特定個人情報保護委員会はこのほど、マイナンバーの事業者向けガイドライン案を公開し、11月9日までパブリックコメントを実施すると発表した。グループ企業間の共有データベースの利用条件や保管制限、廃棄を定めている。金融分野の事業者が対象のガイドライン案も公表した。
全ての事業者が適用対象である番号法は法律で限定的に明記された場合を除いて、個人番号の提供を求めることや、個人番号を含む個人情報である「特定個人情報」を提供するのは禁じられている。このうちガイドライン案では、同じ系列の会社間などで従業員らの個人情報を共有データベースで保管している場合の条件を示した。
ガイドライン案では、共有データベースを利用する場合、従業員らが就業中の会社のファイルにのみ個人番号を登録して、他社が参照できないシステムを採用していれば、共有データベースへの個人番号の記録は可能とした。
マイナンバー制度に詳しい野村総合研究所の梅屋真一郎・制度戦略研究室長によると、共有データーベースは大手企業グループから要望が多かった仕組みという。ただ、企業の人事担当者が一括で処理できるような仕組みはガイドライン案に盛り込まれなかった。
また、保管制限と廃棄を定めた項目では、個人番号が記載された書類などは法令によって一定期間保存が義務付けられた期間は保管する。一方で、法令上の保存期間を経過した場合、できるだけ速やかに廃棄または削除しなければならないとした。
例えば、扶養控除等申告書は申告書の提出期限が属する年の翌年1月10日の翌日から7年を経過する日まで保存する。この期間を経過した場合には原則、速やかに廃棄しなければならない。
個人番号もしくは特定個人情報ファイルを削除したり、電子媒体などを廃棄したりした場合は、削除または廃棄した記録を保存。また、これらの作業を委託する場合には、委託先が確実に削除または廃棄したことを証明書などで確認するよう求めている。
特定個人情報などが記録された書類や機器、電子媒体などを廃棄する場合、復元不可能な手段を採用して、書類の焼却または溶解、専用のデータ削除ソフトウェアの利用、物理的な破壊などを求めている。中小企業にも、特定個人情報などを削除・廃棄したことを確認するよう求めている。
ガイドライン案では、特定個人情報を保存するシステムについて、保存期間経過後の廃棄または削除を前提としたシステムを構築することが望ましいとしている。だが梅屋制度戦略研究室長は、これまでヒアリングした企業で廃棄への対応を定めた例はなく、「影響が大きい」と指摘している。
[特定個人情報保護委員会の発表資料へ]
[パブリックコメントの発表資料へ]
