従業員個人情報管理規程の整備に迷ったら読む記事

「履歴書はとりあえず引き出しに…健康診断の結果は誰でも見られる棚に…」そんな状態のまま、何年も過ごしていませんか。専任人事がいない中小企業では、従業員の個人情報管理が後回しになりがちです。しかし2022年に改正された個人情報保護法では、漏洩時の報告義務が強化され、中小企業も無関係ではありません。この記事では、従業員個人情報管理規程の整備に迷う担当者向けに、何をどう管理すべきかを実務的に解説します。

従業員個人情報の「何が対象か」を把握する

意外と広い個人情報の範囲

「個人情報」と聞くと、氏名や住所だけをイメージしがちですが、実際には会社が日常的に扱う多くの情報が該当します。採用応募者の履歴書・職務経歴書、雇用契約書、給与明細・賃金台帳、社会保険・税務関連書類、そしてマイナンバーなど、入社前から退職後まで多岐にわたります。

「うちはそんなに個人情報を持っていない」と思っていても、従業員20名の会社でも数十種類の書類・データが分散しているのが実態です。まず自社にどんな情報があるかをリストアップすることが、従業員個人情報管理規程整備の第一歩になります。

通常情報と要配慮個人情報の違いを理解する

個人情報の中でも特に厳格な管理が必要なものを「要配慮個人情報」といいます。具体的には、病歴・障害・健康診断結果・精神疾患の診断書・主治医意見書・産業医面談記録などが該当します。

要配慮個人情報は、本人の同意なしに取得することが法律で禁止されています。通常の個人情報とは別のカテゴリとして規程に明記し、保管場所・アクセス権限を厳しく設定する必要があります。たとえば「うつ病で休職中の社員の診断書を上司が閲覧できる」という状態は、法的リスクにさらされています。

マイナンバーは別格の管理が必要

マイナンバーは個人情報保護法に加え、番号法（マイナンバー法）の規制も受けます。給与や社会保険手続きなど法定目的以外での利用・保管は禁止されており、目的外保管が発覚した場合には厳しい制裁が科される可能性があります。退職者のマイナンバーについても、法定保存期間（最長7年）を経過したら速やかに廃棄しなければなりません。通常の個人情報と同じ引き出しに混在して保管している会社は、早急に分離管理を検討してください。

取得時に必ずやるべき「同意と利用目的の明示」

採用フェーズから同意取得が始まっている

個人情報の取得時には、利用目的を本人に明示することが個人情報保護法で義務付けられています。採用応募者の履歴書を受け取る段階から、「採用選考のためにのみ使用し、不採用の場合は速やかに廃棄する」旨を伝える必要があります。

よくあるトラブルとして、「不採用だった応募者の情報を半年後に別のポジションへ流用した」というケースがあります。最初に取得した目的（採用選考）の範囲を超えているため、法的に問題になります。応募者に渡す書類や採用サイトに、利用目的を明確に記載しておきましょう。

入社手続き時の同意書整備

内定承諾後・入社時の手続きでは、給与計算・社会保険手続き・緊急連絡先管理など多くの目的で個人情報を取得します。このタイミングで「個人情報取得同意書」を整備し、利用目的を列挙した上で署名をもらう運用が理想的です。

同意書には、少なくとも以下を盛り込んでおくと安心です：給与計算・税務処理・社会保険手続きへの利用、健康管理・労務管理への利用、緊急時の連絡先活用、そして法令に基づく行政機関等への提供。「なんとなく口頭で説明した」では記録が残らないため、書面での同意取得を必ず実施してください。

健診結果・メンタルヘルス情報は別途同意が必要

健康診断の結果・産業医面談の記録・メンタルヘルスに関する診断書などの要配慮個人情報については、入社時の一般的な同意書とは別に、専用の同意書を用意することを推奨します。「この情報を人事担当者および産業医に限り共有する」など、共有範囲を具体的に限定した同意文言にしておくと、後々のトラブルを防げます。

保管・アクセス権限のルールを設計する

紙の書類は「誰でも開けられる棚」からの脱却を

紙で管理している個人情報については、まず施錠できるキャビネット・金庫を用意し、鍵の管理者を明確にすることが基本です。「鍵はデスクの引き出しに入れてある」では意味がありません。鍵の管理者を1〜2名に限定し、誰が何時に開けたかのログを残す運用が望ましいです。

特に要配慮個人情報（診断書・産業医記録など）は、通常の人事書類と保管場所を物理的に分けることを検討してください。同じキャビネットの別フォルダに入れているだけでは不十分な場合があります。

