人事情報管理、誰が何を見る？中小企業の権限設定5つのルール

「給与情報が入ったExcelファイル、共有フォルダに置いてあるけど…誰でも開けるよな」——ある日そう気づいたとき、すでに手遅れになっているケースが中小企業では少なくありません。専任の人事担当者がいない環境では、人事情報の管理ルールが後回しになりがちです。しかし2022年の個人情報保護法改正以降、従業員が1名でも「安全管理措置」が義務化されており、「うちは小さいから関係ない」は通用しなくなっています。この記事では、人事の専門知識がなくても今日から動ける、権限設定の5つのルールをわかりやすく解説します。

「人事情報」の範囲を正しく把握する

人事情報管理の第一歩は、何が「管理すべき情報」なのかを正確に把握することです。多くの中小企業では、この範囲自体が曖昧なまま運用されています。

人事情報に含まれる具体的な情報の種類

人事情報とは、採用・雇用・労務管理のために収集・使用する従業員に関する情報全般を指します。「個人情報保護法」では、従業員の情報も「個人情報」として保護対象になります。具体的には以下のような情報が該当します。

• 氏名・住所・生年月日・家族構成などの基本情報
• 給与・賞与・昇降格などの処遇情報
• 勤怠記録・残業時間などの労働時間情報
• 健康診断結果・通院歴・障害の有無などの健康情報
• 休職理由・主治医の診断書・産業医面談記録などのメンタルヘルス関連情報
• 懲戒歴・評価記録・面談メモなどの人事考課情報

「口頭で聞いた情報」も管理対象になる

見落とされがちな落とし穴として、書面や電子ファイルに残っていない情報の扱いがあります。たとえば上司が面談中に「うつ病で通院しています」と聞いた場合、それを基に業務上の判断（業務量の調整・席替えなど）を行った時点で、その情報を「取り扱っている」と解釈される可能性があります。メモとして記録化した瞬間だけでなく、口頭で知った段階から管理の責任が生じると考えておくことが安全です。

健康情報は「要配慮個人情報」として別格の保護が必要

病歴・障害・健康診断の結果・精神科受診歴などは、個人情報保護法上「要配慮個人情報」に分類されます。通常の個人情報よりも厳格な扱いが求められ、取得には本人の明示的な同意が必要です。また利用目的と管理責任者を明確にしなければなりません。休職中の社員の診断書を経営幹部全員に回覧している、といったケースは、この規定に抵触するリスクがあります。

情報漏洩が起きると何が起きるか

人事情報の漏洩は、法的なペナルティと社内的な信頼失墜という二重のダメージをもたらします。「何となくまずい」という感覚を、具体的なリスク認識に変えておくことが重要です。

個人情報保護法違反で生じる法的責任

2022年施行の改正個人情報保護法により、一定規模以上の個人情報漏洩が発生した場合、個人情報保護委員会への報告と本人への通知が義務化されました。対象となる事態には「要配慮個人情報の漏洩」が含まれており、健康情報や休職理由などが漏洩した場合は中小企業でも報告義務が生じます。報告を怠ると、委員会からの指導・勧告・命令の対象となり、命令違反には罰則（1年以下の懲役または100万円以下の罰金）が規定されています。

従業員からの民事上の損害賠償請求

漏洩によって精神的苦痛を受けたと判断された従業員から、損害賠償を請求される可能性があります。特に病名や休職理由などのセンシティブな情報が漏れた場合、その影響は金銭的損害に留まらず、職場復帰の妨げや退職・訴訟へと発展するケースもあります。中小企業では一件の対応が経営に直結するため、未然防止の重要性は大企業以上とも言えます。

社内の信頼関係への取り返しのつかないダメージ

「自分の病気のことが上司以外にも知られていた」「給与情報が同僚に伝わっていた」といった事実は、当事者の就業継続意欲を著しく低下させます。法的責任の問題とは別に、チームの心理的安全性が崩れ、優秀な人材の離職につながるリスクも無視できません。

中小企業が今すぐ設定すべきアクセス権限の考え方

アクセス権限設定の基本原則は「最小権限の原則」です。業務上必要な人が、必要な範囲の情報にのみアクセスできる設計にすることが、個人情報保護法が求める安全管理措置の核心です。

役職・立場別の権限区分の考え方

スモールチームでも適用できる、シンプルな権限区分の例を下表に示します。会社の規模や体制に応じて調整してください。

現場リーダーへの情報共有で気をつけるべき点

休職中の部下を持つ現場リーダーから「病名を教えてほしい」という要望が出ることがあります。しかしこの場合、必要なのは「どんな配慮が必要か」という就業上の情報であり、具体的な病名・診断書の内容ではありません。「〇〇さんは現在療養中のため、復職後は短時間勤務から始める予定です」という形で、業務判断に必要な最小限の情報のみを共有するのが適切な対応です。病名など要配慮個人情報の共有には、本人の同意が原則として必要です。

