マイナンバーの社内管理方法【2026年版】中小企業が押さえるべき保管・廃棄・漏洩対策の手順

この記事でわかること

マイナンバーを収集できる場面とは

マイナンバーの管理を中小企業が適切に行うには、まず「どの場面で収集できるか」を明確にする必要があります。番号法第19条各号に規定されていない目的での収集は、法律で明確に禁止されています。

私が中小企業の担当者からご相談を受ける中で、「念のため控えておけばよい」という認識の方が少なくありません。しかし目的外の収集は違法であり、早急に認識を改める必要があります。

対象となる事務手続き

中小企業でマイナンバーを取り扱う主な手続きは以下の4つです。それぞれ利用目的が法令で明確に定められているため、目的の範囲内でのみ収集・利用が認められます。

これら以外での収集は認められていません。従業員への周知と、収集時の利用目的の明示が必須です。

中小企業が実践すべき4つの安全管理措置

個人情報保護委員会は、特定個人情報（マイナンバーを含む情報）の適正な取扱いに向けて、事業者が講じるべき安全管理措置を4つ定めています。従業員数にかかわらず、すべての事業者が対象です。

4つの措置の把握が、コンプライアンスの第一歩。内容を把握しないまま運用を続けると、意図せず違反状態になる恐れがあるため、順番に確認しましょう。

1. 組織的安全管理措置

組織としての管理体制を整える措置です。取扱責任者と事務取扱担当者を明確に分け、担当者以外がアクセスできない運用を文書化することが求められます。

取扱規程を作成し、定期的な点検記録を残しておくことも必要です。担当者が交代する際の引き継ぎ手順も、事前に規程へ盛り込みましょう。

2. 人的安全管理措置

担当者への監督と教育が中心となる措置です。マイナンバーを扱う担当者を限定し、取扱方法を周知徹底します。

年1回以上の研修実施を目安に、担当者のリテラシーを継続的に維持することを推奨します。担当者が長期不在になるケースを想定し、代理対応の手順も定めておくと安心です。

3. 物理的安全管理措置

書類・機器・記録媒体を物理的に保護する措置です。マイナンバーを取り扱う区域を定め、施錠できるキャビネットや入退室管理によって不要な立入りを防ぎます。

のぞき見防止フィルターの設置など、視覚的な漏洩対策も有効です。クラウドサービスを利用する場合も、物理的管理の視点は欠かせません。詳しくは中小企業のクラウドサービス利用時の情報漏洩対策もあわせてご確認ください。

4. 技術的安全管理措置

システムやネットワークを通じた保護措置です。アクセス制御と認証の仕組みを導入し、担当者以外がデータにアクセスできない状態を維持します。

外部からの不正アクセスを防ぐため、ファイアウォールやウイルス対策ソフトの設定を定期的に確認してください。なお、AIツールにマイナンバーを入力することは厳禁です。ChatGPTに個人情報を入力してはいけない理由でも詳しく解説しています。

マイナンバーの収集・保管・廃棄の手順

収集から廃棄まで、番号法に定められたルールに沿った運用が必要です。各ステップで誤りがあると、後から修正することが難しくなります。

以下のフロー図を参考に、社内の手順書を整備してください。

📒 確定申告・会計ソフトなら弥生シリーズ

売上実績No.1！3人に2人が選ぶ会計・確定申告ソフトです。副業ワーカーから法人まで対応し、青色申告・白色申告どちらも画面の案内に従って入力するだけで完成。クラウドで自動仕訳・自動計算してくれるため、税理士費用の節約にもつながります。初年度無償プランもあり、まずは無料ではじめてみることができます。

