マイナンバーが流出するとどうなる？
まずは、マイナンバーが流出したときに、個人にどのような影響があるかを見ていきましょう。企業が受ける損失や罰則は、後ほど詳しく解説します。
番号だけでは手続きはできない
マイナンバーを使う行政手続きでは、番号の確認とあわせて、厳格な本人確認が義務付けられています。そのため、デジタル庁は、マイナンバーが漏洩しても番号だけでは手続きはできず、それだけでは悪用されないと説明しています。
また、個人の情報は税務署や市区町村などに分けて管理されています。役所の間のやりとりにはマイナンバーではなく、役所ごとに異なるコードが使われます。１か所から漏れても、芋づる式に情報を抜き出すことはできない仕組みです。
ただし、番号と一緒に氏名や住所などが漏れた場合、その個人情報が悪用されるおそれは残ります。なお、行政機関などがマイナンバーの手続きで、口座番号やお金を求めることはありません。こうした電話やメールには応じないよう注意しましょう。
番号の変更とカードの停止・再交付
マイナンバーは原則として生涯同じ番号を使います。ただし、漏洩して不正に使われるおそれがあると認められるときは、市区町村に番号の変更を請求できます。請求には、不正に使われるおそれがあることがわかる資料が必要です。
マイナンバーカードには、券面の顔写真や暗証番号など、落としても悪用を防ぐ仕組みがあります。カードをなくしたり盗まれたりしたときは、マイナンバー総合フリーダイヤル（0120-95-0178）に連絡し、カードの機能を一時停止しましょう。24時間365日受け付けています。あわせて、警察に遺失届や盗難届を出します。
カードの再交付の手数料は、例えば東京都江戸川区では1,000円です（電子証明書を発行しない場合は800円）。盗難届が確認できた場合は無料になります。なくしてから30日以内に申請すれば、原則１週間で届く特急発行も利用できます（手数料2,000円）。
参考：マイナンバーカードの安全性｜デジタル庁
参考：マイナンバーカードを紛失、盗難された方へ｜江戸川区
参考：個人番号（マイナンバー）変更の手続き｜世田谷区
マイナンバー管理で「漏洩」が問題になる理由
マイナンバーは、税務や社会保険などの行政手続きに利用される重要な個人情報であり、企業には厳格な管理が求められています。そのため、企業が管理しているマイナンバーが漏洩した場合、単なる個人情報漏洩よりも重大な問題として扱われます。
特に企業では、従業員の氏名・住所・生年月日・給与情報などの個人情報とマイナンバーを一緒に管理しているケースが多く、漏洩すると被害が拡大する可能性があります。また、マイナンバーの取り扱いは「マイナンバー法」によって定められており、適切な管理体制を整備していない場合は行政指導や罰則の対象となることもあります。
このようなリスクを防ぐためにも、企業はマイナンバーの適切な管理方法を理解し、漏洩対策を徹底することが重要です。
マイナンバー漏洩はなぜ起きる？よくある原因
ここでは、企業で実際に起こりやすいマイナンバー漏洩の原因を紹介します。
書類の紛失や持ち出しによる漏洩
マイナンバーが記載された書類を社外へ持ち出した際の紛失は、よくある漏洩原因の一つです。例えば、年末調整書類や扶養控除申告書などを持ち帰った際に紛失してしまうケースがあります。紙の書類でマイナンバーを管理している場合は、鍵付きキャビネットで保管する、持ち出しを制限するなどの対策が必要です。
メール送信ミスや誤送信
担当者が誤ってマイナンバーを含むファイルを別の宛先へ送信してしまうなど、メールの誤送信も情報漏洩の原因になります。特にExcelファイルなどで管理している場合、添付ファイルの誤送信によって個人情報が外部に流出するリスクがあります。送信前のダブルチェックやパスワード付きファイルの利用などの対策が重要です。
アクセス権限の管理不足
マイナンバーを保存しているデータに対してアクセス制限が適切に設定されていない場合、不要な従業員が情報を閲覧できてしまう可能性があります。マイナンバーは取扱担当者のみが閲覧できるようにするなど、アクセス権限を適切に管理することが重要です。また、アクセスログを取得することで不正利用の抑止にもつながります。
サイバー攻撃や不正アクセス
企業のシステムがサイバー攻撃を受け、不正アクセスによってマイナンバーが流出するケースもあります。特にセキュリティ対策が不十分な場合、外部からの攻撃によって個人情報が盗まれる可能性があります。システムの脆弱性対策やアクセス管理の強化など、技術的なセキュリティ対策も重要です。
