2017年度上半期 マイナンバー漏洩事案の大半は特別徴収税額決定通知書

個人情報保護委員会は、11月1日「平成29年度上半期における活動実績について」(以下「上半期活動実績」を発表しました。この報告書のなかの、「特定個人情報の漏えい事案等に関する報告の受付状況等について」では、漏えい事案等報告の受付は273件あり、そのうち152件が特別徴収税額決定通知書(以下「税額決定通知書」)の誤送付等によるものとしています。個人情報保護委員会が受付けた漏えい事案等の報告のうち、実に55.7%が、市区町村から事業者に送付された税額決定通知書によるものということです。

この連載では、何度か取り上げた税額決定通知書について、その後の動きをみていきましょう。

個人情報保護委員会の漏えい事案に対する対応

個人情報保護委員会は、マイナンバー法公布後の2014年1月に「特定個人情報保護委員会」として発足し、改正個人情報保護法公布後の2016年1月に改組・発足した組織です。改正個人情報保護法が2017年5月に施行されたことから、個人情報保護委員会は、マイナンバー法関連および個人情報保護法関連の監督業務などを担う機関として活動しています((図1)参照)。

• (図1)個人情報保護委員会とは

マイナンバー法関連では、マイナンバーを取り扱う事業者や、マイナンバーを利用する行政機関・地方公共団体等・事業者を監視・監督する役割を負っており、マイナンバーの漏えい事案が発生した場合の対応についても、行政機関・地方公共団体・事業者別に対応方法などを示しています。

(図2)は、地方公共団体でマイナンバーの漏えい事案が発生した場合の対応を示したものです。

• (図2)地方公共団体等でマイナンバーの漏えい事案が発生した場合の対応

重大事態に該当する場合と、そうではない場合に分けて対応方法が記載されていますが、重大事態に該当しない場合でも、個人情報保護委員会への報告は行うこととされており、市区町村から事業者に送付された特別徴収税額決定通知書による漏えい事案の報告はこの規則に則って行われたものです。

個人情報保護委員会が、11月1日に発表した「上半期活動実績」のなかで、マイナンバーの漏えい事案については以下のように報告されています。

『特定個人情報の漏えい事案等の報告の受付273件のうち、重大な事態に該当するものは、 ①地方公共団体において、約250人分の給与支払報告書（マイナンバーを含む。）を紛失した事案、②民間事業者において、プログラムミスにより約800人分のマイナンバーカード等 の本人確認書類の画像データを削除した事案、③民間事業者において、火災により約260人分のマイナンバーが記載された書類を滅失した事案である。

また、受け付けた漏えい事案等の報告のうち主なものは、特別徴収税額決定通知書の誤送付等（152件）によるものである。

特定個人情報の漏えい事案等の報告の受付に際し、必要に応じて、再発防止策の実施に関する指導・助言等を行っている。』

重大事態に該当する事案は3件にとどまっており、そのなかに税額決定通知書によるものはなかったとはいえ、税額決定通知書の誤送付等による漏えい事案があまりにも多かったため、上記のように税額決定通知書による事案が明示されることになったものと考えられます。

また、受け付けた漏えい事案等の報告件数の機関別内訳は、以下のようになっており、地方公共団体等が圧倒的に多いことがわかります。

税額決定通知書の誤送付等による漏えい事案をはじめ、漏えい事案件数が多い地方公共団体に対して、個人情報保護委員会がどのような指導をしたのでしょうか。「上半期活動実績」ではマイナンバー法に基づく指導等について、以下のように記載されています。

『平成29年度上半期において、指導・助言を137件行った。
主な指導・助言の内容としては、特定個人情報の漏えい 事案等の報告の受付に際し、再発防止策の徹底を求めるものや、特定個人情報の漏えい事案等の報告に関して適切に報告をするよう指導・助言を行ったものなどがあった。』

