会社が扱える個人情報の範囲とは？従業員情報の管理で注意すべきことを解説

従業員の氏名や住所、給与情報、健康診断の結果などは、会社が業務上扱う機会の多い情報です。一方で、扱い方や閲覧権限について迷う場面も少なくありません。個人情報の扱いを誤ると、従業員との信頼関係を損なうだけでなく、情報漏洩や法令違反につながる恐れがあります。本記事では、会社が扱える個人情報の範囲から、取得・利用時に必要な手続き、日常業務で起こりやすいミスの防止策まで、実務担当者が押さえておきたいポイントを分かりやすく解説します。

会社が扱うことができる個人情報の範囲

結論から言えば、会社は業務に必要な範囲であれば、従業員の幅広い個人情報を扱えます。重要なのは「持ってはいけない情報」を探すことよりも、適切な目的のもとで取得し、必要な人が、必要な期間だけ扱うことです。

そのうえで、まず「どの情報が個人情報に当たるのか」を理解することが、適切な管理の出発点になります。

どんな情報が「個人情報」に当たるか

個人情報とは、特定の個人を識別できる情報を指します。従業員に関するものには、次のような情報があります。

• 氏名・生年月日・住所・電話番号・メールアドレス
• 所属部署・職位・社員番号と氏名を組み合わせた情報
• 個人を識別できる会社用メールアドレス
• 人事評価や雇用管理に関する情報
• 給与・勤怠・休職・異動・退職に関する情報

「社内で共有している情報だから問題ない」「すでに公表されている情報だから個人情報ではない」と考えるのは危険です。会社が従業員に関する情報を扱う以上、業務に必要な範囲で取得し、適切に管理する意識が欠かせません。

職歴や評価情報はどう扱う？

職歴や人事評価の情報も、従業員の個人情報に含まれます。特に評価情報は、昇給や昇格、配置転換などに関わるため、取り扱いには慎重さが求められます。

例えば、人事評価の結果を関係のない部署に共有したり、退職者の評価情報を長期間誰でも見られる状態にしていたりすると、目的外利用や管理不備につながる恐れがあります。閲覧できる人は、人事部門や直属の上長など、業務上必要な範囲に限定することが基本です。

採用選考で取得した応募者の履歴書や職務経歴書も、個人情報に該当します。不採用となった応募者の情報を、本人の同意なく別の目的に使ったり、別部署に共有したりすることは避けなければなりません。

職歴や評価情報は、本人の将来や待遇に影響する情報です。必要な人だけが、必要な目的の範囲で扱うことを徹底しましょう。

本人の同意が必要な要配慮個人情報

個人情報の中でも、特に慎重な取り扱いが求められる情報を「要配慮個人情報」と呼びます。本人が不当な差別や偏見、不利益を受けないよう、通常の個人情報よりも厳重に管理する必要があります。

要配慮個人情報に該当する主なものは、以下の通りです。

• 人種、信条、社会的身分に関する情報
• 病歴、健康状態、障害の有無
• 犯罪歴や犯罪被害に関する情報
• 健康診断の結果や保健指導の内容

これらの情報は、原則として本人の同意なく取得できません。ただし、労働安全衛生法に基づく健康診断のように、法令に基づいて取得する場合は例外として扱われます。法令に基づくケースであっても、何のために取得し、誰が確認し、どのように管理するのかを明確にしておくことが大切です。

会社が個人情報を扱うために必要な手続き

会社が個人情報を扱う際は、取得して終わりではありません。取得時に利用目的を伝え、その範囲内で使い、必要に応じて本人の同意を得る必要があります。

ここでは、個人情報を扱う上で押さえておきたい基本的な手続きを整理します。

取得時に利用目的を本人へ伝える

個人情報を取得する際は、あらかじめ利用目的を本人に伝える、または公表する必要があります。入社時の書類や社内規定には、「何のためにその情報を取得するのか」を具体的に記載しておきましょう。

例えば、住所や緊急連絡先であれば「社会保険手続き、給与支払い、緊急時の連絡のため」といった目的が考えられます。健康診断の結果であれば、「安全衛生管理や就業上の配慮のため」と説明できます。

大切なのは、従業員が自分の情報の使われ方を理解できる表現にすることです。「人事管理のため」だけでは範囲が広すぎる場合もあるため、できるだけ具体的に記載しましょう。

利用目的の範囲内で個人情報を使う

個人情報は、取得時に示した利用目的の範囲内で使うことが原則です。目的を超えて利用する場合は、本人の同意が必要になることがあります。

例えば、給与振込のために取得した銀行口座情報を、本人の同意なく社内融資制度の審査など別の目的に使うと、目的外利用と判断される可能性があります。

新しいシステムを導入する場合や、取得済みの情報を別の業務に使いたい場合は、当初の利用目的の範囲に収まっているかを確認しましょう。判断に迷う場合は、利用目的を見直し、必要に応じて本人へ説明することが大切です。

第三者提供の同意要否を確認する

個人情報を外部の第三者に提供する場合は、原則として本人の事前同意が必要です。グループ会社への従業員情報の共有や、取引先への担当者情報の提供なども、内容によっては第三者提供に当たる可能性があります。

