先日、赤坂と虎ノ門で「マイナンバー制度の基礎知識と個人情報のセキュリティ対策」と題するセミナーを開催しました。

 

講師は、社会保険労務士　松本力事務所代表　松本　祐徳氏です。

マイナンバーというのは、税と社会保障対策、災害対策のために国民一人一人に番号を割り振り、納税実績や年金など社会保障の情報を一元的に管理する制度です。
マイナンバーについては、国民一人、一人が知っておかなければならないことがたくさんあります。マイナンバーは個人情報保護法の対象となりますが、法改正に伴い、取り扱いについても注意しないといけない内容があります。
マイナンバーの基礎知識
マインバーについての話を企業の方にお聞きすると、対応するのに負担ばかりがかかって、何のメリットもないという話を一番多く聞きます。お金がかかる、責任が重い、俺になんのメッリトがあるんだという声が上がっています。
マインバー制度も目的は以下のようなものです。

この中で一番言われているのが税と社会保障の公平性という点です。
今、世の中で何が起こっているかというと、少子高齢化の問題があります。2020年には、75歳以上の人口が65〜74歳の人口を上回るという統計も出ており、人口全体に占める65歳以上の比率も29.1%まで高まると予想されています。この少子高齢化の問題と、就職した人が３年以内に辞める確率も３分の１という話があります。リクルートの予測ですと、正社員になる人の割合が50%を切るような統計も出ています。社会保障のお金が全く入ってこない。枯渇していく。そんな中で、例えば、66万社の企業が社会保障の適応逃れをしている。そういう問題も全て、引っ括めて入っています。一番大事なことは、公平な社会を作る。その中でマイナンバーをやっていこうと。あとは、行政運営におけるIT化ですね。安倍政権は、2020年までに週に１日以上、終日在宅で勤務する「在宅型のテレワーカー」の比率を１割以上にするという目標を掲げています。このテレワーカとマイナンバーにも密接な関係があります。それと地方創生の声がかなり、聞こえてきていますが、地方創生にマイナンバーを活用しようという話もあります。地域の中でお金を使ってもらおう。そこでマイナンバーを活用しようと。そういう流れが出ています。
国民と公的機関の間だけではなく、マイナンバーを使えば、いちいち住所を書かなくても、番号だけをかければいいとか、色々なケースで利便性が高まります。一方で、何に使われている良くわからない、国民監視システムとか、これも良く言われていますが、国民一人ひとりがアクセスログを確認できます。自分が国からマイナンバーを使って見られているのかをマイポータルが実施されると分かるようになります。開示請求に対して、迅速に報告、そういう積極的な姿勢を国の方も取っていくということです。

マイナンバー制度は、社会保障・税・災害対策といった限られた分野だけに使われる制度であって、使いたくないじゃなくて、使わなければならない制度です。逆に言うと、使ってはならないところでは、使うということがあってはならない制度です。ですからマイナンバーを教えてくださいと言われた時に教えられる場面というのは１９条に全て定められています。それ以外のところで人のマイナンバーを提供するというのはあってはならないということになります。この部分に関しては、マイナンバーの取り扱い従事者だけではなくて、一般の国民であったり、会社の従業員や経営者の方もチェックしておかなければならないということです。知らない間に番号法違反に当たるような行為をしてしまったとか、トラブルに巻き込まれるとか、そういうことが気を付けなければならない点です。これがマイナンバーの厄介な点です。もちろん、重複して、特定個人情報のマイナンバーの入ったファイルを手当たり次第、作っていくということに関しては、制限がかかります。利用目的がはっきりしない目的ではリストを作ってはならないとあります。たまに、個人情報を気にしない人からは、いいよ、記録してもと言われることもありますが、提供行為そのものが番号法違反に当たりますので、注意が必要です。

 
今回のマイナンバー制度では、安全管理施策の部分がかなり騒がれているようですが、漠然としていて、何をどうすればいいのか分からないという話をよく聞きます。お金がかかるばかりじゃないか、負担ばかりじゃないか。これは、私たち、社会労務士も同じような感覚で、どうしたらいいかやっぱり掴めないよという話がやっぱり出てきます。今回大事なことは、現在、国会の中で、個人情報保護法、番号利用法、どちらとも、改正法案が出ています。交付から２年後、個人情報保護法は、大幅に変わります。
コンピュターの情報システムを通じて連携、扱いの簡素化、書類の省略化などだが一番大きいのは、給付の不公平をなくしていくこと。国としては、一番問題を感じているのは、社会保険の適応逃れが６６万社もある。国としては、これが一番問題だと感じている。マイナンバーの適応が始まるが、提供を拒否された場合に書けない理由を書けと言われた場合は、本人確認を厳格にすることになる。給付の不正受給もあるので、これも防止しておかなければならない。
地域の活性化というテーマもある。将来的には、民間のデータと行政データを集まると、ビジネス的な効果が７兆円にもなるという試算もある。経済的な発展性にも重きを置きましょう。一方では事業者に対する監督責任も果たしていきましょう。強制的にマイナンバーを利用しないといけない。住基ネットと同じでマイナンバーなんか誰も使わないよという人もいますが、今回のマイナンバーは、利用しなければならない。それを使う場面も限定的に明記されている。使ってはならない場面で使うことも違反になる。数多くのマイナンバーを管理する団体。大抵の企業は、自分たちの従業員分のマイナンバーを扱うだけですが、数多く扱う団体もあります

