データ移行の打ち合わせで、「テスト用に、いまの人事システムのデータを一式お渡しします」と言われました。受け取ったファイルの列を順に開くと、氏名や所属の並びの先にマイナンバーの列があり、手が止まります。Workdayの案件は、マイナンバーの列に触れるかどうかで、契約の形が変わります。業務委託で参画するエンジニアがその分かれ目をどこで見分けるか、順に整理します。

1. Workdayの導入案件で扱う人事の情報

人事の情報に含まれる三つの層

人事の基盤を入れ替える導入や移行の案件では、旧システムのデータを受け取り、新しい基盤へ載せ替える作業が生じます。このとき渡されるデータは、一つの種類ではありません。この記事では、書き手の見立てとして、人事の情報を三つの層に分けて考えます。

いちばん外側が、氏名や所属のような働く人の基本の情報です。その内側に、評価や報酬の情報があります。さらに内側にあるのがマイナンバーで、同じファイルの中に並んでいても、外側の二つとは性格が異なります。

図の作成：Remogu編集部。書き手の見立てで整理したもので、統計データではありません

マイナンバーに加わる別の規則

マイナンバーは、個人情報保護法の対象になる情報であるのに加えて、番号法の規則がかかります。氏名や所属と同じ列の並びにあっても、扱い方の決まりは同じではありません。この位置づけだけを、先に押さえておきます。

そのため、案件の打ち合わせで「人事の情報」とひとまとめに呼ばれたら、マイナンバーの列が含まれるかを先に尋ねたい場面です。含まれるなら、以降の作業がどの規則の下にあるのかを、契約の段階で確かめる必要が出てきます。次の節では、その分かれ目になる委託の基準を見ます。

2. クラウドサービスが番号法上の委託に当たるかの基準

保存ではなく取り扱いが基準

個人情報保護委員会の特定個人情報ガイドラインのQ&A（A3-12）は、クラウドサービスが番号法上の委託に当たるかどうかを取り上げています。基準は、サービス事業者が契約の履行でマイナンバーを含む電子データを取り扱うかどうかです¹。

つまり、データがサービスの上にあるかどうかではなく、事業者がそれを取り扱うかどうかを見ます。人事の基盤にマイナンバーが載っていると聞くと、それだけで委託に当たると考えたくなりますが、この設問が見ているのは事業者の取り扱いです。

ただし、A3-12はクラウドサービスの契約のように、外部の事業者を活用する場合の設問です。導入や移行に参画するエンジニア個人の作業へ、そのまま当てはめるものではありません。ここでは、取り扱うかどうかで見るという物差しとして借ります。

取り扱わない場合の例

同じQ&Aは、事業者がマイナンバーを含む電子データを取り扱わない場合の例として、契約条項で取り扱わない旨を定め、適切にアクセス制御を行っている場合等を挙げています¹。末尾に「等」が付いた例示なので、これだけが条件だという意味ではありません。

一方で、例が示しているのは、取り扱わないことを契約で書き、アクセスの仕組みでも裏づける形です。Workdayのような人事SaaSが番号法上の委託に当たるか、当たらないかは、ここから断定できません。契約とアクセス制御をどう決めたかで変わります。

判断の基準と例の整理

Q&Aが示す基準と例を、次の表に並べます。一番上の行が基準で、事業者がマイナンバーを含む電子データを取り扱うかどうかです。その下の行は、取り扱わない場合の例にあたり、契約条項とアクセス制御の組み合わせを挙げています。契約書を読むときは、この二つが書面に表れているかを手がかりにできます。

項目	内容
判断の基準	サービス事業者が契約の履行でマイナンバーを含む電子データを取り扱うかどうか
取り扱わない場合の例	契約条項で取り扱わない旨を定め、適切にアクセス制御を行っている場合等
資料	特定個人情報ガイドラインのQ&A（A3-12）

次の節では、作業の中身がこの基準にどう関わるのかを、保守事業者の例から見ます。

3. マイナンバーで不具合を再現すると委託に当たる

保守事業者の典型例

同じQ&Aの別の設問（A3-14）は、情報システムの保守事業者を取り上げています。保守事業者がマイナンバーを用いて不具合を再現・検証する場合は、マイナンバーを扱う事務の一部の委託に当たる典型例として挙げられています¹。

分かれ目は、作業の中でマイナンバーを使うかどうかです。システムの保守という立場だけでは決まらず、再現や検証でマイナンバーの値そのものを使うと、委託の典型例に入ります。前の節で見た「取り扱うかどうか」の物差しが、保守の作業に当てはまった例と読めます。

導入・移行の作業に置き換えると

A3-14が挙げているのは保守サービスの事業者の例で、導入や移行の作業そのものについての記述ではありません。以下は書き手の見立てです。導入や移行でも、同じ考え方が当てはまりうると読めます。

