マイナンバーの収集・保管の実務｜委託契約と安全管理措置の完全ガイド

マイナンバーの収集・保管方法と委託契約、安全管理措置を解説するイメージイラスト。女性が契約書を指し示し、マイナンバーカードとセキュリティ資料が描かれている。

マイナンバー管理の重要性が高まっている理由

企業や個人事業主にとって、マイナンバーの取扱いは避けて通れない業務の一つです。
従業員や外注先に支払う報酬、源泉徴収票や支払調書を作成する際には、必ずマイナンバーの収集と保管が必要になります。

ただし、マイナンバーは「特定個人情報」として厳格な管理が求められるため、
単にコピーを保管しておくだけでは法令違反となるおそれがあります。

特に次のようなケースでは、マイナンバーの漏えいや不適切な管理が問題となることがあります。

従業員から預かったマイナンバーをメール添付で送信してしまった
委託先が安全管理措置を怠って情報漏えいを起こした
退職者のマイナンバーを削除せずに長期間保管していた

このようなトラブルを防ぐには、**「実務で使える管理体制」**を整えることが不可欠です。

マイナンバー取扱いで起こりやすいリスクと誤解

まず、多くの事業者が誤解しているのが、
「マイナンバーは一度提出してもらえば、ずっと保管してよい」という点です。

実際には、マイナンバーの保管には**「利用目的の範囲」「保存期間」「廃棄ルール」**など厳格な制限があります。
これらを無視すると、個人情報保護委員会の指導対象になる可能性もあります。

よくある誤解とリスク一覧

よくある誤解	実際のルール	想定されるリスク
マイナンバーは永久に保管できる	利用目的が終了したら速やかに廃棄が必要	個人情報保護法違反
委託先に任せていればOK	委託元も監督責任あり	共同責任で行政指導対象
メール添付で送るだけでも大丈夫	暗号化・パスワード管理が必要	情報漏えいリスク
従業員の本人確認は口頭でOK	写真付き書類との照合が必須	法定確認不備

実務で求められる「マイナンバーの管理プロセス」

マイナンバーは、「収集 → 利用 → 保管 → 廃棄」という一連の流れを
法令に沿って運用することが求められます。
この流れを理解することで、社内体制を効率的に整えられます。

ステップ1：収集（本人確認）

従業員・個人事業主・取引先からマイナンバーを取得する際は、
番号確認と本人確認をセットで行う必要があります。

確認に使える書類の例

個人番号カード（表裏）
通知カード＋本人確認書類（免許証・パスポートなど）
住民票の写し（マイナンバー記載あり）

本人確認を怠ると、不正取得と見なされるおそれがあるため注意が必要です。

ステップ2：利用（法定目的に限定）

マイナンバーの利用目的は、税・社会保障・災害対策に限定されています。
たとえば、以下のような事務が代表的です。

対象	利用目的の具体例
従業員	源泉徴収票の作成、社会保険手続き
外注・士業	支払調書の作成
顧問先（税理士業務など）	法定調書の作成・提出支援

これ以外の目的（例えば顧客管理や本人確認のための使用など）に
マイナンバーを利用することは禁止されています。

ステップ3：保管（安全管理措置）

収集したマイナンバーは、不正アクセス・紛失・漏えいを防ぐ体制を整える必要があります。
安全管理措置は、以下の4区分に分かれています。

① 組織的安全管理措置

管理責任者を明確にする
アクセス権限を限定する
取扱規程（マニュアル）を作成する

② 人的安全管理措置

従業員への定期的な教育・誓約書の取得
退職者のアクセス権削除

③ 物理的安全管理措置

マイナンバー書類を施錠保管
事務所の入退室管理
不要書類のシュレッダー処理

④ 技術的安全管理措置

ファイルの暗号化（ZIPやクラウド暗号化）
アクセスログの記録・監査
外部送信時のパスワード付与

これらはすべて「個人情報保護委員会ガイドライン」で明示されており、
形式だけでなく実効性ある運用が求められます。

ステップ4：廃棄（保存期間終了後の削除）

マイナンバーは、利用目的が終了したら速やかに廃棄します。
たとえば、源泉徴収票の作成に利用した場合は、
税務署への提出が完了した時点で削除するのが原則です。

廃棄の実務ポイント

紙書類はシュレッダーまたは溶解処理
電子データは復元不可能な方法で削除
廃棄記録を残しておく（削除日・担当者など）

委託先に業務を任せる場合の契約義務

マイナンバー関連業務を外部委託する場合、
委託先にすべてを任せるのではなく、委託元にも法的な監督責任があります。

委託時に必要な契約条項

委託契約書には、最低限次の項目を明記する必要があります。

契約項目	内容
委託範囲	収集・入力・保存・廃棄などの業務範囲を明確化
再委託の可否	再委託を行う場合の承諾手順
安全管理措置	物理・技術的対策を具体的に記載
守秘義務	マイナンバーの目的外利用・漏えい禁止
契約終了時の対応	データの返却・削除・報告義務

これらが不十分だと、委託元も責任を問われる可能性があります。

委託先の選定基準

委託先を選ぶ際には、「コスト」よりも「安全管理体制」を優先する必要があります。
次のような観点でチェックすると安心です。

ISMS（情報セキュリティマネジメント）認証を取得している
従業員教育を定期的に実施している
サーバーが国内データセンターに設置されている
不正アクセスや漏えい時の対応手順が明確

