平成28年１月１日からマイナンバー制度の本格運用が開始されています。
事業者がマイナンバーを利用するのは、主として、厚生年金保険被保険者資格取得届等の社会保険手続きや源泉徴収票の作成や支払調書作成などの税に関する手続きで作成する書類に従業員等のマイナンバーを記載して行政機関等及び健康保険組合等に提出する場合です。
どのような場面でマイナンバーを使用するかについて、詳しくは「やさしいマイナンバー制度の適用範囲と５つの取り扱い上の注意点」をご参照ください。
そのようなマイナンバーを含む個人情報が漏えい、滅失又は毀損しないために適切な安全管理措置を講じなければならないことをみなさんご存知でしょうか。また、マイナンバーを取り扱う従業員に対する適切な監督も行わなければなりません。
安全管理措置については、番号法等の法令で細かく規定されていますが、中小企業※においては緩和措置が設けられています。
※従業員の数が100人以下の事業者（マイナンバーの管理を受託する者等を除く）
では、中小企業ではどのような安全管理措置を取らなければならないのでしょうか。
個人情報保護委員会の提供する「特定個人情報女適正な取り扱いに関するガイドライン」の中の「（別添）特定個人情報に関する安全管理措置 （事業者編）」の内容を中心に確認していきたいと思います。
中小企業がとるべき安全管理措置
基本方針の策定
番号法においてはマイナンバーを含む個人情報等が正しく取り扱われるために組織として取り組む基本方針を策定することがぎむになっていますが、中小企業では基本方針の策定は義務になってはいません。
あれば望ましいといった位置付けです。
取扱規程等の策定
個人番号を取り扱う事務の範囲やマイナンバーを含む個人情報等の範囲、事務取扱担当者を明確化し、その事務の流れを整理し、マイナンバーを含む個人情報等の具体的な取扱いを定める取扱規程等を策定しなければならないことになっています。
中小企業においてはそこまでは要求されていません。求められているのは「マイナンバーを含む個人情報等の取り扱い等を明確化する」ということです。
具体的には業務マニュアルや業務フロー図、チェックリスト等にマイナンバーの取り扱いを加えるといったことが考えられます。
また、事務取扱担当者が変更となった場合、確実な引き継ぎを行い、責任ある立場の者がそれを確認することも必要です。
組織的安全管理措置
中小企業で講ずべき組織的安全管理措置は以下のとおりです。
１ 組織体制の整備
事務取扱担当者が複数いる場合、責任者と事務取扱担当者を区分することが望ましい。
２ 取扱状況を確認する手段の整備
マイナンバーを含む個人情報等の取扱状況のわかる記録を保存する。
例えば、次のような方法が考えられます。
- 業務日誌等において、マイナンバーを含む個人情報等の入手・廃棄、源泉徴収票の作成日、本人への交付日、税務署への提出日等の、特定個人情報等の取扱い状況等を記録する。
- 取扱規程、事務リスト等に基づくチェックリストを利用して事務を行い、その記入済みのチェックリストを保存する。
３ 情報漏えい等事案に対応する体制の整備
情報漏えい等の事案の発生等に備え、従業者から責任ある立場の者に対する報告連絡体制等をあらかじめ確認しておく。
４ 取扱状況の把握及び安全管理措置の見直し
責任ある立場の者が、マイナンバーを含む個人情報等の取扱状況について、定期的に点検を行う。
人的安全管理措置
中小企業で講ずべき人的安全管理措置は以下のとおりです。
５ 事務取扱担当者の監督
事業者は、マイナンバーを含む個人情報等が取扱規程等に基づき適正に取り扱われるよう、事務取扱担当者に対して必要かつ適切な監督を行う。
６ 事務取扱担当者の教育
事業者は、事務取扱担当者に、特定個人情報等の適正な取扱いを周知徹底するとともに適切な教育を行う。
物理的安全管理措置
中小企業で講ずべき物理的安全管理措置は以下のとおりです。
７ 特定個人情報等を取り扱う区域の管理
マイナンバーを含む個人情報の漏えい防止のために、そのような個人情報を取り扱う事務を行う場所を明確化し、漏えい防止策を講じる。
例えば、壁又は間仕切り等の設置及び覗き見されない場所等の座席配置の工夫や、覗き見されないようパソコン画面にフィルターを付す等が考えられます。
８ 機器及び電子媒体等の盗難等の防止
例えば、書類等を盗まれないように書庫等のカギを閉める等が考えられます。
９ 電子媒体等を持ち出す場合の漏えい等の防止
マイナンバーを含む個人情報等が記録された電子媒体又は書類等を持ち出す場合、 パスワードの設定、封筒に封入し鞄に入れて搬送する等、紛失・盗難等を防ぐための安全な方策を講ずる。
10 個人番号の削除、機器及び電子媒体等の廃棄
特定個人情報等を削除・廃棄したことを、責任ある立場の者が確認する。
まとめ
マイナンバーを取り扱うにあたって、中小企業がとるべき安全管理措置について見てきました。中小企業にとっては総じて、堅苦しい形式ばった事務処理が課されるというよりも、最重要の個人情報を取り扱うにあたって、漏えいや滅失、毀損などが起きない工夫を日々の事務処理の中に組み込みなさいといったガイドライン的な意味合いが強いものとなっているのではないでしょうか。
趣旨はマイナンバーという個人情報の最たるものを取り扱うにあたって、漏えいや滅失、毀損などが起きない事務処理体制を構築するということです。その趣旨を鑑みて今回説明した安全管理措置を自社なりに講じていくことが肝要となろうかと思います。
執筆者 元国税調査官 税理士 ジャパンネクス代表 海野耕作
コメント