「入社時に同意書を取っているけれど、これで本当に大丈夫なのだろうか」——人事担当を兼務しながら、そんな不安を抱えたまま日々の業務をこなしている方は少なくありません。個人情報保護法は2022年の改正で中小企業にも厳格に適用され、「うちは規模が小さいから関係ない」という考え方はすでに通用しません。採用時の同意書の不備、在籍中の要配慮情報の扱い、退職後の廃棄ルールの欠如——これらは、いつトラブルに発展してもおかしくないリスクです。この記事では、採用から退職後までの個人情報管理を、専任人事がいない会社でも実践できる形で整理します。
「うちは小さいから関係ない」はもう通用しない
個人情報保護法は、事業規模を問わずすべての事業者に適用されます。中小企業であっても、採用・雇用にともない従業員の個人情報を扱う以上、法的義務から逃れることはできません。
かつての「5,000件以下除外」ルールは廃止された
かつては、取り扱う個人情報が5,000件以下の事業者は個人情報保護法の義務対象から除外されていました。しかし2017年の法改正でこの例外規定は廃止されています。従業員が10名であっても、氏名・住所・給与情報・健康診断結果を扱う以上、個人情報取扱事業者としての義務が発生します。「自分たちには関係ない」という認識のまま運用を続けることは、それ自体がリスクです。
2022年改正で強化された規制と中小企業への影響
2022年4月に施行された改正個人情報保護法では、いくつかの重要な規制強化が加わりました。特に中小企業が見落としがちなのが「漏えい等の報告・通知義務」の追加です。一定規模以上の個人情報漏えいが発生した場合、個人情報保護委員会への報告と本人への通知が義務となりました。また、利用目的の特定がより厳密に求められるようになり、「人事管理のため」といった曖昧な記載では要件を満たさないと判断される可能性があります。
従業員規模別に確認すべき優先事項
法的義務はすべての事業者に共通しますが、実務上の優先度は状況によって異なります。従業員数が20名以下の場合は、まず同意書・管理規程・廃棄ルールの「基本三点セット」を整えることを最優先にしてください。20〜50名規模になると、健康診断情報やメンタルヘルス情報の管理体制、アクセス権限の設定まで踏み込んだ整備が必要になります。就業規則や個人情報取扱規程がまだない場合は、同意書の整備と並行して規程の作成を検討してください。
採用時の同意書に最低限必要な記載事項
採用時の個人情報同意書には、取得する情報の種類・利用目的・第三者提供の有無・請求対応窓口など、6つの要素を明記する必要があります。「包括同意」だけでは法的要件を満たしません。
同意書に盛り込むべき6つの要素
個人情報保護法第17条・18条が求める「利用目的の特定・通知」を満たすために、同意書には以下の要素を記載してください。
| 記載項目 | 記載例・ポイント |
|---|---|
| 取得する個人情報の種類 | 氏名・住所・生年月日・学歴・職歴・緊急連絡先・健康診断結果 など |
| 利用目的 | 採用選考・雇用契約締結・給与計算・社会保険手続き・安全衛生管理 など具体的に列挙 |
| 第三者提供の有無と提供先 | 社会保険労務士事務所・健保組合・産業医・外部給与計算システム など |
| 委託先管理の旨 | 外部委託する場合は適切な監督を行う旨を明記 |
| 本人の権利と請求窓口 | 開示・訂正・削除請求の方法と担当部署・連絡先を明示 |
| 任意提供の明示 | 任意提供の情報は提供しない場合の影響（例：給与計算に支障が生じる場合がある）を記載 |
「包括同意1枚」では不十分な理由
よくある誤解として、「入社時に包括的な同意書を1枚取れば、その後の情報取得はすべてカバーされる」という考え方があります。しかし、個人情報保護法第20条2項では、健康診断結果・病歴・障害の有無・通院状況といった「要配慮個人情報」の取得には、個別の明示的な同意が必要と定めています。入社時の一般同意書とは別に、要配慮個人情報専用の同意書（または同意欄）を設けることが必要です。
不採用者の応募書類も適切に管理する必要がある
採用選考中に受け取った履歴書・職務経歴書も個人情報です。不採用者の書類を選考終了後も長期間保管し続けることは、取得時に通知した利用目的の範囲を超える可能性があります。原則として、選考終了後は速やかに返却またはシュレッダー処理し、その旨を応募受付時のルールとして明文化しておくことが望ましいです。
在籍中に特に注意が必要な「要配慮個人情報」の扱い
健康診断結果・メンタルヘルス情報・障害情報などの要配慮個人情報は、通常の個人情報よりも厳格な管理が求められます。担当者が「普通の人事情報と同じ感覚」で扱うことが、最もリスクの高い状態です。
要配慮個人情報の具体的な範囲と法的位置づけ
個人情報保護法が定める要配慮個人情報には、病歴・障害の有無・健康診断の結果・通院状況・精神的な不調に関する情報・犯罪の経歴などが含まれます。メンタルヘルス対応において産業医や外部EAP（従業員支援プログラム）と情報を共有する場合も、原則として本人の明示的な同意が必要です。「業務上必要だから」という理由だけで、上司や経営者が閲覧・共有できる状態にしておくことは法的リスクを伴います。
アクセス権限の設定と情報の分離管理
専任人事がいない中小企業では、給与情報・健康情報・人事評価情報が同じフォルダや同じExcelファイルに混在していることが珍しくありません。最低限、要配慮個人情報は他の人事情報から分離して保管し、アクセスできる人員を限定する（例：経営者と担当者のみ）ルールを設けてください。クラウドストレージを使用している場合は、フォルダごとのアクセス権限設定を確認してください。このような情報管理の仕組みづくりは、外部の専門家に相談することで、より実効性の高い体制を整備できます。
