中小企業の個人情報同意書、最低限の整え方

「入社時に何かサインをもらった気はするけど、個人情報の同意書かどうかはっきりしない」——中小企業の経営者や兼務人事担当者から、こういった声をよく耳にします。専任の人事担当者がいない環境では、採用・給与・労務・健康管理と業務が積み重なる中で、個人情報の整備は「なんとなく気になるけど後回し」になりがちです。しかし2022年の個人情報保護法改正以降、企業規模にかかわらずすべての事業者に義務が課されています。この記事では、中小企業が最低限整えるべき同意書・書類の種類と、取得から廃棄までの実務フローをわかりやすく解説します。

個人情報保護法は中小企業にも関係する

結論から言えば、従業員が1人でもいる事業者は個人情報保護法の対象です。「うちは規模が小さいから関係ない」という認識は、すでに通用しません。

「5,000件以下は対象外」のルールはもう存在しない

以前の個人情報保護法には、取り扱う個人情報が5,000件以下の事業者を適用対象外とする規定がありました。しかし2022年の改正個人情報保護法の全面施行により、この件数要件は廃止されました。現在は、個人情報を1件でも取り扱う事業者であれば、法人・個人事業主・規模を問わず同法の義務を負います。「社員が10人しかいないから大丈夫」という判断は誤りです。

義務と努力義務の違いを把握する

個人情報保護法の定めには「しなければならない（義務）」と「するよう努めなければならない（努力義務）」の2種類があります。中小企業が特に注意すべき義務事項は、利用目的の特定・明示（法第17条・第21条）、要配慮個人情報取得時の本人同意（法第20条第2項）、第三者提供の制限（法第27条）、安全管理措置の実施（法第23条）などです。これらは努力義務ではなく法的義務であり、違反した場合は個人情報保護委員会からの是正勧告・命令、さらには罰則の対象となり得ます。

違反した場合の具体的なリスク

「今まで何も起きていない」という状況は、リスクがないことを意味しません。個人情報の漏えい事故が発生した場合、個人情報保護委員会への報告義務（法第26条）が生じるほか、本人への通知も必要です。さらに、社員や元社員から損害賠償請求を受けるリスク、取引先・採用候補者からの信頼失墜、SNSでの情報拡散による風評被害も想定されます。書類が整備されていない場合、「管理義務を怠っていた」という事実が、トラブル発生時に企業側の過失を重くする要因になります。

社員の個人情報、取得時に必要な同意の整理

個人情報の種類によって、必要な手続きが異なります。一般的な個人情報と「要配慮個人情報」では、取得時のルールが大きく変わります。

一般的な個人情報の取得と利用目的の明示

氏名・住所・生年月日・連絡先・口座情報など、雇用に伴って取得する一般的な個人情報については、利用目的を本人に通知または公表することが義務付けられています。「業務上必要な情報として使います」という曖昧な表現では不十分です。たとえば「給与の振込処理」「社会保険・雇用保険の手続き」「緊急時の連絡」など、用途ごとに具体的に明示することが求められます。入社時に渡す同意書に、利用目的の一覧を記載しておくことが実務上の基本です。

要配慮個人情報は「明示」だけでは足りない

健康診断結果・病歴・障害の有無・精神的な健康状態・通院歴・休職理由などは、個人情報保護法上の「要配慮個人情報」に該当します。これらは一般的な個人情報と異なり、取得に際して原則として本人の明示的な同意が必要です。利用目的を伝えるだけでは不十分で、同意の取得が求められます。特にメンタルヘルス対応や休職・復職の場面では、主治医の診断書・産業医の意見書・本人からの申告書など、要配慮情報が多数登場します。これらを扱う場合は専用の同意書を別途準備することが必要です。

マイナンバーは個人情報保護法より厳しい規制がある

社員およびその扶養家族のマイナンバー（個人番号）は、個人情報保護法よりも厳格なマイナンバー法（番号法）の規制を受ける「特定個人情報」です。利用目的は社会保険・税務手続きなど法定用途に限定されており、それ以外の目的には使用できません。また、収集・保管・廃棄のすべての段階で安全管理措置を講じることが義務付けられており、中小規模事業者向けのガイドラインに沿った管理規程の整備が必要です。マイナンバーについては、一般の個人情報同意書とは別の書類・管理体制が必要と理解してください。

