マイナンバー取扱規程（特定個人情報取扱規程）の作成義務｜100人以下の対応法も解説

マイナンバー取扱規程は作成しないといけませんか？

マイナンバー取扱規程（特定個人情報取扱規程）は、作成した方が良いですか？

従業員数が100人を超える企業は、ガイドラインによって、マイナンバー取扱規程（特定個人情報取扱規程）を作成することが義務付けられています。従業員数が100人以下の企業も作成した方が良いです。

マイナンバー取扱規程（特定個人情報取扱規程）の作成義務

マイナンバー取扱規程（特定個人情報取扱規程）の作成義務の話を進める前に、マイナンバーに関連する用語について、整理しておきましょう。

マイナンバーとは、個人番号のことです。個人番号では堅苦しいので、親しみやすくするために言い換えたものです。
番号法とは、マイナンバーについて定められた法律のことです。正式な名称は、「行政手続きにおける特定の個人を識別するための番号の利用等に関する法律」と言います。マイナンバー法と呼ばれることもあります。
個人情報とは、氏名、生年月日、性別、住所、職業、メールアドレスなど、特定の個人を識別できる情報のことを言います。
特定個人情報とは、個人情報で、その内容に個人番号（マイナンバー）を含むものを言います。
ガイドラインとは、法律だけでは分かりにくい部分があるため、具体的にどのように行動すれば良いのかという指針を示したり、具体的な判断基準や解釈を示したりするものです。番号法（マイナンバー法）については、「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」が公表されています。

従業員数が100人超の企業：作成義務あり

ガイドラインによって、従業員数が100人を超える企業については、特定個人情報の具体的な取扱いを定めた取扱規程を作成することが義務付けられています。

そのため、従業員数が100人を超える企業は、マイナンバー取扱規程を作成しないといけません。この場合は、取扱規程を作成した方が良いかどうかという議論の余地はありません。

従業員数が100人以下の企業：作成を推奨する理由

ガイドラインにより、従業員数が100人以下の「中小規模事業者」については、取扱規程の作成は義務付けられていません。その代わり、特定個人情報の取扱いを明確化することが定められています。

それで、「特定個人情報の取扱いを明確にしてください」と言われても、漠然とし過ぎて、経営者は戸惑ってしまうのではないでしょうか。

例えば、特定個人情報を取得するとき、利用するとき、保存するとき、廃棄するときに、どのように処理をするかといったルールを定めることになります。そして、それを文書化したものは、結局は、「取扱規程」と同じようなものになるはずです。

そのときに、雛形やサンプル等がない状態で、場当たり的にルールを定めていると、漏れが生じる可能性が高いです。それなら、最初から「取扱規程」として作成を進める方が、規定の漏れを防げます。規定の漏れは、特定個人情報の漏えいに繋がりかねません。

番号法は、個人情報保護法より罰則が強化されていて、最高で4年以下の拘禁刑（旧懲役・禁錮）、200万円以下の罰金が設定されています。また、両罰規定が適用されて、違反した従業員本人だけでなく、企業（法人）にも同額（200万円以下）の罰金が科される可能性があります。

過失によって（故意ではなく不注意で）、特定個人情報を漏らした場合は、企業に罰則が科されることはありませんが、損害賠償を請求される可能性はあります。そのような事態になると、社会的な信用が失墜することは避けられませんので、企業規模に関係なく、特定個人情報の漏えいは大きなリスクになります。

以上により、従業員数が100人以下の企業であっても、マイナンバー取扱規程は作成した方が良いと思います。

マイナンバー取扱規程と特定個人情報取扱規程、どちらの名称が適切か

マイナンバー取扱規程を作成するとして、企業においては、マイナンバー（個人番号）を単体で取り扱うより、個人情報とセットで、つまり、特定個人情報として取り扱うケースが多くなります。

そのため、取扱規程では、特定個人情報に関する記載が多くなりますので、マイナンバー取扱規程とするより、特定個人情報取扱規程とした方が実態と合っています。

なお、特定個人情報の取扱いについて、どれぐらい厳しく管理するかは、それぞれの企業によって違ってきます。

例えば、大企業であれば、ICカードで入室を制限したりすることも考えられますが、中小零細企業では余り現実的ではありません。特定個人情報を漏えいしないために、それぞれの企業で、できる範囲で管理をしていれば問題になることはありません。

マイナンバー取扱規程に定めるべき主な項目

特定個人情報取扱規程（マイナンバー取扱規程）には、一般的に次のような項目を定めます。

特定個人情報の取得方法（利用目的の通知・本人確認の方法）
特定個人情報の利用範囲（社会保険・税金に関する手続きに限定）
保管方法（アクセス制限、パスワード設定等の安全管理措置）
廃棄・削除の方法とタイミング（法定保存期間経過後、速やかに廃棄）
事務取扱担当者の指定と権限の明確化
委託先がある場合の委託先の選定基準・監督方法
漏えい等が発生した場合の報告・対応フロー

これらの項目は、ガイドラインが求める組織的・人的・物理的・技術的安全管理措置に対応するものです。項目に漏れがあると、規程を作成していても実効性がないと判断される恐れがあります。

特定個人情報取扱規程のサンプル（雛形）について

キノシタ社会保険労務士事務所で、特定個人情報（マイナンバー）取扱規程のサンプル（雛形）を用意しています。中小零細企業を想定して、余り負担が掛からないよう工夫をして、現実的な内容で定めたものです。

立派過ぎる取扱規程を作成しても、手間が掛かり過ぎたり、内容を理解できなかったりして、実行できなければ意味がありません。管理がゆる過ぎて漏えいしてはいけませんが、現実的な内容かどうかは重要なことと思います。

らくらく就業規則作成やメール顧問など、当事務所のサービスをご利用いただいたお客様に、特定個人情報（マイナンバー）取扱規程のサンプル（雛形）など、マイナンバーに関連する資料を無料で提供しています。

当事務所から提供可能なサンプル（雛形）及び資料は次のとおりです。

【マイナンバー（特定個人情報）取扱規程】
【特定個人情報の取扱いに関する誓約書】
→ 漏えいしないことや損害賠償等について定めた誓約書です。
【個人番号申出書】
→ 控除対象配偶者、控除対象扶養親族の個人番号を提供してもらうための申出書です。次の「委任状」と兼用しています。
【委任状】
→ 従業員の配偶者のマイナンバーを提供してもらうための委任状です
【特定個人情報等の取扱い状況記録票】
→ マイナンバーの取扱いを記録するための帳票です。
【マイナンバー制度の概要】
→ 最低限知っておくべき内容を整理した事務所便りです。
【マイナンバー制度の実務対応】
→ マイナンバーの実務の対応について、整理した事務所便りです。

全て中小零細企業を想定して作成したものです。ここに挙げた一式で、マイナンバーと特定個人情報について、通常の実務対応に必要な書類は揃っています。これに基づいて対応すれば、法律で求められている基準はクリアできます。

マイナンバー管理と合わせて検討したい関連規程・相談事例

執筆者：社会保険労務士木下貴雄【登録番号第27020179号】
就業規則を専門とする社会保険労務士です。メールを用いた関連サービスは20年以上の実績があり、全国の中小零細企業を対象に、これまで900社以上の就業規則の作成・変更に携わってきました。