たとえば冒頭の場面のように、テスト用として渡された人事データの一式にマイナンバーの列が入っていたとします。その列の値を使って不具合を再現したり、移行後の結果を突き合わせたりすれば、マイナンバーを用いた検証にあたります。そのときは、委託の典型例と同じ側に入る可能性を考えておきます。

一方、マイナンバーを扱わない旨を契約に書き、アクセス制御も行ったうえで、その列に触れないまま作業を進める形もありえます。どちらの形になるかは、打ち合わせの段階で、データの渡し方と契約の書き方を確かめれば見えてきます。

図の作成：Remogu編集部。個人情報保護委員会のQ&A（2025年4月1日更新）の例示を、書き手の見立てで導入・移行に置き換えたもので、統計データではありません

委託に当たるとなれば、次に問題になるのが、その先の再委託の扱いです。

4. 再委託の許諾は最初の委託者から得る

許諾を求める相手

個人情報保護委員会の特定個人情報ガイドライン（事業者編）によると、マイナンバーを扱う事務の再委託を受けた者は「委託を受けた者」とみなされます。さらに再委託できるのは、最初の委託者の許諾を得た場合に限られます²。

許諾を求める先は、最初の委託者です。人事のデータを持つ企業から導入会社へ、導入会社からさらに別の者へと委託がつながる場合、二段目より先の再委託には、いちばん最初の委託者の許諾が要ります。これはマイナンバーを扱う事務についての定めで、人事の情報全般に広げて読むものではありません。

図の作成：Remogu編集部。個人情報保護委員会のガイドライン（事業者編）の定めを整理したもので、統計データではありません

自分がどの段にいるか

参画するエンジニアの立場は、契約の形で変わります。導入会社と業務委託を結ぶのか、さらにその先の委託を受けるのかによって、図の中での位置が違ってきます。参画するエンジニアがいつも再委託先に当たる、というわけではありません。ここは書き手の見立てです。

そのため、契約書を受け取ったら、まず三つを確かめたい場面です。人事のデータを持つ企業はどこか。自分は誰と契約を結ぶのか。再委託にあたる場合、最初の委託者の許諾が得られているのか。この三つが分かれば、自分がどの段にいるかが見えます。

個人情報保護法の側から見た委託先の監督は、別の記事で整理しています。個人情報保護法でフリーランスが求められることとあわせて読むと、番号法の規則と個人情報保護法の規則の違いがつかみやすくなります。

次は、委託元の企業がマイナンバーの扱いをどう絞るのか、その権限の考え方を見ます。

5. 権限の設計は担当者とファイルの範囲で絞る

ガイドラインが挙げる絞り方

個人情報保護委員会の特定個人情報ガイドライン（事業者編）の技術的安全管理措置は、情報システムでマイナンバーを扱う事務を行う場合について定めています。事業者は、事務取扱担当者と、扱う特定個人情報ファイルの範囲を限定するために、アクセス制御を行います²。

絞る軸は二つです。誰が扱うかと、どのファイルを扱うかです。人事の基盤に全員が入れる状態でマイナンバーの列を置くのではなく、担当者とファイルの範囲を決めて、その外からは届かないようにします。

義務を負う側と、導入エンジニアの立ち位置

アクセス制御は、マイナンバーを扱う委託元の企業の安全管理措置です。導入に参画するエンジニアが、自分の判断で権限の範囲を決める立場にあるわけではありません。ここからは書き手の見立てです。

導入エンジニアは、委託元が決めた範囲を設定として提案し、実装する側に回ると読めます。たとえば、どの役割にどの項目を見せるかを設計書に落とすときは、担当者の範囲とファイルの範囲を、委託元の決めたとおりに書き写せているかを確かめたい場面です。

SaaSの権限設計の考え方は、別の記事でも整理しています。SaaSの責任分担と権限は、事業者と利用企業とで責任がどう分かれるかを扱っており、権限をどちらが決めるのかを考える手がかりになります。

権限を決めるときの項目

次の表に、権限の設計で決めておく項目を並べます。上の二つはガイドラインの記述に沿った項目で、下の二つは書き手の見立てです。端末と期間は資料に決まりがあるわけではありませんが、打ち合わせで先に聞いておくと、後の手戻りを減らせます。

決めること	例
誰が扱うか	事務取扱担当者に限る
どのファイルを扱うか	特定個人情報ファイルの範囲に限る
どの端末から扱うか（見立て）	委託元が許可した端末に限る
いつ権限を閉じるか（見立て）	作業の区切りや契約の終了のとき

設定を実装する側に回る場合も、その範囲を決めるのは委託元です。範囲の線引きに迷ったら、設計書の段階で委託元に尋ねる、という動き方になります。

6. 移行とテストのデータは暗号化しても個人番号

暗号化しても変わらないこと

同じQ&AのA9-2は、個人番号が暗号化等で秘匿化されていても、番号法上の個人番号に当たるとしています¹。暗号化しただけで個人番号でなくなるわけではない、というところまでが、この資料の言うことです。

移行やテストでは、本番のデータを加工して使いたくなる場面があります。値を暗号化したから、もう個人番号ではないと考えたくなりますが、この設問に沿えば、暗号化した値も個人番号として見ておく必要があります。

