（１）取得の場面

 マイナンバーを含む個人情報を「特定個人情報」といいます。
 特定個人情報を提供できる場面はマイナンバー法によって限定されており、翻って、特定個人情報を「取得」できる場面も、法が認めた提供場面に応じて取得する場合を除き、特定個人情報を取得してはならないとされています。
 事業者は、従業員等に対して、個人番号関係事務を処理する必要が生じたときにマイナンバーの提供を要求できます。もっとも、個人番号関係事務の発生が予想される場合にはその時点で提供を要求することができると解されます。例えば、新規採用の従業員の場合、雇用契約の締結時点でマイナンバーを提供するよう要求することができると考えられます。
 なお、本人との契約内容等から個人番号関係事務が明らかに発生しないと認められる場合には、マイナンバーの提供を要求してはなりませんので、注意が必要です。

（２）利用の場面

• ア．利用できる範囲
   マイナンバーを利用できる事務の範囲は無制限ではなく、マイナンバー法によって限定的に定められています。事業者は、法が限定した事務の範囲内で利用目的を特定し、その範囲内で利用をすることとなります。
   先に述べましたとおり、事業者は、基本的に個人番号関係事務としてマイナンバーを利用します。個人番号関係事務における利用範囲は、従業員等のマイナンバーを、給与所得の源泉徴収票、支払調書、健康保険・厚生年金保険被保険者資格取得届等の書類に記載し、行政機関に提出する事務です。
   この範囲で、事業者は、例えば「源泉徴収票作成事務」、「健康保険届出事務」というように個別に利用目的を定めていくことになると考えられます。
   なお、個人情報保護法上の個人情報の利用とは異なり、本人の同意があってもこれらの事務以外でマイナンバーを利用することはできませんので、注意が必要です。
• イ．特定個人情報ファイル
   マイナンバーを含む個人情報のデータベースを「特定個人情報ファイル」といいます。事業者は、特定個人情報ファイルを構築することができますが、あくまで、個人番号関係事務を処理するために必要な範囲で構築するに留めなければなりません。例えば、従業員等の個人番号を利用して営業成績等を管理する特定個人情報ファイルを構築することは許されませんので、注意が必要です。

（３）提供の場面

 事業者は、マイナンバー法が定めた場面を除き、特定個人情報を「提供」してはならないとされています。
 提供とは、法的な人格を超える特定個人情報の移動を意味します。よって、同一法人内での特定個人情報の移動は提供には当たりませんが、グループ会社間での移動は提供に当たりますので注意が必要です（個人情報保護法における個人情報とは異なり、共同利用の制度はありません。なお、アクセス制限等を工夫することにより、グループ内での共有データベースに特定個人情報を記録することは可能です。）。
 事業者が特定個人情報を提供できるのは、個人番号関係事務を処理するために、行政機関や健康保険組合等に提供をする場面です。例えば、所得税法の規定に従って、給与所得の源泉徴収票の提出という個人番号関係事務を処理するために、従業員の個人番号が記載された給与所得の源泉徴収票を２通作成し、１通を税務署長に提供し、他の１通を本人に提供する、といった具合です。
 また、特定個人情報の取り扱いを委託した場合や、合併等により事業の承継が行われた場合にも、特定個人情報の提供が認められています。

（４）保管・廃棄の場面

 特定個人情報は、個人番号関係事務を行う必要がある場合に限り、保管し続けることができます。また、マイナンバーが記載された書類等のうち、所管法令によって一定期間保存が義務付けられているものについては、これらの書類等に記載されたマイナンバーについては、その期間保管することになります。
 いずれの保管理由もなくなったときには、事業者は、マイナンバーをできるだけ速やかに廃棄または削除しなければなりません。なお、マイナンバー部分を復元できない程度にマスキングまたは削除した上で保管を継続することは可能とされています。
 保管制限に反しないよう、特定個人情報ファイル等においては、保管期間経過後の廃棄を誤りなく実現できる仕組みにすることが望まれます。

（５）安全管理措置

• ア．安全管理措置の構築
   事業者がマイナンバーの安全管理措置を構築するにあたっては、①マイナンバーを取り扱う事務の範囲の明確化、②特定個人情報等の範囲の明確化、③事務取扱担当者の明確化、④特定個人情報等の安全管理措置に関する基本方針の策定、⑤取扱規程等の策定の順で検討を行うことが示唆されています。
   事業者としては、①・②の検討を速やかに実施し、それに基づいて③を決定し、さらに、④・⑤の規程類の整備を進めなければなりません。
   取扱規程については、取得、利用、保存、提供、削除廃棄という管理段階ごとに、取扱方法、責任者・事務取扱担当者、任務等を定めること、具体的事項については「組織的安全管理措置」「人的安全管理措置」「物理的安全管理措置」「技術的安全管理措置」の要素を織り込むことが提案されています。既存の個人情報保護方針やプライバシーポリシーと別個に定めるか一緒に盛り込むかをはじめ、その内容は基本的には事業者ごとに合理的に判断していくこととなります。
• イ．委託の取扱い
   個人番号関係事務の全部または一部の委託をする場合、委託者は、委託した個人番号関係事務で取り扱う特定個人情報の安全管理措置が適切に講じられるよう委託先に対する必要かつ適切な監督を行わなければなりません。そして、「必要かつ適切な監督」としては、①委託先の適切な選定、②委託先に安全管理措置を遵守させるために必要な契約の締結、③委託先における特定個人情報の取扱状況の把握がガイドラインに掲げられています。ガイドラインでは、委託契約の締結について、契約内容として、秘密保持義務、事業所内からの特定個人情報の持出しの禁止、特定個人情報の目的外利用の禁止、再委託における条件、漏えい事案等が発生した場合の委託先の責任、委託契約終了後の特定個人情報の返却又は廃棄、従業者に対する監督・教育、契約内容の遵守状況について報告を求める規定等を盛り込まなければならないとされていますので、これに沿った契約内容にするよう留意が必要です。