クラウドサービスを利用したマイナンバーの管理

個人番号の管理でも「マイナンバー管理システム」などと呼ばれるクラウド型のサービスを利用する会社が増えています。マイナンバーを取り扱う業務は、外部の第三者に委託できます。それでは、マイナンバーを管理するためにクラウドサービスを利用する場合も、「委託」に該当するのでしょうか？※2020年10月13日に更新

クラウドサービスの利用は委託に該当するのか

クラウドサービスを利用してマイナンバーを管理する場合、基本的にはクラウド事業者への委託になりますが、委託に該当しないケースもあります。クラウドサービスの利用が、番号法（マイナンバー法）上の委託にあたるかどうかは、「クラウド事業者が契約内容を履行するにあたって、マイナンバーを含む電子データを取り扱うかどうか」が判断基準になります。委託に該当する・しないによって会社の監督義務が変わってきますので、基準を押さえておきましょう。

クラウドがマイナンバーの「委託」に該当しない場合

クラウド事業者が、マイナンバーを含む電子データを取り扱わない場合は、委託に該当しないケースがあります。具体的には、以下の2点を満たす場合は、番号法上の委託には該当しません。

• 契約によって、クラウド事業者がマイナンバーを含むデータを取り扱わないことが定められている
• クラウド事業者がマイナンバーを含むデータを取り扱わないためにアクセス制御がなされている

たとえば、クラウド事業者が、税理士事務所や社会保険労務士事務所などのように直接マイナンバーを取り扱う事務をおこなわず、データを保管するエリアのみを提供している場合などは、委託に該当しないこともあり得ます。

委託に該当しない場合でも安全管理措置は必要！

マイナンバーを管理するためにクラウドサービスを利用していても、それが委託に該当しない場合は、委託先（クラウド事業者）に対する監督義務は生じません。しかしながら、クラウドサービスを利用する会社は、自ら果たすべき安全管理措置の一環として、クラウド事業者内にあるデータについて、適切な安全管理措置を講ずる必要があります。

クラウドを利用する場合は委託を前提に考える

一般的に、クラウド事業者においては、「システム更新に伴うデータのコピー・移動」「サービス解約に伴うデータ削除」などの作業が発生します。これらの作業は、クラウド事業者がマイナンバーを含むデータを取り扱っているということであり、クラウド事業者がマイナンバーにアクセスできる状況にあると言えます。マイナンバー管理にクラウドを利用する場合、委託を前提に考えておいたほうがいいでしょう。委託に該当するのであれば当然、委託先に対して必要かつ適切な監督をすることが求められます。