更新日 : 2025年8月26日

マイナンバー制度で必要な個人情報漏洩対策とは？罰則についても解説！

Q: マイナンバーが情報漏洩した場合のリスクは？

なりすましによる個人が被る金銭的被害のほか、企業が賠償請求されれば、社会的信用も失墜します。詳しくは こちら をご覧ください。

Q: 企業や地方自治体がとるべきマイナンバーの個人情報漏洩対策は？

利用の制限など、制度面における保護措置に加え、システム面における保護措置を講じる必要があります。詳しくは こちら をご覧ください。

マイナンバー制度は、マイナンバー法に基づく個人番号（マイナンバー）によって行政手続における特定の個人を識別するための仕組みです。マイナンバー法では、マイナンバーや特定個人情報の情報漏洩を防止するために厳格な規定が設けられています。この記事では、マイナンバーや特定個人情報の利用範囲、取得・提供などの制限のほか、罰則などについても解説していきます。

マイナンバーの個人情報を漏洩防止するには？
マイナンバー管理をアウトソーシングする場合の漏洩防止策
クラウドサービス利用時のマイナンバー管理とセキュリティ対策
マイナンバー取扱担当者の教育・研修プログラムの作り方
マイナンバーを含む個人情報が漏洩した場合のリスクは？
マイナンバーを含む個人情報が情報漏洩した場合の罰則は？
- 民間事業者や個人も主体になりうる罰則
- 国の行政機関や地方公共団体の職員が主体である罰則
マイナンバー漏洩時の企業の対応フローは？
マイナンバー制度で必要な個人情報漏洩対策を知っておこう！

マイナンバーの個人情報を漏洩防止するには？

マイナンバーの個人情報の漏洩によるリスクを排除するために、マイナンバー法では制度面における保護措置に加え、システム面における保護措置を講じています。

利用の制限

まず、マイナンバーはマイナンバー法があらかじめ限定的に定めた事務以外で利用することはできません。

例外的な利用は、金融機関が激甚災害時などに金銭の支払を行う場合と、人の生命、身体または財産の保護のために必要がある場合に限定されています。

提供、収集・保管の制限

マイナンバーの提供を求めることができるのは、個人番号利用事務などを処理するために必要がある場合に限られます。

本人または代理人からの提供など、マイナンバー法に定める場合を除いて、マイナンバーの提供を求めることや特定個人情報を提供、収集・保管することは禁止されています。

委託先の監督

行政機関が民間事業者に個人番号利用事務を委託する場合、委託先に対して必要かつ適切な監督を行わなければなりません。

具体的には、委託先の選定に際し、行政機関などが果たすべき安全管理措置と同等の措置が講じられるか確認し、安全管理措置を遵守させるために必要な条項を盛り込んだ契約を締結します。そして、委託先から報告、委託先への実地の監査などにより、特定個人情報の取扱状況を把握することになります。

安全管理措置

個人番号利用事務の実施者は、個人番号の漏洩、滅失、毀損の防止、その他個人番号の適切な管理のために、安全管理措置を講じる必要があります。

具体的な安全管理措置の内容は、「特定個人情報の適正な取扱いに関するガイドライン」に示されています。

参照：特定個人情報の適正な取扱いに関するガイドライン（事業者編）｜個人情報保護委員会
参照：特定個人情報の適正な取扱いに関するガイドライン（行政機関等・地方公共団体等編）｜個人情報保護委員会

「事業者編」では、安全措置の検討手順、基本方針の策定、取扱規程などの策定、組織的安全管理措置、人的安全措置、物理的安全管理措置、技術的安全管理措置、外部状況の把握の各分野について、手法の例示とともに詳細に記載されています。

システム面における措置

特定個人情報の漏洩、滅失、毀損などを防ぐためにシステム面においても各種の保護措置を講じることになります。具体的には、以下の措置を講じなければなりません。

個人情報を一元的に管理せず分散して管理
マイナンバーを直接用いず、各機関ごとに異なる符号を使用した情報連携
アクセス制御により、アクセスできる人の制限・管理
情報を通信する際の通信の暗号化

マイナンバー管理をアウトソーシングする場合の漏洩防止策

マイナンバーは重要な個人情報であり、企業には厳格な管理義務が課されています。しかし、社内で十分な体制を整えるのが難しい場合、アウトソーシングの活用も有効な選択肢です。ただし、外部委託にはリスクもあるため、慎重な対応が求められます。