委託先の管理体制の不備
給与計算や社会保険手続きを外部の業者へ委託している場合、委託先の管理体制が不十分だとマイナンバー漏洩のリスクがあります。マイナンバー法では、業務を委託する企業に、委託先を監督する義務を定めています。
個人情報保護委員会のガイドラインでは、委託先を適切に選ぶこと、契約で安全管理を守らせること、取り扱いの状況を把握することが求められています。監督が不十分なまま委託先で漏洩が起きると、委託した企業も法律違反と判断される可能性があります。
参考：特定個人情報の適正な取扱いに関するガイドライン（事業者編）｜個人情報保護委員会
年末調整の時期に漏洩が起きやすい場面
年末調整の時期は、扶養控除等申告書など、マイナンバーが書かれた書類を多く扱うため、漏洩のリスクが高まります。番号の収集から提出、保管、廃棄までの各段階で、起きやすいミスと対策を確認しておきましょう。
| 段階 | 起きやすいミス | 対策の例 |
|---|---|---|
| 収集 | 回収した申告書を紛失する、番号をメールで送ってもらい誤送信が起きる | 回収の方法と担当者を決める。受け取った担当者は手元に番号を残さず、速やかに取扱担当者へ渡す |
| 提出 | 源泉徴収票などを作る部署へ書類を運ぶ途中で紛失する、提出先や宛先を間違える | 封筒に入れるなど運び方を決める。データで提出するときは、提出先が指定する方法に従う |
| 保管 | 鍵のない棚に置く、誰でも開けるフォルダに保存する | 鍵付きのキャビネットやアクセス制限で、取扱担当者だけが扱えるようにする |
| 廃棄 | 保存期間を過ぎた書類を残したままにする、そのままごみとして捨てる | 保存期間を過ぎたら、復元できない方法で速やかに廃棄・削除する |
個人情報保護委員会のガイドラインによると、法律で決められた保存期間を過ぎた番号は、できるだけ速やかに廃棄または削除しなければなりません。例えば扶養控除等申告書は、７年間の保存期間を過ぎたら廃棄します。
従業員や家族のマイナンバーを集める手順は、以下の記事で詳しく解説しています。
外注先など、報酬を支払う相手のマイナンバーの管理は、以下の記事で詳しく解説しています。
マイナンバー漏洩でどのような損失が発生するのか？
マイナンバーを漏洩してしまうことで、どのような損失が発生するか見ていきましょう。
再発行手数料が発生する
マイナンバーが漏洩して不正に使われるおそれがあるときは、従業員が市区町村に番号の変更を請求することがあります。番号が変われば、会社は新しい番号を集め直さなければなりません。
番号の変更には、不正に使われるおそれがあることがわかる資料が必要です。あらかじめ警察に届け出るよう案内している自治体もあります。マイナンバーカードを作り直す場合は、前述の再交付の手数料もかかります。
会社の管理体制の不備が原因であれば、こうした費用や手続きへの対応も求められるでしょう。従業員が多い企業ほど、金銭面や業務面の負担は大きくなるでしょう。
多額の損害賠償が発生する可能性がある
マイナンバーを漏洩させた企業は、被害を受けた従業員などから損害賠償を請求される可能性があります。賠償の額は、漏洩した情報の種類や被害の大きさによって変わります。
マイナンバーは従業員の個人情報と一緒に管理していることが多いため、被害は拡大してしまう可能性があります。
社会的信用が落ちる
企業が個人情報を漏洩させると、公表や報道によって広く知られることがあり、社会に与える影響は大きいでしょう。
具体的には、顧客の減少・得意先の取引停止・株価の急落といった事態が想定できます。また、既存の社員からの信頼を失うだけでなく、入社が決まっている内定者の辞退も考えられ、信用を取り戻すのにも時間が掛かるでしょう。
マイナンバー漏洩による罰則がある
マイナンバーの取り扱いはマイナンバー法で定められており、違反すると刑事罰の対象になります。デジタル庁によると、マイナンバー法の罰則は、個人情報保護法より種類が多く、重く定められています。
例えば、マイナンバーを扱う業務の担当者が、業務で扱った個人の秘密が記録されたマイナンバー入りのファイルを正当な理由なく提供したとします。この場合、４年以下の拘禁刑または200万円以下の罰金で、両方が科されることもあります。
業務で知ったマイナンバーを、自分や他人の不正な利益のために提供したり盗用したりすると、３年以下の拘禁刑または150万円以下の罰金です。こちらも両方が科されることがあります。
