士業事務所は、各士業法の守秘義務と、個人情報保護法・マイナンバー法の義務を同時に負っています。守秘義務は資格者本人だけでなく職員にも及び、辞めた後も続きます。さらに事務所は、顧問先から個人データや特定個人情報の取扱いを任される委託先の立場にもなるため、漏えいのときに誰が何をするかが法律で決まっています。

情報の扱いの決まりを作るときは、「どの法律が、誰に、何を求めているか」を先に整理し、そこから事務所の運用に落とすのが近道です。以下、e-Gov法令検索の条文と個人情報保護委員会の資料にもとづいて整理します。

1. 士業法の守秘義務：本人と職員の両方に及ぶ

主な士業法の守秘義務の規定を並べると、次のとおりです。

士業資格者本人使用人その他の従業者罰則
税理士税理士法第38条（税理士業務に関して知り得た秘密を漏らし、窃用してはならない。税理士でなくなった後も同様）第54条（税理士業務に関して知り得た秘密を漏らし、盗用してはならない。従業者でなくなった後も同様）第59条：2年以下の拘禁刑または100万円以下の罰金（告訴が必要）
社会保険労務士社労士法第21条（開業社労士・社労士法人の社員。業務に関して知り得た秘密を漏らし、盗用してはならない。退いた後も同様）第27条の2（同じく従業者でなくなった後も同様）第32条の2：1年以下の拘禁刑または100万円以下の罰金（告訴が必要）
行政書士行政書士法第12条（業務上取り扱った事項について知り得た秘密を漏らしてはならない。行政書士でなくなった後も同様）第19条の3（従業者でなくなった後も同様）第22条：1年以下の拘禁刑または100万円以下の罰金（告訴が必要）

ここから、事務所の決まりとして次の2点が導かれます。

  1. 職員本人が法律上の守秘義務を負っていることを、採用時に説明する。 職員の守秘義務は事務所との契約だけでなく、士業法そのものに定めがあります。
  2. 退職後も義務が続くことを、退職時にも改めて伝える。 条文はいずれも「でなくなった後も同様」としています。

2. 個人情報保護法：安全管理・従業者・委託先

事務所は、顧問先の従業員の給与データや、個人の確定申告の資料など、多くの個人データを扱う個人情報取扱事業者です。個人情報保護法は次の義務を定めています。

条文義務の内容（要旨）
第23条（安全管理措置）取り扱う個人データの漏えい・滅失・毀損の防止その他の安全管理のために必要かつ適切な措置を講じる
第24条（従業者の監督）従業者に個人データを取り扱わせるに当たり、必要かつ適切な監督を行う
第25条（委託先の監督）個人データの取扱いを委託する場合、委託先に対し必要かつ適切な監督を行う
第26条（漏えい等の報告等）個人の権利利益を害するおそれが大きい事態が生じたときは、個人情報保護委員会への報告と本人への通知を行う

事務所が外部のクラウドサービスや記帳の外注先を使う場合、事務所自身が第25条の「委託する側」にもなります。 顧問先から見れば事務所が委託先であり、事務所から見れば外注先が委託先です。この二重の立場を意識して、決まりを作ります。

3. マイナンバー（特定個人情報）の扱い

年末調整や社会保険の手続きで、事務所は顧問先から個人番号を含む書類を預かります。マイナンバー法（行政手続における特定の個人を識別するための番号の利用等に関する法律）は、委託について次のように定めています。

  • 第10条（再委託）：個人番号利用事務等の委託を受けた者は、委託をした者の許諾を得た場合に限り、再委託をすることができる
  • 第11条（委託先の監督）：委託をする者は、特定個人情報の安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない

事務所が顧問先から受けた個人番号関係事務の一部を外部の事業者に任せる場合は、顧問先の許諾が必要になります。顧問契約書や業務委託の合意書に、再委託の有無と許諾の方法を書いておくと、後から確認できる形になります。年末調整の書類の回収の段取りは繁忙期の段取りで整理しています。

