マイナンバー法~民間事業者の視点から~

1 はじめに

 「行政手続における特定の個人を識別するための番号の利用等に関する法律」、いわゆるマイナンバー法(「番号法」ともいいます)に基づき、いよいよ、平成28年1月からマイナンバー(法律上の定義は「個人番号」)を利用した行政手続きが開始されます。
 これに先立ち、平成27年10月から国民に対するマイナンバーの発行・通知が開始されます。
 事業者としては、平成28年1月からマイナンバーの取り扱いを開始できるよう、平成27年10月以降順次、従業員その他必要な者からマイナンバーを取得することとなります。また、取得に当たっては、当然、事前にマイナンバーの取扱いが必要となる事務や取得対象者を洗い出し、管理体制やマイナンバーの取扱規程を整備するなどの準備が必要となりますので、既に多くの事業者においてその準備・検討が進められている状況です。
 事業者におけるマイナンバーの取り扱いについては、特定個人情報保護委員会が策定した「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」が存在し、また、多くの文献が出ているところではありますが、頭の整理の一助になればと思い、マイナンバー法のうち事業者に関わる部分を俯瞰的に解説させていただきます。

2 事業者がマイナンバー法の適用を受ける場面

 マイナンバー法は、事業者または行政機関等の別を問わず、いずれにも適用されるものです(個人情報保護法における個人情報取扱事業者と異なり、扱う情報の数によって適用が除外されるものではありません。)。
 マイナンバー法は、国民1人1人に固有の識別番号を付すことで、社会保障、税、災害対策の各行政運営における効率化を図り、国民にとって利便性の高い行政サービスを提供するところに主眼があります。すなわち、国民に付与されたマイナンバーを「利用」する事務の主体は、基本的には行政機関になります。そのため、行政機関は「個人番号利用事務実施者」となり、これに関する規律に服します。
 一方、事業者は、国民と行政機関の間に立って、国民のマイナンバーを行政機関に伝えるという立ち位置であり、マイナンバーに「関係」する事務の主体に留まります。そのため、マイナンバー法の中での事業者の位置づけは、基本的には「個人番号関係事務実施者」となり、これに関する規律に服します。
 (もっとも、事業者も、行政機関から個人番号利用事務の委託を受けた事業者はその限りで個人番号利用事務実施者となります。)
 以下では、個人番号関係事務を扱う場合を念頭に、マイナンバーの取得、利用、提供、保管・廃棄、安全管理措置の各場面に分けてその規律を概観いたします。

3 事業者における特定個人情報の取扱い

(1)取得の場面

 マイナンバーを含む個人情報を「特定個人情報」といいます。
 特定個人情報を提供できる場面はマイナンバー法によって限定されており、翻って、特定個人情報を「取得」できる場面も、法が認めた提供場面に応じて取得する場合を除き、特定個人情報を取得してはならないとされています。
 事業者は、従業員等に対して、個人番号関係事務を処理する必要が生じたときにマイナンバーの提供を要求できます。もっとも、個人番号関係事務の発生が予想される場合にはその時点で提供を要求することができると解されます。例えば、新規採用の従業員の場合、雇用契約の締結時点でマイナンバーを提供するよう要求することができると考えられます。
 なお、本人との契約内容等から個人番号関係事務が明らかに発生しないと認められる場合には、マイナンバーの提供を要求してはなりませんので、注意が必要です。

(2)利用の場面

  • ア.利用できる範囲
     マイナンバーを利用できる事務の範囲は無制限ではなく、マイナンバー法によって限定的に定められています。事業者は、法が限定した事務の範囲内で利用目的を特定し、その範囲内で利用をすることとなります。
     先に述べましたとおり、事業者は、基本的に個人番号関係事務としてマイナンバーを利用します。個人番号関係事務における利用範囲は、従業員等のマイナンバーを、給与所得の源泉徴収票、支払調書、健康保険・厚生年金保険被保険者資格取得届等の書類に記載し、行政機関に提出する事務です。
     この範囲で、事業者は、例えば「源泉徴収票作成事務」、「健康保険届出事務」というように個別に利用目的を定めていくことになると考えられます。
     なお、個人情報保護法上の個人情報の利用とは異なり、本人の同意があってもこれらの事務以外でマイナンバーを利用することはできませんので、注意が必要です。
  • イ.特定個人情報ファイル
     マイナンバーを含む個人情報のデータベースを「特定個人情報ファイル」といいます。事業者は、特定個人情報ファイルを構築することができますが、あくまで、個人番号関係事務を処理するために必要な範囲で構築するに留めなければなりません。例えば、従業員等の個人番号を利用して営業成績等を管理する特定個人情報ファイルを構築することは許されませんので、注意が必要です。