テストデータの扱い方

ここからは書き手の見立てです。テストのために、マイナンバーの列を外すか、別の値に置き換えた形で受け取れば、検証の作業でマイナンバーに触れずに済みます。置き換えた値が実在の番号と結びつかないかは、委託元と確かめておきます。

また、テストが終わったデータは、不要になった時点で削除し、削除したことを記録に残す流れが考えられます。これも見立てで、資料にテストデータの削除を定めた記述があるわけではありません。

図の作成：Remogu編集部。個人情報保護委員会のQ&A（2025年4月1日更新）をもとに、書き手の見立てで流れを整理したもので、統計データではありません

削除を前提にした構築の例示

同ガイドラインは、マイナンバーを扱う事業者が、保存期間の経過後に個人番号を削除することを前提に、情報システムを構築する方法を手法の例示として挙げています²。義務ではなく、例として示されたものです。

この例示が前提にしているのは、保存期間が過ぎたあとの削除です。テストデータを消す根拠にはなりません。テストデータの削除は、先に述べたとおり書き手の見立てとして考えるものです。

では、ここまでの整理を、参画前の打ち合わせでどう使うかを見ていきます。

7. 参画前に確かめること

打ち合わせで尋ねる五つ

これまでの内容は、参画前に尋ねる項目に置き換えられます。以下の表は書き手の見立てで、資料が項目を定めているわけではありません。ただ、それぞれの理由には、前の節までに見た資料の記述が結びついています。

確かめること	理由
マイナンバーに触れる作業の有無	基準は取り扱うかどうかで、使って再現・検証する作業は委託の典型例に挙げられているため
契約上の立場と再委託の許諾	さらに再委託できるのは最初の委託者の許諾を得た場合に限られるため
付与される権限の範囲	アクセス制御は担当者と特定個人情報ファイルの範囲を限定するために行うため
テストデータの扱い	暗号化しても個人番号に当たるため、列を外すか置き換えるかを決めておく必要があるため
契約終了時の権限とデータ	不要になった権限とデータの扱いを、終了の前に決めておくため

権限の範囲を具体的に聞く

このうち、付与される権限の範囲は、聞き方で答えの具体さが変わります。「権限はありますか」ではなく、「どのファイルを、どの役割で見られますか」と尋ねると、範囲が言葉になって返ってきます。

権限の範囲をどう絞るかは、セキュリティの考え方とも重なります。セキュリティ権限の範囲では、フリーランスが与えられる権限の範囲を、契約の前に確かめる視点を整理しています。

冒頭の場面に戻る

冒頭の打ち合わせに戻ります。「テスト用に、いまの人事システムのデータを一式お渡しします」と言われ、マイナンバーの列に手が止まったとき、慌てて断る必要はありません。まず、その列に触れる作業なのか、列を外した形で受け取れるのかを尋ねます。

そのうえで、自分がどの段で契約するのか、権限はどの範囲まで与えられるのか、テストが終わったデータはどうするのかを順に確かめます。Workdayの案件は、マイナンバーの列に触れるかどうかで、契約の形が変わります。その分かれ目を打ち合わせで見分けられれば、参画後の迷いは減ります。

Remogu（株式会社LASSIC運営）は、リモートワーク案件特化のエンジニアマッチングで、案件の90%以上がフルリモート可能です。場所に縛られず、人事基盤の導入や移行のような専門性の高い案件を探したいときは、案件一覧をのぞいてみてください。

8. よくある質問

Workdayの導入案件は業務委託でも受けられますか

これは書き手の見立てです。業務委託で受けられるかどうかは、案件ごとの契約の形と、作業にマイナンバーが関わるかで変わります。マイナンバーに触れない作業の範囲で参画する形もありえますし、触れる作業があれば、再委託の許諾や権限の範囲を契約の前に確かめる流れになります。

画面にマイナンバーが表示されるだけでも委託に当たりますか

Q&AのA3-12が基準にしているのは、事業者が契約の履行でマイナンバーを含む電子データを取り扱うかどうかです¹。取り扱わない場合の例として、契約条項で取り扱わない旨を定め、適切にアクセス制御を行っている場合等が挙げられています¹。画面に表示されるだけで当たるかどうかは、契約とアクセス制御をどう決めたかで変わるため、一概には言えません。

マイナンバーを暗号化したテストデータなら扱ってよいですか

Q&AのA9-2は、個人番号が暗号化等で秘匿化されていても、番号法上の個人番号に当たるとしています¹。暗号化しても個人番号に当たるため、扱ってよいかは暗号化の有無だけでは決まりません。テストの前に、列を外すか置き換えるかを委託元と確かめておく形が考えられます。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 個人情報保護委員会「「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」及び「（別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン」に関するＱ＆Ａ」（2025年4月1日・2026年10月確認）
＊2 個人情報保護委員会「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」（2025年6月・2026年10月確認）