マイナンバー担当者の不安解消！ 今行うべきこと - 第4回　マイナンバーに関する“ルール”

水町 雅子
五番町法律事務所 弁護士
元内閣官房社会保障改革担当室参事官補佐

　本連載では、マイナンバーのために今やるべきことは何か、マイナンバーの取り扱いのポイントは何かを、具体的に解説していく。
　第4回の今回は、マイナンバーを取り扱う際に守らなければならないルールについて具体的に解説する。

今回のポイント「税務手続き、社会保障手続き以外には取り扱わない」

　マイナンバーを取り扱う際は、個人情報保護法、そしてマイナンバー法を遵守しなければならない。個人情報保護法、マイナンバー法では、マイナンバーの悪用を防止するために「さまざまな対策」が講じられているが、この「さまざまな対策」をすべて精緻に研究していこうとすると、かなりの時間を要する。しかし一般の会社であれば、まずはマイナンバーのポイントを押さえておけば事足りる場合が多い。より詳細な法規制については、実務上大きな問題にぶつかった場合やコンプライアンスの観点などから、法務部、弁護士に任せることとし、マイナンバーの担当者・責任者は、マイナンバーの"ルール"を理解していくことが重要だ。
　押さえておきたいルールは、以下の3点である。
①本人確認を行う
②必要以上に取得・利用・提供しない・紐づけない
③従業員・委託先を監督する

1．本人確認を行う

　マイナンバーを本人や代理人から取得するときは、本人確認を行わなければならない（マイナンバー法16条、連載第3回参照）。面倒な手続きのように思われるかもしれないが、マイナンバーによるなりすましを防止するために、重要な手続きであるので、しっかり本人確認を行っていこう。

2．必要以上に取り扱わない

［1］必要以上に取得しない
　マイナンバーは、提供を求めたり収集できる場合が、法律上限定されている（マイナンバー法14条1項、20条）。提供を求めることができるのは「個人番号利用事務等を処理するために必要があるとき」、収集できるのは「マイナンバー法19条各号に該当するとき」である。法律上認められる場合を厳密に読み解くのは労を要するが、ポイントは、「必要以上に取得しない」ということである。取りあえずもらっておこうという考え方は危険だ。では「法律上認められる場合」「必要な場合」とは、どのような場合をいうのか。
　マイナンバーは、現行の税務手続き、社会保障手続きの1項目として追加になるものである。税務手続きでは法定調書、社会保障手続きでは雇用保険、健康保険、厚生年金保険などでマイナンバーを取り扱うこととなる。これらがマイナンバーの「利用目的」であり、「法律上認められる場合（個人番号関係事務）」であり、マイナンバーを「必要」とする範囲である［図表1］。
　したがって、法定調書の対象者、社会保障手続きの対象者のマイナンバーを取得する。これ以外の人、例えば、会社の取引先やボランティアなどで法定調書の対象とならない人からマイナンバーを取得しないようにする。

［図表1］マイナンバーの取得ルール

［2］必要以上に利用しない
　また、マイナンバーを利用する範囲も、法律上限定されている（マイナンバー法9条）。民間企業がマイナンバーを利用するのは、現行の税務手続き、社会保障手続きのためであるので、これを超えてマイナンバーを利用してはならない［図表2］。
　例えば、証券会社が法定調書作成のために個人顧客のマイナンバーを利用するのは、税務手続きに必要なので認められる。一方で、マイナンバーを持っているからといって、マイナンバーを顧客番号として使ったり、顧客の株式売買履歴をマイナンバーで管理したり、顧客の投資状況・勧誘への反応をマイナンバーで管理したりしてはいけない。

［図表2］マイナンバーの利用ルール

［3］必要以上に提供しない
　また、マイナンバーを提供できる場合も法律上限定されている（マイナンバー法19条）。ここでのポイントも、必要以上に外部に出してはいけないということである。
　マイナンバーは、税務当局（国税については税務署、地方税については自治体）、ハローワーク、健康保険組合などに提供するものである［図表3］。もっとも、例外的な提供先も存在する。例えば、個人情報保護委員会（平成27年中は「特定個人情報保護委員会」）からマイナンバーの取り扱い状況について資料を提出するよう求められた場合に、個人情報保護委員会にマイナンバーが記載された書面やデータを渡す行為は、マイナンバー法上適法である（マイナンバー法19条11号）。このような例外もあるが、基本的には、税務署、ハローワーク、健康保険組合への提供が原則となるので、それ以外に提供する場合には、事前にマイナンバー法上認められるかを確認していこう。