産業医や外部専門家との情報共有のルール

産業医と連携している場合（従業員50名以上は産業医の選任が義務）、産業医への情報提供は「業務上必要な範囲」に限り、可能です。ただし診断書の内容を産業医以外の外部に提供する際は、原則として本人同意が必要です。50名未満で産業医がいない場合でも、外部の支援機関（EAPや産業保健総合支援センターなど）を利用する際は同様の考え方を適用してください。

人事情報管理ルールを整備する5つのポイント

専任担当者がいなくても実行できる、人事情報管理の最小限のルール整備を5点にまとめます。ゼロから規程を作る必要はなく、まず「決めて、書いて、共有する」ことが優先です。

管理責任者と保管場所を明文化する

まず最初に「誰が管理するか」と「どこに保管するか」を決め、文書化します。兼務人事であっても、人事情報の管理責任者として名前を明記した一覧表を作成することで、退職・異動時の引き継ぎ事故を防げます。保管場所はクラウドストレージの特定フォルダに集約し、アクセス権限を設定する（Googleドライブであれば共有設定で「特定のユーザーのみ」に絞る）ことが基本です。

利用目的を従業員に伝える

個人情報保護法では、従業員から収集する個人情報の利用目的を「特定」し、「通知または公表」することが義務付けられています。難しく考える必要はなく、就業規則や入社時の案内書類に「入社時に取得した個人情報は、給与計算・社会保険手続き・健康管理の目的に限り使用します」といった一文を追加するだけでも第一歩になります。

健康情報専用の取り扱いルールを設ける

厚生労働省が公表している「健康情報取扱規程の策定に関するガイドライン」に沿って、健康情報だけを切り出したミニ規程を作ることをお勧めします。最低限決めるべき内容は「誰が取得するか」「どこに保管するか」「誰がアクセスできるか」「いつ廃棄するか」の4点です。産業医がいない50名未満の企業でも適用できます。

チャット・クラウドツールでの取り扱いルールを決める

SlackやLINE、Chatworkなどのビジネスチャットに「〇〇さん、うつ病で休職します」「給与は〇〇万円で合意しました」などのやり取りを残すことは、情報管理上のリスクになります。人事情報は原則としてチャットツールでやり取りせず、所定のファイル管理システムに記録することをルール化してください。既に散在している情報は、棚卸しをして集約・削除の判断を行います。

定期的な棚卸しとアクセスログの確認を習慣化する

ルールを作っても運用されなければ意味がありません。年に一度、「誰がどのファイルにアクセスできる設定になっているか」を確認する機会を設けましょう。クラウドストレージの多くはアクセスログや共有設定の一覧確認が可能です。人事異動や退職者が出た際には、その都度アクセス権限を見直すことを標準手順として決めておくことが重要です。

🔗 権限設定の複雑さで迷ったら、具体的な状況をプロに相談することが確実な対応への近道です。 →

よくある失敗パターンと対策

人事情報管理の整備を進める中で、中小企業が繰り返しやすいミスを把握しておくことで、対策の優先順位が立てやすくなります。

「誰でも開けるフォルダ」への混在保存

最も多いのが、部署共有フォルダや社内全員がアクセスできるクラウドフォルダに、給与情報や健康診断結果が入ったファイルを保存しているケースです。これは個人情報保護法が求める「安全管理措置」に違反する状態です。対策としては、人事情報専用のフォルダを作成し、アクセス権限を管理責任者と経営者のみに絞った上で、既存ファイルを移管・削除します。

退職者のアカウント削除漏れ

退職した従業員のGoogleアカウントやクラウドサービスのアクセス権限が残ったままになっているケースも頻発します。退職手続きのチェックリストに「人事関連システムのアクセス権限削除」を明記しておくことが、最も効果的な対策です。

「本人同意」の取得記録を残していない

健康情報を取得する際に口頭で同意を得ているつもりでも、記録が残っていなければ同意の事実を証明できません。健康診断の受診案内や産業医面談の案内文に「取得する情報の範囲・利用目的・管理責任者」を明記し、受領確認のサインや電子的な同意記録を残す習慣をつけましょう。

🔗 人事だけで判断するのは負担が大きい。ウェルセンス株式会社に相談することで、適切なルール作りをサポートできます。 →