4. 漏えいが起きたときの通知と報告

個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」と「漏えい等の対応とお役立ち資料」は、報告の対象と期限を次のように示しています。

報告の対象になる事態（民間事業者）

  • 要配慮個人情報が含まれる個人データの漏えい等（例：従業員の健康診断等の結果を含む個人データ）
  • 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等
  • 不正の目的をもって行われたおそれがある行為による漏えい等（不正アクセス、ランサムウェア、書類の盗難、従業者の持ち出しなど）
  • 本人の数が1,000人を超える漏えい等（例：メールアドレスをBCCではなくCCに入れて一括送信した場合）

いずれも「おそれ」の段階から対象になります。

期限

報告期限
速報知った後、速やかに（目安は概ね3〜5日以内）
確報知った日から30日以内（不正の目的によるおそれがある事態は60日以内）

委託先としての事務所の立場

ガイドラインは、委託先が、報告義務を負う委託元に対して、その時点で把握している事項を通知したときは、委託先の報告義務は免除されるとしています。委託元への通知は、速報と同様に速やかに（目安は概ね3〜5日以内）行う必要があります。

つまり、顧問先から預かった個人データが事務所で漏えいした場合、事務所がまず行うのは顧問先への速やかな通知で、顧問先が委員会への報告を行う形になります。この流れを顧問先と事前に共有していないと、連絡先がわからない、誰が報告するかで揉める、といった混乱が起きます。

5. 事務所で決めておく情報の扱いの決まり

法律の義務を運用に落とすと、次の項目を決めておくことになります。

項目決めること
情報の一覧預かる情報の種類（帳簿、給与、申告書、個人番号、許認可の書類など）と置き場所
見られる人担当者・確認者・所長など、顧問先ごと・情報の種類ごとのアクセスの範囲
受け渡しの方法顧問先との資料のやりとりの経路（持参・郵送・電子）と、使ってよい方法・いけない方法
持ち出し紙・端末・記録媒体を事務所の外に持ち出すときの決まり
保存と廃棄保存する期間と、期間後の廃棄の方法。廃棄の記録
外部の事業者使っているクラウドサービスや外注先の一覧と、再委託の許諾の有無
事故のとき誰に、どの順番で連絡するか。顧問先ごとの連絡先
職員への説明採用時・退職時の説明と誓約、年に一度の確認

メールとファイルのやりとりで起きやすいこと

個人情報保護委員会の資料が例に挙げているように、BCCに入れるべきアドレスをCCに入れて送るといった誤りでも、人数によっては報告の対象になります。顧問先への一斉連絡は、宛先が互いに見えない方法で送る決まりにしておきます。

6. チェックリスト

  • 職員に、士業法上の守秘義務（退職後も続く）を採用時に説明し、誓約を得ている
  • 預かる情報の種類と置き場所を一覧にしている
  • 顧問先ごと・情報の種類ごとに、見られる人を決めている
  • 資料の受け渡しの方法を決め、顧問先にも伝えている
  • 外部のサービス・外注先の一覧があり、個人番号の再委託には顧問先の許諾を得ている
  • 漏えいのおそれがあるとき、顧問先に速やかに通知する手順と連絡先を決めている
  • 一斉連絡でアドレスが見えないように送る決まりにしている
  • 保存期間後の廃棄の方法と記録を決めている

7. まとめ

  • 士業法の守秘義務は資格者本人と職員の両方に及び、いずれも辞めた後も続く。違反には拘禁刑または罰金の定めがある
  • 個人情報保護法は安全管理措置・従業者の監督・委託先の監督・漏えい等の報告を求めている
  • マイナンバーの事務の再委託には、委託元（顧問先）の許諾が必要
  • 顧問先の個人データが漏えいしたら、委託先の事務所は顧問先に速やかに通知する。報告の期限は速報が速やかに、確報が30日以内（不正目的のおそれは60日以内）

所属する士業の会の会則・指針も、事務所の決まりの根拠になります。あわせて確認してください。

参考資料