中小企業の個人情報・マイナンバー管理の基本：安全管理措置と漏えい時の報告義務
従業員や顧客の個人情報、マイナンバーを扱う中小企業が最低限やるべきことを整理しました。個人情報保護委員会のガイドラインにそった安全管理措置の考え方、中小規模事業者の特例、漏えい等が起きたときの委員会への報告と本人への通知の流れを解説します。
- 対象読者
- 従業員30〜300名の企業で個人情報・マイナンバーの管理を担当する総務・人事担当者
- 難易度
- 実務
- 所要時間
- 読了9分
- 最終確認日
この記事のポイント
- 個人情報を扱う会社は規模にかかわらず安全管理措置が必要。従業員100人以下などの中小規模事業者には簡便な手法の例が示されている
- 要配慮個人情報・財産的被害・不正目的・1,000人超の漏えい等は、委員会への報告（速報3〜5日程度、確報30日以内）と本人通知が義務
- マイナンバー（特定個人情報）は番号法で利用目的が限られ、漏えい等の報告対象もより広い
人事・総務の手元には、従業員の住所・家族構成・給与・健康診断結果・マイナンバーなど、漏れたら大きな問題になる情報が集まっています。顧客名簿や問い合わせ記録も個人情報です。
この記事では、個人情報保護委員会のガイドラインをもとに、中小企業が最低限押さえるべき管理の基本と、漏えいが起きたときの対応を整理します。
個人情報とマイナンバーの違い
| 区分 | 主な例 | 根拠法令 | ポイント |
|---|---|---|---|
| 個人情報 | 氏名・住所・電話番号・メールアドレス・顔写真 | 個人情報保護法 | 利用目的の特定・通知、安全管理、第三者提供の制限など |
| 要配慮個人情報 | 病歴、健康診断の結果、障害の有無など | 個人情報保護法 | 取得に原則として本人の同意が必要。漏えい時は1件でも報告対象 |
| 特定個人情報（マイナンバー） | 個人番号を含む情報 | 番号法（マイナンバー法） | 社会保障・税・災害対策の手続き以外での利用は禁止 |
従業員のマイナンバーは、源泉徴収票や社会保険・雇用保険の届出など、法律で決められた事務にしか使えません。「社員番号の代わりに使う」「本人確認書類としてコピーを取っておく」といった使い方はできません。
安全管理措置の6つの柱
個人情報保護委員会の通則編ガイドラインは、会社が講じるべき安全管理措置として、次の項目を示しています。
| 項目 | 中小企業での具体例 |
|---|---|
| 基本方針の策定 | 個人情報の取扱いに関する方針を定める（策定は望ましいとされる） |
| 取扱規程等の整備 | 取得・利用・保存・削除のルールを規程や手順書にまとめる |
| 組織的安全管理措置 | 責任者と取扱担当者を決める。取扱状況を確認する。漏えい時の連絡体制を決める |
| 人的安全管理措置 | 従業員への教育、秘密保持の誓約 |
| 物理的安全管理措置 | 書類はかぎのかかる書庫へ。パソコンの盗難防止、廃棄時の確実な消去 |
| 技術的安全管理措置 | アクセス権の設定、パスワード管理、ウイルス対策、OSの更新 |
| 外的環境の把握 | 外国のクラウドサービスなどを使う場合、その国の制度を把握する |
中小規模事業者の特例
ガイドラインでは、従業員100人以下の事業者を「中小規模事業者」とし、安全管理措置について簡便な手法の例を示しています。ただし、次の事業者は中小規模事業者にあたりません。
- 過去6か月以内のいずれかの日に、事業に使う個人情報データベース等で特定される個人の数が5,000人を超える事業者
- 委託を受けて個人データを取り扱う事業者
中小規模事業者でも、安全管理措置そのものが免除されるわけではありません。「規程を作り込まなくても、手順を決めて守る」「責任者を1人決める」といった軽い形でよい、という意味です。
総務がまずやること
- 何をどこに持っているか洗い出す：従業員台帳、給与データ、健康診断結果、採用応募書類、顧客名簿などを一覧にする
- アクセスできる人を絞る：給与・健康情報のフォルダは人事担当と責任者だけにする
