マイナンバー法違反で企業に科される罰金は最大1億円です。この「法人重科」と呼ばれる厳しい罰則は、特定個人情報ファイルの不正提供や盗用といった悪質なケースに適用され、実際に尼崎市USBメモリー紛失事案やエムケイシステムへのランサムウェア攻撃など、企業の存続を脅かす深刻な事例が発生しています。本記事では、マイナンバー法違反における1億円罰金の法的メカニズムから実際の漏洩事例、そして企業が取るべき具体的な対策まで、網羅的に解説します。
マイナンバー制度は、社会保障・税・災害対策の3分野における行政手続きの効率化と国民の利便性向上を目的として導入されました。しかし、制度の普及に伴い、マイナンバーを含む「特定個人情報」を取り扱う企業の責任は、かつてないほど重くなっています。2020年の個人情報保護法改正では法人への罰則が強化され、措置命令違反や虚偽報告に対しても最大1億円の罰金が設定されました。企業経営者にとって、マイナンバー管理は単なる法務課題ではなく、経営の根幹に関わるリスクマネジメントの問題となっているのです。この記事では、1億円の罰金が科される具体的な条件、実際に発生した漏洩事例の詳細分析、そして明日から実践できる安全管理措置について、実務担当者の視点から徹底的に解説していきます。
マイナンバー法における1億円罰金の法的メカニズムとは
特定個人情報が一般の個人情報と異なる理由
マイナンバー法において、マイナンバーを含む個人情報は「特定個人情報」として、一般の個人情報とは明確に区別されています。一般の個人情報保護法では利用目的の公表を前提に比較的広範な利用が認められていますが、マイナンバー法では利用範囲を社会保障・税・災害対策の3分野に厳格に限定しており、本人の同意があったとしてもこれら以外の目的での収集・保管・利用は一切禁じられています。
この違いは違反時のペナルティにも明確に反映されています。通常の個人情報漏洩が行政指導や改善命令を主とするプロセスを経るのに対し、マイナンバーの不正な提供や盗用は直ちに刑事罰の対象となり得る構造を持っています。企業が特に留意すべきは、従業員やその扶養家族、あるいは支払調書作成のために収集した外部有識者等のマイナンバーを「漏洩させない」だけでなく、「目的外に利用しない」「不当に持ち出されない」という厳格な管理体制の構築です。2024年の個人情報保護委員会年次報告においても、特定個人情報の取り扱いに関する指導や助言が多数報告されており、当局の監視は年々厳しさを増しています。
両罰規定と法人重科が導入された背景
多くの企業担当者が懸念する「1億円の罰金」は、マイナンバー法第57条および関連する「両罰規定」に基づいています。両罰規定とは、従業員が業務に関して違法行為を行った場合、その行為者個人を罰するだけでなく、その従業員を雇用している法人に対しても罰金刑を科すという規定です。
従来の法体系では、個人に対する罰金刑の上限は比較的低く設定されていました。しかし、企業が組織的に、あるいは安全管理措置を怠った結果として大規模な情報漏洩や不正利用が発生した場合、数百万円程度の罰金では抑止力として不十分であるという議論がなされてきました。企業活動において、データは資産であり、その不正利用によって得られる利益、あるいは安全管理コストを削減することによって得られる不当な利益は莫大になり得るからです。このため、マイナンバー法では特に悪質なケースにおいて法人に対する罰金の上限を1億円へと大幅に引き上げました。これは個人に対する罰金刑とは桁違いの重さであり、経営層に「マイナンバーのリスク管理は経営課題そのものである」と突きつけるものとなっています。
1億円の罰金が科される具体的な適用要件
法的に1億円以下の罰金が科される可能性があるのは、主に以下の要件を満たす場合です。