アウトソーシングを活用するメリットとは

マイナンバー管理を外部委託する最大のメリットは、専門性のあるセキュリティ体制を活用できる点にあります。アウトソーシング業者は、マイナンバー対応に特化したシステムや人員体制を備えており、最新のセキュリティ技術や法令順守に基づいた運用が期待できます。

また、社内での管理業務を軽減できるため、担当者の負担が減少し、人的ミスの防止にもつながります。中小企業では特に、情報システムや法務に詳しい人材を確保しにくいため、アウトソーシングの有効性は高いといえるでしょう。

委託先選定のポイント

委託先を選ぶ際には、「安全管理措置」の体制が整っているかどうかを必ず確認する必要があります。たとえば、アクセスログの管理、通信の暗号化、情報の分離保存などが明確に実施されていることが重要です。

また、過去に情報漏洩の事例がないか、ISMS（情報セキュリティマネジメントシステム）などの認証を取得しているかといった点も信頼性の判断材料になります。単に価格や納期だけで選定することは避けましょう。

契約時に注意すべき項目

マイナンバーの外部委託契約には、守秘義務や再委託の制限、漏洩時の責任範囲の明確化など、具体的かつ詳細な条項を盛り込む必要があります。

特に重要なのは、委託元企業（発注側）が最終的な責任を負うという点です。たとえ委託先で漏洩が発生しても、企業としての法的責任や行政処分の対象となるのは発注側であるため、契約書は慎重に精査しなければなりません。

アウトソーシング後も監督義務が必要

外部委託した場合でも、企業には委託先の監督義務が残ります。契約を交わしただけで管理責任が免除されるわけではありません。

定期的な業務報告の受領や、必要に応じた現地監査の実施、セキュリティ運用状況のチェックなどを行い、適切な運用が維持されているかを確認することが求められます。監督義務を怠ると、万一の漏洩時に企業側の過失が問われる可能性もあります。

クラウドサービス利用時のマイナンバー管理とセキュリティ対策

マイナンバーの保管や運用にクラウドサービスを活用する企業が増えています。利便性が高い一方で、適切なセキュリティ対策を講じなければ情報漏洩リスクが高まります。安全にクラウドを活用するための管理ポイントを確認しましょう。

クラウド利用のメリットとリスク

クラウドサービスの最大のメリットは、物理的な保管・運用コストの削減と、場所を問わず情報にアクセスできる柔軟性です。災害時のバックアップやアクセス権限管理など、高度な機能を持つクラウドサービスを活用することで、社内インフラを整備する手間が省ける利点があります。

しかし、インターネットを介して情報を管理する以上、外部からの不正アクセスや情報漏洩のリスクも無視できません。マイナンバーは特定個人情報であり、万一漏洩すれば企業の信頼失墜や法的責任が発生します。

セキュリティが確保されたクラウドサービスの選び方

マイナンバーをクラウドで管理する場合、サービス提供者のセキュリティレベルを見極めることが不可欠です。以下のポイントを確認しましょう。

データの暗号化（通信・保存両方）
アクセスログの記録・監査機能
多要素認証（MFA）の導入有無
ISMS（ISO27001）認証の取得状況
国内のデータセンターでの管理

マイナンバーに関しては、個人情報保護委員会が定めるガイドラインに沿った特定個人情報の適切な取扱いが求められます。利便性や価格だけでクラウドサービスを選ばないように注意が必要です。

社内で行うべき補完的な対策

クラウドサービスを導入しても、社内体制の整備は不可欠です。マイナンバーへのアクセス権限を必要最小限に限定し、退職者や異動者の権限を速やかに削除する運用体制が求められます。

また、担当者に対する定期的な教育・研修や、マニュアルの整備、緊急時の対応フローの明文化もセキュリティ対策の一環です。

クラウドの活用によって管理を簡素化できても、企業側の監督責任はなくなりません。万一の事態に備えた体制を整えた上で、クラウドを安心して活用することが重要です。

マイナンバー取扱担当者の教育・研修プログラムの作り方

マイナンバーは特定個人情報として、企業には厳格な管理が求められます。その中でも最も重要なのが「人」による運用であり、取扱担当者の教育と継続的な研修が漏洩リスクの低減に直結します。

