会社は、従業員について多くの個人情報を保有しています。これらは人事・労務の管理に必要ですが、会社に提供された情報だからといって自由に利用・共有できるわけではありません。
本記事では、従業員の個人情報を管理する基本ルールと、特に注意が必要な情報の取扱いについて弁護士・社労士が解説します。
もくじ
第1章 会社が管理する従業員の個人情報とは
1-1 人事部が保管する書類だけが従業員情報ではない
会社が管理する従業員の個人情報には、氏名や住所、電話番号だけでなく、次のような情報も含まれます。
- 採用後も保管している履歴書、応募書類、職務経歴書、資格証明書
- 家族構成、扶養家族、緊急連絡先に関する情報
- 給与、給与振込口座、勤怠、税務に関する情報
- 人事評価、面談内容、昇進、降格、懲戒に関する情報
- 健康診断結果、診断書、休職、復職に関する情報
- マイナンバー など
紙の人事ファイルだけが管理対象になるわけではありません。
人事労務システムや給与計算ソフトなどに保存されているデータ、メールやチャットの履歴に残された従業員個人に関する情報も、特定の従業員を識別できれば個人情報に当たります。
1-2 積極的に使用していない従業員情報も適切な管理が必要
個人情報を業務で積極的に使用していないからといって、管理が不要になるわけではありません。紙の書類やシステム上のデータとして会社が保有している以上、漏えい、紛失、不正閲覧などを防ぐため、適切な管理が求められます。
現在は使用していない情報についても、そのまま保管を続けるのではなく、保管する必要性や保管場所、閲覧できる担当者を確認しておくことが大切です。個人情報保護法上も、個人データの安全管理が求められ、利用する必要がなくなった場合には、消去に努めることとされています。
第2章 情報の種類ごとに注意すべき取扱い
2-1 履歴書・応募書類は採用後も利用範囲を確認する
採用時に提出された履歴書や応募書類、職務経歴書などを、採用後も人事ファイルとして保管している会社は少なくありません。
これらの書類は、本人の経歴や資格の確認、人事管理など、あらかじめ定めた目的の範囲内で利用できます。しかし、履歴書に書かれている住所や学歴、職歴などを、業務上必要のない従業員に見せたり、社内の話題にしたりすることは避けるべきです。
採用担当者が使用している共有フォルダを多くの管理職が閲覧できる状態にしているケースもありますが、雇用後に誰が書類を確認する必要があるのかを改めて整理し、アクセス権限を見直すことが必要です。
2-2 人事評価・懲戒・相談記録は閲覧者を限定する
人事評価、懲戒歴、ハラスメント相談などの記録は、従業員の処遇や職場での立場に影響しやすい情報です。これらの情報については、評価や調査、処分の判断に関与する者だけが閲覧できるように管理します。関係のない部署へ共有したり、興味本位で社内に広まったりする状況は避けなければなりません。
ハラスメント相談や内部通報については、個人情報保護法だけでなく、相談者や通報者のプライバシー、不利益な取扱いの防止という観点からも、共有範囲を限定する必要があります。
2-3 健康診断結果・診断書は特に慎重に管理する
健康診断の結果や診断書、病歴などの多くは、個人情報保護法上の「要配慮個人情報」に該当します。要配慮個人情報とは、不当な差別や偏見などにつながらないよう、特に慎重な取扱いが求められる個人情報です。
一方、会社には、労働安全衛生法に基づく健康診断の実施や、従業員が安全に働けるように配慮する義務があります。そのため、健康情報を一切取得しないのではなく、健康管理や就業上の措置に必要な範囲で取り扱います。
実務上は、健康情報を一般の人事資料と分け、閲覧できる担当者を限定します。
直属の上司には健康診断結果や診断書をそのまま共有するのではなく、勤務時間の短縮、業務内容の調整、出張や夜勤の制限など、現場で必要な配慮事項を中心に伝える運用が考えられます。
2-4 緊急連絡先は本来の目的を超えて使用しない
従業員の緊急連絡先には、家族など従業員本人以外の個人情報が含まれます。通常は、事故や急病、災害などの緊急時に、本人と連絡が取れない場合の安否確認や必要な連絡のために使用します。
遅刻や通常の欠勤があっただけで直ちに緊急連絡先へ連絡するのではなく、本人への連絡を試みても応答がなく、無断欠勤が続いているなど、安否を確認する必要性があるかを踏まえて判断します。
2-5 マイナンバーは通常の人事情報と区分して管理する
マイナンバーを含む特定個人情報には、通常の個人情報より厳格な利用・提供制限があります。会社がマイナンバーを利用できるのは、給与所得の源泉徴収、社会保険、雇用保険など、法令で認められた事務に限られます。
そのため、取扱担当者と担当事務を限定し、通常の人事情報と区分したうえで、閲覧できる者を個別に設定する必要があります。人事担当者であるという理由だけで全員が閲覧できる状態にしたり、マイナンバーが記載された書類を必要以上に複製したりしないよう、取扱いルールを明確にしておくことが重要です。
第3章 従業員の個人情報を社外へ提供する場合の注意点
3-1 給与計算会社などへの委託では委託先の管理も必要になる
会社は、給与計算会社や社会保険労務士、健康診断機関など、社外の事業者へ従業員の個人情報を渡すことがあります。
利用目的を達成するために必要な範囲で個人データの取扱いを委託する場合、委託先は個人情報保護法上の第三者には当たらないため、原則として、第三者提供に関する本人同意は必要ありません。
ただし、委託先へ情報を渡した後も、会社の監督義務がなくなるわけではありません。
