来年（平成28年）1月から「行政手続における特定の個人を識別するための番号の利用等に関する法律」（「番号法」）によるマイナンバー制度が開始 されます。全ての企業にとって、マイナンバー制度への対応は、平成２７年の最重要課題の一つといえます。本稿ではマイナンバー制度の概要と企業にいかなる 義務が課されるのかを解説します。
１．マイナンバー制度の概要
マイナンバーとは、住民票を有する全ての者（特別永住者や中長期在住者の外国人も含みます。）１人１個ずつ付される番号（番号法での用語では個人番号）です。
マイナンバーは、国や地方公共団体が行う「社会保障」、「税」および「災害対策」の分野で効率的に情報を管理し、複数の機関に存在する個人の情報が同一人の情報であることを確認するために活用されるものとされています。
内閣官房の広報サイト：http://www.cas.go.jp/jp/seisaku/bangoseido/#c01
本年（平成27年）10月には、各市区町村から個人に直接マイナンバーが記載された通知カードが送付されることになっており、個人は、平成28年1月以降に市町村に申請することにより、個人番号カードの交付を受けることができます。個人番号カードは、氏名、住所、マイナンバーおよび電子証明書が記録されたＩＣチップが登載され、本人確認のための身分証明書として利用できることになっています。
マイナンバーは、原則として終生変更されず、社会保障や税といった事項に関連づけられるものです。そのため、マイナンバーを含む個人情報（「特定個人情報」）は極めて慎重な取扱いが求められ、番号法により、厳格な規制がなされています。
例えば、現在の個人情報保護法では、過去６か月以内のいずれかの日において5,000を超える個人情報を扱う者だけが個人情報取扱事業者として規制の対象なっています。これに対して、番号法では全ての事業者が規制対象となっています。
マイナンバー制度の開始後、個人は、年金・雇用保険・医療保険の手続、生活保護・児童手当その他福祉の給付、確定申告などの税の手続などで、申請書等にマイナンバーの記載を求められることとなります。
そして、上記手続に関与する勤務先、証券会社、保険会社等も、個人からマイナンバーの提出を受け、社会保障や税の関係書面にこれを記載することになります。例えば、勤務先が発行する源泉徴収票や年金、雇用保険の被保険者資格取得届にマイナンバーを記載することが予定されています。
２．事業者のマイナンバー取扱いにおける義務
特定個人情報は、番号法において、個人情報保護法よりも厳格に規制されることになっており、昨年12月、内閣官房から「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」が公表され、一般事業者が特定個人情報を取り扱うにあたって留意すべき内容が示されています。
（ガイドライン）
http://www.ppc.go.jp/files/pdf/261211guideline2.pdf
（Ｑ＆Ａ）
http://www.ppc.go.jp/legal/policy/faq/
本ガイドラインによると、事業者は次の義務を負うことになります。
（１）利用目的の明示
個人情報保護法の適用を受ける事業者は、マイナンバーを取得する際に、同法が定める方法により、特定の利用目的（例えば、「源泉徴収票の作成事務」）を明示しなければなりません。ただし、取得時に複数の利用目的をまとめて明示することは可能です。
（２）本人確認
事業者は、マイナンバーの取得にあたって、なりすまし防止のため、厳格な本人確認が求められます。マイナンバー自体が正しいことを個人番号カード（同カード以外の場合は、通知カードかつマイナンバー付き住民票の写し等によることが必要）で確認（番号確認）するとともに、運転免許証やパスポートにより身元確認を行うことが原則となります。さらに、代理人から取得する場合は、委任状等の提出に加えて、代理人自身の本人確認等のより厳格な確認が必要となります
（３）法定外の利用禁止
マイナンバーの利用範囲は、特別に法で認められる場合を除き、法律で定められた社会保障、税及び災害対策に関する特定の事務に限定されています。例えば、事業者は、マイナンバーを社員番号として利用することはできません。
（４）マイナンバーの提供要求の制限
事業者は、法律上認められた事務を処理するために必要がある場合に限って、個人にマイナンバーの提供を求めることができます。例えば、従業員等の営業成績等を管理する目的で、マイナンバーの提供を求めることはできません。
（５）特定個人情報の提供の禁止
何人も、番号法で限定的に明記された場合を除き、特定個人情報を第三者に提供してはなりません。
事業者が特定個人情報を提供できるのは、社会保障、税および災害対策に関する特定の事務のために従業員等の特定個人情報を行政機関や健康保険組合等に提供する場合等に限られます。
当該本人の同意があっても、特定個人情報の提供は認められません。
（６）事務の委託先の監督
事業者は、事務の委託する場合、委託先において、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行わなければなりません。この「必要かつ適切な監督」には、（ⅰ）委託先の適切な選定、（ⅱ）安全管理措置に関する委託契約の締結、（ⅲ）委託先における特定個人情報の取扱状況の把握が含まれます。
また、委託先は、委託者の許諾を得ない限り、再委託することができません。
（７）安全管理措置
事業者は、マイナンバーおよび特定個人情報の漏えい、滅失または毀損の防止等、特定個人情報等の管理のために、必要かつ適切な安全管理措置を講じなければなりません。また、従業者に特定個人情報等を取り扱わせるに当たっては、特定個人情報等の安全管理措置が適切に講じられるよう、当該従業者に対する必要かつ適切な監督を行わなければなりません。
（８）特定個人情報の収集・保管制限
何人も、番号法第19条各号に該当する場合を除き、他人の特定個人情報を収集または保管してはなりません。
例えば、事業者の給与事務担当者として源泉徴収票の作成事務等に従事する者が、当該事務以外の目的で他の従業員の特定個人情報をノートに書き写すことはできません。また、事業者が講師に対して講演料を支払う場合において、講師から個人番号が記載された書類等を受け取る担当者と支払調書作成事務を行う担当者が異なるときは、書類等を受け取る担当者は、支払調書作成事務を行う担当者にできるだけ速やかにその書類を受け渡すこととし、自分の手元に個人番号を残してはなりません。
名簿業者等からの特定個人情報の購入が認められないことは勿論です。
事務を処理する必要がなくなった場合で、所管法令において定められている保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄または削除しなければなりません。この点は、個人情報保護法と異なっており、注意しなければならないところです。
３．今後の企業対応について
多くの企業では個人情報保護法の施行時に個人情報保護に関する各種制度を導入されていると思われます。しかしながら、マイナンバー制度は事業者に対し特定個人情報の厳格な管理義務を課しているため、制度の施行前に安全管理措置の整備を完了しておくことを要します。そのためには、少なくとも次の準備が必要となります。
（１）規程類の整備
特定個人情報保護規程や特定個人情報取得時に交付する利用目的通知書等の整備
（２）個人情報管理システムの見直し
- 特定個人情報にアクセスできる者を法律上の事務担当者に限定する仕組みづくり
- 特定個人情報の管理責任者の選定
- 委託先との契約の整備（再委託の禁止条項の有無のチェックを含む。）
- 保管期間経過後の廃棄・削除等の仕組みづくり
- 事故時の対応マニュアルの作成
（３）社内研修等によるマイナンバー制度の周知
このように準備はかなり広範にわたりますが、既にナンバー制度の施行まで１年を切っていることから、早急な対応が必要です。
九段アローズ法律事務所では、マイナンバー制度対応に関するご相談を重点的にお受けしています。詳しくはこちらをご覧ください。
