私物スマホ（BYOD）業務利用のルール：許可する範囲・セキュリティ・通信費の負担と課税
社用スマホを配らず、私物スマホでメールやチャットを使ってもらう会社は少なくありません。総務省のテレワークセキュリティガイドラインが示すBYODのリスク、許可する業務の範囲、端末に求めるセキュリティ設定、紛失・退職時の対応、通信費を会社が負担するときの国税庁FAQの考え方、勤務時間外の連絡の扱いを整理します。
- 対象読者
- 社員の私物スマートフォン・PCの業務利用をルール化したい総務担当者
- 難易度
- 実務
- 所要時間
- 読了9分
- 最終確認日
この記事のポイント
- 総務省のガイドラインは、私物端末ではデータ保存の制限やウイルス対策ソフトの強制ができず十分な統制が取れないため、リスクが受容可能か評価したうえでBYODの可否を決めるよう求めている
- BYODを認めるなら、使ってよいアプリ・データ・端末の条件（画面ロック・OS更新など）を決め、申請制にする。紛失時の報告と退職時のデータ削除も規程に入れる
- 通信費を渡し切りの定額で支給すると給与として課税される。業務使用部分を合理的に計算して精算する方法なら課税しなくてよい（国税庁の在宅勤務FAQ）
「社用スマホを全員に配る予算はないけれど、チャットやメールは外出先でも見てほしい」。中小企業では、社員の私物スマートフォンを業務に使ってもらう、いわゆるBYOD（Bring Your Own Device）が広く行われています。ルールがないまま使っていると、紛失や退職のときに会社の情報がどこに残っているのか分からなくなります。
この記事では、私物端末の業務利用を認める場合のルールの作り方を、総務省のテレワークセキュリティガイドラインと国税庁のFAQに沿って整理します。
BYODのリスクを確認する
総務省の「テレワークセキュリティガイドライン（第5版）」は、私物端末（個人所有端末）を使う場合について、次のように説明しています。
- 私物端末上にデータ保存が可能であることや、マルウェア対策ソフトなどのインストールを強制できないなど、十分なセキュリティ統制が取れない
- そのため、セキュリティインシデントが発生しうるリスクを認識し、そのリスクが受容可能か評価したうえで、BYOD利用の可否を決定する必要がある
- 私物端末を使う場合は、あらかじめBYOD利用にあたってのルールの策定、端末に必要なセキュリティ対策が施されていることの確認、BYODで利用する端末の管理を行う必要がある（リモートデスクトップ方式などの説明）
| 会社貸与の端末 | 私物端末（BYOD） |
|---|---|
| 会社が設定を管理できる | 設定は本人任せになりやすい |
| 紛失時に遠隔ロック・消去しやすい | 個人のデータもあり、会社が消去しにくい |
| 退職時に回収できる | 回収できない。データ削除は本人の協力が必要 |
| 端末代・通信費は会社負担 | 費用負担のルールが必要 |
「どこまで認めるか」を決める
BYODは「全部認める」か「全部禁止」かではなく、業務の範囲と端末の条件で線を引くのが現実的です。
| レベル | 認める業務の例 | 考え方 |
|---|---|---|
| 認めない | 顧客の個人情報、マイナンバー、給与データ、設計図などの機密情報の閲覧・保存 | 私物端末に残ると回収できない |
| 条件付きで認める | 会社のメール・チャット・スケジュールの閲覧と返信 | 会社が管理できるアプリ・アカウント経由で、端末にファイルを保存しない |
| 認める | 多要素認証の認証アプリ、安否確認サービス、勤怠打刻 | 業務データがほぼ残らない |
扱う情報の重要度は、IPAの「中小企業の情報セキュリティ対策ガイドライン」の考え方（情報資産ごとに重要度を決める）で整理すると判断しやすくなります。個人情報の扱いは中小企業の個人情報・マイナンバー管理の基本も参照してください。
端末に求めるセキュリティ条件
BYODを申請制にし、次の条件を満たす端末だけを登録します。
| 条件 | 内容 |
|---|---|
| 画面ロック | パスコード・生体認証で画面ロックを設定する（9か条「その6」） |
| OSの更新 | OSとアプリを最新の状態に保つ。サポートが終了した機種は登録しない（9か条「その1」） |
| アプリの入手先 | 公式のアプリストアからのみ入れる |