会社は、情報を適切に管理できる委託先を選定し、その取扱状況を確認する必要があります。委託契約では、取り扱う情報と業務の範囲を明確にしたうえで、秘密保持や再委託、漏えいが発生した場合の報告方法などを定めておく必要があります。
3-2 グループ会社だから自由に共有できるわけではない
親会社、子会社、関連会社は、同じ企業グループであっても別法人です。そのため、グループ会社間で従業員の個人情報を共有する場合には、原則として第三者提供のルールが適用されます。
グループ全体で人材配置や給与管理を行う場合には、従業員本人の同意を得るほか、個人情報保護法上の共同利用として整理する方法があります。共同利用とする場合は、共同利用する旨、対象となる個人データの項目、利用する会社の範囲、利用目的、管理責任者に関する事項を、あらかじめ本人に通知するか、本人が容易に確認できる状態にしておく必要があります。
3-3 取引先や公的機関への提供は根拠と範囲を確認する
取引先から、担当者の連絡先や保有資格の証明を求められることがあります。業務用メールアドレスや会社の電話番号であっても、特定の従業員と結び付いて管理されていれば、個人情報に該当することがあります。
そのため、取引先へ共有することが予定されている情報については、その旨や利用目的、提供範囲を従業員に明らかにし、原則としてあらかじめ本人の同意を得なければなりません。
裁判所、税務署、労働基準監督署、警察などから照会を受けた場合も、直ちに保有する情報をすべて渡してよいわけではありません。まずは、法的根拠、回答義務の有無、求められている情報の範囲を確認する必要があります。
個人情報保護法では、法令に基づく場合や、人の生命・身体・財産の保護に必要で、本人同意を得ることが困難な場合などには、本人の同意なく第三者へ提供できる例外が設けられています。ただし、例外に該当する場合でも、必要以上の情報を提供しないことが重要です。
第4章 従業員情報の管理ルールを整備する手順
従業員情報の管理ルールを整備する際は、規程のひな型をそのまま導入するのではなく、まず現在の取扱状況を確認し、自社の業務に合った内容へ整理することが重要です。次の手順で進めることで、規程と実際の運用にずれが生じにくくなります。
4-1 手順①｜会社が保有する従業員情報と現在の取扱いを洗い出す
まず、人事・総務部門だけでなく、各部署にも確認し、会社が保有する従業員情報を一覧にします。人事システムや紙のファイルのほか、共有フォルダ、メール、管理職が個別に保管する面談記録なども対象に含めます。
一覧には、情報の種類ごとに、取得する部署、保管場所、管理担当者、閲覧できる者などを記載します。これにより、人事・総務部門が把握していない資料がないか、閲覧権限が必要以上に広く設定されていないかを確認できます。
4-2 手順②｜情報ごとに取扱方法と判断権限を決める
洗い出した情報ごとに、利用目的、管理責任者、閲覧できる役職や部署、社内共有・社外提供の条件を決めます。あわせて、利用目的の範囲を超えて使用する場合や、外部から情報提供を求められた場合に、誰が可否を判断するのかも明確にしておきます。
「どの情報を、誰が、どのような場面で扱えるか」を一覧にまとめ、担当者によって判断が分かれないよう、具体的な利用場面を想定して会社としての取扱方針を整理します。
4-3 手順③｜取扱方針を規程と社内手続に落とし込む
4-2で決めた取扱方針をもとに、従業員情報の管理規程を作成します。規程には会社全体に共通する基本ルールを定めたうえで、情報を社外へ提供する場合の申請・承認方法や、情報を持ち出す場合の手続など、実務上必要な対応も明確にします。
基本事項は規程に定め、日常業務で使用する申請方法や確認手順はマニュアルや申請書に分けると、担当者が利用しやすく、手続の変更にも対応しやすくなります。
4-4 手順④｜規程に合わせて実際の管理方法を変更する
規程を整備した後は、人事システムや共有フォルダのアクセス権限、紙資料の保管場所、メールや外部記録媒体でのデータの取扱方法を見直します。あわせて、人事担当者や管理職に対応手順を周知し、判断に迷った場合の相談先も明確にしておきます。
運用開始後も、人事異動、システムの変更、委託先の追加などに応じて、権限設定や社内手続を点検します。規程と実際の取扱いにずれが生じていないか、定期的に見直すことが重要です。
第5章 従業員情報の管理に迷ったら専門家に相談を
従業員の個人情報は日常の人事・労務業務の中で継続的に取り扱われます。近年は、個人情報を適切に管理する姿勢が、法令遵守にとどまらず、従業員や取引先から見た企業のコンプライアンス体制や信頼性への評価にもつながっています。管理方法が曖昧なままでは、情報漏洩だけでなく、不必要な利用や共有によって、従業員との信頼関係を損なうおそれもあります。
もっとも、会社が保有する情報を洗い出し、利用目的や閲覧範囲を整理したうえで、規程や実際の運用に反映することは容易ではありません。特に、健康情報やハラスメント相談の記録などは、個人情報保護法だけでなく、労働法令や実際の人事労務管理も踏まえて取り扱う必要があります。
どの情報を誰まで共有してよいのか、本人の同意が必要なのか、委託や共同利用として整理できるのかなど、判断に迷う場面では、個別の事情に応じた検討が必要です。
Nexill&Partners（ネクシル＆パートナーズ）グループでは、弁護士と社会保険労務士が連携し、従業員情報の取扱方針の整理から、規程・社内手続の作成、実際の人事労務の実際の運用への反映まで対応しています。従業員の個人情報に関する社内ルールの整備や見直しにお悩みの場合は、お気軽にご相談ください。