第一に、特定個人情報ファイルの不正提供です。個人番号利用事務等に従事する者が、正当な理由なく特定個人情報ファイル（マイナンバーを含むデータベース等）を提供した場合がこれに該当します。ここで重要なのは「正当な理由なく」という点であり、業務上の必要性がないにもかかわらず外部の第三者にデータを渡す行為は、即座に処罰の対象となります。
第二に、不正な利益を図る目的での提供・盗用です。不正な利益を図る目的で特定個人情報ファイルを提供し、または盗用した場合、さらに罪は重くなります。例えば、名簿業者にデータを売却して金銭を得る、あるいは競合他社に対する嫌がらせのために情報を流出させるといったケースが想定されます。行為者個人には「4年以下の懲役もしくは200万円以下の罰金（または併科）」という非常に重い自由刑が設定されており、これに対し法人には「1億円以下の罰金」が科されます。この非対称な罰金設定こそが「法人重科」と呼ばれるゆえんです。
単なる過失による紛失や誤廃棄で直ちに1億円の罰金が科されるわけではありませんが、内部の人間が企業の利益のために、あるいは企業の管理不全に乗じて組織的に不正を行った場合、この規定が適用される可能性は排除できません。
2020年個人情報保護法改正による影響
2020年の個人情報保護法改正により、マイナンバー法だけでなく一般の個人情報保護法違反においても、措置命令違反等のペナルティとして法人に対して最大1億円の罰金が科されることとなりました。この改正は2022年に施行され、「データの利活用」と「個人の権利保護」のバランスを再定義するものとなりました。
改正法では、ペナルティの強化だけでなく、個人の権利利益の拡充として利用停止・消去請求権の要件緩和が行われ、また漏洩発生時の委員会への報告・本人への通知の義務化など、企業に課される責務が包括的に強化されています。つまり、1億円の罰金はあくまで氷山の一角であり、その背景には6ヶ月以内に消去する短期保存データも保有個人データとして管理しなければならない義務や、第三者提供記録の開示義務など、実務レベルでの細やかな対応が求められています。これらを怠ることは、結果として重大な漏洩事故を招き、巨額の罰金や損害賠償につながる入り口となるのです。
マイナンバー漏洩の実例から学ぶ企業リスク
尼崎市USBメモリー紛失事案に見る委託先管理の落とし穴
マイナンバーを含む個人情報の取り扱いにおいて最もリスクが高いとされるのが「業務委託」のプロセスです。その象徴的な事例として、2022年に発生した兵庫県尼崎市における全市民の個人情報流出危機が挙げられます。この事件は地方自治体の事案でありながら、業務を委託された民間企業のガバナンス欠如が主因であり、すべての企業にとって他山の石となる事例です。
この事案では、尼崎市が臨時特別給付金支給事務をBIPROGY（旧日本ユニシス）に委託していました。しかし、BIPROGYの関係社員が全市民約46万人分の住民基本台帳データ（氏名、住所、生年月日、住民税額等の機微情報が含まれる）が入ったUSBメモリーを無断で持ち出し、大阪府吹田市の居酒屋で飲酒した後、路上で泥酔・居眠りをしている間にカバンごと紛失しました。
この事件の核心は、単なる「酔っ払いの紛失」という個人の資質の問題にとどまりません。その背景には複雑怪奇な「再委託」の構造と管理不全がありました。市から委託を受けたBIPROGYは、市の承諾を得ずに別の企業に業務を再委託し、さらにその企業が別の企業へ再々委託を行っていました。実際にUSBを紛失したのはこの再々委託先の社員でした。マイナンバー法および個人情報保護法では委託先に対する監督義務が規定されていますが、多重下請け構造の中で「誰がデータを持っているのか」「誰が責任を持っているのか」が不明確になり、ガバナンスが完全に機能不全に陥っていました。
