マイナンバー制度各論-個人番号の提供の求めの制限、特定個人情報の提供制限

今回のテーマは、番号法上の保護措置及び安全管理措置について各論として解説されている項目のうち「個人番号の提供の求めの制限、特定個人情報の提供制限」について、ガイドライン案（事業者編）を参照をしながら解説します。以前のエントリーで解説しました「利用」との違いもおさえます。

*2014年12月11日に確定したガイドラインが公表されています（12月22日）。

個人番号の提供の求めの制限、特定個人情報の提供制限

提供の求めの制限

番号法では、定められた事項に該当し特定個人情報の提供を受けることができる場合を除き、他人の個人番号の提供を求めることはできません。

現時点で事業者が個人番号の提供を求めるのは、従業員等に対して社会保障、税及び災害対策に関する特定の事務のために個人番号の提供を求める場合等に限られます。したがって、例えば、従業員等の営業成績等を管理する目的で、個人番号の提供を求めることはできません。

特定個人情報の提供制限

また、番号法では、限定的に明記された場合を除いて、特定個人情報を「提供」することはできません。事業者が特定個人情報を提供できるのは、社会保障、税及び災害対策に関する特定の事務のために従業員等の特定個人情報を行政機関等及び健康保険組合等に提供する場合等に限られます。

提供について

「提供」の意義

番号法において、「提供」とは、法的な人格を超える特定個人情報の移動を意味します。混同しやすい概念に「利用」があります。番号法における「利用」とは、同一法人の内部等の法的な人格を超えない特定個人情報の移動を意味します。

両社の違いを、以前ご紹介した安全管理措置の各管理段階（プロセス）に位置づけて確認してみましょう。

「提供」の先には必ず外部エンティティがあります。一方、「利用」は法人内部における特定個人情報の移動であり、利用の結果作成されるアウトプットも法人内部で保管されることがわかりますね。

「提供」と「利用」の例示（ガイドラインより）

上図表を念頭に、ガイドラインに記載されている以下の「提供」と「利用」の例示を読んでみてください。

「提供」に当たらない場合
事業者甲の中のＸ部からＹ部へ特定個人情報が移動する場合、Ｘ部、Ｙ部はそれぞれ甲の内部の部署であり、独立した法的人格を持たないから、「提供」には当たらない。例えば、営業部に所属する従業員等の個人番号が、営業部庶務課を通じ、給与所得の源泉徴収票を作成する目的で経理部に提出された場合には、「提供」には当たらず、法令で認められた「利用」となる。
「提供」に当たる場合
事業者甲から事業者乙へ特定個人情報が移動する場合は「提供」に当たる。同じ系列の会社間等での特定個人情報の移動であっても、別の法人である以上、「提供」に当たり、提供制限に従うこととなるため留意が必要である。例えば、ある従業員等が甲から乙に出向又は転籍により異動し、乙が給与支払者（給与所得の源泉徴収票の提出義務者）になった場合には、甲・乙間で従業員等の個人番号を受け渡すことはできず、乙は改めて本人から個人番号の提供を受けなければならない。

特定個人情報の移動が、法的な人格を超えるか否かが判断基準になることが理解できたと思います。

従業員の特定個人情報の出向・転籍先への提供

上記では、子会社などに出向・転籍する場合、従業員の特定個人情報を出向・転籍先の事業者に提供すること、また、出向・転籍元の事業者から特定個人情報を取得することは、番号法に違反するので、出向･転籍先の事業者が直接本人から提供を受ける必要があるとしています。

この点につきましては、内閣府が発信をしているよくある質問（FAQ）の（４）民間事業者における取扱いに関する質問に解説があり、「従業員の出向・転籍元の事業者が、出向･転籍先の事業者と委託契約又は代理契約を交わして個人番号関係事務の一部を受託し、従業員から番号の告知を受け、本人確認を行うこととされている場合は、出向・転籍元の事業者が改めて本人確認を行った上で、出向・在籍先の事業者に特定個人情報を提供することも認められます」とあります。

FAQでは続けて、「なお、出向・転籍元の事業者が現に保有している特定個人情報は、当該事業者の個人番号関係事務の処理のために保有しているものであり、これを出向・転籍先の事業者の個人番号関係事務に転用することは目的外利用となるため、出向・転籍先の事業者の個人番号関係事務の受託者として、改めて本人から番号の告知を受ける必要があります」ともしています。

少しややこしいのですが、出向・転籍者の個人番号は、あくまでも本人から改めて番号提供されなければいけないということです。この点について、関連する記述がガイドラインにありますので次に確認をします。

特定個人情報の提供制限（ガイドラインより）

以下は、ガイドラインからQA風に作成してみましたので、一緒に考えてみてください。

（質問）
同じ系列の会社間等で従業員等の個人情報を共有データベースで保管しているような場合、当該共有データベースに個人番号を記録することは可能ですか。
（考え方）
同じ系列の会社間等で従業員等の個人情報を共有データベースで保管しているような場合、従業員等が現在就業している会社のファイルにのみその個人番号を登録し、他の会社が当該個人番号を参照できないようなシステムを採用していれば、共有データベースに個人番号を記録することが可能であると解されます。

（質問）
上記の事例において、従業員等の出向に伴い、出向元の会社のファイルから出向先の会社のファイルに個人番号を移動させるにあたり、どのようなことに留意する必要がありますか。
（考え方）
上記の事例において、従業員等の出向に伴い、本人を介在させることなく、共有データベース内で自動的にアクセス制限を解除する等して出向元の会社のファイルから出向先の会社のファイルに個人番号を移動させることは、提供制限に違反することになるので、留意する必要があります。
一方、共有データベースに記録された個人番号を出向者本人の意思に基づく操作により出向先に移動させる方法をとれば、本人が新たに個人番号を出向先に提供したものとみなすことができるため、提供制限には違反しないものと解されます。