最低限整えるべき書類一覧

中小企業が入社時から退職後まで整備しておくべき書類は、以下のとおりです。状況に応じて優先順位をつけながら対応してください。

すでに在籍している社員に対して同意書を取得していない場合は、「個人情報の管理体制を整備するにあたり改めて同意をいただきたい」という説明を行い、遡及して同意書を取得することが望ましい対応です。強制的なサインは避け、書類の目的を丁寧に説明した上で進めましょう。

取得から廃棄までのフローを仕組み化する

書類を一度整えただけでは不十分です。取得・保管・廃棄を一貫したフローとして管理することが、継続的なコンプライアンスの基礎になります。

取得のタイミングと方法を統一する

個人情報の取得は、入社手続き・健康診断・マイナンバー収集など複数のタイミングで発生します。それぞれの場面で「どの書類を、誰が、いつ取得するか」を手続きフローに組み込んでおくことが重要です。たとえば入社初日に渡す書類セットに同意書を含め、チェックリストで管理する方法が現実的です。口頭での説明だけでは同意の証拠が残らないため、必ず書面（または電子署名付きの電子文書）でサインを得てください。

保管ルールはアクセス権限と保存期間をセットで決める

紙の書類・給与ソフト・勤怠システム・クラウドストレージなど、個人情報が複数の媒体に分散しているケースが中小企業では典型的です。まず情報がどこにあるかを棚卸しし、それぞれに「誰がアクセスできるか」「何年間保管するか」を文書化します。法定保存期間については、労働基準法で定める書類（賃金台帳・労働者名簿等）は5年（経過措置あり）、雇用保険関係書類は4年、健康診断結果は5年などが目安です。保存期間を社内規程に明記し、担当者が変わっても運用が継続できる仕組みにすることが必要です。

廃棄は記録を残すことが原則

保存期間を過ぎた書類や退職者・不採用応募者の情報は、適切な方法で廃棄しなければなりません。紙書類はシュレッダー処理または専門業者への委託、電子データは完全削除またはメディアの物理破壊が標準的な方法です。廃棄の際は「いつ・何を・誰が・どのような方法で廃棄したか」を記録として残してください。廃棄記録は、万一のトラブル時に「適切に処理していた」ことを示す証拠になります。特に採用応募書類（履歴書・職務経歴書）は、選考終了後すみやかに廃棄するルールを設けることを推奨します。

整備が追いついていない場合の現実的な進め方

「何年も書類整備ができていなかった」という状況からでも、優先順位を決めて段階的に対応することで現実的に整備できます。焦って一度にすべてを整えようとせず、リスクが高い領域から着手することがポイントです。

まず要配慮個人情報の同意取得から着手する

健康情報・メンタルヘルス情報・マイナンバーは、漏えい時のダメージが大きく、法的にも厳格な規制が課されています。これらの要配慮個人情報に関する同意書を最初に整備することが、リスク低減の観点から最も優先度が高い対応です。すでに健康診断結果を保管している場合は、遡及して「今後の取り扱いに関する同意」を書面で取得することを検討してください。

既存社員への遡及対応は丁寧な説明が鍵

これまで同意書なしで情報を取り扱ってきた既存社員に対し、改めて同意書にサインを求めることは、適切かつ必要な対応です。ただし「法律が変わったので書いてください」という機械的な対応ではなく、「どんな情報を、何のために、どのように使っているかを改めて説明し、確認させていただきたい」という姿勢で進めることが信頼関係の維持につながります。全社員向けの説明機会（朝礼・社内通知など）を設けた上で個別対応するのが現実的です。

産業医・社労士・外部サービスとの情報連携も確認する

社労士事務所・健康保険組合・産業医・EAP（従業員支援プログラム）業者など、外部に個人情報を提供している場面を洗い出してください。これらは個人情報保護法上の「第三者提供」または「委託」に該当します。委託の場合は、委託先が適切な安全管理措置を講じているかを監督する義務（法第25条）が委託元である会社側にあります。契約書や覚書で個人情報の取り扱いに関する条項が設けられているかを確認し、未整備であれば追記・締結してください。特に産業医との情報連携は、社員のメンタルヘルスや健康管理に直結するため、取り扱いルールの明確化が重要です。

書類整備が複雑に感じたら、プロに相談する選択肢もあります。特に要配慮個人情報やメンタルヘルス情報の取り扱いは、うっかりしたミスが大きなリスクになりかねません。

よくある質問