(3)提供の場面

 事業者は、マイナンバー法が定めた場面を除き、特定個人情報を「提供」してはならないとされています。
 提供とは、法的な人格を超える特定個人情報の移動を意味します。よって、同一法人内での特定個人情報の移動は提供には当たりませんが、グループ会社間での移動は提供に当たりますので注意が必要です(個人情報保護法における個人情報とは異なり、共同利用の制度はありません。なお、アクセス制限等を工夫することにより、グループ内での共有データベースに特定個人情報を記録することは可能です。)。
 事業者が特定個人情報を提供できるのは、個人番号関係事務を処理するために、行政機関や健康保険組合等に提供をする場面です。例えば、所得税法の規定に従って、給与所得の源泉徴収票の提出という個人番号関係事務を処理するために、従業員の個人番号が記載された給与所得の源泉徴収票を2通作成し、1通を税務署長に提供し、他の1通を本人に提供する、といった具合です。
 また、特定個人情報の取り扱いを委託した場合や、合併等により事業の承継が行われた場合にも、特定個人情報の提供が認められています。

(4)保管・廃棄の場面

 特定個人情報は、個人番号関係事務を行う必要がある場合に限り、保管し続けることができます。また、マイナンバーが記載された書類等のうち、所管法令によって一定期間保存が義務付けられているものについては、これらの書類等に記載されたマイナンバーについては、その期間保管することになります。
 いずれの保管理由もなくなったときには、事業者は、マイナンバーをできるだけ速やかに廃棄または削除しなければなりません。なお、マイナンバー部分を復元できない程度にマスキングまたは削除した上で保管を継続することは可能とされています。
 保管制限に反しないよう、特定個人情報ファイル等においては、保管期間経過後の廃棄を誤りなく実現できる仕組みにすることが望まれます。

(5)安全管理措置

  • ア.安全管理措置の構築
     事業者がマイナンバーの安全管理措置を構築するにあたっては、①マイナンバーを取り扱う事務の範囲の明確化、②特定個人情報等の範囲の明確化、③事務取扱担当者の明確化、④特定個人情報等の安全管理措置に関する基本方針の策定、⑤取扱規程等の策定の順で検討を行うことが示唆されています。
     事業者としては、①・②の検討を速やかに実施し、それに基づいて③を決定し、さらに、④・⑤の規程類の整備を進めなければなりません。
     取扱規程については、取得、利用、保存、提供、削除廃棄という管理段階ごとに、取扱方法、責任者・事務取扱担当者、任務等を定めること、具体的事項については「組織的安全管理措置」「人的安全管理措置」「物理的安全管理措置」「技術的安全管理措置」の要素を織り込むことが提案されています。既存の個人情報保護方針やプライバシーポリシーと別個に定めるか一緒に盛り込むかをはじめ、その内容は基本的には事業者ごとに合理的に判断していくこととなります。
  • イ.委託の取扱い
     個人番号関係事務の全部または一部の委託をする場合、委託者は、委託した個人番号関係事務で取り扱う特定個人情報の安全管理措置が適切に講じられるよう委託先に対する必要かつ適切な監督を行わなければなりません。そして、「必要かつ適切な監督」としては、①委託先の適切な選定、②委託先に安全管理措置を遵守させるために必要な契約の締結、③委託先における特定個人情報の取扱状況の把握がガイドラインに掲げられています。ガイドラインでは、委託契約の締結について、契約内容として、秘密保持義務、事業所内からの特定個人情報の持出しの禁止、特定個人情報の目的外利用の禁止、再委託における条件、漏えい事案等が発生した場合の委託先の責任、委託契約終了後の特定個人情報の返却又は廃棄、従業者に対する監督・教育、契約内容の遵守状況について報告を求める規定等を盛り込まなければならないとされていますので、これに沿った契約内容にするよう留意が必要です。

4 最後に

 マイナンバー法は、施行段階では社会保障、税、災害対策の範囲でマイナンバーを利用するに留まりますが、今後、預貯金への紐づけも予定されており、不動産登記への紐づけも検討されているなど、利用範囲は拡大されていく見込みです。
 マイナンバー法対応は、基本的にすべての会社で必要となってくるものです。マイナンバーの取扱方法や取扱規程等の検討過程では、不可避的に疑問や悩みが生じるものと思います。マイナンバー法対応についてはいまだ手探りのところもあり、慎重に判断をする必要がありますので、お悩み等がございましたら、是非お気軽にご相談ください。

以上