2015/6/12

マイナンバーの法律的側面～システム開発受託に必要な法律知識 ～大堀・山本法律事務所
弁護士 大堀健太郎

禁無断転載・複製

本日のセミナー内容の要点• 安全管理措置として何が必要か？
• 委託に基づいて個人番号関係事務又は個人番号利用事務を業務として行う事業者？
• 中小規模事業者 or NOT？
• 個人情報取扱事業者の場合• 個人番号についての事務を受託していない場合でも注意すべきことは？

禁無断転載・複製1

2015/6/12

特定個人情報を保護するための３つの措置• 特定個人情報の利用制限– 個人番号の利用範囲の制限– 例外的に特定個人情報を利用できる範囲の制限– 特定個人情報ファイル作成の制限• 特定個人情報の安全管理措置等– 安全管理措置– 委託の取扱い、委託先の監督• 特定個人情報の提供制限等– 特定個人情報の提供の制限– 個人番号の提供の要求の制限– 特定個人情報の収集・保管の制限– 本人確認
禁無断転載・複製安全管理措置の検討手順• 以下を明確にすること
A 個人番号を取り扱う事務の範囲B 特定個人情報等の範囲
C 事務取扱担当者（Aで明確化した事務に従事する者）• 以下を策定すること
D 基本方針E 取扱規程等※中小規模事業者の場合は、策定・明確化の簡略化
禁無断転載・複製2

2015/6/12

中小規模事業者 or NOT？
• 個人番号の管理については、安全管理措置が必要• ただし、中小規模事業者については、特例的に簡略化された安全管理措置でよい• 中小規模事業者とは？
– 従業員数が１００人以下の事業者– 以下に当てはまらない• 個人番号利用事務実施者（ex. 健康保険組合）• 委託に基づいて個人番号関係事務又は個人番号利用事務を業務として行う事業者（※委託者の規模を問題としていない点に注意）• 金融分野の事業者• 個人情報取扱事業者

禁無断転載・複製安全管理措置の検討手順• 以下を明確にすること（いずれも義務）
A 個人番号を取り扱う事務の範囲
B 特定個人情報等の範囲
C 事務取扱担当者（Aで明確化した事務に従事する者）• 以下を策定すること
D 基本方針 （義務ではないが、重要）E 取扱規程等 （義務）禁無断転載・複製3

2015/6/12

講ずべき安全管理措置（基本方針の策定）• 基本方針・・・取扱規程の総則的なもの• 項目例– 事業者の名称– 関係法令・ガイドライン等の遵守– 安全管理措置に関する事項– 質問および苦情処理の窓口• 公表は不要禁無断転載・複製講ずべき安全管理措置（取扱規程等の策定）• 基本方針に対する各論– 事務の流れを整理し、取得・利用・保存・提供・削除・廃棄の各管理段階ごとに、以下のような内容を定める（ガイドラインの例）• 取扱方法• 責任者・事務取扱担当者及びその任務等• 組織的安全管理措置、人的安全管理措置、物理的安全管理措置及び技術的安全管理措置（具体的に盛り込む）

禁無断転載・複製4

2015/6/12

講ずべき安全管理措置（組織的安全管理措置）• 組織体制の整備• 取扱規程等に基づく運用– 運用状況確認のため、システムログまたは利用実績を記録• 取扱状況を確認する手段の整備• 情報漏えい等事案に（適切かつ迅速に）対応する体制の整備• 取扱状況の把握及び安全管理措置の見直し– 評価、見直し、改善
禁無断転載・複製

ログの保存• 記録項目の例示（ガイドライン）– 特定個人情報ファイルの利用・出力状況の記録– 書類・媒体等の持出しの記録– 特定個人情報ファイルの削除・廃棄記録– 削除・廃棄を委託した場合これを証明する記録等– 特定個人情報ファイルを情報システムで取り扱う場
合、事務取扱担当者の情報システムの利用状況（ログイン実績、アクセスログ等）の記※ログの保存期間にも注意（定期検査や監査終了までは保存しておくべき）
禁無断転載・複製5

