マイナンバーがやってくる！企業はまず何をすべきなのか?

2016年1月から実運用が始まる予定の社会保障・税番号制度(マイナンバー制度)。実施されれば企業で対応すべきことが多くなる。では、実際に企業にどのような対応が求められているのか、何をすべきなのか。「マイナンバー制度で企業実務はこう変わる」「(中央経済社)や「人事・総務のためのマイナンバー制度」 (労政時報選書)の著者でもある、野村総合研究所未来創発センター　制度戦略研究室長の梅屋真一郎氏に聞いた。

なお、ここで記載する内容は、2015年3月24日現在の情報に基づくため、今後制度が変更になる可能性もあることをご了承いただきたい。

企業が従業員の本人確認を行うのがマイナンバー制度の肝

マイナンバーの対象となるのは、日本に住所がある日本国籍を有する人と中長期在留社や特別永住者という日本に住む外国人だ。各人に固有の12桁のマイナンバー(個人番号)が付与され、2016年1月以降は、児童手当の現況届けなどの法律で決められた行政手続きの際、番号の提示が必要となる。

マイナンバー制度は、個人に関する税務や社会保障等の情報を紐づけ、行政の手続き効率化や給付金などの不正受給防止に役立てようというものだ。これだけを聞けば政府の取り組みであり、個人が管理されるだけのようにも見えるが、実際には企業の活動に大きな影響を及ぼすものでもある。

「この制度の一番の肝となるのは、本人確認を必ず一度はするということです。日本の場合、会社勤めをしている人が多いですから、企業が従業員とその家族について確認してまとめるのが良いということになりました。免許証など顔写真つきの身分証明書と発行された番号、そしてできれば本人と付き合わせて確認することが求められています。これは従業員本人についてで、その家族の番号は従業員自身が本人確認をして、企業に提出することになります」と梅屋氏は語る。

当面は税務や社会保障関連で利用されるため、家族というのは税でいえば扶養家族、健康保険でいえば被保険者ということになる。

番号から個人の属性を推察させないランダムナンバーを発行

発行される12桁の番号は、完全にランダムになるという。同居家族でも先頭の11桁までが同じで末尾が枝番のように異なるというような形にはならないし、関東地方なら1から始まるというような地域別の区分もない。

「海外では番号から出身地等が推測できる場合もありますが、マイナンバーでは本人を推測・特定できる事は望ましくないということで完全なランダムになりました」と梅屋氏。

本人への番号の通知は2015年10月から開始される予定だ。

「2015年10月に、各自治体から紙のカードが配送されます。少し丈夫な紙という程度で、これには顔写真もなく、生年月日や住所と一緒に12桁のマイナンバーが記載されています。これが通知カードです。顔写真のついた個人番号カードは、その通知カードをもって市町村役場に行き、2016年1月以降、改めて発行してもらう形になります」と梅屋氏は説明する。

企業におけるマイナンバー確認時には、多くの場合、紙の通知カードを利用することになるだろう。企業としては、通知カードを捨てずに大切に保管することをあらかじめ徹底しておく必要がありそうだ。

アルバイト・パートも含めて番号の逐次収集＆廃棄を実施

マイナンバーの取得は、既存の従業員からだけでなく、新規に採用した従業員からも逐次行わなければならない。一方で、退職した従業員の番号に関しては破棄する必要がある。人事労務関連書類の法廷保存期間として、退職当日を起算日として数年の保存期間が設けられているが、これを過ぎれば情報を確実に廃棄しなければならない。

この「従業員」には、パートやアルバイトといった非正規雇用も含むため、人の出入りが多い企業では取得と廃棄の繰り返しになり、かなりの労力がかかりそうだ。

「これまで保存期間はあっても、保存期間を過ぎたら捨てなければならないという規則はありませんでした。多くの企業は保存場所のある限り保存しておくという方法をとっていたわけですが、マイナンバーの場合は目的外保管を禁止しているため、保存期間が過ぎたら破棄しなければなりません。即日というわけではないので、ある程度まとめてという形にはなるでしょうが、かなりの負担なのは確かです」(梅屋氏)。