また、個人情報保護委員会は、違反があれば是正を勧告し、従わない場合などには命令を出せます。この命令に違反すると、２年以下の拘禁刑または50万円以下の罰金です。
さらに、従業員などが会社の業務でこれらの違反をした場合は、会社も１億円以下の罰金の対象になります。なお、2025年６月から、刑罰の「懲役」は「拘禁刑」に変わりました。
参考：行政手続における特定の個人を識別するための番号の利用等に関する法律｜e-Gov法令検索
マイナンバー漏洩時の対処手順は？
つづいて、マイナンバーを漏洩させてしまったときの対処手順を見ていきましょう。
１：被害の拡大防止を図る
マイナンバーの漏洩を発見したのが担当者であれば、１人で対処しようとはせず責任者に相談してください。例えば、外部からの不正アクセスによってマイナンバーが漏洩した場合は、端末をネットワークから分離させます。
LANケーブルを抜くなどしてネットワークから物理的に隔離すれば、それ以上漏洩することはありません。
２：原因の調査および影響範囲の確認
どのマイナンバーが、いつ、どのようにして漏洩したのかを明らかにしてください。マイナンバー以外の個人情報と紐づけて管理していれば、実被害が大きくなる可能性もあるでしょう。このように漏洩した情報や手段などから、被害状況と影響がある範囲の特定を行います。
３：個人情報保護委員会への報告
漏洩が重大な事態に当たる場合、企業は個人情報保護委員会に報告しなければなりません。報告が必要なのは、主に不正な目的で漏洩したおそれがある場合や、インターネットなどで不特定多数の人に見られるおそれがある場合です。漏洩した本人の数が100人を超える場合も報告が必要です。
報告は２段階です。事態を知ってから速やかに「速報」を出し、30日以内に「確報」を出します。不正な目的による漏洩などの場合、確報の期限は60日以内です。
個人情報保護委員会のガイドラインによると、速報の目安は、事態を知ってからおおむね３日から５日以内です。報告の義務に当たらない場合も、委員会へ報告するよう努めることが求められています。
参考：特定個人情報の漏えい等事案が発生した場合の対応について｜個人情報保護委員会
４：再発防止の策定および実施
マイナンバー漏洩の原因から、今後の漏洩対策を行わなければなりません。
例えば、マイナンバーを印刷した書類を紛失したことで漏洩が起きた場合。この原因は「マイナンバーが記載されている書類の持ち出し」になります。しかし、マイナンバーが記載されている書類の持ち出しを禁止するルールだけでなく、「鍵付きのキャビネットに保管する」といったルールもあわせて策定します。
また、データで管理している場合はアクセスログを残せるようにしておくと良いでしょう。システムにアクセスログが記録されていれば、原因追究しやすくなり、不正の抑止力にもなります。
５：本人への連絡
委員会への報告が必要な事態では、本人への通知も法律で義務付けられています。影響を受ける本人（被害者）への連絡内容は、漏洩した事実・謝罪・詐欺被害などの注意喚起・今後の対応などです。会社の管理体制の不備で漏洩した場合、一般的には会社が漏洩後の手続きを行います。
しかし、状況次第では本人に個人番号の変更をしてもらう可能性もあります。そのような場合は、番号を変更する方法などを通知します。
また、本人に直接連絡が取れない場合の対策も考えておきましょう。例えば、従業員が確認できるホームページや掲示板、専用の窓口の設置といった準備が必要です。
なお、事実の公表は法律上の義務ではありません。ただし、個人情報保護委員会のガイドラインでは、事案に応じて事実関係や再発防止策を速やかに公表することが望ましいとしています。
マイナンバー漏洩を防ぐ方法は？
ここからはマイナンバーの漏洩を防ぐ方法を見ていきましょう。ただし、マイナンバー管理は人的ミスによる漏洩が多く、運用ルールだけで完全に防ぐのは難しいのが実情です。
- ●メールの誤送信や添付ミスを完全に防ぐことは難しい
- ●アクセス権限の設定漏れや管理ミスが発生しやすい
- ●担当者に依存した属人化した運用になりやすい
そのため、安全管理措置を徹底するとともに、システムによる管理も含めて検討することが重要です。
安全管理措置をとる
マイナンバーの安全管理措置は、マイナンバー法で企業の規模にかかわらず義務付けられています。従業員が100人以下の中小規模事業者には、一部の事業者を除き、簡単な「特例的な対応方法」が認められています。