2015/6/12

講ずべき安全管理措置（人的安全管理措置）• 事務取扱担当者の監督・教育に尽きる

禁無断転載・複製講ずべき安全管理措置（物理的安全管理措置）• 特定個人情報等を取り扱う区域の管理– 入退室管理や持ち込み機器制限（管理区域）– 壁・間仕切り等の設置や座席配置の工夫等（取扱区域）• 機器及び電子媒体等の盗難等の防止– 施錠できる書庫や、セキュリティワイヤーでの固定など• 電子媒体等を持ち出す場合の漏えい等の防止• 個人番号の削除、機器及び電子媒体等の廃棄– 復元不可能な手段を採用する– 一部のデータ削除の場合も、容易に復元できない手段を
禁無断転載・複製6

2015/6/12

講ずべき安全管理措置（技術的安全管理措置）• アクセス制御• アクセス者の識別と認証• 外部からの不正アクセス等の防止• 情報漏えい等の防止

禁無断転載・複製

中小規模事業者 or NOT？
（安全管理措置）

特定個人情報保護委員会「マイナンバーガイドライン入門（事業者編）（平成26年12月版）」
禁無断転載・複製
http://www.ppc.go.jp/files/pdf/270213guideline.pdf

7

2015/6/12

中小規模事業者 or NOT？
（安全管理措置）

特定個人情報保護委員会「マイナンバーガイドライン入門（事業者編）（平成26年12月版）」
禁無断転載・複製
http://www.ppc.go.jp/files/pdf/270213guideline.pdf

中小規模事業者 or NOT？
（安全管理措置）

特定個人情報保護委員会「マイナンバーガイドライン入門（事業者編）（平成26年12月版）」
http://www.ppc.go.jp/files/pdf/270213guideline.pdf

禁無断転載・複製8

2015/6/12

特定個人情報保護委員会「中小企業向け はじめてのマイナンバーガイドライン（平成26年12月版）」
禁無断転載・複製
http://www.ppc.go.jp/files/pdf/270414chusho.pdf

特定個人情報保護委員会「中小企業向け はじめてのマイナンバーガイドライン（平成26年12月版）」
禁無断転載・複製
http://www.ppc.go.jp/files/pdf/270414chusho.pdf

9

2015/6/12

委託を受けた者？
• システム開発を受託 ≠ 特定個人情報の取扱いを受託• 委託を受けた事業者が、契約内容の履行にあたって、個人番号をその内容に含む情報（電子データ）を取り扱うかどうかが基準• 暗号化などで秘匿化していても、個人番号として取り扱われる
禁無断転載・複製委託を受けた者？
• クラウドサービスで、委託に該当しない場合– 契約条項で、当該事業者が個人番号をその内容に含む電子データを取り扱わない旨が定められている– 適切にアクセス制御を行っている

禁無断転載・複製10

2015/6/12

委託を受けた者？
• システムの保守サービスで、委託に該当しない場合– 単にハードウエア・ソフトウエアの保守サービスのみを行っている– 契約条項で、当該事業者が個人番号をその内容に含む電子データを取り扱わない旨が定められている– 適切にアクセス制御を行っている

禁無断転載・複製委託を受けた者？
• 受託者の所在地の国内・国外を問わず、委託を受けた場合には、安全管理措置を講じる必要あり。
– 再委託の場合に注意

禁無断転載・複製112015/6/12

委託を受けた場合の契約内容• 盛り込むことが義務付けられた内容– 秘密保持義務– 事業所内からの特定個人情報の持出しの禁止– 特定個人情報の目的外利用の禁止– 再委託における条件– 漏えい事案等が発生した場合の委託先の責任– 委託契約終了後の特定個人情報の返却または廃棄– 従業者に対する監督・教育– 契約内容の遵守について報告を求める規定• 盛り込むことが望まれる内容– 特定個人情報を取り扱う従業者の明確化– 委託者が委託先に対し実地の調査を行うことができる規定等

禁無断転載・複製

再委託は、最初の委託者の要許諾• 再委託（再々委託・・・も）する場合には、「委託をした者の許諾」を得る必要あり(法１０条１項）– 最初の委託者も間接的な監督義務– 再委託者には監督義務• 再々委託の際の、再々委託者から再委託者への通知義務を再委託契約上盛り込むことが望ましい（ガイドライン４－２－（１））
A（委託者）→B（再委託者）→C（再々委託者）→D（再々受託者）

