第6回：マイナンバー制度の企業対応 ～人的安全管理措置のカギは教育にあり～

“人的安全管理措置”とは、何をすればいいのでしょうか？ 「特定個人情報の取扱いに関するガイドライン（事業者編）」（以下、ガイドライン）では、以下の2つを実施しなければならないと書かれています。

• 1. 事務取扱担当者の監督
• 2. 事務取扱担当者の教育

どんなに立派なルールを作ろうと、どんなにすごい安全管理措置を講じようと、そのルールを守り、安全管理措置を実施するのは"ヒト"です。この"ヒト"に様々な安全管理措置を含むルール周知し、守らせる、それが人的安全管理措置となります。

事務取扱担当者の監督

ガイドラインでは、"特定個人情報等が取扱規程等に基づき適正に取り扱われるよう、事務取扱担当者に対して、必要かつ適切な監督を行う"と書かれています。
監督とは、直接に指導し、指揮や統率するという意味です。以下を実施することになります。

• 1. 就業規則にマイナンバーを含む秘密保持に関する事項を規定する。（参照：就業規則の記載例）
• 2. 機密保持に関する「誓約書」を作成し、合意する。
• 3. 「就業規則」や「誓約書」に規定違反に対する懲罰を規定する。
• 4. 「誓約書」では、人事異動や退職により事務取扱担当者から外れた場合にも機密保持は継続することを明示する。

中小企業の場合、上記1を実施し、さらにマイナンバーの取扱いルールの周知や教育を実施してください。これらをもって、監督していると判断されます。

事務取扱担当者の教育

ガイドラインでは、"事務取扱担当者に、特定個人情報等の取扱いを周知徹底するとともに適切な教育を行う"と書かれています。
教育について、適切に行われているかどうかの判断は、実施時期や頻度、内容、実施した教育の理解度により行います。具体的には、以下が考えられます。

• 1. 「年間教育計画書」を作成する。
• 2. 「年間教育計画書」に従い、教育を実施する。また、教育した内容が理解されたかどうかを確認する。実施した教育の「教育実施記録」を作成する。

教育の計画、実施について、下表にまとめました。

中小企業の場合、事務取扱担当者は1～2名の人が交代することなく、長年、担当することが多いと思います。このような場合、ルールを数回、説明し、理解されていれば、以降は特に教育をしなくもいいような気になりますが、「年間教育計画書」を作成しないまでも、6ヶ月または1年に1回程度、ルールを再確認しましょう。」

【年間教育計画の例】

【教育実施記録の例】

まとめ

人的安全管理措置では事務取扱担当者の監督・教育における上記の対応が必須となります。しかし、実際に企業が求められる知識やモラルは、担当者だけに留まりません。
私が今まで勤務した会社での経験や、ISMS（情報セキュリティ）の審査員としての経験では、重要な情報が置かれている業務実施場所への入館証を紛失することで第三者へ権限を与えることになってしまったり、同僚に送るつもりの社外秘のファイルを取引先の同名の人に送ってしまったケースがあります。
また、過去の情報漏洩事件では、個人の営利目的や、会社に対する一方的な悪意など、モラルに欠ける行動が発端となっているケースも見受けられます。 こういった事故を防ぐためには、担当者が正しい知識やモラルを身に付けるだけでなく、それを周りに啓蒙していくことも大切です。

【今回のポイント】
● 就業規則マイナンバーを含む秘密保持に関する事項を規定する。
● マイナンバー取扱いルールを周知、確認するための教育を実施する。

この記事のライター

羽田 一彰（はだ かずあき）

S&A JAPAN株式会社　取締役／チーフコンサルタント
ISO27001、ISO9001審査員
中小企業の勤務経験を活かして、従業員100名以下の中小企業に対してマネジメントシステム導入と運用の支援を中心に活動する傍ら、2015年にマイナンバー検定2級を取得し、マイナンバー対応に関する講演も行っている。

会社Webサイト

S&A JAPAN株式会社