マイナンバー制度導入のため安全管理措置はどう作るか？
2015/05/01   マイナンバー, 個人情報保護法, その他

マイナンバー制度の概要

マイナンバー制度は、住民票を有する全ての人に、１人１つの番号（個人番号、マイナン
バー）を付して、社会保障、税、災害対策の分野で効率的に情報を管理し、複数の機関に存在する個人の情報が同一人の情報であることを確認するために活用されるものである。企業は、従業員や取引先の源泉徴収票、保険関係書類についてマイナンバーを利用することになる。

しかし、マイナンバーとそれに関連する個人情報が漏えいした場合、成りすましによる税
務申告や保険金の不正受給などのリスクが生じることから、マイナンバーの利用については目的外の利用が禁止されるなど厳しい管理が求められ、違反時には罰金も課せられる。

マイナンバー制度の内容と企業の対応について、法務ニュースでは以下の記事でも取り上げている。
マイナンバー制度導入で企業に求められる対応（企業法務ニュース）

企業の対応　安全管理措置

このようなマイナンバー制度の導入に向けて、マイナンバーとそれに関連付けられる特定個人情報について企業が講じるべき安全管理措置の検討手順に関して、特定個人情報保護委員会から特定個人情報の適正な取扱いに関するガイドラインが公開されている。

このガイドラインでは、以下の様な手法が一例として紹介されている。
（中小企業については、別の手法も紹介されているが、以下の手法をとることが望ましい、としている）

①事務内容を明確化する
マイナンバーを取り扱う事務の内容、事務において取り扱う特定個人情報の範囲、担当者をそれぞれ明確化する。

②基本方針を策定する
安全管理措置を具体化するにあたり、基本方針を定めることが重要であるとしている。
基本方針の内容としては、事業者の名称・法令・ガイドラインの遵守・安全管理措置に関する事項・質問、苦情処理窓口などがあげられている。

③取扱規定を策定する
①で定めた事務内容における特定個人情報の具体的取扱を規定として定める。
規定方法としては、特定個人情報の管理段階ごとに、取扱方法、責任者・事務取扱担当者及びその任務等について定める方法がある。

管理段階は
(1)取得段階
(2)利用段階
(3)保存段階
(4)提供段階
(5)削除・廃棄段階
に分かれる。

④組織的安全管理措置を定める
特定個人情報の管理が適切に行われる組織体制を整備しなければならない。
a.組織体制を整備する
（責任者・担当者、連絡報告体制を整備し、部署間の任務分担・責任を明確にする）
b.運用記録を保存する
c.記録の確認手段を整備する
d.漏えいが生じた場合の対応について規定する
（事実究明、再発防止、行政への報告、公表方法など）
e.取扱状況を定期的に評価し、見直す

⑤人的安全管理
特定個人情報を取扱う者が適切に事務を処理できるように、取扱担当者を適切に教育し、監督しなければならない。

⑥物理的安全管理措置を定める
特定個人情報が物理的に安全であるように管理しなければならない。
a.特定個人情報の取扱区域を明確にする
（取扱う場所を物理的に隔離する、入退室を管理する）
b.機器及び電子媒体などの盗難・紛失防止策を講じる
c.電子媒体などの持ち出し時の安全管理方法を定める
（施錠した容器に入れる、書類に目隠しシールを貼る）
d.個人番号の削除、電子機器の廃棄方法が速やかに、復元不可能な形で行われるようにする

⑦技術的安全管理
情報システムを使用してマイナンバーを取り扱う場合、情報漏えいが起こらないように技術的安全措置を講じる必要がある。
a.アクセス制御を行う
（アクセスできる者やアクセスできる特定個人情報の範囲を限定する）
b.アクセス者の識別・認証を行う
（ID、パスワード、カードなどによる管理）
c.外部からの不正アクセス禁止する措置を講じる
（ファイアウォールの設置、セキュリティ対策ソフトウェア等の導入など）
d.外部への送信時の情報漏えいの防止措置を講じる
（暗号化・パスワード設定など）

コメント

このように、企業がマイナンバー制度に対応するために講じなければならない安全管理措置は、多くの項目に分かれる。これを制定し、適切に運用することは特に安全管理に手間とコストをかけることができない中小企業にとってかなりの負担となる。制度への対応が遅れている原因はこの点にあるといえるだろう。

この点に関し、マイナンバー関係事務については委託・再委託が認められている。警備保障大手（セコム、ALSOK）がマイナンバー制度に対応したサービスを5月から提供するなど、委託業務に関する動きも活発になっている。ただし、委託を行う際にも、企業には委託先が適切な安全管理措置をとっているかについての監督義務が生じることから、安全管理を外部委託する場合にも、委託先の選定や契約内容の精査など、企業法務がマイナンバー制度の導入に関して果たすべき役割は大きいものになるだろう。

関連サイト

特定個人情報の適正な取扱いに関するガイドライン（特定個人情報保護委員会HP）
マイナンバー対応、警備大手が割安に支援　セコムやALSOK（日本経済新聞）