尼崎市はこのインシデント対応のために第三者委員会の設置、臨時広報誌の発行、コールセンターの設置、全市民への周知など、多額の費用と人的リソースを投入せざるを得なくなりました。市はBIPROGYに対しこれらの対応費用として約2950万円の損害賠償を請求しました。また、BIPROGYは尼崎市から指名停止処分を受け、企業の社会的信用は大きく失墜しました。仮にこれが実際のマイナンバー流出につながり悪用されていた場合、損害額は数千万円では済まされず数十億円規模に膨れ上がっていた可能性もあります。
エムケイシステム事案が示すサプライチェーン攻撃の恐怖
現代の企業活動においてクラウドサービスの利用は不可欠ですが、それは同時に新たなリスクを呼び込みます。2023年6月、社会保険労務士向けクラウドサービス「社労夢」を提供する株式会社エムケイシステムが、ランサムウェアによる深刻なサイバー攻撃を受けました。
この攻撃により、同社のデータセンター上のサーバーが暗号化され、サービスが利用不能となりました。しかし、問題はサービスの停止だけではありませんでした。同システムを利用していた数千の社労士事務所や一般企業が保有する膨大な数のマイナンバーを含む個人情報が漏洩した「おそれ」が生じたのです。
この事案の恐ろしさは、一企業のセキュリティ不備がそのサービスを利用する無数の企業（ユーザー）を一瞬にして「加害者（漏洩当事者）」の立場に追い込んでしまう「サプライチェーンリスク」にあります。多くの企業が自社のセキュリティ対策は万全にしていても、利用しているSaaS事業者がダウンすることで給与計算や社会保険手続きが停止し、従業員への給与支払いに遅れが生じたり入退社の手続きができなくなったりする事態に陥りました。さらに、各ユーザー企業は自社の従業員に対して「マイナンバーが漏洩した可能性がある」という説明と謝罪を行わなければなりませんでした。
個人情報保護委員会は2024年3月26日、エムケイシステムに対し安全管理措置義務違反があったとして行政指導を行いました。また、同様のランサムウェア被害は2024年にも株式会社イセトーにおいて発生しており、通知書の印刷・発送受託業務に伴う個人データの漏洩・毀損が発生し、同委員会から指導を受けています。これらの事例は、委託先やクラウドサービスの選定において「機能や価格」だけでなく「セキュリティ対策の深度」が最優先の評価基準であるべきことを示しています。
ハローワーク職員による情報売却事件と内部不正リスク
「1億円の罰金」の要件である「不正な利益を図る目的」での提供が現実の犯罪として行われた事例として、公的機関での内部不正が挙げられます。ハローワーク（公共職業安定所）の非常勤職員が、職務上知り得た求職者の職歴情報などを外部の探偵業者に漏洩させたとして、国家公務員法違反等の疑いで逮捕されました。職員は情報の見返りに金銭を受け取っていました。
この事件で注目すべきは、情報へのアクセス権限を持つ「内部の人間」が金銭的な動機から意図的に情報を持ち出した点です。これは公的機関の事例ですが、民間企業の人事・総務担当者にも全く同じリスクが存在します。マイナンバー、給与データ、住所、職務経歴などのセンシティブ情報は、名簿業者や興信所、あるいは悪意ある詐欺グループにとって高い金銭的価値を持つ「商品」です。特定の従業員に権限が集中し、かつアクセスログの監視が不十分な環境では、借金苦や出来心からデータを持ち出し売却するという犯罪が発生する土壌となります。
マイナンバー法が定める厳しい刑事罰はこうした内部犯行を強く抑止するためのものであり、企業は「性善説」に基づいた管理を捨て、「性悪説」あるいは「ゼロトラスト」に基づいた相互監視の仕組みを導入する必要があります。
浦安市元講師の事例に見る「ゾンビアカウント」の危険性
2024年に発覚した千葉県浦安市の事例では、元小学校講師が退職後も学習支援システムに不正アクセスし、児童235名分の個人情報を閲覧していたとして逮捕されました。この事件の直接的な原因は、極めて初歩的かつ致命的なミスでした。元講師が在職中に使用していたIDとパスワードが退職後も無効化されず、外部からアクセス可能な状態で放置されていたのです。