| 業務アカウント | 会社のアカウントでログインし、多要素認証を設定する（→パスワード・多要素認証の社内ルール） |
| データの保存 | 業務ファイルを端末本体や個人のクラウドに保存しない。個人のメッセージアプリで業務連絡をしない |
| 家族との共用 | 家族が使う端末は登録しない |
| 紛失時の対応 | 紛失・盗難に気づいたら、すぐに会社へ連絡する。会社は業務アカウントを停止する |
社員が多い会社や、扱う情報が多い会社では、MDM（モバイルデバイス管理）と呼ばれる管理ツールで、業務用の領域だけを会社が管理する方法もあります。ガイドラインでも、端末の紛失・盗難に備えてMDMなどを導入する対策が挙げられています。
規程・誓約書に書く項目
| 項目 | 内容 |
|---|---|
| 目的・適用範囲 | 私物端末を業務に使う場合のルールであること |
| 許可制 | 申請と承認、登録する端末の情報（機種・OS・電話番号） |
| 利用できる業務 | 利用できるアプリ・サービスと、禁止する業務・情報 |
| セキュリティ | 上の端末条件 |
| 会社の権限 | 業務アカウントの停止、業務データの削除、必要な範囲での確認。個人のデータには立ち入らないこと |
| 費用負担 | 通信費・端末代の負担方法 |
| 紛失・事故 | 報告の期限と連絡先 |
| 退職・登録解除 | 業務アプリ・データの削除、削除したことの確認 |
| 違反時 | 利用許可の取消し、就業規則に基づく対応 |
既存の貸与PC・スマートフォン 利用誓約書をベースに、私物端末用の条項を追加して使うこともできます。在宅勤務とあわせて導入する場合は、テレワーク規程の作り方と労務管理の規程に組み込むと管理しやすくなります。
通信費・端末代の負担と課税
私物スマホを業務に使ってもらう以上、費用負担を決めておかないと不満のもとになります。国税庁の「在宅勤務に係る費用負担等に関するFAQ（源泉所得税関係）」は在宅勤務を想定したものですが、通信費の考え方の参考になります。
| 支給方法 | 国税庁FAQでの扱い |
|---|---|
| 渡し切りの定額手当（使わなかった分も返さなくてよいもの。例：毎月5,000円） | 給与として課税 |
| 業務に使った部分を合理的に計算して精算する方法 | 給与として課税しなくてよい |
| 通話明細などで業務の通話料が分かる場合 | 業務分の通話料を精算すれば課税しなくてよい |
基本使用料やデータ通信料の業務使用部分は、FAQで示された計算方法（業務に使った日数の割合などを用いる方法）で求めます。計算の手間が大きい場合は、社用スマホを配るほうが総額で安くなることもあります。精算の仕組みは経費精算のルールづくりと電子化を参照してください。
定額手当にする場合は、給与として源泉徴収し、社会保険料の算定にも含める前提で検討します。手当の新設は賃金規程の変更になるため、就業規則の変更手続も必要です（→就業規則の作成・変更と届出の手順）。
勤務時間外の連絡に注意する
私物スマホに業務チャットが入ると、夜間や休日にも通知が届きます。勤務時間外の対応を指示していたり、事実上義務になっていたりすると、労働時間に当たるかどうかが問題になることがあります。
- 勤務時間外の連絡は緊急時に限るなど、社内の目安を決める
- 通知をオフにしてよいこと、時間外に返信しなくてよいことを明示する
- 時間外に対応を求めた場合は、労働時間として記録する（→労働時間の把握義務と客観的な記録）
退職時の手順
- 最終出勤日に業務アカウントを停止する（→情シス兼任のIT資産・ライセンス管理）
- 本人と一緒に、業務アプリの削除、端末内の業務ファイル・写真の削除を確認する
- 登録解除と削除の確認を書面（チェックリスト）に残す
- 多要素認証の認証アプリに残る会社アカウントも削除してもらう
まとめ
- 総務省のガイドラインは、私物端末は十分な統制が取れないため、リスクを評価したうえでBYODの可否を決めるよう求めている
- 認める業務を「メール・チャットの閲覧」などに絞り、機密情報は私物端末に残さない
- 画面ロック・OS更新・多要素認証などの端末条件を決め、申請制で登録する
- 通信費の定額手当は給与課税。業務使用部分を合理的に計算して精算すれば課税されない
- 勤務時間外の連絡の目安と、退職時の削除手順まで規程に書いておく