日商、企業のマイナンバー対応について公表
岩田合同法律事務所
弁護士 唐 澤 新
日本商工会議所は、平成27年6月24日、一般財団法人日本情報経済社会推進協会（JIPDEC）との共催で全国各所で開催した「企業におけるマイナンバー制度実務対応セミナー」への参加者に対して行った、マイナンバー制度対応状況についてのアンケート結果（以下「本アンケート結果」という。）を取りまとめ、発表した。調査の結果、多くの企業がマイナンバー制度対応の初期段階で苦戦している現状が明らかとなった。
マイナンバー制度の導入により、行政機関だけでなく、一般の事業者においても、従業員やその扶養家族等の個人番号を取り扱うことになる。そして、事業者は、「行政手続における特定の個人を識別するための番号の利用等に関する法律」（以下「法」という。）により、①原則として、社会保障、税及び災害対策に関する特定の事務のためにしか特定個人情報（個人番号をその内容に含む個人情報のこと）を利用できないという「特定個人情報の利用制限」（法9条）、②特定個人情報の保管のための「特定個人情報の安全管理措置の構築」（法12条）、③事業者が特定個人情報を提供できるのは、社会保障、税及び災害対策に関する特定の事務のために従業員等の特定個人情報を行政機関等及び健康保険組合等に提供する場合等に限られるという「特定個人情報の提供制限」（法19条）等の法規制を受ける。
本アンケート結果によれば、2,213名の回答者のうち、マイナンバー制度について、「今すぐにでも対応しなければならないという危機感を持っている」と回答した者が20.6％、「着手しなければならないという意識は持っている」が67.0％と、経営層がマイナンバー制度について非常に高い関心を示していることがわかるが、同時に、制度の導入にあたり困っていることとして、「マイナンバー導入に向けた具体的な準備計画の作成」が72.5％を占め、また、「安全管理措置の構築にかかる方法」が49％を占めるなど、多くの企業においてマイナンバー制度の導入・運用に耐えうる体制が依然として整備されていないことが明らかとなった。
（日本商工会議所ホームページより）
このうち、マイナンバー制度の導入段階の準備計画の作成にあたっては、平成27年10月より個人番号の通知が始まり、平成28年1月から順次個人番号の利用が開始される予定であることから、まずは特定個人情報の「取得」の局面が問題となる。
事業者は、特定個人情報の取得にあたり、個人番号の利用目的をできる限り特定しなければならない（法15条）が、その特定の程度としては、本人が、自ら個人番号がどのような目的で利用されるのかを一般的かつ合理的に予想できる程度に具体的に特定する必要があり（「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」（以下「ガイドライン」という。）14頁）、個人番号を取得する際には、本人に対してこのようにして特定した利用目的の通知等を行う必要がある（法18条1項）。したがって、特に、従業員のみでなく外部の顧客等からもマイナンバーを取得することとなる金融機関などの事業者においては、かかる要求をも満たす具体的なプライバシーポリシーを策定する（または、既存のポリシーを改訂する）ことが必要となる可能性もある。
また、昨今の個人情報漏えい事件によって世間一般にマイナンバーを含む個人情報漏えいに対する懸念が広がる中で、事業者にとっては、マイナンバーについて「安全管理措置」をいかに講じるかが大きな課題の一つとなっている。外部からの電子機器へのアクセス、情報漏えいの防止のための技術的安全管理措置については、専門家と協働して情報システムを構築・強化することとなろうが、事業者自身が対策を講じることができる事項もある。
例えば、特定個人情報等の情報漏えいを防止するために、事業者は、特定個人情報ファイルを取り扱う情報システムを管理する区域（以下「管理区域」という。）及び特定個人情報等を取り扱う事務を実施する区域（以下「取扱区域」という。）を明確にし、それぞれについて「物理的」な安全管理措置を講ずることが必要とされている。「管理区域」の物理的安全管理措置としては、入退室管理（ICカード、ナンバーキー等による入退室管理システムの設置等）及び管理区域へ持ち込む機器等の制限等が考えられ、また、「取扱区域」について、壁又は間仕切り等の設置及び座席配置の工夫等が考えられるが（ガイドライン（別添）特定個人情報に関する安全管理措置（事業者編）54頁。）、これらは、事業者自身がすぐにでも取り掛かることができる事項であると思われる。
平成28年1月1日のマイナンバーの利用開始まで半年を切り、企業にとってもマイナンバー対応は「待ったなし」である。必要に応じて弁護士等の専門家の助言も得ながら、怠りなく準備することが肝要である。