禁錮4年も？実は違反すると結構大変なマイナンバー制の恐ろしさ

　つまり、日本国内の大半の企業に、マイナンバーの管理義務が発生するということになりますが、その重要性が認識されているとはいいがたい現状です。

–経営者にとって、今後の経営にも大きな影響が出てくる問題ですね。これほど重要なことが十分に周知されているとはいえません。マイナンバーの管理に関して、もっと詳しく教えてください。

坂本　マイナンバーは、定められた行政手続き以外での利用が禁止されています。たとえば、マイナンバーを社員番号やパソコンのIDに使うことなども法令違反となります。これは、仮に本人の同意があってもダメです。ここが従来の個人情報保護法と異なる点です。

　また、従業員とその扶養家族、短期雇用者や発注先の個人事業主から取得したマイナンバーは、法廷で定められた社内の「取扱責任者及び担当者」以外に閲覧や管理をさせてはいけないことになっています。大変厳しいルールです。情報管理のノウハウがない多くの中小零細企業では、「どのようにマイナンバーを運用管理すればよいのかわからない」と困惑する声が多く上がっています。

情報漏洩への備え

–否が応にも、経営者にとってマイナンバーへの対応は必須となりますね。経営者へ刑事罰が及ぶ恐れもありますし、情報漏洩などのリスクは最小限に抑えたいところです。どうすれば、リスクを抑えることができるのでしょうか。

坂本　いわゆる「リスクマネジメント」は、問題が起こらないように事前に対処することを指しますが、いくらコストや手間をかけても事前にリスクを100％排除することはできません。重要なのは、仮に問題が起こっても組織として責任を問われない対処をすることです。これを「クライシスマネジメント」といいます。

　昨年7月に発覚したベネッセコーポレーションの個人情報漏洩問題で、ベネッセは社会的に大きな批判を受けましたが、実は会社組織自体に対して行政処分はありませんでした。

　ベネッセは、個人情報をデータセンター上で管理し、アクセス権を持つ人員を限定していました。そしてデータへのアクセス履歴（ログ）は、アクセス権限者が勝手に操作できないよう別サーバへ自動保存していました。この厳格な管理によって、内部犯行であることが立証され、犯人の契約社員が逮捕されました。行政側はベネッセに対して「組織としては適切に対処していた」と判断し、組織の責任は問わなかったのです。ベネッセには情報管理に対する可監査性（オーディタビリティ）があったといえます。