漏えい事案の報告では、特別に税額決定通知書の名称をあげて、その事案の多さに言及されていますが、では、それに対してどのような指導・助言を行なったかという点では、「上半期活動実績」に具体的な内容は記載されておらず、指導・助言が十分かつ適切に行われたのか、という点については知ることはできません。

特別徴収税額決定通知書をめぐるその後の動き

では、実際に税額決定通知書の誤送付等による漏えい事案を起こした市区町村では、どのような対策を講じようとしているのでしょうか。漏えい事案の内容が、単なる誤送付ではなく、A社の従業員を誤ってB社の税額決定通知書に記載した漏えい事案を起こした横浜市では、6月に記者発表資料を公開しています。そのなかで、再発防止策については以下のように記載されています。

『受託事業者に対し、給与支払報告書のデータ入力の誤り防止に向け、書類の確認の徹底などの事務手順の見直し及び、システムを活用したチェック体制の強化など、改善策を早急に報告するよう指示しています。

同時に、本市職員一人ひとりが個人情報を扱う税務事務の重要性を再認識するとともに、入力作業時のチェック・確認作業を強化するなど、再発防止の徹底に努めてまいります。』

多くの市区町村が税額決定通知書の作成・送付作業を外部の事業者に委託しているわけですが、横浜市の再発防止策では、「受託事業者に対し、(中略)改善策を早急に報告するように指示しています」というレベルに留まっています。行政機関として外部にマイナンバーの取り扱いを委託し、管理・監督する立場にあるものとして、これでは不十分な内容に感じてしまいます。漏えい事案を起こした市区町村では、同様に記者発表資料を公開していますが、再発防止策については、いずれも作業の仕方を見直すといったレベルに留まっており、マイナンバーの記載そのものを見直すといった内容は見受けられませんでした。

この税額決定通知書について、この連載で以前に書いた通り、総務省が「個人番号を不記載や一部不記載（アスタリスク表示を含む）とすることは認められていません」との見解を発表し、市区町村にプレッシャーをかけたにもかかわらず、かなりの数の市区町村がマイナンバーを記載せずに送付しています。こちらの市区町村では、何らかの事故(誤送付など)によりマイナンバーが漏えいすることを想定し、マイナンバーの記載を見送ったわけですが、実際に漏えいが起こった事案を追いかけていくと、その判断が正しかったことがわかります。

改めて強く言っておきたいのは、税額決定通知書は給与計算事務において、住民税の天引きのために必要な通知であって、そこにマイナンバーの記載は必要ありません。

中小事業者と関わりの深い税理士の会員組織である日本税理士会連合会(以下日税連)の機関紙「税理士界」9月号には、「住民税の特別徴収税額決定通知書への個人番号の記載とその問題点」と題した、税理士 鈴木涼介氏の論文を掲載しています。なお、日税連は「平成30年度税制改正に関する建議書」で税額決定通知書へのマイナンバーの記載について「記載を要しないとの扱いとすべき」としています。

この論文では、事業者が法定調書等へのマイナンバーの記載義務を負っていることから、従業員がマイナンバーの提供を拒否している場合でも、そのマイナンバーを税額決定通知書により取得した場合、利用目的の範囲内にある個人番号関係事務において「記載しないということはできないと考えられる」としています。その一方で、税額決定通知書に提供拒否者のマイナンバーまで記載されていることは、マイナンバー制度の趣旨との関係から見ると問題があるとして、以下のように論じています。

まず、マイナンバー制度の趣旨について、次のように記載しています。

マイナンバー制度は、個人4情報(氏名・住所・生年月日・性別)では個人を特定することが容易ではないため、個人に番号を付し、行政手続きにおいてマイナンバーを提供させることで個人を特定しようとするもの。民(国民)→民(事業者)→官(行政)の流れで、かつ、本人確認手続きを経た特定個人情報が流通することで初めて意味をなすもの。

