マイナンバーの取り扱い｜利用できる範囲・本人確認・安全管理措置と、副業で預かるときの線

副業で人事を受けると、入社手続や年末調整の支援を頼まれることがあります。ここで避けて通れないのがマイナンバー（個人番号）です。人事の実務では扶養控除等申告書や社会保険の手続書類に出てきますが、マイナンバーは通常の個人情報より厳しい扱いが求められ、しかも副業の人事は「社外の人」です。自分の端末に番号のついた書類を置いた時点で、依頼先の管理の外に出てしまいます。この記事は、マイナンバーの取り扱いを、個人情報保護委員会のガイドラインと国税庁の案内に沿って整理したものです。結論を先に書くと、個人番号を利用できる事務は番号法によって限定的に定められており、取得も提供も限定され、本人確認の措置が義務付けられ、組織的・人的・物理的・技術的の四つの安全管理措置が求められます。委託する場合は、委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう、必要かつ適切な監督を行うこととされています。副業の人事は、原則として個人番号そのものを自分の手元に置かない設計にし、番号を扱う工程は依頼先の中か、委託の形を整えたうえで行います。個別の判断は、個人情報保護委員会の案内や社会保険労務士、弁護士にご確認ください。入退社の手続は入退社手続きの流れに、法改正の追い方は法改正の追い方と情報源にまとめています。

使える範囲が、法律で限定されている

個人情報保護委員会の「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」（令和7年6月最終改正）では、個人番号を利用できる事務は番号法によって限定的に定められており、事業者が個人番号を利用するのは、主として、源泉徴収票および社会保障の手続書類に従業員等の個人番号を記載して行政機関等に提出する場合だ、と説明されています。

ここが、通常の個人情報との最も大きな違いです。通常の個人情報は、利用目的を特定して本人に通知または公表すれば、その範囲で使えます。個人番号は、法律で定められた事務以外には使えません。社員番号の代わりにする、社内の名簿の照合キーにする、といった使い方はできません。

取得の制限。ガイドラインでは、個人番号関係事務または個人番号利用事務を処理するために必要がある場合に限って、本人または他の個人番号関係事務実施者から個人番号の提供を求める、とされています。「いつか使うかもしれないから先に集めておく」という取得はできません。

提供の制限。ガイドラインでは、番号法で限定的に明記された場合を除き、特定個人情報を「提供」してはならない、とされています。

本人確認。ガイドラインでは、本人から個人番号の提供を受ける場合には本人確認を義務付けている、とされ、個人番号カードの提示等が必要だと説明されています。国税庁の案内では、番号確認と身元確認が必要で、マイナンバーカードを持っている場合は番号確認と身元確認が1枚でできること、持っていない場合は番号確認書類（通知カード、住民票の写しなど）と身元確認書類（運転免許証、パスポートなど）の組み合わせが必要になること、が説明されています。

四つの安全管理措置

ガイドラインでは、安全管理措置として次の四つが示されています。

担当者を絞ること。組織的安全管理措置の「事務取扱担当者の明確化」は、実務では「誰が番号を見てよいか」を決めることです。副業の人事が入る依頼先では、ここが曖昧なまま「手続を手伝って」と言われることがあります。担当者に入るのか入らないのかを、最初に決めます。

保管と廃棄。ガイドラインでは、事務を行う必要がなくなった場合で、保存期間を経過した場合には、個人番号をできるだけ速やかに復元不可能な手段で削除または廃棄する、とされています。「念のため取っておく」ことができない情報です。

従業者への教育。ガイドラインでは、事務取扱担当者に、特定個人情報等の適正な取扱いを周知徹底するとともに、適切な教育を行う、とされています。

エラベルの見解

担当する側から見ると、この領域で最も大事なのは知識ではなく「自分の手元に番号を置かない設計を、最初に提案できるか」です。相談で見ていると、副業で入社手続の支援を受けている人が、依頼先から扶養控除等申告書の画像をチャットで送られてきた、という話をよく聞きます。送った側は悪気がなく、送られた側も断りにくい。ですが、その時点で番号が副業の人事の端末とチャットの履歴に入り、依頼先の安全管理措置の外に出ます。

だから、契約の前に「番号が載る書類は私に送らないでください。私は番号を伏せた状態で手続の設計と確認をします」と伝えておきます。具体的には、番号の収集と記入は依頼先の中の担当者が行い、副業の人事は様式と手順と期限の一覧を作る、本人確認の方法を決める、担当者を誰にするかを整理する、という分け方です。番号そのものを扱う必要がどうしてもあるなら、委託の形を整え、ガイドラインの委託先の監督の考え方に沿って契約と管理を決めてから始めます。エラベルでは、依頼側が担当者の経歴を見て選ぶ仕組みなので、この線を最初に引ける人は、手続まわりを安心して任せられる担当者として選ばれています。

委託するとき、副業の人事が入るとき

ガイドラインでは、委託について、委託先において、委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう、必要かつ適切な監督を行う、とされています。副業の人事が個人番号を扱う工程に入る場合、この「委託先」の位置づけになりえます。

扱わない設計（推奨）。副業の人事は番号そのものに触れず、次を持ちます。

• 必要な書類と様式の整理（扶養控除等申告書、社会保険・雇用保険の手続書類など、どの書類に番号が要るか）
• 本人確認の方法の決定（番号確認書類と身元確認書類の組み合わせ、マイナンバーカードの場合の扱い）
• 誰が事務取扱担当者になるかの整理と、依頼先での決定
• 収集から提出、保管、廃棄までの手順書と期限の一覧
• 担当者への説明の資料

