マイナンバーの取得・保管・廃棄で中小企業が注意したいこと

マイナンバーは、税務や社会保険など限られた手続で扱う情報です。本記事では、中小企業が番号を取得・保管・廃棄する際の基本手順、本人確認、委託先管理、本人交付用書類の扱い、漏えい時の初動、税理士へ相談したい場面まで、経営者や経理担当者が実務で迷いやすいポイントを分かりやすく解説します。

 マイナンバー制度は、2015年10月に番号の通知が始まり、2016年1月から税や社会保障の手続で使われるようになりました。
 現在では、行政機関どうしの情報連携やマイナポータルなどにも使われ、行政手続を支える仕組みの一つになっています。
 とはいえ、中小企業が日々の業務でマイナンバーを扱う場面は限られます。まずは、自社で番号が必要になる手続を社内で共有しておくと、取得や保管の判断がしやすくなります。

 マイナンバーは、日本国内に住民票を持つ人に付けられる12桁の番号です。正式には「行政手続における特定の個人を識別するための番号の利用等に関する法律」、いわゆる番号法に基づいて利用され、税、社会保障、災害対策など、法令等で定められた手続に使われます。
 会社で関係する主な手続は、次のようなものです。

・給与所得の源泉徴収票の作成
・給与支払報告書の作成
・雇用保険や社会保険の届出
・報酬・料金等の支払調書の作成
・不動産の使用料等の支払調書の作成

 一方で、営業管理や顧客管理、従業員番号の代わりに使うことはできません。本人の同意があっても、番号法で認められた目的以外には利用できないためです。

 マイナンバーを含む個人情報は、「特定個人情報」と呼ばれます。氏名や住所などの一般的な個人情報よりも、取得、利用、保管、提供、廃棄の場面で慎重な管理が求められます。
 通常の個人情報では、本人の同意を得て利用する場面があります。ところが、マイナンバーは同じようには扱えません。本人が「社内管理に使ってよい」と言っても、会社が従業員番号の代わりに使うことはできません。
 グループ会社間で人事や給与の情報を共有している場合でも、従業員のマイナンバーまで自由に渡せるわけではありません。
 マイナンバーは、便利な共通番号ではなく、法律によって用途が限定された情報です。社内では、マイナンバーを社員番号や顧客番号とは別の情報として扱わなければなりません。

 中小企業が扱うマイナンバーは、主に従業員本人、従業員の扶養親族、個人の外注先、個人の不動産貸主などのものです。

中小企業がマイナンバーを扱う主な場面

 細かな規程を作る前に、給与、外注費、家賃、退職金など、自社で発生する支払いを並べてみると、マイナンバーが必要になる相手を把握しやすくなります。

 会社が従業員や支払先からマイナンバーを取得する場合は、利用目的を伝えたうえで、本人確認を行います。本人確認の方法は、番号の受け取り方や確認書類によって変わります。

 従業員については、給与計算、年末調整、社会保険関係の届出などでマイナンバーが必要になります。入社時や年末調整の時期に、番号の提供を依頼する運用が一般的です。
 一方、取引先については、一律に集めるものではありません。個人の外注先、講師、不動産貸主などは、支払内容や金額によって、支払調書の作成が必要かどうかが変わります。
 たとえば、年間の支払額が想定しにくい外注先や、共有名義の不動産貸主がいる場合は、契約書、年間の支払見込み、過去の支払実績を基に、マイナンバーを依頼する相手かどうかを判断します。
 支払調書の対象になるか迷う支払いは、契約内容、支払先、年間の支払予定額をそろえて税理士に確認します。マイナンバーを依頼する相手かどうかも、その段階で判断できます。

会社でマイナンバーを扱うときの基本の流れ

 マイナンバーの取得を依頼するときは、本人に利用目的を伝えます。
 「会社の管理のため」のような広い表現ではなく、何の書類に使う番号なのかが分かる言葉にします。
 従業員向けには、次のように書類名を示します。