収集時の注意点

収集の前に、利用目的を書面または口頭で本人に明示することが必要です。書面での通知は証跡として残せるため、より確実な方法です。

本人確認（番号確認＋身元確認の2点セット）も合わせて実施してください。コピーを取得する場合は、その保管方法と廃棄手順も取扱規程に盛り込みましょう。

保管期間と廃棄のルール

マイナンバーの保管は「事務処理に必要な間」に限られます。所管法令の保存期間を経過したら、速やかに廃棄または削除する義務があります。

廃棄方法は以下のいずれかが求められます。

• 書類の場合: 焼却・溶解、またはクロスカットシュレッダーで細断
• 電子データの場合: 完全消去ソフトの利用、または記録媒体の物理的破壊

一方向のみ細断するストレートカットシュレッダーでは、細断片を並べ直すと番号が復元できる可能性があります。復元不可能な廃棄が原則。担当者にも必ず周知してください。

漏洩・紛失が起きた場合の対応手順

万が一、マイナンバーを含む情報が漏洩または紛失した場合は、迅速な対応が求められます。

先日、介護施設の管理職から「外付けHDDを紛失したが、どう対応すればよいか」と相談がありました。発覚から個人情報保護委員会への報告まで3日かかっており、対応の遅れが信頼損失につながったケースです。事前にフローを定めておくことが大切。

初動の対応フローは以下のとおりです。

1. 事実確認と被害範囲の特定（何が・いつ・どのように漏洩したかを確認）
2. 再発防止策の検討と実施（アクセス権限の見直し・パスワード変更など）
3. 個人情報保護委員会への報告（一定規模以上の漏洩は報告義務あり）
4. 本人への通知（影響を受けた方への説明と謝罪）

報告義務の対象かどうかは、漏洩件数や情報の種類によって異なります。判断に迷う場合は、個人情報保護委員会の相談窓口にお問い合わせください。

違反した場合の罰則

マイナンバーの不適切な取扱いには、番号法による厳しい罰則が設けられています。

「知らなかった」では済まされないのが現実です。特に法人には個人よりも重い罰則が科されるため、経営者自身が内容を把握しておく必要があります。

法人の場合、最大1億円以下の罰金が科される可能性があります。安全管理に費用をかけることより、違反リスクのほうが経営上はるかに大きいと判断できます。

今すぐ確認！社内マイナンバー管理チェックリスト

以下の10項目を確認し、未対応のものから順に整備を進めましょう。全項目に対応できれば、基本的な安全管理措置は整った状態です。

よくある質問（FAQ）

Q1: 退職した従業員のマイナンバーはいつ廃棄すればよいですか？

退職後も、源泉徴収票の交付義務（退職翌年1月末まで）など所管法令で定められた保存期間がある間は保管できます。保存期間を経過したら速やかに廃棄してください。一般的には退職後7年が目安とされますが、詳細は社労士または税理士にご確認ください。

Q2: マイナンバーをExcelで管理しても問題ありませんか？

Excelでの管理自体は禁止されていませんが、アクセス権限の設定・ファイルの暗号化・パスワード保護などの技術的安全管理措置を必ず講じてください。パスワードなしの共有フォルダへの保存は避けましょう。

Q3: 外注先のフリーランスからもマイナンバーを収集する必要がありますか？

報酬が一定額以上の場合、支払調書の作成が必要となり、マイナンバーの収集が求められます。ただし収集は支払調書作成の目的に限定し、利用目的を明示したうえで収集してください。

Q4: 従業員5人以下の小規模な会社でも安全管理措置は義務ですか？

はい、従業員数にかかわらず安全管理措置の義務があります。ただし、個人情報保護委員会のガイドラインには中小規模事業者向けの特例的な対応も案内されています。ガイドラインを参照のうえ、取り組める対策から始めましょう。

Q5: マイナンバーが記載された書類をシュレッダーにかけるだけで大丈夫ですか？

クロスカットシュレッダー（縦横両方向に細断）であれば問題ありません。一方向のみ細断するストレートカットでは、細断片から番号が復元できる可能性があるため不十分です。復元不可能な程度に細断できるシュレッダーを使用してください。

まとめ

マイナンバーの管理は、中小企業であっても番号法と個人情報保護委員会のガイドラインに従って運用することが義務です。

組織的・人的・物理的・技術的の4つの安全管理措置を社内規程として整備し、収集・保管・廃棄の各ステップを正しく実施してください。違反時の罰則は法人で最大1億円以下の罰金であり、対策コストを遥かに上回るリスクです。

まず社内チェックリストで現状を把握し、未対応の項目から着手することをお勧めします。

参考情報源

• 個人情報保護委員会 特定個人情報の適正な取扱いに関するガイドライン（確認日: 2026-08-28）: https://www.ppc.go.jp/legal/policy/my_number_guideline_jigyosha/