扱う設計（整えてから）。どうしても番号を扱う必要がある場合は、委託の契約と、安全管理措置の同等性、再委託の可否、事故が起きたときの報告、終了時の廃棄・削除までを決めてから始めます。契約の中身と、委託先としての適否の判断は、社会保険労務士や弁護士にご確認ください。

自分の側の備え。副業の人事は、自分の端末やクラウドの設定が依頼先の求める水準に足りるかを、始める前に確かめます。個人の端末を仕事に使っている場合、暗号化や画面ロック、共有の設定、バックアップの保存先まで確かめることになります。番号を扱わない設計にしておけば、この負担も下がります。

実務でつまずきやすい点

年末調整の時期。扶養控除等申告書を集める時期に、副業の人事に「集計を手伝って」と依頼が来ます。集計の設計と確認の観点は手伝えますが、番号が載った書類そのものは依頼先の中で扱う形にします。国税庁の案内では、税務署への申告書の提出時には毎回、マイナンバーの記載と本人確認書類の提示または写しの添付が必要だとされているので、本人確認の運用は最初に決めておきます。

退職した人の番号。ガイドラインでは、事務を行う必要がなくなり保存期間を経過した場合には、できるだけ速やかに復元不可能な手段で削除または廃棄するとされています。退職した人の番号をいつまで保管するかは、書類ごとの保存期間に沿って決めます。保存期間の判断は、社会保険労務士や税理士にご確認ください。

チャットやメールでのやり取り。番号を画像やファイルで送る運用は、依頼先の安全管理措置に照らして避ける形にします。手続の相談で番号が必要になる場面はほとんどなく、必要なのは「誰の分か」であって「番号そのもの」ではないことが多くあります。やり取りの中で番号を求めない設計にします。

制度の周辺の変化。マイナンバー制度そのものの案内はデジタル庁のマイナンバー制度のページに、ガイドラインは個人情報保護委員会のガイドラインのページにまとまっています。ガイドラインは改正されるので、依頼先に伝える前に最新版を確かめます。

エラベルの見解

外に出してよいのは、必要な書類と様式の整理、本人確認の方法の設計、担当者の整理、収集から廃棄までの手順書と期限の一覧、担当者への説明の資料までで、「この使い方は番号法の範囲内か」「この保管期間でよいか」「この委託の形でよいか」といった個別の判断は、個人情報保護委員会の案内や社会保険労務士、弁護士の範囲です。特に、番号を扱う工程に副業の人事が入るかどうかは、委託先としての監督の話になるので、口約束で始めないことです。

担当する側から見ると、この線を最初に引くことは、依頼先を守ると同時に自分を守ります。事故が起きたときに「送られてきたから受け取った」は通りません。逆に、線を引いたうえで「番号を扱わない形で、手続の設計と確認はできます」と示せると、依頼先は安心して手続まわりを任せられます。線を引くことで受けられる仕事が減るように見えますが、実際には、手続の整備という継続的な仕事につながります。エラベルでは、依頼側が担当者を選べるので、この線を示せる人は、労務や手続の整備を頼みたい依頼先から選ばれています。

まとめ

• 個人番号を利用できる事務は番号法によって限定的に定められており、主として源泉徴収票や社会保障の手続書類に記載して提出する場合に使う
• 取得は必要がある場合に限られ、提供は番号法で限定的に明記された場合を除きできない。本人から提供を受けるときは本人確認が義務付けられている
• 安全管理措置は組織的・人的・物理的・技術的の四つ。事務取扱担当者を明確にし、定期的な教育を行う
• 事務を行う必要がなくなり保存期間を経過したら、できるだけ速やかに復元不可能な手段で削除または廃棄する
• 委託する場合は、委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう、必要かつ適切な監督を行う
• 副業の人事は、原則として番号そのものを自分の手元に置かない設計にし、扱う必要があるなら委託の形を整えてから。個別の判断は専門家にご確認ください

よくある質問

依頼先から、扶養控除等申告書の画像をチャットで送られてきました

受け取ってしまった場合は、依頼先にその旨を伝え、依頼先の判断に従って対応します（自己判断で消すだけで済ませず、依頼先の安全管理措置の枠組みで扱います）。今後については、「番号が載る書類は送らないでください」と伝え、番号を伏せた形でのやり取りに切り替えます。副業の人事に必要なのは、たいていの場合「誰の分の手続か」であって番号そのものではありません。事故として扱うべきかどうかを含め、対応は個人情報保護委員会の案内や弁護士にご確認ください。

副業の人事が、番号を扱う手続そのものを受けてもよいですか

受けられないわけではありませんが、委託の形を整えてから始めます。ガイドラインは、委託先において委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行うこととしているので、契約で扱う範囲、保管の方法、再委託の可否、事故時の報告、終了時の廃棄・削除を決め、自分の端末や環境がその水準を満たすかを確かめます。整えられないなら、番号を扱わない設計で受けるほうが、双方にとって安全です。契約の中身は社会保険労務士や弁護士にご確認ください。受ける前に確認することは人事の副業の始め方に整理しています。

入社手続の支援を受けるとき、番号以外は扱ってよいですか

番号以外の個人情報も、依頼先の個人情報の取扱いの枠組みの中で扱うことになります。どこに保存するか、誰が見られるか、終わったらどうするかを、始める前に決めます。番号に限らず、副業の人事が社外から入る以上、情報の置き場所を依頼先の環境の中にする（自分の端末に落とさない）設計が基本です。入社手続そのものの流れは入退社手続きの流れに整理しています。