電子データはアクセス権限と暗号化が鍵

給与システム・人事データベース・クラウドストレージに保存された電子データについては、アクセスできる人を役職・業務範囲に応じて限定します。たとえば「給与情報は人事担当者と経営者のみ閲覧可能」「健康診断結果は人事担当者と産業医のみ」というように、情報の種類ごとにアクセス権限を設定してください。

また、外部への持ち出しが想定されるデータは暗号化することを規程に明記しておきましょう。「USBに入れてそのまま外に持ち出した」という事故は中小企業でも発生しています。暗号化されていないUSBの紛失は漏洩インシデントとして報告義務が発生するケースもあります。

「誰が何を見られるか」を文書化する

アクセス権限は頭の中で管理するのではなく、規程またはアクセス権限一覧表として文書化することが重要です。「経営者は全情報を閲覧可能」「部門マネージャーは担当部門の労務情報のみ閲覧可能」「一般社員は自己情報のみ確認可能」というような形で整理しておくと、運用ルールが属人化せずに済みます。

廃棄ルールは「法定保存期間」との両立で考える

「とりあえず捨てない」がリスクを生む

不要な個人情報をいつまでも保管し続けることは、漏洩リスクを高めるだけです。一方で法律上の保存義務期間がある書類を早まって廃棄すると、労働基準法違反になります。この両者のバランスを取ることが廃棄ルール設計の核心です。

主な書類の保存義務期間は次のとおりです。労働者名簿・賃金台帳・雇用契約書はいずれも雇用終了後5年（当面3年）。健康診断個人票は5年（じん肺は最長40年）。不採用応募者の履歴書には法定保存義務はなく、プライバシー保護の観点からも不採用確定後速やかに廃棄することが推奨されます。

廃棄方法と廃棄記録の残し方

紙の書類はシュレッダー処理が基本です。ただし量が多い場合は、セキュリティ業者への溶解処理委託も有効です。電子データは単純な「ゴミ箱へ移動」では不十分で、完全削除ツールの使用や記録媒体の物理破壊が必要な場合もあります。

廃棄を実施した際は「廃棄記録」を残しておくことも重要です。「いつ・誰が・何を・どの方法で廃棄したか」を記録しておくことで、万が一後から問題になった際にも対応できます。マイナンバーについては、廃棄記録の保管が特定個人情報の安全管理ガイドラインで求められています。

🔗 社員のメンタル不調に、精神科・心療内科医によるスポット産業医サービス →

漏洩インシデントが起きたときの対応フロー

まず「被害拡大防止」と「社内報告」を同時進行で

漏洩インシデントが発生・発覚した場合、まず最初に行うべきことは被害の拡大を止めることです。不正アクセスであればシステムへのアクセス遮断、書類の紛失であれば回収作業、メール誤送信であれば受信者への削除依頼などが該当します。これと並行して、担当者から責任者（経営者）へ即時報告を行い、対応の指揮系統を明確にします。

「とりあえず自分で何とかしよう」と個人で抱え込み、後から発覚して対応が遅れるケースが中小企業では非常に多いです。発見した時点で必ず組織的な対応に切り替えることを規程に明記してください。

報告義務が発生する条件を把握しておく

2022年4月施行の改正個人情報保護法により、一定の条件を満たす漏洩については個人情報保護委員会への報告と本人への通知が義務となりました。報告義務が発生するのは、要配慮個人情報が含まれる場合、財産的被害が生じるおそれがある場合、不正の目的で行われた漏洩、1,000件以上の個人情報が漏洩した場合のいずれかに該当するときです。

従業員30名の会社でも、要配慮個人情報（例：休職中社員の診断書）が1件でも漏洩すれば報告義務が生じます。「うちの規模では関係ない」と思い込んでいる担当者は注意が必要です。

社内フローを事前に文書化しておく

漏洩インシデントは、起きてから対応フローを考えていては遅すぎます。規程の中に「漏洩時対応フロー」を盛り込み、発見→初動対応→社内報告→事実確認→報告要否の判断→委員会報告・本人通知という流れを明文化しておきましょう。各ステップの担当者名（役職名）も記載しておくと、実際のインシデント時に迷わず動けます。年に一度、このフローを担当者間で読み合わせる機会を設けることも有効です。

🔗 人事だけで抱えない。メンタル不調者面談や休職・復職対応を、1件からスポットでご相談 →

よくある質問