企業においても、退職した従業員のアカウントが削除されずに残り、それが「ゾンビアカウント」となって不正アクセスの入り口になるケースは後を絶ちません。特にマイナンバーを取り扱う人事給与システムや顧客情報データベースへのアクセス権限は、異動や退職のタイミングで即座に遮断（削除）される仕組みが不可欠です。退職者が「記念に」あるいは「転職先での営業のために」データを持ち出すリスクは常に存在します。この事例は、高度なハッキング技術がなくとも、基本的なID管理（アカウントライフサイクル管理）の怠慢が重大な法違反と情報漏洩につながることを示唆しています。
ベネッセコーポレーション事案から学ぶ漏洩コストの実態
マイナンバー法施行前の事案ではありますが、個人情報漏洩が企業に与える経済的ダメージを考える上で、2014年のベネッセコーポレーションの事例は今なお最大の教訓として参照されています。委託先のシステムエンジニアがスマートフォンを使って顧客情報を持ち出し名簿業者に売却したことにより、約3504万件の個人情報が流出しました。この対応のためベネッセは200億円の原資を用意し、最終的に260億円の特別損失を計上しました。
その内訳を詳細に見ると、お詫び状の発送費用、顧客へのお詫び（金券等の配布・一人当たり500円）、コールセンターの増設と運営費用、事故調査委員会の設置費用、そして抜本的なセキュリティ対策システムの再構築費用などが含まれます。これに加え顧客離れによる売上減少という計り知れない機会損失が発生し、経営陣の引責辞任も行われました。
重要なのは、マイナンバー漏洩の場合、一般の連絡先情報よりもはるかにセンシティブな情報であるため、一人当たりの損害賠償額や対応コストはベネッセの事例を大きく上回る可能性があるということです。マイナンバーカード利用時のトラブル発生時の平均被害額は11万円を超えるというデータもあり、企業が負うべき賠償責任は漏洩件数が少なくても甚大なものになり得ます。
マイナンバー法違反が企業に与える4つの損失
刑事責任による企業イメージの致命的毀損
企業がマイナンバー法違反を犯した場合、単に「罰金を払って終わり」ではありません。法人に対して最大1億円の罰金が科される可能性がありますが、それ以上に重いのが、実行行為者である役員や従業員が逮捕・起訴され最長4年の懲役刑を受けるリスクです。企業の幹部や社員が「犯罪者」として実名で報道されるインパクトは計り知れません。
両罰規定により、会社そのものが「犯罪を犯した法人」として法的に認定され、その記録は永続的に残ります。これは公共入札への参加資格停止や許認可の取り消し事由にもなり得ます。一度ついた「犯罪企業」というレッテルは、取引先との関係や採用活動にも長期にわたって悪影響を及ぼします。
民事責任がもたらす終わりの見えない賠償リスク
被害者（従業員や取引先個人）からの損害賠償請求は、企業にとって大きな経済的負担となります。過去の判例では、政治的信条や病歴などの秘匿性の高い情報が漏洩した場合、精神的苦痛に対する慰謝料が高額になる傾向があります。マイナンバーは個人の所得や社会保障給付の状況など、究極のプライバシーに紐づく鍵となる情報であり、その漏洩による精神的苦痛は極めて大きいと判断される可能性が高いです。
例えば、住民基本台帳情報の流出事案では一人当たり1万5000円、スパイウェアによる秘匿情報の流出ではさらに高額な賠償が認められた例もあります。仮に一人当たり1万円の賠償で済んだとしても、従業員1,000人の企業で全データが漏洩すれば1,000万円、顧客データ10万件なら10億円の賠償リスクとなります。さらに集団訴訟が提起された場合の弁護士費用や、訴訟対応に割かれる法務部門の工数も莫大なものになります。
行政対応と社会的制裁による信用崩壊
