マイナンバー（個人番号）を取り扱う事業者は、個人情報保護法とは別に「番号法（行政手続における特定の個人を識別するための番号の利用等に関する法律）」の適用を受けます。マイナンバーが含まれる情報は「特定個人情報」と呼ばれ、通常の個人情報より厳格な管理が法律上求められます。
本記事では、番号法が事業者に課す固有の義務を整理し、年間業務サイクルの中でどのような品質管理が必要かを解説します。個人情報保護法全般については「個人情報保護法とデータ品質の関係」、GDPRについては「GDPRの正確性の原則と日本企業の実務対応」をあわせてご参照ください。
マイナンバーが「特定個人情報」として扱われる理由
番号法は、マイナンバーの利用目的を税・社会保険・災害対策など法律で定められた行政分野に厳格に限定した法律です。この「利用目的の列挙制限」が通常の個人情報保護法と大きく異なる点です。
個人情報保護法は取得時に利用目的を通知・公表すれば比較的広範な目的で個人情報を利用できますが、番号法では利用できる行政分野が法律で列挙されており、それ以外の目的にはマイナンバーを利用できません。たとえば「顧客管理の利便性向上のためにマイナンバーを収集・活用する」「社内IDとしてマイナンバーを使用する」ことは、番号法で明確に禁止されています。
番号法が事業者に課す主な義務
- 利用目的の制限：税・社会保険等の法定業務に限定して利用する（法定外目的での収集・利用・提供は禁止）
- 本人確認義務：番号収集時に「番号確認（その番号が本人のものか）」と「身元確認（申告した人物が本人か）」の2要素を実施する
- 安全管理措置：特定個人情報の漏えい・滅失・毀損防止のための組織的・人的・物理的・技術的措置を講じる
- 廃棄義務：事務の必要がなくなり、かつ所管法令で定められた保存期間を経過した場合に、できるだけ速やかに特定個人情報を廃棄・削除する（保存期間経過後の「念のため保管」は違反リスク）
- 特定個人情報保護評価：特定個人情報ファイルを保有する国の行政機関・地方公共団体等を対象とする制度。一般的な民間事業者は制度上の実施義務の対象外
番号法違反の罰則は個人情報保護法より重く、特定個人情報ファイルの不正提供等には拘禁刑（4年以下）若しくは罰金（200万円以下）、またはその併科が定められています。拘禁刑と罰金を併科する規定が設けられている点が番号法の特徴です。なお、特定個人情報ファイルの不正提供等については、両罰規定により法人に1億円以下の罰金が科される規定があります。
年間業務サイクルと品質リスクポイント
マイナンバー関連業務の年間カレンダーとリスクポイント
マイナンバーを扱う主な業務は、入社・採用時の番号収集、社会保険の算定届提出、年末調整・源泉徴収票の作成、法定調書の税務署提出、そして退職者・契約終了者のデータ廃棄確認と、年間を通じて発生します。品質管理の観点では、各フェーズで異なる確認事項があります。
特にリスクが高いのは、①法定調書提出（1月）の番号誤記、②入社・採用時の本人確認手続きの省略（随時発生）、③源泉徴収票の税務署提出用への番号記載漏れ（12月）の3つです。これらは税務当局・社会保険事務所との手続きに直結するため、番号の誤記・欠損は業務上の不備だけでなくコンプライアンスリスクに発展します。
番号法 vs 個人情報保護法：規制の格差
番号法（特定個人情報）vs 個人情報保護法：規制格差の比較
特に「廃棄義務」は番号法固有の要件として重要です。個人情報保護法では不要データの削除は努力義務的な位置づけですが、番号法では「事務の必要がなくなり、かつ所管法令の保存期間を経過した後、できるだけ速やかに廃棄すること」が求められます。退職者・取引先契約終了者のマイナンバーでも、関連書類の法定保存期間が続いている間は保管が必要です。その期間を経過した後も「問い合わせ対応のために」保持し続けることは、違反リスクになります。
よくある品質問題とコンプライアンスリスクへの直結
- 番号の誤記：源泉徴収票・法定調書に別人または架空のマイナンバーが記載される → 税務当局への誤申告
- 番号の欠損：法定調書への未記載。行政上の不備として扱われるケースがある