その上で、

『市町村が提供拒否者の個人番号を特徴通知に記載することは、制度の普及・促進の阻害要因であるばかりでなく、制度そのものの存在意義を失わせかねない。すなわち、市町村において、個人番号の提供を受けずして個人を特定できるのであれば、事業者に本人確認義務を負わせてまで個人番号を収集させる必要はなかったわけである。』

とし、行政側が”民”からマイナンバーの提供を受けなくても、マイナンバーを含む特定個人情報を特定できるのであれば、事業者に個人番号関係事務実施者として重い責任を負わせる必要はなかったのではないかとしています。

また、税額決定通知書へのマイナンバーの記載について、次のような問題点も指摘しています。

『特徴通知により提供された個人番号は、本人確認手続を経ていないことから、市町村において処理誤りがあった場合、他人の個人番号が自らの個人情報と紐付く危険性がある。』

とし、実際にあった同姓同名の他人とマイナンバーが紐付けられた漏えい事案を掲げています。

そして、多くの市町村で税額決定通知書の誤送付が相次いでいること、事業者はマイナンバーの保有を最小限にして、漏えいリスクを低減させていること、この点を考慮すると、「特徴通知に個人番号の記載が本当に必要なのかどうか、再度、慎重に検討する必要がある」とし、総務省に対して「現場である市町村や事業者の意見に真摯に耳を傾け、立法上適切な措置を講ずるべきである」と結論づけています。

丁寧に論じられたこの論文のとおり、行政側がマイナンバーの提供を受けなくてもマイナンバーを含む特定個人情報を特定できるのであれば、事業者が個人番号関係事務実施者として機能しなければならないとされてきた民→民→官と流れ自体が意味をなさなくなります。また、本人確認手続きを経ずにマイナンバーを税額決定通知書へ記載することは、正しい手続きを経たマイナンバーの利用と言えるのか疑問が生じます。そして、何より、これだけ漏えい事案が相次いだこと、事業者に余計な負担を強いることになること、これらを考慮すれば、税額決定通知書にはマイナンバーの記載しないこととすべきです。

この税額決定通知書へのマイナンバーの記載については、日本経済団体連合会も「平成30年度税制改正に関する提言」で、「特別徴収税額通知（特別徴収義務者用）における個人番号記載の不要化」を掲げています。また、経済同友会も「電子政府を実現し、世界第3位を目指せ」と題した提言のなかで、「住民税の税額決定通知書（特別徴収義務者用）にマイナンバーが記載されているが、地方自治体、企業ともに利用することのない情報であり、誤配などによる情報漏えいのリスクを踏まえ、記載は廃止すべき。」としています。

デジタルファーストを目指す政府のもと、税額決定通知書の電子化推進が計画されています。

今まさに年末調整事務に追われる事業者や税理士では、リスクを負ってマイナンバーを管理し、源泉徴収票や給与支払報告書に記載するべく、作業を行なっています。総務省は、こうした事業者や漏えいを危惧する市区町村の現場の声を受け止め、電子であれ書面であれ、来年の税額決定通知書にマイナンバーを記載しないこととすべきです。これに関わる改正は、マイナンバー欄を設けた税額決定通知書から、マイナンバー欄を外すだけで済みます。経済同友会の提言にあるとおり、税額決定通知書に記載されたマイナンバーは、「地方自治体、企業ともに利用することのない情報であり、誤配などによる情報漏えいのリスクを踏まえ、記載は廃止すべき。」なのです。

中尾　健一(なかおけんいち)
アカウンティング・サース・ジャパン株式会社　取締役
1982年、日本デジタル研究所 (JDL) 入社。30年以上にわたって日本の会計事務所のコンピュータ化をソフトウェアの観点から支えてきた。2009年、税理士向けクラウド税務・会計・給与システム「A-SaaS（エーサース）」を企画・開発・運営するアカウンティング・サース・ジャパンに創業メンバーとして参画、取締役に就任。マイナンバーエバンジェリストとして、マイナンバー制度が中小企業に与える影響を解説する。