個人情報保護ガイドライン

雇用管理分野における個人情報保護に関するガイドライン

平成１７年に個人情報保護法が施行され、個人情報の保護に関して、医療や情報通信、経済産業、金融等の２７の分野で、計４０のガイドラインが策定されています。

雇用管理の分野においては、厚生労働省が所管する「雇用管理分野における個人情報保護に関するガイドライン」が定められています。

「雇用管理分野における個人情報保護に関するガイドライン」の概要を紹介します。

ガイドラインが適用される企業

この「雇用管理分野における個人情報保護に関するガイドライン」が適用される企業は、５，０００人を超える個人情報（特定の個人を識別できる情報）を事業活動に利用していて、社員を雇用している民間企業が対象になります。

なお、５，０００人の人数は、社員や顧客など全ての種類の個人をカウントします。

利用している個人情報が５，０００人以下で、ガイドラインが適用されない企業も、個人情報の取扱いが原因で損害が発生すると、損害賠償を請求されることが考えられます。全ての企業が、ガイドラインに沿った取扱いをすることが望ましいです。

ガイドラインの対象となる個人情報

会社が社員の雇用管理のために収集、保管、利用等する個人情報（社員の氏名、生年月日、連絡先、家族に関する情報など）の取扱いが、ガイドラインの対象になります。これを「雇用管理情報」と言います。

なお、社員には、現在在籍している社員だけではなく、採用の応募者や退職者、派遣社員等も含みます。

個人情報の利用目的

雇用管理情報の利用目的は、予め公表するか、情報を取得する際に本人に通知又は公表しないといけません。

また、雇用管理情報の利用目的は、できる限り具体的に特定する必要があります。利用目的が抽象的過ぎると、会社と本人の間で、利用目的の達成に必要な範囲内かどうかで認識違いが生じてしまいます。

このように通知していれば、利用目的を特定していると判断されます。

そして、特定した利用目的の範囲内で、雇用管理情報を取り扱わないといけません。利用目的を変更する場合は、本人に同意を得る必要があります。なお、この同意は口頭による確認でも構いません。

個人データの管理

個人データは、正確かつ最新の内容に保つよう努めないといけません。また、個人データの漏えい、滅失、き損を防ぐために、適切な措置を講じないといけません。適切な措置として、次のような措置を講じるよう努めることとされています。

  1. 個人データを取り扱う社員とその権限を明確にした上で、その業務を行わせること
  2. 個人データは、その取扱いについての権限を与えられた者のみが業務の遂行上必要な限りにおいて取り扱うこと
  3. 個人データを取り扱う者は、業務上知り得た個人データの内容をみだりに第三者に知らせ、又は不当な目的に使用してはならないこと（その業務に係る職を退いた後も同じ）
  4. 個人データの取扱いの管理に関する事項を行わせるため、当該事項を行うために必要な知識及び経験を有していると認められる者のうちから個人データ管理責任者を各事業所において選任すること

そして、会社は個人データを取り扱う社員を監督しないといけません。その責務の重要性を認識させたり、具体的な個人データの保護措置に習熟させたりするために、必要な教育や研修を受けさせるよう努めることとされています。

また、個人データの取扱いを外部に委託する場合は、委託先を監督しないといけません。

個人データの第三者提供

個人データを第三者に提供する場合は、予め本人から同意を得ないといけません。ただし、法令に基づく場合は、同意を得なくても提供できます。

また、次の場合は、第三者提供に当たりません。

  1. 利用目的の達成に必要な範囲内で委託先へ提供する場合
  2. 合併、分社化、事業譲渡などに伴って提供する場合（継承前の利用目的の範囲内での取扱いに限られます）
  3. 共同利用をする場合（共同利用する者の範囲や利用目的などを、事前に本人に通知することなどが必要です）

本人からデータ開示を求められたとき

本人から個人データの開示を求められたときは、遅滞なく、開示しないといけません。

ただし、「業務の適正な実施に著しい支障を及ぼすおそれがある場合」など、非開示にできる場合が定められています。例えば、人事評価や選考に関する個人情報は、基本的にはこれに当たると考えられますが、その取扱いは労働組合などと協議して決定することが望ましいとされています。

また、雇用管理情報の取扱いに関する苦情に対して、適切かつ迅速な処理を行うとともに、受付窓口の設置などの体制整備に努めないといけません。

健康情報の取扱い

「雇用管理分野における個人情報保護に関するガイドライン」の他に、雇用管理の分野においては、「雇用管理に関する個人情報のうち健康情報を取り扱うに当たっての留意事項について」が定められています。

労働安全衛生法により、健康診断を実施することが義務付けられています。そして、会社は、健康診断の結果を記録し、医師等から意見聴取を行い、健康診断の結果を社員に通知しないといけません。

このような内容が法律で義務付けられているため、会社が社員の個人データを医療機関に提供し、医療機関が会社に社員の健康診断の結果を報告（提供）することは、本人から同意を得なくても、第三者提供の制限は受けないものとされています。

ただし、労働安全衛生法に基づいて行う健康診断とは別に、社員に診断書の提出を求める場合がありますが、提出された診断書の内容以外の情報について、医療機関から健康情報を収集する（医療機関が求められた健康情報を提供する）ことは、第三者提供に該当するため、医療機関は本人から同意を得る必要があります。

会社は、予めこれらの情報を取得する目的を社員に明らかにして承諾を得るとともに、必要に応じて、これらの情報は社員本人から提出を受けることが望ましいです。

（２０１４／７作成）