監督義務の実務対応

契約後も、委託先に任せきりにせず、
定期的な確認・報告を受けることで監督義務を果たす必要があります。

チェック方法の例：

年1回の管理体制確認（書面またはWeb面談）
アクセスログや削除記録の共有
インシデント発生時の報告体制の確認

クラウドサービスを利用する場合の注意点

近年は、マイナンバーの収集や管理にクラウドシステムを利用するケースが増えています。
税理士・社労士・企業担当者がクラウド共有を使うことで効率化できますが、
クラウド利用には特有のリスクがあるため注意が必要です。

クラウド利用時の確認ポイント

確認項目	内容
提供会社の所在地	日本国内または適正なデータ保護国か
通信の暗号化	HTTPSやTLSなど安全な通信方式が使われているか
アクセス制御	ID・パスワード・多要素認証が設定できるか
データの保存場所	国内サーバーか、国外転送時のルールが明示されているか
契約条項	「マイナンバー情報の取り扱い」を含む個別契約があるか

クラウドを使う場合でも、管理責任は利用者側（事業者）に残ります。
つまり、「クラウドが安全だから任せておけば大丈夫」ではなく、
サービス提供者のセキュリティ体制を定期的にチェックする義務があるのです。

安全管理措置の最新トレンド

2024年以降、マイナンバー管理に関連するガイドラインはより具体化され、
特に中小企業向けに現実的な運用方法が提示されるようになりました。

ここでは、実務担当者が押さえておくべき最新トレンドを紹介します。

1. クラウド共有＋アクセス制御の標準化

従来は「紙保管」が中心でしたが、
現在は「クラウド保管＋アクセス権管理」が主流になっています。

たとえば次のような方法が推奨されます。

DropboxやGoogle Driveなどに専用フォルダを作り、アクセス制限を設定
アップロード時に自動暗号化する設定をONに
閲覧履歴・編集履歴を残す

このような仕組みを使うと、担当者ごとの責任範囲が明確になり、監査も容易になります。

2. 退職者・外注先のアクセス制御強化

マイナンバー漏えいの多くは「社内外の関係者」が原因です。
退職者や業務終了後の外注先が引き続きフォルダにアクセスできるケースも少なくありません。

このリスクを防ぐため、以下のルールを設けましょう。

契約終了日または退職日当日にアクセス権を削除
社外共有リンクは有効期限を設定
外注先に対して「マイナンバー削除証明書」の提出を求める

3. AIによるマイナンバー管理補助の活用

最近では、AIを活用した情報管理支援ツールも登場しています。
たとえば次のような使い方が可能です。

AI活用例	効果
書類画像の自動マスキング	マイナンバー部分を自動で検出・隠す
ファイル名チェックAI	マイナンバーを含むファイルを自動検出
定期監査AI	保管フォルダ内のマイナンバー含有ファイルを分析し、削除対象を提案

こうしたAIツールを組み合わせることで、
**人のミスを補う「安全管理の自動化」**が実現します。

中小企業・個人事業主が取るべき実務対応

大企業ほどセキュリティ投資ができない中小企業では、
「実務レベルで現実的にできる対策」を段階的に整えることが大切です。

最低限整備すべき5つの対策

マイナンバー管理責任者の選任
　社長または信頼できる担当者を正式に任命し、管理体制を明確にする。
取扱規程・マニュアルの作成
　社内で「収集・利用・廃棄の流れ」を文書化する。
パスワードとアクセス制限の導入
　共有フォルダやメールにパスワードを設定し、アクセス権限を絞る。
定期的な教育と誓約書の取得
　従業員・外注先に「マイナンバー取扱誓約書」を配布・保管する。
利用目的終了後の削除
　年度末処理が終わったら、データ・書類を速やかに廃棄。

これらを実施するだけでも、監査対応レベルの安全管理措置が整います。

税理士・社労士との連携でリスクを減らす

マイナンバーの収集・管理は、税務・給与・社会保険業務と密接に関係しています。
したがって、専門家（税理士・社会保険労務士）との連携が非常に有効です。

税理士・社労士に委託するメリット

マイナンバーを含む書類管理を代行してくれる
ガイドラインに沿った契約・運用をサポート
最新の法改正や通達を反映したアドバイスが受けられる

委託契約時の注意点

委託範囲を明確にする（例：源泉徴収票作成まで）
マイナンバーを含むデータの取扱方法を確認
削除・返却の手順を契約書に明記

顧問契約を結ぶ際には、**「マイナンバー業務取扱特約」**を付けておくと安心です。

トラブル事例から学ぶ管理体制の見直し

最後に、実際に発生したトラブル事例を通して、改善ポイントを確認しましょう。

事例①：退職者のマイナンバーを削除せず保管

原因：削除ルールが存在しなかった
対策：削除スケジュールをマニュアル化し、年度末に自動削除設定を行う

事例②：委託先が誤ってマイナンバーをメール送信

原因：暗号化やパスワード設定が未実施
対策：ファイル転送サービスを利用、メール添付を原則禁止

事例③：従業員の私用PCにマイナンバーデータを保存

原因：リモートワーク体制の管理不足
対策：会社貸与PCのみ許可、VPN接続の義務化

これらの事例を参考に、自社のフローを一度棚卸しすることが重要です。

安全管理措置を実務で運用するためのチェックリスト

チェック項目	状況	改善策
管理責任者を任命しているか	□Yes / □No	経営層の承認を得て明文化
取扱規程を作成しているか	□Yes / □No	テンプレートを基に作成
委託契約に安全管理条項を明記しているか	□Yes / □No	再委託禁止などを追加
アクセス制御が実施されているか	□Yes / □No	二段階認証を導入
定期的に教育・監査を行っているか	□Yes / □No	半年に1回の確認を実施