マイナンバーへの対応を急げ！（第1回） 情報漏えいの罰則はあらゆる企業に。万全準備が急務

　2016年１月から税と社会保障の共通番号（マイナンバー）制度の利用がスタートする。その影響は企業規模や業種業態に関係なく、あらゆる企業に及ぶ。業務プロセスや人事給与システムなどの見直しも必要になるだけに早めの準備が必要だ。

　マイナンバー制度は国民一人ひとりに12桁の番号を割り振り、個人の特定を可能にする。個人の所得を把握しやすくなり、公平な税負担の実現のほか、行政サービスの向上と効率化などの面でも期待されている。

　マイナンバーの本人への通知作業は今年秋に始まる。自治体が住民票のある個人に通知カードを送付し、希望者はそれと引き換えに顔写真やICチップ付きの個人番号カードを受け取る。身分証明書としても使えるカードだ。

　その利用対象となる分野は、当初は社会保障と税、災害対策のみに限定されている。また、企業が収集した従業員のマイナンバー情報は行政のみに提供される。ただ、将来的には民間における活用も視野に入れられている。

番号の取得、登録、管理、運用で適切な扱いが求められる

　マイナンバー制度の運用において、企業が担うべき役割は大きい。第１に、個人番号の取得。すべての社員およびアルバイトなど、雇用者全員の番号を取得しなければならない。従業員によっては、住民票の住所と現住所が異なるケースも考えられる。その場合、従業員が自治体からの通知を受け取れない可能性もあるので企業側にも注意が必要だ。

　第２に、人事給与システムなどへの個人番号の登録である。取得と登録の過程で、企業は本人から番号の申告を受け、それが正しいことを確認する必要がある。従業員が多い企業、多拠点展開する企業ほどそのために要する労力は大きくなる。

　第３に、個人番号の管理である。万一この情報が漏えいした場合、従業員だけでなく企業にも罰則がある（図表参照）。不注意や不正による情報漏えいリスクをいかにコントロールするか、最小化するかが問われている。

　最後に、破棄のプロセスがある。アルバイトを含む従業員が退職した場合、企業は一定期間後にマイナンバー情報を適切に破棄しなければならない。「いずれ何かの役に立つかも」といった安易な考えで保管を続けることはできない。

　以上、大きく４つのプロセスにおいて、企業には全雇用者のマイナンバー情報を適切に取り扱うことが求められる。その上で、行政機関に対してマイナンバー情報を付した届出や通知などを行う。個人番号が必要とされる行政への提出書類は多種多様だ。

　代表的な例は、源泉徴収票や社会保険関係書類である。一人ひとりの雇用者について、個人番号を記載した形で行政当局に提出する。そのためには、個人番号を記入できるよう帳票のレイアウトを変更したり、情報システムの見直しを行ったりする必要がある。

　パッケージ製品を利用している場合には、製品提供企業がマイナンバー制度を踏まえて開発するアップデートの適用により、情報システム面での対応は可能だろう。ただ、アップデートがいつ、どのような形で提供されるかについては確認すべきだ。また、システム間のつなぎ目などでヌケ・モレがないようにしたい。パッケージではなく、独自のシステムを構築している企業の場合には、制度対応のためのプログラム開発が必要になる。

最大のリスクは情報漏えい、従業員の不正は企業にも罰則

　企業にとって最大のリスクは、マイナンバー情報の漏えいだ。例えば、不正アクセス行為などによって個人番号を取得した場合、業務上知り得た個人番号を不正な利益を得る目的で提供または盗用した場合などには、その行為を行った従業員だけでなく企業も罰則の対象になる（両罰規定）。

　こうした事態を避けるためには、従来以上のセキュリティ態勢が求められる。従業員に対する教育の徹底はもちろん、情報システムのセキュリティも重要だ。誰がどのような情報にアクセスできるのかというルールを明確に定めた上で、それを担保するアクセス制御などの仕組みを整える必要がある。

　また、マイナンバー制度は企業にとって業務効率化につながる側面もあるが、逆に負荷の増大を懸念する声もある。特に、アルバイトなど短期雇用の比重の高い業態では、どの程度の手間やコストがかかるのかを事前に見極めておくべきだろう。その結果次第では、人材派遣へのシフト、マイナンバー関連業務の外部委託という選択肢も検討すべきかもしれない。

　マイナンバー制度の開始が約半年後に迫っている。準備ができていない企業は、早急に対応策の検討に入る必要がある。業務プロセスやITの現状を見つめ直し、強固な情報セキュリティを構築するきっかけにできれば理想的だ。いずれにしても、制度改正のメリットを最大化し、リスクを最小化する対応をそれぞれの企業が工夫する必要がありそうだ。