マイナンバーの事務取扱担当者の方は、マイナンバー法の考え方の理解も必要です。個人情報保護法とは違い、マイナンバーの取り扱いには制限事項が多く、マイナンバーの収集と保管は必要な範囲に限定して認められています。言い換えると、法律で許可されていない範囲でマイナンバーを入手することはできません。このようなマイナンバー法の思想を理解して、実務のさまざまなシーンで応用していくことが必要になります。しかし、法律は難解な用語で書かれていますので、内閣府が発行しているマイナンバー法の逐条解説やマイナンバーについて解説した書籍を読むことも法律を理解する方法の一つです。しかし、正直なところは「これを勉強しておけば万全」というものはないのかもしれません。

事務取扱担当者ではない一般の従業員の方に覚えておいていただきたいのは、自分のマイナンバーを不用意に提示してはいけないということです。例えば、フィットネスクラブなどで身分証明証として運転免許証を提出した場合、控えとしてコピーをとられることがあります。個人情報保護法では、本人の同意があればこうした個人情報を入手することが許されていましたが、マイナンバー法では本人の同意があっても企業の実務でマイナンバーを使用することがなければ、入手することはできません。これを知らずに窓口業務に就かれている方が、お客様から身分証明証として提示された個人番号カードのマイナンバーが記載されている裏面をコピーすれば違法行為となってしまいます。個人番号カードを身分証明証として使用する場合にコピーが許されているのは表面のみで、マイナンバーが記載されている裏面をコピーすると違法になることを周知する必要があります。自身が身分証明証として個人番号カードを提示する際には、裏面のコピーを取られてはいけないことを知っておいていただければと思います。

マイナンバー制度の正式名称は「社会保障・税番号制度」です。税に関しては税理士、社会保障は社会保険労務士がそれぞれの専門家です。また、公認会計士は企業・組織で内部統制の監査を担っていることから、会社の仕組みをよく理解していますので、人事や総務部門の業務のルールや仕組みを客観的に評価してアドバイスできます。そのほかにも企業実務や情報管理に長けた弁護士に相談されるというのも一案だと思います。

自組織の担当者だけで規程・ルールを見直すことが可能ならば問題ありませんが、これからスタートする、まったく新しい制度に対応する取り組みでは不明瞭な点も多く、不安に思われているのではないでしょうか。また、ほかの企業や組織がどのように対応を進めているのかも気になるところではないでしょうか。そういう意味でも、われわれのような専門家の活用を検討されてもよいかと思います。

安全管理措置についても、具体的な施策については企業判断に委ねるとされています。しかも、マイナンバーに関連する規程や方針については、企業・組織が個々の実情を踏まえて策定するべきものとして、政府 / 省庁からはひな型を提示する予定はないと言われています。制度の開始までに残された時間が限られている現時点では、まず企業の担当者でしか対応できない部分に力を注いでいただき、規程や方針の作成については専門家に任せるという方法も選択肢の一つだと思います。

先にも述べましたが、図2（前ページ）に記載しているような、マイナンバーの影響を受ける企業実務を把握することに加えて、業種形態や従業員数、拠点展開などの情報を提示いただければ、それらを基におおよその影響範囲をイメージできます。これらの情報があらかじめ棚卸されていれば、どこにどんな問題が潜んでいるのか、どのように対策を講じればいいのかを予想した上で各企業に合わせたロードマップが提示でき、相談いただいた際の対応がスムーズになります。また、全体としてどのくらいの工数がかかるのかもイメージしていただきやすくなると思います。

海外の企業では業務が縦割りされているので、それぞれの従業員が担っている実務の内容や取り扱う文書の種類まで業務区分が細かく決められて、その範囲内で業務を行っているため、責任の所在をすぐに特定できます。国内企業の場合には、そのような業務区分が規定されている企業や組織は多くはないため、まずは誰が何を担当しているのかを把握し、整理することから始まります。

マイナンバーを含む電子化されたデータの保管・取扱いルールは、基本的には紙の書類と同様です。マイナンバーが記載された書類は「法令上の保管期間を経過した場合、できるだけ速やかに廃棄または削除しなければならない」とされていますが、電子データ上のマイナンバー自体については、必要性や廃棄の時期を各企業・組織で判断することになっています。源泉徴収票の再発行などを含めた関係事務で使用する可能性がある場合には保管することもできますが、マイナンバーのガイドラインでは使用する可能性がなければ速やかに削除することが求められています。企業・組織の実務としては、削除または廃棄した記録を保存することも求められていますし、マイナンバーが記載された帳票を書類単位で保管するか否かを判断していくことになるのではないでしょうか。

また、マイナンバーを含む電子データをシステムで管理されている場合、「削除した」といっても実際には削除フラグを立てているだけで、バックアップデータには残ったままになっていることも考えられます。システム上で見えている部分を削除するだけでなく、完全に削除される運用方法を検討してください。さらに、情報システム部門やアウトソーシングしている外部業者のバックアップデータからも廃棄されていることが確認できる仕組みの構築も必要です。

登録や出力などを行う従業員が、本当に作業が認められている本人（事務取扱担当者）なのかをシステム上でチェックできる機能や、不要な情報を出力できないようにすること、マイナンバーの事務取扱担当者でなければデータを閲覧できないようにするといったことが必要になると思います。アクセス権が適切に設定されているかを確認することももちろんですが、アクセスログを収集しマイナンバーの情報に誰がアクセスしたのかを監視できる機能も必要です。さらに、帳票などの印刷時にマイナンバー出力の有無を選択できたり、対話形式のダイアログ画面で関係事務を選ばせて、印刷が許される事務に該当した場合にのみ出力を認めるなど、安易に印刷できないようにする仕組みも必要ではないでしょうか。図3

図3例えば人事労務系システムへの影響として考えられること

廃棄については、情報を登録した時点から計算して、保管が認められない時期がきたら廃棄を促し、さらにマイナンバーが確実に削除されたことをチェックできる機能が望ましいと思います。