再委託することができます。

国のガイドラインは、マイナンバーの管理に業務委託を活用できることを前提に置いて、そのための条件を詳細に記述しています。上述の通り、事業者は個人番号関係事務のすべてを外部に委託することもできます。マイナンバーを収集し本人確認を行う事務も、外部に委託できます。

その際には、「委託先は委託元の許諾を得た場合に限り再委託を行うことができる」ことにご注意ください。

個人番号関係事務又は個人番号利用事務の全部又は一部の
委託をする者は、委託先において、番号法に基づき委託者自らが
果たすべき安全管理措置と同等の安全管理措置が講じられるよう
必要かつ適切な監督を行わなければならない。（ガイドライン）
「必要かつ適切な監督」とは
①委託先の適切な選定
②安全管理措置に関する委託契約の締結
③委託先における特定個人情報の取扱状況の把握

委託先において、「マイナンバー法が求める水準の安全管理措置を講じるか」について、あらかじめ確認する必要があるでしょう。
ガイドラインによりますと、選定にあたっての確認の対象として、委託先の設備、技術水準、従業者に対する監督・教育の状況などが挙げられています。

契約内容として、ガイドラインは、次のような規定を入れておくことを求めています。
それは、
「秘密保持義務、事業所内からの特定個人情報の持ち出しの禁止、特定個人情報の目的外利用の禁止、再委託における条件、漏えい事案等が発生した場合の委託先の責任、委託契約終了後の特定個人情報の返却又は廃棄、従業者に対する監督・教育、契約内容の遵守状況について報告を求める規定」
　です。

　なお、個人情報に関する既存の委託契約がある場合、その契約において、マイナンバー法が求める水準の個人情報の取扱いの規定があり、その契約内容でマイナンバー法上必要な安全管理措置が講じられているのであれば、委託契約を再締結する必要はないとされています。

上記の契約において、特定個人情報を取り扱う従業者の明確化、委託者が委託先に対して実地の調査を行うことができる規定等。

（質問）

事業者（A社）が給与計算等のＡＳＰ（アプリケーションサービスプロバイダ）サービスを利用することがありますが、そのＡＳＰ事業者（Ｂ社）がさらにクラウドサービス事業者（Ｃ社）のファイルサーバサービス等を利用してＡＳＰサービスを提供する場合、これは再委託の取扱いになるのでしょうか。

（考え方）

B社とＣ社との契約内容によりますが、C社が特定個人情報に触れることができる場合には、再委託となります。一方、C社が特定個人情報に触れることが全くできない場合（アプリケーションを使えない場合）には、再委託となりません。なお、再委託とならない場合であっても、Ａ社はＢ社に対する監督義務として、Ｃ社のクラウドサービス内にあるファイルについても適切な安全管理措置を講ずるよう、Ｂ社を適切に監督する必要があります。