個人情報保護委員会のガイドラインでは、基本方針や取扱規程の策定のほか、安全管理措置として大きく以下の４つが挙げられています。
- 組織的安全管理措置
- 組織的安全管理措置とは、マイナンバーを管理する担当者と責任者を決め運用する体制を整えることです。基本的にマイナンバーの管理は担当者しかできません。他の担当者がマイナンバーの情報を閲覧できない環境を構築します。
- 人的安全管理措置
- 適切に管理できるよう、マイナンバー管理の担当者を教育する必要があります。
- 物理的安全管理措置
- マイナンバー関連の書類やデータは、鍵付きの保管庫などで管理しなければなりません。
- 技術的安全管理措置
- データでマイナンバーを管理するときはパスワードやアクセス制限を設定する必要があります。
マイナンバー管理システムを導入する
全ての安全管理措置を社内で対応するのは多大な労力がかかります。特に年末調整の時期は、番号の収集から保管、廃棄まで手作業の確認が増えます。また、手作業による管理ではヒューマンエラーを完全に防ぐことは難しく、運用負荷が大きくなりやすい点にも注意が必要です。
安全管理措置への対応を効率化しつつ、アクセス制御やログ管理を確実に行いたい場合は、マイナンバー管理システムの導入も有効な選択肢です。
例えば、マイナンバー管理システムには、番号の収集・保管や、自動的にログが取れる機能、アクセス制限を掛けられるものが多いです。他にも通信やデータを暗号化できるものもあり、データが盗まれても内容を読み取られにくくなります。ヒューマンエラーによる情報漏洩のリスクを抑えながら、安全に管理できる体制を構築しやすくなります。
マイナンバー管理システムは製品ごとに機能やセキュリティ対策、料金が異なります。自社に合う製品を選ぶためには、複数のサービスを比較することが重要です。以下の記事では、主要なマイナンバー管理システムを比較していますので、あわせて参考にしてください。
「自社に合うマイナンバー管理システムを比較したい」「どの製品を選べばよいかわからない」という方は、一括資料請求がおすすめです。複数製品の機能や料金をまとめて比較できるため、効率よく検討を進められます。
マイナンバー漏洩に関するよくある質問
ここでは、マイナンバーの漏洩についてよくある質問に回答します。
- Q：マイナンバーを知られたらどうなりますか？
- マイナンバーだけでは手続きはできないため、番号を知られただけで直ちに悪用されることはありません。行政の手続きでは、番号の確認とあわせて本人確認が行われます。不正に使われるおそれがあるときは、市区町村に番号の変更を請求できます。
- Q：マイナンバーカードを悪用される可能性はありますか？
- カードの券面には顔写真があり、ICチップの情報を読み取るには暗証番号や顔認証が必要です。暗証番号を一定回数間違えるとロックがかかります。なくしたときは、マイナンバー総合フリーダイヤル（0120-95-0178）でカードの機能を一時停止できます。
- Q：会社がマイナンバーを漏洩させたら報告は必要ですか？
- 本人の数が100人を超える場合や、不正な目的で漏洩したおそれがある場合などは、個人情報保護委員会への報告と本人への通知が義務です。速報は速やかに、確報は原則30日以内に出します。義務に当たらない場合も、報告に努めることが求められています。
- Q：マイナンバーが漏洩したら番号は変えられますか？
- 漏洩して不正に使われるおそれがあると認められる場合は、住んでいる市区町村に番号の変更を請求できます。請求には、不正に使われるおそれがあることがわかる資料が必要です。手続きの詳しい内容は、市区町村の窓口に確認しましょう。
安全対策を実施し、マイナンバー漏洩を防ごう！
マイナンバーは重大な個人情報であるため、漏洩すると大きな影響があります。具体的には、多額の損害賠償の請求や社会的信用の失墜、法律による罰則などです。もし情報漏洩してしまったときは、拡大防止・原因の追究・影響範囲の確認・個人情報保護委員会への報告・再発防止・被害者への連絡を行います。
情報漏洩を防ぐためにはツールを使って安全管理措置に対応するのがおすすめです。マイナンバー管理システムの導入も視野に入れて漏洩防止に努めましょう。
「自社の状況に当てはめて整理したい」「実際にどの製品が候補になるか知りたい」という方は、無料診断も活用できます。
簡単な質問に答えるだけで、自社に適したマイナンバー管理システムを確認できます。
