【企業とマイナンバー】漏えい事案対応記録簿

いよいよマイナンバー制度が導入されます。10月には通知カードが配布され、1月から本格的にスタート。その後も適用範囲の拡大やマイナポータルの運用開始などが控えています。マイナンバー制度に関わるのはすべての国民であり、すべての企業に業務的な対応が求められます。すでに多くの企業が関連業務の見直しとそれに伴う新たなシステムの導入や改修、従業員への教育など、新制度導入の準備に追われているのではないでしょうか。

マイナンバー制度の導入にあたって非常に不安視されているのがセキュリティ面です。政府はセキュリティの保証のために実に様々な運用規定や厳しい違反罰則規定を設けていますが、実際に重要な情報を預かり運用するのは企業の責任です。マイナンバー制度導入により漏洩事故のインパクトは従来よりも大きなものとなることが予想され、それを未然に防ぐ企業努力と堅牢な仕組みづくりが最重要課題になってきます。しかしながら、多くの企業では新制度への業務システムの追従に追われており、セキュリティ面への対策は後回しの課題になっているのが現状です。

個人番号利用事務とは、主として、行政機関等が、社会保障、税及び災害対策に関する特定の事務において、保有している個人情報の検索、管理のために個人番号を利用することをいう。
事業者においては、健康保険組合等の一部の事業者が法令に基づきこの事務を行う。

技術的安全管理措置に関しては、家族経営の小規模企業などは、マイナンバーを取り扱う場所を決め、周囲から覗かれないようなレイアウトを行うことが最低限の策となろう。物理的・技術的な安全管理措置としては、マイナンバーリストを金庫へ保管することなどが考えられるが、金庫利用者の管理記録等が必要になるため、ITを利用したほうが結果的に楽な場合が多い。

《必要かつ適切な監督》
○①委託先の適切な選定、②委託先に安全管理措置を遵守させるために必要な契約の締結、③委託先における特定個人情報の取扱状況の把握
○委託者は、委託先の設備、技術水準、従業者に対する監督・教育の状況、その他委託先の経営環境等をあらかじめ確認しなければなりません。
○契約内容として、秘密保持義務、事業所内からの特定個人情報の持出しの禁止、特定個人情報の目的外利用の禁止、再委託における条件、漏えい事案等が発生した場合の委託先の責任、委託契約終了後の特定個人情報の返却又は廃棄、従業者に対する監督・教育、契約内容の遵守状況について報告を求める規定等を盛り込まなければなりません。
○委託者は、委託先だけではなく、再委託先・再々委託先に対しても間接的に監督義務を負います。

漏えい等事案が発生した場合に想定される経済的な不利益や社会的な信用の失墜、本人への影響などのおそれなどを検討し、被害・影響を最小限とするための手順を検討する。

情報漏えい等の事案が発生した場合の対応状況の記録や、漏えい事案の顛末等を記録する報告書などの様式を整えます