マイナンバーに関する基本方針等の作成について

某出版社が発行している法令便覧を参考にすると、

================================================================
1．企業規模（従業員数100名以下）
2．取り扱う個人情報の数（6カ月で5000人未満）

であれば、要求される安全管理の一部が軽減される。（以下、この条件に該当する事業者を「中小規模事業者」という。）

基本方針や取扱規程については以下の通り。

○基本方針の策定
　・企業規模に関係なく、基本方針の策定は重要視されているが、義務ではない。

○取扱規程の策定
　・原則、事業者は取扱規程を作成する義務がある。
　・中小規模事業者には作成の義務はないが、取扱い方法の明確化と、責任ある立場の者による運用確認が必要。
================================================================

とあります。その他の事項については、長くなるので割愛します。

一つ注意が必要で、各措置の軽減はあるが免除はないということ。

とりあえず、最初の利用まで今少し時間がありますので、穴の無い対応をしていきたいところです。

総務の卵様

ご回答ありがとうございます。
当社は・・・
>1．企業規模（従業員数100名以下）
　→　従業員数は500名弱なので、当てはまりませんね。
>2．取り扱う個人情報の数（6カ月で5000人未満）
　→　6ヵ月げ5000人未満ですので、当てはまりますね。

　とういことは、中小企業には当てはまらない。ということでしょうかね？
　つまり、「取扱規程」は最低限、定めなければならないということですね！
　いろいろありがとうございました。

　で、ついでというわけではありませんが、もうひとつ質問してもよろしいで
　しょうか？
　取扱規程のひな形を見ると、管理区域や取扱区域など、マイナンバーを
　扱うエリアを別途定めなければならないことが記載されているのですが、
　当社は物理的に、別途専用のスペースを設けることはできません。
　そのような場合、どのようにされているのですかね？

　何かいいアドバイスがありましたら、お教えください。よろしくお願い致します。

> 　しかし、きちんとシステムを導入し、情報が漏えいしないように運用ができれば、そもそも
> 　このようなややこしい規程等を作る必要などないのでは・・・　と思うのですが、この考え方
> 　は間違っているのでしょうか？
>
> 　「基本方針」や「規程」を作成しないと、何か罰則があるのでしょうか？
> 　ご存知の方、アドバイスをお願いいたします。

話の前提として「きちんとシステムを導入し、情報が漏えいしないように運用ができれば」とあります。
揚げ足を取るつもりはありませんが、できない場合に対処するため規定が必要なのです。また口頭で説明しても言った言わないが発生することもあるでしょう。漏えいだけでなく情報の受け渡しの際の方法も決めておく必要があります。つまり文書化しておくことが結果として便利なのです。

法的にこれらを含んだ規程を作成することを求められてはいませんが、規程を作成しないと社員に強制することもできなければ、罰することもできません。もちろん適法でキチンと決められた方法で情報のやり取りをし、漏えいもなく、社員から会社が漏らしたのではないかとの疑いをもたれることもないのなら規程は必要ないかもしれません。