メンタルヘルス情報の取り扱いで陥りやすいミス
休職中の従業員の診断書や通院状況を、直属の上長に共有してしまうケースがあります。業務上の必要性がある場合でも、共有の範囲・方法・本人の同意取得のプロセスを事前に定めておくことが重要です。また、復職支援の場面で主治医や産業医から情報を受け取る際も、情報の目的外利用が起きないよう、受け取った情報の管理ルールを整備しておく必要があります。
採用から退職後まで——個人情報の保管と廃棄の基準
法定保存期間を根拠に「とりあえず保管」するだけでは不十分です。誰がアクセスできる状態で、いつ・どのように廃棄するかまで定めた内部ルールが必要です。
主要書類の法定保存期間を把握する
労働基準法・雇用保険法・労働安全衛生規則などにより、以下の保存義務があります。
- 労働者名簿：退職等の日から3年（労働基準法第107条・109条）
- 賃金台帳：最後の記入日から3年（労働基準法第108条・109条）
- 雇用保険関係書類：2年（被保険者に関するものは4年）
- 健康診断個人票：5年（特殊健診は種類により最長40年）
- 社会保険関係書類：2年（一部例外あり）
なお、2020年4月施行の改正労働基準法により、労基法上の記録・書類の保存期間は順次5年へ延長される方向にあります。現時点では3年に留まるものも多いですが、最新の動向を継続的に確認してください。
「保存期間が終わった後」のルールを作る
法定保存期間が終了した後の廃棄プロセスが、多くの中小企業で定められていません。退職者の情報であっても、本人から開示・訂正・削除の請求が来た場合は対応する義務があります（個人情報保護法第33条〜35条）。廃棄する際は、紙媒体はシュレッダーまたは溶解処理、電子データは完全削除（ゴミ箱の空にするだけでなく、上書き削除や専用ソフトの使用）を原則とし、廃棄日・担当者・廃棄方法を記録に残すことを推奨します。
退職後も続く情報管理の義務
退職した従業員の情報であっても、保存期間内は個人情報保護法の保護対象です。退職後の連絡先変更通知の案内をどうするか、元従業員から情報開示請求があった場合の対応窓口はどこか、あらかじめ決めておくことが必要です。特に雇用保険・社会保険手続きに関する書類は、ハローワークや年金事務所への後処理が発生することがあるため、保存媒体と担当者を明確にしておいてください。
個人情報管理規程と就業規則への反映
同意書を整備するだけでなく、社内の取り扱いルールを「個人情報取扱規程」として文書化し、就業規則と連動させることが体制整備の完成形です。
個人情報取扱規程に定めるべき内容
個人情報取扱規程は、法的に作成が義務付けられているわけではありませんが、社内での一貫した運用を担保するために実務上不可欠です。規程には、取得する情報の種類・利用目的・管理責任者・アクセス権限の範囲・保管場所・廃棄手順・漏えい発生時の対応フロー・本人からの請求対応手順を最低限盛り込んでください。規程は作成後も、法改正や社内体制の変化にあわせて定期的に見直すことが必要です。
就業規則との連動が重要な理由
就業規則に「会社は従業員の個人情報を個人情報取扱規程に基づき管理する」旨の条文を設けることで、従業員への周知義務を果たすとともに、情報管理のルールに法的根拠を持たせることができます。就業規則がまだない、または古い状態のまま放置されている場合は、個人情報規程の整備と並行して見直しを行うことを強くお勧めします。
専任担当者がいない場合の現実的な運用方法
兼務担当者が一人で対応する場合、まず「個人情報管理責任者」を社内で明示的に決め（経営者自身でも可）、その責任者だけが特定の情報にアクセスできる状態をつくることが第一歩です。クラウドベースの人事管理ツールを導入すると、アクセスログの記録・権限管理・バックアップを効率的に行えます。外部の社会保険労務士と顧問契約を結んでいる場合は、個人情報の取り扱いに関する委託契約書（個人情報処理委託契約）が締結されているかどうかも確認してください。
まとめ
採用時の個人情報同意書の整備は、個人情報保護法の義務を果たすための入り口に過ぎません。同意書の記載内容の見直し、要配慮個人情報の分離管理、法定保存期間に基づく廃棄ルールの明文化、そして個人情報取扱規程と就業規則への反映——これらをセットで整えることで、はじめて実効性のある管理体制が整います。専任人事がいない環境では、すべてを一度に完成させようとするより、まず同意書と廃棄ルールから着手し、段階的に体制を拡充していくアプローチが現実的です。
人事労務の整備は一人で進めるより、外部の専門家をうまく活用することで、より実務的で効率的に進められます。ウェルセンス株式会社では、メンタルヘルス対応・休職復職支援と並行して、人事労務の整備に関するご相談も承っています。「同意書の内容を見直したいが、何が問題かわからない」「個人情報取扱規程をゼロから作りたい」といったご相談は、お気軽にお問い合わせください。自社の状況に合わせた実務的なサポートをご提案します。
よくある質問
ウェルセンスは、メンタル不調者対応・休職復職支援に強い職場メンタルケアサービスです。産業医・保健師・心理士・社労士などの専門家ネットワークが、人事・管理職だけでは判断しづらいケースの初動対応、専門家連携、再発防止まで支援します。
不調者対応を、人事だけで抱えない。
メンタル不調者面談や休職・復職対応を、1件からスポットでご相談いただけます。