個人情報保護委員会は漏洩が発生した企業に対し、報告徴収、立入検査、指導、助言、そして勧告・命令を行う権限を持っています。特に重大な事案や虚偽の報告を行った場合、企業名が公表されることがあります。インターネット社会において「マイナンバーを漏洩させた企業」というデジタルタトゥーは容易には消えません。
取引先からの契約解除、銀行からの融資引き上げ、新規採用の困難化（内定辞退の続出）など、ビジネスの継続性を直接的に脅かす事態を招きます。上場企業であれば株価の暴落は避けられず、株主代表訴訟のリスクも生じます。社会的制裁は法律による罰則よりも長く、深く企業を蝕みます。
事後対応コストの膨大な負担
ベネッセの事例で見たように、漏洩発生後の対応コストは事前の対策コストの何十倍、何百倍にも膨れ上がります。原因調査のためのデジタルフォレンジック調査費用だけでも数百万円から数千万円がかかります。さらに専用コールセンターの設置・運営費用、全被害者へのお詫び状の印刷・発送費用、お詫び金（金券等）の原資、再発防止策のためのシステム改修費用など、キャッシュアウトが短期間に集中します。
「セキュリティ対策費は利益を生まないコストだ」と考えて予算を削減した結果、その何倍もの「損失」を支払うことになるのはあまりにも皮肉な結果です。事故対応コストは突発的に発生するため、企業の資金繰りを急速に悪化させ、最悪の場合黒字倒産を引き起こすトリガーにもなり得ます。
マイナンバー漏洩を防ぐための具体的な安全管理措置
組織的安全管理措置でガバナンスを再構築する方法
まず「誰が」「どのような権限で」マイナンバーを取り扱うのかを明確にし、属人化を防ぐ体制を作ることが重要です。マイナンバー事務を取り扱う担当者を最小限に限定することが第一歩となります。担当者が多ければ多いほど漏洩のリスクは比例して高まります。また、マイナンバー管理の最高責任者を定め、事故発生時の報告連絡体制（エスカレーションフロー）を整備します。「何かおかしい」と感じた時に誰に報告すればよいかが明確でなければ、初期対応が遅れ被害が拡大します。
さらに、取扱規程の策定も必須です。取得、利用、保存、提供、削除・廃棄の各フェーズにおける詳細な手順書を作成し、全従業員に周知します。チェックリストを活用し手順通りに業務が行われているかを定期的に確認する仕組みも導入しましょう。
人的安全管理措置による意識改革の進め方
「うっかり」や「出来心」を防ぐための対策として、人的安全管理措置は極めて重要です。システムがどれほど堅牢でも、それを操作する人間が脆弱であれば意味がありません。定期的な研修を実施し、マイナンバー制度の重要性と違反時の罰則について具体的に教育します。
ここで重要なのは、「会社に迷惑がかかる」という抽象的な説明ではなく、「あなた自身が逮捕され、実名報道され、懲役刑を受ける可能性がある」という現実を伝えることです。恐怖心による抑止だけでなく、プロフェッショナルとしての倫理観を醸成する教育が必要です。また、入社時やマイナンバー取扱担当への任命時に秘密保持に関する誓約書を取得することも有効です。これにより心理的なハードルを高めるとともに、万が一の際の法的措置の根拠とします。
物理的安全管理措置でアナログな守りを徹底する
マイナンバーが物理的に盗まれない環境、覗き見られない環境を作ることが必要です。まず管理区域と取扱区域を明確に区分します。マイナンバーを取り扱うPCやサーバーがある場所（管理区域）と、実際に事務を行う場所（取扱区域）を物理的に分け、入退室管理を行います。
取扱区域ではパーテーションの設置や座席配置の工夫により、背後からの覗き見（ショルダーハッキング）を防止します。また、USBメモリの使用禁止、個人所有スマートフォンの持ち込み禁止など、物理的なデータ移動を制限するルールを徹底します。そして意外と見落とされがちなのが「廃棄」のプロセスです。マイナンバーが記載された書類を廃棄する際は復元不可能なレベルまでシュレッダーにかけるか、溶解処理業者に委託し溶解証明書を取得します。法定保存期間（退職後7年など）を過ぎたデータは速やかに、かつ確実に削除しなければなりません。