「給与所得の源泉徴収票、給与支払報告書、雇用保険、健康保険・厚生年金保険の届出、年末調整関係書類の作成に利用します。」

 個人の外注先や講師には、次の文面が使えます。

「報酬・料金等の支払調書の作成・提出に利用します。」

 個人の不動産貸主には、次のように伝えます。

「不動産の使用料等の支払調書の作成・提出に利用します。」

 依頼書、メール、クラウドフォーム、年末調整システムの案内文では、書類名の表現をそろえておくと、担当者が変わっても、同じ文面で案内できます。

 マイナンバーを受け取るときは、番号確認と身元確認を行います。
 番号確認では提供された番号が正しいかを確認し、身元確認では番号を提供した人が本人かを確かめます。
 マイナンバーカードがある場合は、カード1枚で番号確認と身元確認ができます。
 カードがない場合は、マイナンバーを確認できる書類と、身元を確認できる書類を組み合わせます。たとえば、個人番号が記載された住民票の写しで番号を確認し、運転免許証やパスポートなどで身元を確認します。なお、通知カードは現在新規発行されていませんが、記載事項が住民票と一致している場合など、番号確認に使えることがあります。
 本人確認書類のコピーを残すかどうかは、会社であらかじめ決めます。コピーがあれば確認した経過を示せる一方、保管する特定個人情報は増えます。
 コピーを残さず、「いつ、誰が、どの方法で本人確認を行ったか」を記録する方法もあります。どちらの方法を選ぶ場合でも、社内での扱いを統一しておきます。

 従業員や支払先が、マイナンバーの提出に不安を持つことがあります。その場合は、番号が必要になる書類、利用目的、管理方法を伝え、あらためて提供を依頼します。
 それでも提出してもらえない場合は、依頼した経過を記録に残します。会社として提供を求めた経過があれば、書類にマイナンバーを記載できなかった理由を説明できます。
 メールで依頼した場合は送信履歴を残し、電話や対面で依頼した場合は次の内容を控えます。

・依頼した日
・担当者
・相手先
・依頼した内容
・相手の回答

 この記録に、マイナンバーそのものは書きません。番号を書いた時点で、その記録も厳重な管理対象になります。

 取得したマイナンバーは、保管場所だけでなく、閲覧できる人や委託先での扱いまで含めて管理します。個人情報保護委員会のガイドラインでも、事務の範囲、特定個人情報等の範囲、事務取扱担当者を明確にする考え方が示されています。紙、メール、クラウド、給与計算ソフトなど、番号が残る場所は会社によって異なります。また、自社内だけでなく、外部委託先に渡した後の扱いも含めて考えます。

 マイナンバーを管理するときは、まず、社内の誰が番号を扱うのかを決めます。
 中小企業では、社長、経理、総務が同じ書類を見ることもあります。ただし、全員が番号まで見る必要があるとは限りません。
 たとえば、次のように役割を分けて考えます。

・マイナンバーを受け取る人
・書類やシステムに入力する人
・税理士事務所や行政機関へ送る人
・保管や廃棄を管理する人

 小規模な会社では、同じ担当者が複数の作業を兼ねることもあります。すべてを別々の人に分ける必要はありません。
 紙の書類は施錠できるキャビネットに入れ、データは保存先とアクセス権限を決めます。
 メール添付で受け取る場合は、受信後の保存先に加え、メールや添付ファイルを削除する時期まで決めておきます。

 マイナンバーの管理は、高額なシステムを入れるだけで完結するものではありません。日常の扱い方で漏えいリスクが変わります。
 紙の書類であれば、机の上に置いたまま離席しない、不要なコピーを取らない、持ち出すときは封筒に入れる、といった基本動作を徹底します。
 データで管理する場合は、アクセス権限を限定し、給与計算ソフト、年末調整システム、クラウドストレージでは、担当者以外がマイナンバーを閲覧できない設定にします。
 退職者や異動した担当者のアカウントはそのままにせず、担当者が変わったらパスワードやアクセス権限もあわせて変更し、紙の控え、メール添付、共有フォルダ、クラウド上のファイルなど、番号が残りやすい場所を一つずつ減らします。

 年末調整、法定調書、給与計算、社会保険手続を、税理士事務所や給与計算会社、社会保険労務士に任せている会社も少なくありません。ただ、外部に委託しても自社側の管理がなくなるわけではありません。たとえば、次の点は事前に確認しておきます。

・マイナンバーの取得は自社で行うのか、委託先が関わるのか
・紙で渡すのか、クラウドで共有するのか
・委託先で番号をどこまで保管するのか
・業務が終わった後、番号を返却・削除するのか
・再委託がある場合、どこまで認めるのか

 ここがあいまいだと、自社と委託先の両方に同じ番号が残ることがあります。マイナンバーの保管場所が増えるほど、廃棄や漏えい時の対応も複雑になります。
 外部委託先との契約書や覚書では、秘密保持、目的外利用の禁止、再委託の条件、事故が起きたときの連絡、業務終了後の返却・削除などを定めます。再委託を認める場合は、再委託先の範囲やマイナンバーの取扱いも契約内容に含めます。