将来を見据えて刑事罰などマイナンバー漏洩には厳しい罰則つき

従業員とその家族の分までマイナンバーを企業が収集するということは、従業員がいるすべての企業が個人情報を扱うことになる。従来も個人情報保護については十分な安全対策が求められていたが、マイナンバーに関しては非常に厳しい罰則規定が存在する。

「簡単にいえば、番号を持ち出して悪用すると刑事罰(4年以下の懲役または200万円以下の罰金)があります。企業の管理が甘かったとなると、企業も罰せられます。罰金も定められており、厳格な管理が要求されています」と梅屋氏は説明した。

なぜそれほど厳しい罰則を設けているのかといえば、将来的なことを見越してのことだという。制度開始時は税や社会保障、災害対策の用途でしか使われないわけだが、今後官民での活用が進んでくれば情報漏洩が大きな問題になりかねないからだ。

「税や社会保障のために使っているうちは、他人になりすましても他人の税金や社会保険料を払うことになるだけなので、おそらく盗もうという人も少ないでしょうし、盗まれてもそれほど大きな被害にはなりません。ところが番号の民間での活用が進んでいる海外では、クレジットカード審査時やECサイト利用時になりすましが多発して、大きな被害が出ています。日本では後発になった分、いろいろな危険性を考慮したわけです。また、活用を進める中で臨機応変に規則を厳しくして行くというのは中々難しいですから、最初から厳しくしておくことで皆が安全安心に使えるようにしようということでこうなっています」と梅屋氏は指摘した。

企業が行うべき対策は「常識」で考える

では企業として具体的にどのような対応を行うべきなのか。まず確認すべきは、特定個人情報保護委員会の発表しているガイドラインやQ&Aの確認だ。具体例をあげて説明しており、どういう対応が求められているのかはだいたい理解できるようになっている。

しかし、たとえば、管理用機器をオフィスから区分して置くにあたってパーティションの高さは何センチであるべきだとか、パスワードは何桁であるべきというような指定はされていない。これについて梅屋氏は「常識で考える」と解説した。

「たとえば、パーティションが人の身長より低い程度で簡単に覗けてしまうというのは問題でしょうが、2mの高さがあるのに覗かれたというのは、それはきちんと区切っていたのに覗いた方が悪いとなります。パスワードも銀行が4桁だから4桁でいいと思ったというのであれば十分常識です。これが2桁でいいというのはおかしいと誰でも思いますよね。一方、10年たって世の中が10桁で当たり前になっている時、10年前にシステムを作った時は4桁が主流だったからそのままです、というのはその時々の常識に見合っていないといえます」と梅屋氏は語る。

導入したそのままではなく、世の中の流れに合わせて常に見直しを行わなければならないのが特徴だ。今後は第三者認定制度なども発足し、よりわかりやすく、企業としてお墨付きを貰えるようにもなるだろうと予測される。

人事だけでなく全社的に取り組み全社員に周知徹底が必要

企業として準備しなければならないのは、番号を収集し、管理し、破棄するという人事的なシステムだけではない。たとえば、今後は支払い調書等の経理的な書類にもマイナンバーを記載することになる。従来はExcelのテンプレートで済ませていた、というような場合には対応しきれなくなる可能性もあるだろう。

「各種システムの見直しが必要でしょう。また、システム面だけでなく全社横断的な取り組みと、全部署・従業員への周知徹底が必要です。マイナンバーがどういうものなのか、その扱い方や罰則についても十分な教育をしなければなりません」と語る梅屋氏が、もっとも早い段階で強い周知徹底が必要だとしているのは、通知カードの配送時期とその保管についてだという。

「10月には通知カードが届くわけです。それをまず認識して、きちんと保存してもらわなければなりません。1月に番号を収集しようとして、そんなカードは知らないというのでは困るわけです。そのためにはこの夏、8月から9月にかけてしっかりとした周知と教育が大切になります」と梅屋氏は準備の時が近づいていることを力強く語った。