- 保存期間を決めて捨てる：不採用者の応募書類、退職者のマイナンバーなど、不要になったものを削除・廃棄し、記録を残す
- 持ち出しのルールを決める：USBメモリ、私物スマートフォン、自宅への持ち帰りの可否を決める
- 委託先を確認する：給与計算の外部委託やクラウドサービスでは、契約内容と管理状況を確認する
パソコンなどの機器管理は「備品・IT機器の管理台帳のつくり方」、生成AIに個人情報を入力するリスクは「生成AIの社内利用ガイドラインのつくり方」も参考にしてください。
マイナンバーで特に注意すること
- 取得時に利用目的を本人に示し、本人確認（番号確認と身元確認）を行う
- 扶養控除等申告書など、マイナンバーを記載した書類の保管場所を限定する
- 法定の保存期間を過ぎたら、できるだけ速やかに廃棄・削除する
- 担当者が休むときの代行者もあらかじめ決めておく
漏えい等が起きたときの対応
委員会への報告と本人への通知が義務になる場合
個人データの漏えい・滅失・毀損（またはそのおそれ）のうち、次のいずれかに当たると、個人情報保護委員会への報告と本人への通知が義務になります。
- 要配慮個人情報が含まれる（健康診断の結果など）
- 不正に利用されると財産的被害が生じるおそれがある（クレジットカード番号、ネットバンキングのIDとパスワードなど）
- 不正の目的で行われたおそれがある（不正アクセス、盗難、従業員による持ち出しなど）
- 本人の数が1,000人を超える
報告の期限
| 報告 | 期限 |
|---|---|
| 速報 | 事態を知った後、速やかに（おおむね3〜5日以内） |
| 確報 | 事態を知った日から30日以内（不正の目的によるおそれがある場合は60日以内） |
報告は委員会のWebサイトの報告フォームから行います。業種によっては、所管官庁への報告が必要になることもあります。
マイナンバーの漏えい等
特定個人情報については、番号法にもとづく報告の対象がより広く定められています。たとえば、不正の目的で行われたおそれがある漏えい等、特定個人情報ファイルが不特定多数に閲覧されたおそれがある場合、本人の数が100人を超える場合などです。対象にあたらない事案でも、委員会への報告が努力義務とされています。
初動の流れ
- 発見者は直ちに責任者へ報告する（夜間・休日の連絡先も決めておく）
- 被害の拡大を防ぐ（メールの送信取消し依頼、アカウント停止、ネットワークからの切り離し）
- 何が・何件・いつ・どうやって漏れたかを調べ、記録する
- 報告対象かを判断し、速報を出す
- 本人への通知、再発防止策の検討と確報
総務・人事の現場で起きやすい漏えい例
漏えいの多くは、サイバー攻撃よりも日常のうっかりから起きます。次のような場面は、ルールで防げます。
| 場面 | 防ぐためのルール |
|---|---|
| 給与明細や源泉徴収票のメールの宛先間違い | 送信前の宛先確認、パスワード付きファイルより給与明細システムの利用を検討 |
| 複数の応募者への一斉メールで、宛先を「CC」に入れる | 一斉送信は「BCC」またはメール配信の仕組みを使う |
| 健康診断結果の封筒を別の人の机に置く | 手渡しまたは本人限定の方法で配る |
| ノートパソコン・USBメモリの紛失 | ディスクの暗号化、USBメモリの原則禁止 |
| 退職者のアカウントが残ったまま | 退職日にアカウントを停止し、記録を残す |
「起きたら隠さずすぐ報告する」ことを、日ごろから従業員に伝えておくことも大切です。報告が遅れるほど、被害の拡大と報告期限への対応が難しくなります。
まとめ
- 個人情報は規模にかかわらず安全管理措置が必要。100人以下の会社は簡便な手法でよいが、ゼロにはできない
- まずは「何を・どこに・誰が触れるか」を洗い出し、アクセス制限と廃棄ルールを決める
- 漏えい等の報告対象と期限（速報3〜5日程度、確報30日以内）を連絡体制とあわせて社内で共有しておく
社内規程の整備状況は、社内規程一覧のテンプレートで点検できます。