技術的安全管理措置でデジタルの防御を強化する
サイバー攻撃や内部不正アクセスを防ぐための技術的対策として、アクセス制御の厳格化は基本中の基本です。担当者ごとのID/パスワードを発行し、さらに二要素認証（2FA）を導入してパスワードのみの認証に依存しない体制を作ります。浦安市の事例のような「ゾンビアカウント」を防ぐため、退職者のIDは即時に無効化する運用フローを確立します。
また、アクセスログの取得と監視も極めて重要です。「誰が」「いつ」「どのデータに」アクセスしたかを記録し定期的にチェックします。不正な大量ダウンロードや深夜・休日のアクセス、普段とは異なるIPアドレスからのアクセスなどの「異常」を検知する仕組みがあれば、被害を未然に防ぐ、あるいは最小限に食い止めることができます。外部からの攻撃に対してはファイアウォールの設置、ウイルス対策ソフトの導入、OSやソフトウェアの常時最新化を行います。エムケイシステムの事例を教訓に、利用しているクラウドサービスのセキュリティ対策状況についても「言われるがまま」ではなく、第三者認証（ISMSやプライバシーマーク）の取得状況などを確認し能動的に評価する必要があります。
委託先監督の徹底で再委託リスクを管理する
尼崎市の事例を最大の教訓とし、委託先管理を徹底することが求められます。委託先の選定基準を明確にし、十分なセキュリティ体制を持っているか事前にチェックリスト等で確認します。単に「安さ」で選ぶことは将来のリスクを買う行為に他なりません。
契約書には秘密保持条項に加え、再委託を行う場合の「事前承諾義務」、定期的な「監査を受け入れる義務」、事故発生時の「報告義務」と「損害賠償責任」を明確に盛り込みます。そして契約を結んで終わりではなく、定期的に委託先を訪問し実際の管理状況を目視で確認する「実地監査」を行うことが推奨されます。書類上の報告と現場の実態が乖離していることは珍しくありません。
今後の展望とマイナンバー制度の動向
マイナンバーカード機能拡大がもたらす新たなリスク
デジタル庁の発足以降、マイナンバーカードと健康保険証の一体化（マイナ保険証）や運転免許証との一体化、さらにはスマートフォンへの搭載など、マイナンバーの利用シーンは急速に拡大しています。これは行政手続きが便利になる一方で、マイナンバーに紐づく情報の価値が飛躍的に高まることを意味します。攻撃者にとってマイナンバーはますます魅力的なターゲットとなり、企業に対するサイバー攻撃や内部犯行への誘惑は増大していくでしょう。
厳罰化と監視強化の流れは今後も続く
個人情報保護委員会は年次報告書において重大な漏洩事案に対する指導や勧告の実績を詳細に公表しており、その監視の目は年々厳しくなっています。世界的なプライバシー保護の潮流（GDPRなど）を見ても、違反企業に対するペナルティは今後さらに厳格化していくことが確実視されます。「知らなかった」「悪気はなかった」という言い訳はもはや通用しない時代に突入しています。
コンプライアンスはコストではなく投資である
「1億円の罰金」というキーワードは企業にとって強烈な警告であり恐怖の対象です。しかし、真に恐れるべきは罰金そのものではなく、それによって失われる「社会的信用」と「ビジネスの未来」です。情報漏洩対策にかかる費用は何も生まない「コスト」ではありません。企業の存続を守り、顧客や社会からの信頼を獲得し、持続的な成長を支えるための未来への「投資」です。
本記事で取り上げた事例は決して特異なケースではありません。明日は我が身かもしれない現実です。マイナンバー法違反の実例やリスクを正しく理解し、経営層から現場まで一丸となって具体的かつ実効性のある対策に取り組むこと。それこそがデジタル社会を生き抜く企業の必須条件であり、経営者の最大の責務と言えるでしょう。
コメント