先週は、東京で労働関連法の改正・施行内容、それに伴う就業規則の実務的な整備に関するセミナー講師を務めてきましたが、その際に数多くいただいたご質問がマイナンバーに関する内容です。

今回は、マイナンバーに関していただいたご質問から、安全管理措置に関する中小規模事業者の軽減措置、そのうち「基本方針」、「取扱規定等」の策定に関する措置について解説します。

事業者に求められる6つの安全管理措置

マイナンバー対応として、事業者には安全管理措置が求められていますが、ポイントは以下の6つです。

そして、特定の業種は除かれますが、従業員数100人以下の中小規模事業者には軽減措置があります。

1. 基本方針の策定
2. 取扱規程等の策定
3. 組織的安全管理措置
4. 人的安全管理措置
5. 物理的安全管理措置
6. 技術的安全管理措置

質問・中小規模事業者も基本方針・取扱規程等を策定しなければならないか？

弊社は中小規模事業者に該当するが、基本方針・取扱規程等を策定しなければならないか？

策定した方がよいのはわかっているが、義務なのかどうかを知りたい。

回答

安全管理措置の中で、中小規模事業者に認められている軽減措置については、特定個人情報の適正な取扱いに関するガイドラインの別添・特定個人情報に関する安全管理措置、P50・51で個別に示されています。

わかりやすくイメージ図を作成してみました。

基本方針に関する軽減措置はなし

ガイドラインでは、基本方針の策定について以下のように記載されています。

特定個人情報等の適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である。

義務なのかどうかと聞かれると、任意と回答せざるを得ません。ただ、「重要である」と強調されていることは指摘しておきます。

そのため、率直に言えば、任意のものになるので、中小規模事業者に対する軽減措置はありません

なお、この基本方針に定める項目について以下のように例示されています。

• 事業者の名称
• 関係法令・ガイドライン等の遵守
• 安全管理措置に関する事項
• 質問及び苦情処理の窓口

取扱規程等は軽減措置あり

次に取扱規程等についてですが、ガイドラインでは以下のように記載されています。

明確化した事務において事務の流れを整理し、特定個人情報等の具体的な取扱いを定める取扱規程等を策定しなければならない。

これは間違いなく義務です。特定個人情報等の具体的な取扱いを定めることが求められています。

その内容はガイドラインを参照いただくとして、中小規模事業者には以下のような軽減措置が認められています。

• 特定個人情報等の取扱い等を明確化する
• 事務取扱担当者が変更となった場合、確実な引継ぎを行い、責任ある立場の者が確認する

ただし、「取扱い等を明確化する」ためには、取得、利用、保存、提供、削除・廃棄というフローで考える必要があり、明確化しておくためには、やはり書面にしておくべきです。

そのため、取扱規程等の策定という義務はないこと、明確化しておく項目の自由度が増すというメリットはあるということです。

なお、当事務所では、中小規模事業者といっても数名程度の会社でなければ、取扱規程等の策定をオススメしていますし、規程の作成についてもご依頼を受けております。