保険会社は、代理店を経由して営業しているので、マイナンバーを代理店からもらおうとする場合は、注意が必要です。プロスポーツなどは、申告書の７年間の保管義務が出てきました。
マイナンバーの保管をうまく考えながら、なるべく保管しない方法を考える方がいいでしょう。
本当にマイナンバーの利用頻度は低い。よく分からなくて困っている人に不安を煽ってやるのは良くない。媒体をなるべく分散させて保存しない方がいい。情報漏洩リスクとしては、瞬時に漏れる
ガイドラインでは、利用目的がなくなった個人情報は、極力消去してくださいと言っています。
個人番号カードの様式は、こんな感じになります。

個人番号カードへの記載事項はこちらになります。
 

 
番号の変更については、不正に用いられる恐れがあると認められるとき以外は、変更ができません。具体的には、詐欺や暴力など不正な目的で使用される場合に限定されます。
 
マイナンバーは、特定個人情報なので特別な扱いをするように細かく定められています。
特定個人情報とは、個人番号と、当該個人番号に対応する符号をその内容に含む個人情報のことです。
個人番号に対応する符号とは、個人番号に代わって用いられる番号や記号などで、住民票コード以外のものをいいます。ですから、事業者が守らなければならない番号法の保護措置は、個人番号に対応して、当該個人番号を一定の法則で変換した番号等を含めて適用の対象としています。
生存する個人の個人番号については、個人番号自体が基本４情報（氏名、住所、生年月日、性別）と紐付けられた住民票コードを変換して得られるものであり、個人番号は住民票コードを復元することのできる規則性を備えるものでないことが生成する際の条件の１
つとされていますが、特定の個人を識別することができるものであることと解されていることから、個人情報に当たり、特定個人情報に該当します。
特定個人情報ファイルとは、個人番号と、個人番号に対応する符号をその内容に含む個人情報データベース等のことです。ちなみに、個人情報データベース等とは、個人情報を含む情報の集合物であって
①　特定の個人情報について電子計算機を用いて検索することができるように体系的に構成したもの（システム用ファイル、その他電子ファイル）
②　集合物を一定の規則に従って整理することにより特定の個人情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するもの（手作業処理用ファイル）となります。
 

六本木ヒルズで「マイナンバー対策セミナー　〜データ管理に対するITリスク増大、部門横断的に乗り切るには〜」が開催されました。
第３部は、TMI総合法律事務所　パートナー弁護士　大井　哲也氏が「マイナンバー対応のための安全管理システムの実装フロー」というテーマで講演されました。

つい先日、マイナンバー法が衆議院で可決されました。今年の１０月１日からマイナンバーが国民に対して、通知されます。では、１０月１日までにどういう仕事が発生するのか、どの部門で、どういうタイミングで何をすればいいのか、これが重要です。
個人が取得した個人番号を法定調書に記載して、行政機関等に提出するという行為のみが認められています。
まずは、個人情報保護法に基づく、安全管理措置を行っている筈なので、それと特定個人情報保護法に準じた安全管理措置とのギャップを埋めていくという作業を行います。これによって、マイナンバー法に基づく、会社の管理規定が出来上がります。この作業をやっていない会社は、まずは、そこから着手してください。今年の１０月から個人番号の付番が、全国民に対して開始されます。本人確認のための書類で何を提出するのかなどといったものが１０月１日には、完了して、システム上に乗っていないといけない。しかし、多くの会社では、これが行われていないというのが実情です。金融機関などは、対応が早く、システムの改修が済んでいるところもあります。まだのところは、誰が、どの分野を担当するのかという割り当てを行っている会社もあります。あまり、悠長に進めている場合ではないので、すぐに、実質的なフロー図の作成作業を開始してくださいという話をします。急にはできないというと、関係部署に対して、まずは、教育を行ってくださいという話になります。まずは、保護措置が何かということを理解してください。やるべきことは非常にシンプルです。次は、各部署のタスクの洗い出しをしてください。結局、マイナンバーをどこの書類に書けばいいのですか、それを網羅的に、抜けがないようにするにはどうすればいいのか。タスクの洗い出しを行うと、どれくらいの作業量があるのかが判明します。総務、経理、人事、情シスを集めた全体会議を開催する。安全、管理措置はどのレベルまでやればいいのかを決めていきます。体制整備ができたら、特定個人情報の組織的、技術的安全管理の方法の検討を始めます。例えば、どういう方法で暗号化するのか。操作ログはどこまで取ればいいのか。管理方法の選択をしていく必要がある。これらを決めたら、システムの実装作業に入りますが、これを行うためには情シスの協力が不可欠です。代替措置があるのか。情報システム部門で、この作業を行うと業務が止まってしまうので、無理だと言った場合に、これを検討します。

