管理部門の業務ソリューション S-PAYCIAL エスペイシャル

いよいよ、マイナンバー制度が平成28年1月よりスタートします。
平成27年2月19日に内閣府政府広報室が「マイナンバー（社会保障・税番号）制度に関する世論調査」の概要を発表しました。
調査の内容は、マイナンバー制度の認知度や制度に対する懸念等の7項目にわたるものです。
その中で、マイナンバー制度の認知度が、28.3％とまだあまり知られていないことがわかりました。マイナンバー制度は、国民一人一人が当事者になります。また、会社の業務もマイナンバー制度が始まることによって変えざるを得ません。
前回と前々回でマイナンバー制度の概要を紹介しました。今回は、個人情報保護や就業規則への影響等を紹介していきたいと思います。

「マイナンバー（社会保障・税番号）制度に関する世論調査」より

＜利用目的の明示＞

マイナンバー制度が始まると、会社が従業員からマイナンバーを取得する際に、利用目的を本人に通知または公表する必要があります。
個人情報保護法では、個人情報取扱事業者（5,000人分を超える個人情報をデータベース化してその事業活動に利用している事業者）
は、個人情報を収集する際には、何のために個人情報を収集するのかわかるように公表することが義務付けられています。
また、収集の理由は抽象的なものではなく、利用目的を「できる限り特定する」こととされています。
この利用目的を「できる限り特定する」ためには、少なくとも次のレベルで公表しなくてはなりません。

１．個人情報取扱事業者側から見て、「個人情報をどのような目的で利用するかについて明確な認識をもつことができる」程度
２．個人情報を収集される本人が、「自己の個人情報がどのように取り扱われるか予測することができる」程度

今回のマイナンバー制度では、これまで個人情報取扱事業者でなかった中小零細企業であっても、これらの措置を講じる必要があります。
また、複数の利用目的をまとめて明示することは可能とされていますが、利用目的を後から追加することはできないことに注意が必要です。利用目的に漏れがあると、せっかく従業員から取得したマイナンバーを、その目的では使用できません。
改めて、新たな利用目的を通知または公表して、マイナンバーを取得しなおすことになります。
このような事態を防止するためには、会社はマイナンバー制度が始まる前までに、社会保障・税の分野において、どのような手続きでマイナンバーを含む個人情報を使用するのか業務の洗い出しから行う必要があります。

＜情報管理措置＞

マイナンバー制度が始まると、会社は、マイナンバーや特定個人情報の漏えい、滅失、毀損の防止などのために、必要かつ適切な安全管理措置を講じなければなりません。
個人情報取扱事業者である会社は、すでに情報漏えい等の問題に対応するためにさまざまな施策を行っていると思います。
しかし、個人情報取扱事業者でなかった会社は、必ずしも十分な対策がとられていないことも多く、適切な管理を行うために、これから次の４つの施策を行う必要があります。
この４つの施策は、どれかを重点的に行えば良いのではなく、すべてをバランスよく行っていくことが重要になります。

１．組織的安全管理措置
組織体制の整備、取扱規程等に基づく運用、取扱状況を確認する手段の整備、情報漏えい等事案に対応する体制の整備、取扱状況の把握や安全管理措置の見直し
２．人的安全管理措置
事務取扱担当者の監督や教育
（これには、直接マイナンバーを使用して業務を行う担当者だけではなく、従業員から担当者へ渡すまでの間に経由する直属の上司や事業所責任者も含まれます。）
３．物理的安全管理措置
特定個人情報等を取り扱う区域の管理、機器や電子媒体等の盗難等の防止、電子媒体等を持ち出す場合の漏えい等の防止、マイナンバーの削除、機器や電子媒体等の廃棄ルールの策定
４．技術的安全管理措置
アクセス制御、アクセス者の識別と認証、外部からの不正アクセス等の防止、情報漏えい等の防止措置など

＜就業規則への影響＞

いくら安全管理措置を完璧にしたとしても、マイナンバーを巡る不祥事（情報漏えい等）が起こらないという保証はありません。
あくまでも、個人番号を扱うのは「人」であるということを忘れてはいけません。
もし、従業員が意図的に個人番号を含む個人情報を漏えいさせてしまった場合に、会社は懲戒処分を行うことになります。
会社で懲戒処分を行うには、就業規則に懲戒の根拠となる処分事由と、これに対する処分の種類を明確に定めておく必要があります。
「このような違反行為を行った者には、このようなペナルティを与える」ということを、事前に従業員全員に周知していることが
重要です。
情報を意図的に漏えいさせてしまうといった行為は、懲戒処分を受けてしかるべきでしょう。
しかし、該当する懲戒事由が就業規則上に記載されていない場合は、原則として懲戒処分を行うことすら難しくなります。
情報漏えいに関して常識的には考えつかないような行為まで就業規則でフォローをするのは不可能ですが、「個人番号を含む個人情報を故意または重大な過失によって漏えいさせてはならない」といった内容は、就業規則に記載しておく必要があるでしょう。
また、前述の「個人情報の利用目的」や「情報管理措置」をすでに就業規則や付属規程で定めている会社もあります。
マイナンバー制度にも対応できているか、この機会に就業規則や付属規程を見直すことも考えなければなりません。

マイナンバー制度が始まると会社の事務手続きは、これまでの方法と大きく変わります。また、このままのペースで行くと、マイナンバーのスタート時に制度を知らない従業員も数多く出てくることが予想されます。会社がいざマイナンバーを取得しようと
思っても、スムーズに行かない可能性が強まってきました。
担当者は、前倒しで業務フローの見直しや洗い出し、システムの改善等の準備を進めていかなければなりません。