Pマーク事業者マイナンバー対応サービス｜
Pマーク　ISMSのコンサル　取得は
スリープロサポート株式会社

Pマークコンサルタント：HOME ＞ マイナンバー制度 ＞ Pマーク審査、マイナンバー法対応

　Pマーク事業者の更新審査でのマイナンバー法対応

　平成28年1月移行徐々に全ての事業者はマイナンバー制度施行により、「特定個人情報（個人番号をその内容に含む個人情報）」を取扱うことになります。これに伴い、Pマーク取得事業者は既存のPMSをマイナンバー制度に対応するように改定する必要があります。 具体的に「何を」「どのように」改定するかは、番号法および特定個人情報保護委員会の定める「特定個人情報の適正な取扱いに関するガイドライン(事業者編)」を参考にするのが最良です。平成28年1月以降の更新審査では、事業者のマイナンバーの取得の有無に関わらず、重点的に「特定個人情報」についての対応を審査されます。審査のタイミングや特定個人情報の取得時期にもよりますが、組織が参照すべき法令等を特定し更新する手順など最低限の対応を実施していないと更新審査で大量の不適合が発生します。マイナンバー対応Pマーク更新コンサルは是非TPSへご相談ください。

【 個人情報の特定、リスクなどの認識、分析及び対策（要求事項 3.3.1、3.3.3）】
　特定個人情報の特定及びリスクの認識、分析、対策を実施します。個人情報に関するリスクに、個人情報の取扱いに関する法令等に対する違反も含まれるため、事業者は、番号法の規定に反する取扱いをすることをリスクと認識し、リスク分析を踏まえて対策を講じPMSに反映する必要があります。また、要求事項3.4.3.2（安全管理措置）及びJIPDECガイドラインは、取扱う個人情報のリスクに応じた、必要、かつ、適切な安全管理措置を講じることを求めていますのでPマーク付与を受けようとする事業者は、引き続き、リスクに応じた措置を実施し、適宜リスク及び対策の見直しを行うことが必要です。

【 法令、国が定める指針その他の規範（要求事項 3.3.2）】
　要求事項3.3.2（法令、国が定める指針その他の規範）を踏まえて、JIPDECガイドラインでは、特定・参照が必須である法令、国が定める指針その他の規範（以下「法令等」）を示していますが、平成28年1月以降は、特定し参照する対象に、番号法及び特定個人情報ガイドラインを加える(見直す）必要があります。

【 資源、役割、責任及び権限（要求事項 3.3.4）】
　 要求事項 3.3.4 （資源、役割、責任及び権限）及び JIPDEC ガイドラインでは、個人情 報の管理のための役割、責任及び権限を明確に定め、文書化することを求めており、 特定個人情報ガイドラインでは、「特定個人情報等を取り扱う事務に従事する従業者」（以下 「事務取扱担当 者」 ）の明確化を求めています。 ゆえにPマーク付与を受けようとする事業者は、 事務取扱担当者の役割、 責任及び権限を明確に定め、文書化する必要があります。

【 取得、利用及び提供に関する原則（要求事項 3.4.2 】
　事業者は利用目的を本人に通知する等の措置を行わなければいけません。 また、番号法においては、個人番号を利用することができる事 務の範囲が制限されており、本人の同意を得ても原則として利用することはできないことに留意する必要があります。留意点として