まず、プログラムの初期設計では、「マイナンバー法」「個人情報保護法」の基本的な法令知識を中心に据えます。あわせて、具体的な取扱業務（収集、保管、利用、廃棄）のフローと、禁止事項（目的外利用・漏洩など）も明示的に伝える必要があります。これにより、担当者が「なぜ守らなければならないのか」を理解しやすくなります。

次に、実務とリンクした演習やケーススタディを盛り込みます。例えば、「誤送信してしまった場合の対応」や「不審な問い合わせにどう対応すべきか」など、実際に起こり得るシナリオをもとにした研修は、知識の定着に効果的です。

また、教育は1回限りでは不十分です。年1回以上の定期研修と、制度改正時や漏洩事故後の臨時研修を組み合わせることが理想的です。受講履歴や理解度を記録し、習熟度を可視化することで、監査対応や従業員の意識向上にも役立ちます。

さらに、社内規程やマニュアルも教育に連動してアップデートし、現場の実務と乖離しない運用体制を整備しましょう。

マイナンバーを含む個人情報が漏洩した場合のリスクは？

個人情報が流出した場合、海外の事例以外にも、特殊詐欺や悪徳商法を行う組織による悪用、金融機関からの金銭的略取など財産の侵害も考えられます。

日本のマイナンバーに類似する制度は海外にもあり、個人情報が漏洩したことによる事件も発生しています。

たとえばアメリカでは、社会保障番号が漏洩したことで、なりすましによる税金の不正還付や年金の不正受給の事例があります。また、韓国では、他人の住民登録番号の不正入手によって海外のオンラインゲームに登録するという事例も生じています。

個人の被害だけでなく、個人情報を管理すべき立場にある事業主から漏洩した場合、被害者から金銭的賠償を求められる可能性もあります。こうした事態が生じれば、組織として社会的信用が失墜し、顧客離れ、業績の悪化といったリスクもあるでしょう。

マイナンバーを含む個人情報が情報漏洩した場合の罰則は？

マイナンバー法では、情報漏洩に対する罰則が、主体と行為ごとに詳細に設けられています。主な罰則を挙げると次のようなものがあります。

民間事業者や個人も主体になりうる罰則

個人番号利用事務、個人番号関係事務などに従事する者や、従事していた者が正当な理由なく、業務で取扱う個人の秘密が記録された特定個人情報ファイルを提供した場合は、4年以下の懲役または200万円以下の罰金（併科されることもある）
個人番号利用事務、個人番号関係事務などに従事する者や、従事していた者が業務に関して知り得たマイナンバーを自己や第三者の不正な利益を図る目的で提供または盗用した場合、3年以下の懲役または150万円以下の罰金（併科されることもある）
主体を問わず、人を欺き、暴行を加え、または脅迫することや財物の窃取、施設への侵入、不正アクセス行為などによりマイナンバーを取得した場合、3年以下の懲役または150万円以下の罰金
主体を問わず、偽りその他不正の手段によりマイナンバーカードの交付を受けると、6カ月以下の懲役または50万円以下の罰金
特定個人情報の取扱いに関して法令違反のあった者が、個人情報保護委員会の命令に違反した場合は、2年以下の懲役または50万円以下の罰金
個人情報保護委員会から報告や資料提出の求め、質問、立入検査を受けた者が虚偽の報告、虚偽の資料提出、答弁や検査の拒否、検査妨害などをした場合、1年以下の懲役または50万円以下の罰金

国の行政機関や地方公共団体の職員が主体である罰則

情報連携や情報提供ネットワークシステムの運営に従事する者や、従事していた者が情報連携や情報提供ネットワークシステムの業務に関して知り得た秘密を洩らし、または盗用した場合、3年以下の懲役または150万円以下の罰金（併科されることもある）
国、地方公共団体、地方公共団体情報システム機構などの役職員が職権を乱用して、職務以外の目的で個人の秘密に属する特定個人情報が記録された文書などを収集した場合、2年以下の懲役または100万円以下の罰金

この他にも、国外犯に関する罰則などもあります。

マイナンバー漏洩時の企業の対応フローは？

マイナンバーが漏洩した場合、企業は迅速かつ正確な対応が求められます。被害拡大を防ぐと同時に、法的な義務を果たし、再発防止策まで確実に講じる必要があります。漏洩時に企業が取るべき対応をステップごとに解説します。