［図表3］マイナンバーの提供ルール

［4］必要以上に紐づけない
　また、マイナンバーで個人情報を検索できる状態とすることは、法律上限定されている（マイナンバー法28条）。つまり、マイナンバーは、必要以上に紐づけてはいけない。法定調書作成や社会保障手続きに必要な情報とマイナンバーを紐づけることは可能だが、無関係の情報と紐づけてはならない［図表4］。例えば、法定調書作成の一環として従業員の給与額とマイナンバーを紐づけて管理することはできるが、本来の利用目的を超えて従業員の人事査定情報などとマイナンバーを紐づけるようなことは、基本的には認められない。
　筆者はこの点に関し、「マイナンバーと従業員の住所を紐づけてよいのか」との質問を受けたことがあった。マイナンバーを必要とする税務手続き、社会保障手続きに必要な情報とマイナンバーを紐づけることは、マイナンバー法上認められている（マイナンバー法28条）ので、住所や扶養家族の氏名、給与額、保険料額、税額などとマイナンバーを紐づけることは可能だ。マイナンバーだからといって過剰に構えず、「必要以上に紐づけない」ということを押さえていこう。

［図表4］マイナンバーと他の情報との紐づけルール

［5］取り扱い場面、取扱者を把握しよう
　上記のルールを守るためには、マイナンバーの取り扱い場面を具体的に洗い出すことが重要である（連載第2回参照）。事前に洗い出した場面以外では、マイナンバーを取り扱わないようにしよう。
　また、決められた人以外はマイナンバーを取り扱わないということも重要だ［図表5］。この点、「マイナンバーは担当者以外取り扱えないのか」と質問を受けることもあるが、誰がどのような業務上の必要性をもってマイナンバーを取り扱うかを把握していないと、必要以上にマイナンバーが取得・利用・提供等される危険がある。業務上マイナンバーを取り扱う必要がある従業員にのみマイナンバーを取り扱わせるよう、取扱者を限定しよう。ただし、取扱者は個別氏名をもって任命等しなければならないものではない。「総務課庶務担当」「各課庶務担当」等でよいので、誰がマイナンバーを取り扱う必要があるか、事前に考えよう。
　もっとも、連載第2回で解説したように、ベースは現行事務である。現在の税務手続き、社会保障手続きの担当者がそのままマイナンバーの取扱者となるのが基本である。もちろん、現在の事務フローとマイナンバー運用開始後の事務フローを変えてもよいが、その場合もベースは現在の事務フローである。現在の事務手続きをベースにすれば、取り扱い場面の洗い出し、取扱者の特定に考えられないほど膨大な時間を要するものではないと思われるし、仮に相当の時間を要するとしても、これをしっかりやることで、マイナンバー法の違法リスクを大きく抑えることができる。したがって、取り扱い場面の洗い出し、取扱者の特定を行っておくことが重要だ。

［図表5］ルールを守るための大原則

3．従業員・委託先を監督する

　マイナンバーのポイントとして、従業員の教育・監督、委託先の監督も重要だ。これらについては、回をあらためて詳しく解説していく。

水町 雅子 　みずまち まさこ 五番町法律事務所 弁護士 元内閣官房社会保障改革担当室参事官補佐 東京大学教養学部卒業後、現みずほ情報総研にてシステム関連業務に従事。東京大学法学政治学研究科法曹養成専攻を経て、西村あさひ法律事務所にてシステム案件・ファイナンス案件・企業法務案件に従事。その後、内閣官房社会保障改革担当室、特定個人情報保護委員会にて、マイナンバー法立法作業、プライバシー影響評価（特定個人情報保護評価）立案等に従事。現在は、五番町法律事務所を開設。