 マイナンバーは、取得して保管した後も、廃棄、本人交付用の書類、漏えい時の初動で扱いが変わります。ここを誤ると、番号の漏えいや事故対応の遅れにつながります。

 源泉徴収票、扶養控除等申告書、法定調書の控え、社会保険関係書類などには、それぞれ一定の保存期間があります。
 保存義務がある間は書類やデータを保管します。一方で、保存期間が過ぎ、個人番号関係事務で利用する予定もなくなったマイナンバーは、できるだけ速やかに削除・廃棄します。
 紙で保管している場合は、細断、溶解、焼却など、復元できない方法で廃棄します。番号部分をマスキングして残す場合も、後から番号を読めない状態にします。
 電子データの場合は、給与計算ソフトや年末調整システムの削除機能を使います。クラウドサービスを利用している場合は、システム上の保存期間やバックアップデータの扱いも確認します。
 廃棄するときには、日付、対象書類、担当者、廃棄方法を記録します。廃棄記録は、不要なマイナンバーを残していないことの説明資料になります。保存期間が分からない書類は、自己判断で廃棄せず、税理士や社会保険労務士に確認してから処理します。

 年末調整後に従業員へ渡す源泉徴収票や、外注先から求められて支払調書の写しを渡す場面では、マイナンバーを載せる書類と載せない書類を取り違えないようにします。税務署や市区町村へ提出する書類には、必要に応じて番号を記載します。
 一方、本人へ交付する源泉徴収票にはマイナンバーを記載しません。支払調書の写しを支払先へ渡す場合も、支払先本人や支払者等の個人番号は記載しません。

提出用と本人交付用で異なるマイナンバーの扱い

 給与計算ソフトや法定調書作成システムでは、「提出用」と「本人交付用」の出力設定が分かれている場合があります。年末調整や法定調書の時期には、出力前に、本人交付用の設定になっているかを確認します。
 紙の控えをコピーして渡す運用は、特に誤りが起きやすい部分です。マイナンバー入りの帳票をそのまま渡すと、漏えいにつながります。

 マイナンバーを含む書類やデータを誤送信した、紛失した、共有範囲を誤った、不正アクセスを受けたといった場合は、まず事実関係を確認します。
 最初に確認するのは、次のような内容です。

・いつ起きたのか
・どの書類やデータが対象か
・誰の情報が含まれているか
・誰が見た可能性があるか
・委託先が関係しているか

 誤送信であれば、送信先へ削除を依頼し、追加送信を止めます。共有フォルダの設定ミスであれば、共有リンクやアクセス権限を止めます。紙の紛失であれば、最後に保管されていた場所と、扱った人をたどります。
 本人への連絡や個人情報保護委員会への報告が必要になる場合もあります。対象情報、人数、発生状況が分かった段階で、顧問税理士、社会保険労務士、システム会社など関係する専門家へ早めに相談します。

 番号法では、マイナンバーを不正に提供したり、盗用したりした場合の罰則が定められています。正当な理由なく特定個人情報ファイルを提供した場合、不正な利益を得る目的でマイナンバーを提供・盗用した場合、人をだましたり脅したりして取得した場合などが対象です。
 個人情報保護委員会からの命令に違反した場合や、検査で虚偽の報告をした場合なども、罰則につながることがあります。従業者が違反した場合には、会社側にも罰金が科される場合があります。
 管理体制に不備があっただけで直ちに罰則が科されるわけではありませんが、不正な提供や盗用は重く扱われます。番号を扱う担当者には、目的外利用や外部への持ち出しをしないことを明確に伝えておきます。

 マイナンバー対応では、税務書類、社会保険手続、個人情報の管理が重なり、支払調書の提出対象、帳票への番号記載、保存期間の扱いなどは、経営者や担当者だけでは判断しにくいことがあります。
 税理士へ相談する前に、次の情報をそろえておきます。

・どの書類に関する相談か
・誰に支払ったものか
・支払内容と金額
・個人か法人か
・番号を取得済みか
・紙で保管しているか、データで保管しているか
・本人へ交付する書類か、税務署などへ提出する書類か

 相談が多いのは、支払調書の提出対象になるか、本人交付用の帳票に番号を載せてよいか、保存期間後にいつ廃棄するかという場面です。
 相談時には、書類名、支払内容、保管方法まで伝えると、税理士も実際の書類や支払内容に沿って助言できます。