ステップ1：漏洩事実の確認と初動対応

最初の対応は、マイナンバーが本当に漏洩したのか、またはその可能性があるかを迅速に確認することです。原因・範囲・対象者・漏洩経路を特定し、被害の拡大を防ぐために、該当ファイルへのアクセス遮断や関係者アカウントの停止などの緊急対応を行います。

ステップ2：社内関係部署との連携・対応チームの編成

漏洩の影響が大きい可能性がある場合は、法務・人事・情報システムなどの関係部署と連携し、社内対応チームを速やかに立ち上げます。企業によっては顧問弁護士や外部専門家を含めた危機管理委員会を設置することも推奨されます。

ステップ3：被害状況の調査と記録保全

漏洩したマイナンバーの件数、該当従業員や顧客、使用されたデバイスやシステムのログなど、証拠の記録と保全を行います。被害状況を把握し、今後の報告や説明責任に備えて、詳細な事実関係を整理することが不可欠です。

ステップ4：個人情報保護委員会への報告

個人情報保護法に基づき、漏洩の影響が重大な場合には、個人情報保護委員会への報告が義務付けられています。漏洩発生を把握したら速やかに（概ね3～5日以内）にまずは速報を行い、その後把握した日から原則30日以内に確定を行う必要があります。報告にあたっては、リンク先の報告フォームから原因、影響、対応策を明示する必要があります。

参照：特定個人情報の漏えい等事案が発生した場合の対応について｜個人情報保護委員会

ステップ5：本人（情報対象者）への通知

マイナンバーが漏洩した本人に対しても、早急に通知を行います。通知内容には、漏洩の事実、想定される影響、企業の対応、問い合わせ窓口などを含め、できるだけ丁寧で分かりやすい形式で行う必要があります。

ステップ6：社内対応の評価と再発防止策の策定

事後対応として、原因分析に基づいた再発防止策を講じます。技術面（アクセス制御やシステム強化）、人的管理（教育・研修の実施）、運用面（業務フロー見直し）を総合的に評価し、改善計画を文書化・共有します。

ステップ7：再発防止策の実行と社内共有

策定した再発防止策を確実に実行し、その内容を関係部門や全社に周知します。また、定期的な見直しと効果測定を行い、組織全体で継続的な情報管理の強化に努めることが必要です。

マイナンバー制度で必要な個人情報漏洩対策を知っておこう！

今回は、マイナンバーや特定個人情報の情報漏洩を防止するための措置について解説してきました。マイナンバー法では、マイナンバーや特定個人情報の利用範囲、取得・提供などの制限のほか、罰則などについて厳格な規定があります。特定個人情報を取扱う事務に従事する方は、漏洩対策をしっかり理解しておくことが大切です。

よくある質問

マイナンバーが情報漏洩した場合のリスクは？

なりすましによる個人が被る金銭的被害のほか、企業が賠償請求されれば、社会的信用も失墜します。詳しくはこちらをご覧ください。

企業や地方自治体がとるべきマイナンバーの個人情報漏洩対策は？

利用の制限など、制度面における保護措置に加え、システム面における保護措置を講じる必要があります。詳しくはこちらをご覧ください。

※ 掲載している情報は記事更新時点のものです。

【監修】マネーフォワードクラウドマイナンバー
マイナンバーに関するお役立ち情報をマネーフォワードクラウドマイナンバーが提供します。マネーフォワードクラウドは会計から人事労務までクラウドでDXを推進、バックオフィスの業務効率化を応援します。
執筆：坪義生（社会保険労務士）
じんじ労務経営研究所代表（社会保険労務士登録）、労働保険事務組合鎌ヶ谷経営労務管理協会会長、清和大学法学部非常勤講師、「月刊人事マネジメント」（㈱ビジネスパブリッシング）取材記者。社会保険診療報酬支払基金、衆議院議員秘書、㈱矢野経済研究所、等を経て、91年、じんじ労務経営研究所を開設。同年より、企業のトップ・人事担当者を中心に人事制度を取材・執筆するほか、中小企業の労働社会保険業務、自治体管理職研修の講師など広範に活動。著書に『社会保険・労働保険の実務　疑問解決マニュアル』(三修社)、『管理者のための労務管理のしくみと実務マニュアル』(三修社)、『リーダー部課長のための最新ビジネス法律常識ハンドブック』(日本実業出版社、共著)などがある。