マイナンバー導入前に中小企業が知っておきたいこと

　全国民に個人番号を付番し、個人を一意に特定することを可能とする「行政手続における特定の個人を識別するための番号の利用等に関する法律（以下「番号法」、通称：マイナンバー）」および関連法が2013年5月24日に成立しました。

　番号法では自治体が関与する行政手続について多く規定されていることから、現在は自治体を中心に、2015年10月の国民への個人番号の通知、2016年1月の個人番号の利用開始、2017年1月の国機関での情報連携の開始、2017年7月の自治体を含めた情報連携の開始に向けて、システム改修、業務運用の見直しなどが実施されています。

　一方、番号法で規定する行政手続の中には、市区町村、都道府県、省庁、独立行政法人等 (以下、「行政機関・自治体等」)だけでなく、民間企業が関わる、あるいは担う手続きも含まれ、原則全ての民間企業で番号制度対応に向けた準備が必要になります。

　10月から個人への通知が始まった社会保障と税の共通番号（マイナンバー）で、小規模な自治体や中小企業が対応に追われている。住民や従業員の個人情報を守るためにセキュリティー対策は急務だが、システム改修などの費用負担が重くのしかかる。
　「システム改修費を捻出するため、別の予算を削らなければならなかった」。人口約４千人の熊本県球磨村でマイナンバーを担当する職員は漏らす。

　同村は2014年度から番号の管理システムの改修を実施。総務省がシステムと外部のインターネットを切り離すよう自治体に要請したため、対応費用は計約4300万円に膨らんだ。国の補助があり、村の支出は約1000万円になる見込みだが、約33億円の年度予算の村には少なくない出費だ。

【中小規模事業者とは】
事業者のうち従業員の数が100人以下の事業者であって、次に掲げる事業者を除く事業者をいいます。
・個人番号利用事務実施者
・委託に基づいて個人番号関係事務又は個人番号利用事務を業務として行う事業者
・金融分野（金融庁作成の「金融分野における個人情報保護に関するガイドライン」第１条第１項に定義される金融分野）の事業者
・個人情報取扱事業者

マイナンバーに関する安全管理措置は、

・基本方針や取扱規定といった概念に関する事項（A.基本方針の策定　B.取扱規定の策定）
・担当部署や担当者といった組織や人的リソースに関する事項（C.組織的安全管理措置　D.人的安全管理措置）
・データ管理やセキュリティ対策といった実務に関する事項（E.物理的安全管理措置　F.技術的安全管理措置）
の3つに大別されます。

原則として基本方針や取扱規定等の策定を行なうことになっていますが、中小企業の特例として既存の業務マニュアルや業務フロー図にマイナンバーに関する事項を盛り込むことで対応可能としています。

また、組織体制を整備することが求められていますが、中小企業の場合は責任者と事務取扱担当者に分けることによって組織体制の整備とすることができます。

さらに電子媒体等を持ち出す場合、事務所内の移動であったとしても十分に注意することが原則となりますが、中小企業の場合は電子媒体や書類を移送するための安全な方策を講じればよいとしています。

個人番号を削除した場合においても破棄した記録を保存することとなっていますが、例外規定として破棄したことを確認すれば事足りるとしています。

それでは実際にどのような運用方法を講じればよいのかを具体的に解説していきます。

まず基本方針や取扱規定の策定は義務ではありません。また公表することに関する義務規定もないため、策定業務に関する優先順位はそれほど高くしておく必要はありません。

特定個人情報を取り扱う事務担当者が使用するパソコンは、背後からのぞき見されないように座席配置します。出入り口付近を避けたり、パーティションを使用したり、背後が壁になるようにレイアウトを変更したりすることによって、物理的安全管理措置における特定個人情報等を取り扱う区域を設定し、安全管理措置を講じることができます。

パソコンで特定個人情報データを管理する場合、OSのアップデートやセキュリティ対策ソフトの更新の頻度を上げ、常に最新の状態にしておきましょう。外部からの不正アクセスによるデータ漏えいを防ぐことができます。

マイナンバーを取り扱う業務の全部又は一部を委託することは可能です。また、委託を受けた者は、委託を行った者の許諾を受けた場合に限り、その業務の全部又は一部を再委託することができます。
　委託や再委託を行った場合は、個人情報の安全管理が図られるように、委託や再委託を受けた者に対する必要かつ適切な監督を行わなければなりません。委託や再委託を受けた者には、委託を行った者と同様にマイナンバーを適切に取り扱う義務が生じます。（2014年6月回答）

たとえば、個人情報保護法においては、ベネッセコーポレーション事件のように、委託先企業において不正な利益を得る目的で個人情報を第三者へ提供したり盗用したケースであっても、罰則そのものがありませんでしたが、番号法では、「3年以下の懲役もしくは150万円以下の罰金または併科」といったように、罰則の適用範囲が拡大されています。