　● 個人番号の利用範囲は、番号法第 9 条（利用範囲）に示す範囲（個人番号利用事 務、個人番号関係事務）に限定。要求事項 3.4.2.6 （利用に関する措置） と異なり、 本人の同意があったとしても利用範囲を超えた利用は認められない。
　● 特定個人情報ファイルの作成は、個人番号利用事務、個人番号関係事務を処理するために必要な範囲に限られる（番号法第28条特定個人情報ファイルの作成の制限）。例えば、個人番号を含むデータベースを作成した場合や、既存のデータベースに個人番号を追加した場合は、当該データベースの利用の範囲に留意する。
　● 特定個人情報の提供は、番号法第19条（特定個人情報の提供の制限）に規定された場合を除き禁止（番号法第19条）。また、番号法では特定個人情報に関しては個人情報保護法の第23条（第三者提供の制限）の規定は適用除外とされている点に留意する。つまり、番号法では、個人情報保護法第23条第4項第3号の規定も適用されず、個人番号の共同利用は認められない。
　● 個人番号の提供を受ける場合、番号法第16条（本人確認の措置）により本人確認が義務付けられ、確認方法を規定すること。

【 正確性の確保（要求事項3.4.3.1）】
　要求事項 3.4.3.1 （正確性の確保）を踏まえ、JIPDECガイドラインでは個人情報の保管期間の設定等を求めてますが、特定個人情報の保管期間については、特定個人情報ガイドラインに示す通り番号法に定めた事務を行う場合を除き、特定個人情報を保管ができないことに留意する必要があります。

【 安全管理措置（要求事項3.4.3.2）】
　規格では、取扱う個人情報のリスクに応じて個人情報のライフサイクルの各局面の安全対策を策定することを求めており、新たに特定個人情報を取扱う場合の安全管理措置を策定する必要があります。また、特定個人情報を取扱う場合の安全管理措置では、特定個人情報ガイドラインにおいて、個人番号の削除や特定個人情報等を取扱う機器、及び電子媒体等の廃棄は所管法令等における保存期間の経過時には速やかに削除・廃棄を行うことなど、要求事項では求められていない措置を講じなければならないことに留意しましょう。なお、特定個人情報の保管は、番号法第19条（特定個人情報の提供の制限）各号のいずれかに該当する場合を除き禁止である（番号法第20条収集等の制限）ことに留意する必要があります。

【 委託先の監督（要求事項3.4.3.4）】
　特定個人情報ガイドラインでは、委託契約の締結にあたって盛り込むべき規定等が具体的に示されています。よって、要求事項3.4.3.4（委託先の監督）で定める事項のほかに、特定個人情報ガイドラインが示す事項を契約書等に盛り込む必要があります。 また、委託先に再委託を認める場合、委託先に再委託先に関する事項を文書で報告させ、委託先による再委託先の監督状況を確認することに加えて、最初の委託元の許諾を得ることが求められることに留意し、また、再委託先が再々委託を行う場合以降も、再委託を行う場合と同様であることにも留意が必要です。

　ストレスチェック制度とは、働く人たちに対し心理的な負担の程度を確かめる検査とその結果に応じた面接指導などの対応を行う制度のことです。2014年6月の労働安全衛生法の改正により、従業員50人以上の事業所（※ 契約期間が１年未満の労働者や、労働時間が通常の労働者の所定労時間の４分の３未満の短時間労働者は義務の対象外）を対象に、15年12月から毎年一回実施する事が義務付けられました。　ストレスチェック制度における個人情報は従業者の機微な情報であり(プライバシー）、規定を整備すると同時に個人情報の取り扱いについてもガイドラインやPマーク制度に準拠するように組織は十分な対策を取る必要があります。当然、50人以上の企業においては、Pマーク更新時の重大なチェック事項となります。

　審査のタイミングにより、個人番号を取得前と取得後で審査内容(改定内容）は変わってきますが、平成28年度の前半にPマークの更新審査がある企業は、無理に個人番号を取得するとそれに伴うルールの改定を多く実施する必要がありますので得策ではありません。しかし、Pマークの更新をメインに考えるのではなく、「個人番号の取り扱い」をメインに考え「漏えいのリスク」を最大限考慮しながら並行して対応していけばよいでしょう。

　スリープロサポートではマイナンバー制度(社員教育用マイナンバー専用eラーニングの単体の契約も可能です）のコンサルティングも実施しています。お気軽にご相談ください。。