- 廃棄漏れ：退職者・契約終了者のマイナンバーを不要後も保持し続ける → 廃棄義務違反
- 目的外利用：収集した番号を法定外用途（顧客管理DBへの組み込み・社内ID管理等）で使用 → 番号法違反
- 本人確認の省略：番号収集時に必要な本人確認を実施せずに収集 → 番号法上の本人確認義務（第16条）に違反する可能性がある
- 散在管理：同一人物のマイナンバーが複数システムに散在し、廃棄時の漏れが発生する
収集→保管→利用→廃棄のライフサイクル品質管理
特定個人情報のライフサイクル品質管理：フェーズ別チェックポイント
番号法対応の実務では、フェーズ別に確認すべき事項が異なります。収集フェーズでは本人確認の2要素（番号確認＋身元確認）の確実な実施、保管フェーズではアクセス制限などの安全管理措置の整備、利用フェーズでは法定用途のみへの限定と番号の正確性確認、廃棄フェーズでは復元不可能な削除と廃棄記録の保持——それぞれの段階で対応が必要です。
「廃棄フェーズ」が最も見落とされやすいポイントです。退職者のマイナンバーは法定書類の法定保存期間終了後に廃棄する必要がありますが、「退職後も何かあった時のために」という発想での保持は、番号法の廃棄義務に反する可能性があります。廃棄の実施と記録を組織的な仕組みとして整備することが重要です。
BFTのアプローチ
BFT Insightでは、マイナンバー管理体制の診断から廃棄フローの設計・複数システムへの散在状況の把握まで、番号法対応を含むデータ品質整備を一体的に支援しています。「現状の管理体制が番号法の要件を満たしているか確認したい」「退職者データの廃棄フローが整備されていない」という段階からご相談ください。
この課題に関連する記事
マイナンバー管理体制の整備・見直しを検討している方へ
「廃棄フローが整備されているか不安」「退職者データが複数システムに残存している」「法定調書作成時の番号確認を体系的に実施できていない」——番号法対応を含むデータ品質整備についてご相談ください。
まとめ
- マイナンバーは「特定個人情報」として番号法が適用され、利用目的が税・社保等の法定業務に厳格に制限される
- 廃棄義務は番号法固有の要件。退職者・契約終了者の番号は不要後の廃棄が義務であり「念のため保管」はリスクになる
- 番号法違反の罰則は拘禁刑・罰金の併科を含み、個人情報保護法より重い
- 年間業務サイクルの中で、入社時の本人確認・年末調整・法定調書提出・廃棄確認の各フェーズで品質管理が必要
- 番号が複数システムに散在している場合、廃棄漏れのリスクが高まる。管理箇所の集約と廃棄フローの体系化が重要
よくある質問
退職者のマイナンバーはいつまで保管できますか？
退職後も法定調書の作成・提出等のために個人番号を利用する必要がある場合や、所管法令に基づき保存が必要な書類がある場合には、その必要な範囲で保管できます。事務の必要性がなくなり、所管法令上の保存期間を経過した場合には、できるだけ速やかに廃棄・削除します。税務・社会保険関係書類の保存期間は法令ごとに異なるため、関連書類ごとに確認してください。不明な点は所轄税務署や社会保険事務所にご確認ください。
マイナンバーが複数のシステムに保管されていますが、問題がありますか？
複数システムへの保管そのものが直ちに番号法違反になるわけではありませんが、廃棄義務への対応が困難になります。退職時に「どのシステムに番号が保存されているか」を把握できていないと、廃棄漏れが生じるリスクがあります。また、各システムでのアクセス制限（安全管理措置）が求められます。番号の管理箇所を把握・集約し、廃棄フローが機能する体制を整備することが実務上の重要課題です。
特定個人情報保護評価は民間企業にも義務がありますか？
特定個人情報保護評価の法的な実施義務は、特定個人情報ファイルを保有する国の行政機関・地方公共団体等に課されています。一般的な民間事業者は制度上の実施義務の対象外です。民間事業者が自社の取扱いについてリスク評価を行うことは管理体制の点検として有用な場合がありますが、法定の義務ではありません。詳細は個人情報保護委員会の公表するガイドライン・規則をご確認ください。