事業者のマイナンバー取扱いの義務を分かりやすく解説

事業者がマイナンバー（個人番号）を取り扱うときは、番号法（正式名称：行政手続における特定の個人を識別するための番号の利用等に関する法律）と個人情報保護法に基づき、利用範囲の制限、収集・保管の制限、提供の制限、安全管理措置、本人確認、委託先の監督、漏えい等発生時の報告など、多岐にわたる義務を負います。これらは従業員の社会保障・税手続きなど法定事務のために番号を扱う際、取得から廃棄までのすべてのプロセスで求められます。

この記事では、事業者が押さえておくべき7つの主要義務を、条文と個人情報保護委員会のガイドラインをもとに整理します。

マイナンバー取扱いの前提：番号法が定める枠組み

マイナンバー制度は、社会保障・税・災害対策の分野で個人情報を効率的に管理する仕組みです。事業者は、従業員の社会保険手続きや源泉徴収票の作成など、法令で定められた「個人番号関係事務」を行う際に、従業員本人やその扶養親族等のマイナンバーを取り扱うことになり、この立場で「個人番号利用事務等実施者」として義務を負います（番号法第12条）。

義務はマイナンバーのライフサイクル（取得→利用→提供→保管→廃棄）に沿って体系化されており、以下で順に確認していきます。

1. 利用範囲の制限

事業者は、法令で定められた事務（社会保障、税、災害対策に関する事務など）の処理に必要な限度でのみ、個人番号を利用できます（番号法第9条）。従業員の給与計算、社会保険手続き、源泉徴収票の作成などがこれに該当します。法定事務の全部または一部の委託を受けた者も、同じ範囲で利用できます。

裏を返せば、社員名簿の管理や社内の識別番号としての利用など、法定事務以外の目的でマイナンバーを利用することはできません。

2. 収集・保管の制限

特定個人情報（マイナンバーを含む個人情報）は、利用範囲に該当する場合を除いて、収集も保管もしてはならないと定められています（番号法第20条）。利用目的の達成に必要な範囲を超えてマイナンバーを集めたり手元に置いたりすることは、原則として認められません。

そのため、法定事務が終わり保管の必要がなくなった時点で、速やかに廃棄・削除する運用が求められます。

3. 提供の制限

特定個人情報の他者への提供は原則禁止で、番号法第19条に列挙された例外的な場合にのみ許容されます（番号法第19条）。例えば、個人番号利用事務実施者が事務処理に必要な限度で本人・代理人・個人番号関係事務実施者に対して提供する場合などが該当します。これ以外の目的で第三者に提供することはできません。

4. 安全管理措置

個人番号利用事務等実施者は、個人番号の漏えい、滅失または毀損の防止その他の適切な管理のために必要な措置を講じる必要があります（番号法第12条）。これは個人情報保護法における個人情報取扱事業者の安全管理措置義務（個人情報保護法第23条）と同様に、組織的・人的・物理的・技術的の4つの観点から具体化されるものです。

個人情報保護委員会の「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」では、特定個人情報ファイルへのアクセス制限、持ち出し制限、不正アクセス対策、従業員への教育などが具体的な指針として示されています。

組織的・人的・物理的・技術的の4側面

ガイドラインが示す4側面は、たとえば以下のような対応をイメージすると分かりやすいです。

• 組織的：特定個人情報取扱規程の策定、責任者の配置、取扱状況の記録
• 人的：従業員への定期的な教育・研修、秘密保持の徹底
• 物理的：特定個人情報を取り扱う区域の管理、機器・書類の盗難防止
• 技術的：アクセス制御、不正アクセス対策、情報システムの監視

5. 本人確認の義務

個人番号の提供を受ける際には、厳格な本人確認が義務付けられています（番号法第16条）。具体的には、個人番号カードの提示を受ける、または通知カードと身元確認書類（運転免許証など）の提示を受けるといった措置が必要です。これにより、なりすましによる不正な個人番号の取得を防ぎます。

6. 委託先の監督義務

個人番号利用事務等の全部または一部を外部に委託する場合、委託元は、委託先における特定個人情報の安全管理が図られるよう、必要かつ適切な監督を行わなければなりません（番号法第11条）。ガイドライン上は、委託契約における安全管理措置の明記、委託先の選定基準の明確化、定期的な監査などが求められます。

委託先がさらに再委託を行う場合も、最終的な責任は委託元にあると理解して、契約と監督の設計を行う必要があります。

7. 漏えい等発生時の報告・通知

特定個人情報の漏えい、滅失、毀損その他の安全確保に係る事態であって、個人の権利利益を害するおそれが大きいものが発生した場合、個人情報保護委員会への報告が義務付けられています（番号法第29条の4）。原則として本人への通知も必要です。

個人情報保護委員会は、漏えい等事案が発生した場合の対応について専用ページを設けており、実務ではこの手順に沿って迅速に報告・通知を行うことになります。

8. 従事者の守秘義務

個人情報の取扱いに従事する者は、その業務に関して知り得た個人情報の内容をみだりに他人に知らせたり、不当な目的に利用したりしてはなりません（個人情報保護法第67条）。この守秘義務は、マイナンバーを含む特定個人情報にも及ぶものと位置付けられます。就業規則や誓約書での明文化、教育・研修による意識付けが重要です。

よくある質問

Q1. マイナンバーを従業員から取得する際、口頭確認だけで済ませても良いですか？

できません。番号法第16条は、個人番号の提供を受ける際に、個人番号カードの提示を受ける、または通知カードと身元確認書類（運転免許証など）の提示を受けるといった措置を求めています。なりすまし防止のため、必ず定められた方法で本人確認を行う必要があります。

Q2. マイナンバーの取扱いを社労士や税理士に委託する場合、事業者側に義務はありますか？

あります。番号法第11条により、委託元は、委託先における特定個人情報の安全管理が図られるよう、必要かつ適切な監督を行う義務があります。個人情報保護委員会のガイドラインでは、委託契約における安全管理措置の明記、委託先の選定、定期的な監査などが例示されています。詳細は個別の契約・実務に応じて専門家に確認してください。

Q3. マイナンバーが漏えいした場合、どのような対応が必要ですか？

個人の権利利益を害するおそれが大きい漏えい等の事態が生じたときは、番号法第29条の4に基づき、個人情報保護委員会への報告が必要になります。原則として本人への通知も必要です。個人情報保護委員会は「特定個人情報の漏えい等事案が発生した場合の対応について」を公表しているので、具体的な手順・様式はそちらを確認したうえで、専門家に相談することをおすすめします。

※本記事はAIによる調査支援を活用して作成した参考情報です。制度の詳細や最新の取扱いは、必ず一次情報および専門家にご確認ください。