マイナンバー法に準拠した安全管理措置として、規定の整備作業を行います。どこの部門がマイナンバーを取得して、誰が、作業を行うのか。誰が見ても、その行動が分かるようなフローチャートを作る方が実務に役立ちます。レベルとしては、金融機関相当の質を目指してください。クレジットカード情報などを扱う場合と同じレベルの管理が必要となります。特定個人情報保護委員会というのが監督することになります。これは、公正取引委員会と同じ程度に権限を持った機関となります。これまでのように何か、個人情報漏洩があったら、監督官庁に報告すればいいですよねという状況ではなくて、何かあれば、立ち入り調査をする権限を監督機関が持つので、我々としても、より、きちんちとした管理体制の構築が必要となります。どういった事務が要求されているのか。法律に基づいた事務となるが、ぞれぞれの人事、労務部門の人が法定調書の洗い出しをまず、関係部門の人が行う。それ以外の部門にも法定調書の作成が必要となるので、その洗い出しも必要となります。例えば、一見するとマイナンバーに関係しなさそうな法務部門に対して、私が社内研修会の講師をすることになり、契約を交わすことになると、私のマイナンバーを取得する必要があります。それを聞く部門はどこでしょうか？おそらく、面識がない経理部門ではなくて、法務部門が外部委託して講師のマイナンバーを受領する必要があります。それでは、その受領したマイナンバーをどこに持っていけばいいですか。どう処理すればいいですかという話になります。社内の全体会議で話すだけではなくて、他部門の人にもこういう問題提起をして、漏れがないかの洗い出しを行います。チェックリストを作る際には、マイナンバー関連のウェブページに詳しい情報が記載されているので、それを参考に作業を進めてください。源泉徴収票のどこに記載するのかなどを具体的に定めていきます。まずは、支払い調書の雛形を集めてください。これは、監督官庁のサイトに雛形があるものとないものがあります。提出書類、提出者、提出先、根拠条文の洗い出しの作業を行います。

マイナンバーに関するガイドラインを手元に置いておいて、基本方針をまずは、策定する。個人情報保護方針の策定は、雛形を入手して、さっさと済ませてください。
これが規定の最上位のレイヤーとなります。
続いて、管理規定は、個人情報保護管理規定から漏れたものだけを記載してください。
マイナンバー法では本人確認というフローが入ってきます。従業員の源泉徴収票の作成をする場合に、取りまとめる方法はどうするのか。データを機関システムに入れておいていいのか。誰もがアクセスできるシステムに入れてしまえば、安全管理措置としては、非常に不適切です。実際の業務は、システムの中で行われるので、他社や他部門の担当者からアクセスできない方法で管理をする必要があります。入手から、法定保存期間が過ぎたあとの廃棄までのライフサイクルの全てのフローを作る必要があります。

マイナンバーを扱う担当者の人的安全管理措置も必要です。

組織的な安全管理措置も必要となります。
漏洩が起こった場合の、報告、連絡体制を定める必要がありますが、実際には、これは、ほとんど機能しないことが多くなります。なぜならほとんどの人は、こういう経験がないので、担当者がうまく対応することができません。こういう場合は、バイネームで経験のある人、処理ができる人の名前を記載しおくことが有効です。
ファイルは誰がアクセスして、誰がコピーしたのか、その記録をしっかりと取る必要があります。全て、監視されていますよ。誰がどういう挙動をしたのかを監視していると従業員に告知することが漏洩の抑止になります。マイナンバーの記載、データの保存は必要最低限に留め、必要がなくなった書類、データは、速やかに廃棄する。単発の契約を交わした場合は、との都度、マイナンバーを消去して、再度、取得をする方がいいでしょう。情報システム部門の誰が管理するのかは、バイネームで記載して、夜中でも何でも連絡が取れる方法を記載しておく。

物理的安全管理措置というのも法律に書いてあるから、言及しているが、実質的にはあまり、意味がない。

それよりは、電子媒体の盗難などの防止措置の方が重要となります。データベース全体がコピーされた場合はアラートが上がるなどの措置が有効となります。

今までの個人情報保護管理規定には、削除が記載されていなかったと思いますが、今回は、削除、廃棄についても記載する必要があります。
実務的な現場の話を中心に今回はお話しさせていただきました。