法律上は、Dは、Aの許諾を受ける義務はあるが、Bの許諾を受ける義務はない。
禁無断転載・複製12

2015/6/12

個人情報取扱事業者• 個人情報取扱事業者は、当然個人情報保護法上の義務を負う。
個人情報取扱事業者・・・保有する個人情報の合計件数が5000件を超える個人情報
データベースを事業の用に供している者

禁無断転載・複製

個人情報取り扱い事業者

特定個人情報保護委員会「マイナンバーガイドライン入門（事業者編）（平成26年12月版）」
禁無断転載・複製
http://www.ppc.go.jp/files/pdf/270213guideline.pdf

13

2015/6/12

利用目的を超えた
特定個人情報の利用はNG• 利用目的は限られており、それ以外での利用は禁止
されている• 本人の同意があったとしてもダメ• 利用目的の変更をし、本人へと通知等をする必要あり• 変更の範囲も当初の利用目的と相当の関連性を有していること
例：従業員の給与所得の源泉徴収票作成の目的で取得→ 健康保険・厚生年金保険届出事務等に利用※予め両方の利用目的を特定して通知していればもちろんOK
禁無断転載・複製

利用目的外での特定個人情報の提供はNG• 事業者が特定個人情報を提供できるのは、主として、社会保障及び税に関する事務のために従業員等の特定個人情報を行政機関等及び健康保険組合等に提供する場合• 出向・転籍する社員について、出向・転籍元から出向・転籍先への特定個人情報の提供は原則NG※あらためて個人番号の提供を受けること
禁無断転載・複製14

2015/6/12

グループ企業内での人事情報の共有• 共有データベースを作成• A1,A2,A3はAに特定個人情報管理の委託契約• 適切にアクセス制御を行う
A社

担当者

DB

A1社

A2社
アクセス制御A3社
禁無断転載・複製グループ企業内での人事情報の共有（出向・転籍）A1社→A2社への出向の場合、従業員本人の介在なく会社側でアクセス制限の設定を変更してはダメ。
従業員本人の意思に基づく操作での変更はOK（ガイドライン４－３－（２））

A社

担当者

DB

A1社

A2社
アクセス制御A3社
禁無断転載・複製15

2015/6/12

個人番号取得時の本人確認• 個人番号の提供を受ける場合には、本人確認を行う必要がある• 委託を受けた場合、受託者が本人から直接個人番号の提供を受けることもできるが、その場合も本人確認は必要• 本人確認は、２度目以降は初回に取得した個人番号の記録との照合でもOK

禁無断転載・複製システム開発の際に• 安全管理措置をきちんと行えるシステムに• 適切にアクセス制御できるようにする。特に、グループ企業の場合や、既存システムとの連携、既存システムの改修の場合に注意。
• システムログ・利用実績がきちんと記録されるようにする• 保存期間経過後における個人番号の削除を前提としたシステムがのぞましい
禁無断転載・複製16

2015/6/12

何を勉強すればいいか？
• まずは、ガイドライン資料集のうち、概要的なものを読みましょう。
http://www.ppc.go.jp/legal/policy/document/• その後、ガイドラインと、Q&Aを読みましょう• ホットラインもあります• 取扱規程や、委託契約などについては、書籍などにひな形が。ただし、実情に合わせたアレンジの必要あり。
禁無断転載・複製

何をどこまで？
• 一概にいえない• 会社の規模・従業員数、扱う特定個人情報の質・量、etc・・・により、異なる• 一概にいえない以上、規程などでもどこまで厳密な取扱いを定めるかは会社ごとに異なる– ただ、実現不可能なことを規程しても有害なだけ• システム開発を受託 ≠ 特定個人情報の取扱いを受託
禁無断転載・複製17

2015/6/12

システム構築の委託者側からみた
理想のスケジュール• 特定個人情報の取扱事務のリストアップ。業務フローと安全管理措置構築の作業• 要件定義・外部設計の段階での法務レビュー– データベースやアクセス制御の設計が法令やガイドラインに準拠しているか？

（2015年の夏前まで）• 業務フローと安全管理措置についてのポリシー決定（2015年の夏頃まで）• システムのテスト完了、安全管理措置の構築完了（2015年12月頃まで）
禁無断転載・複製システム構築の委託者側からみた理想のスケジュール• あくまで理想です。

禁無断転載・複製18