判断に迷う場合は、「提供先がその情報を自社の判断で使える状態になるか」を考えると分かりやすいでしょう。提供先が独自に利用できる場合は、第三者提供として同意が必要になる可能性があります。

外部委託時の監督責任を確認する

給与計算や社会保険手続き、健康診断の管理などを外部に委託する場合、会社には委託先を監督する責任があります。個人情報を渡した時点で、管理責任がなくなるわけではありません。

委託先との契約書には、情報の利用目的、管理方法、再委託の可否、漏洩時の報告義務、契約終了後のデータ削除などを明記しておきましょう。

また、契約時だけでなく、委託先が適切に管理しているかを定期的に確認することも大切です。「専門業者に任せているから大丈夫」と考えず、自社の個人情報を預けているという意識を持つ必要があります。

個人情報の扱いで起こりやすいミスの防止策

個人情報の漏洩は、大きなシステム障害だけで起こるものではありません。メールの宛先間違い、書類の置き忘れ、共有範囲の設定ミスなど、日常業務の小さなミスから発生することも多くあります。

ここでは、会社で起こりやすいミスと、その防止策を具体的に見ていきます。

住所録の一律共有を避ける

社内イベントや年賀状送付のために、従業員全員の住所録を一括で共有することは避けるべきです。本人が同意していない相手に住所を開示すると、目的外利用や不適切な共有に当たる可能性があります。

年賀状や案内を送る場合は、事前に「送付を希望するか」を確認し、同意した従業員の情報だけを使うようにしましょう。

また、メーリングリストや社内名簿への登録も同様です。住所や私用メールアドレス、個人の電話番号などを、本人の確認なく共有リストに入れないよう注意が必要です。

私用連絡先の無断開示を避ける

「急ぎの用件だから」といって、従業員の携帯番号や自宅電話番号を本人の同意なく上司や同僚に教えることは、個人情報の不適切な開示につながります。

業務上の連絡は、原則として社用メール、社用携帯、社内チャット、会社の代表番号などを通じて行うのが望ましいでしょう。

緊急連絡先を使う必要がある場合は、あらかじめ「どのような場合に、誰へ共有するのか」を明確にしておくことが大切です。緊急時だからといって、無制限に共有してよいわけではありません。

履歴書の目的外利用を防ぐ

応募者から取得した履歴書や職務経歴書は、採用選考という目的のために預かった情報です。選考終了後も保管する場合は、保管の目的と期間をあらかじめ決め、目的を終えた情報は速やかに廃棄するルールを設けましょう。次回の採用候補として活用したい場合は、その旨を応募時に明示し、本人の同意を得ておく必要があります。

採用活動では多くの個人情報を扱います。応募者情報を「採用に使うための情報」として限定的に扱い、不要になった情報を放置しないことが重要です。

メール誤送信や印刷ミスを減らす

個人情報漏洩の原因として多いのが、メールの誤送信や印刷物の置き忘れです。給与明細を別の従業員に送ってしまう、応募者情報を添付したメールを誤った宛先に送る、採用書類をプリンターに置いたままにする、といったミスは珍しくありません。

防止策として、以下のようなルールを設けると効果的です。

• 個人情報を含むメールは、送信前に宛先と添付ファイルを確認する
• 複数人に送る場合は、宛先欄やCC・BCCの使い方を確認する
• 個人情報を含む書類は、印刷後すぐに回収する
• 不要になった書類は、放置せず速やかにシュレッダーにかける

ミスを完全になくすことは難しいため、人の注意だけに頼らず、確認手順や運用ルールで防ぐことが大切です。

情報漏洩を防ぐ社内管理を整える

個人情報の漏洩は、一度発生すると会社の信用を大きく損ないます。従業員や取引先からの信頼を失うだけでなく、報告対応や再発防止策にも大きな負担がかかります。

だからこそ、問題が起きてから対応するのではなく、日頃から情報漏洩を防ぐための管理体制を整えておくことが重要です。

個人情報へアクセスできる人を限定する

取得した個人情報は、業務上必要な人だけがアクセスできるようにします。具体的には、「人事担当者は全従業員分」「各部署の管理職は自部署のメンバー分のみ」のように役割ごとに閲覧範囲を定め、人事異動や退職のたびに権限を見直す運用にしておくと安心です。

紙の書類についても、鍵のかかる書庫で保管し、持ち出しや閲覧のルールを決めておくと安心です。「誰でも見られる状態」をつくらないことが、内部漏洩を防ぐ第一歩です。

情報持ち出しの兆候を確認する

個人情報の漏洩は、外部からの攻撃だけでなく、内部からの持ち出しによって起こることもあります。例えば、退職予定者が大量の個人データをUSBメモリにコピーする、私用のクラウドストレージへファイルを送るといったケースです。

こうしたリスクに備えるには、ファイルのコピー・外部送信・USBメモリへの書き出しといった操作のログを記録し、「誰が・いつ・どのファイルを操作したか」を後から追えるようにしておくことが重要です。

また、ログを残しておくことは、万が一問題が起きた際の原因調査にも役立ちます。「監視している環境」を整えるだけでも、不正な持ち出しの抑止につながるでしょう。

漏洩時の報告手順を決める

情報漏洩が起きた場合に備えて、社内の報告手順を決めておくことが欠かせません。特に、要配慮個人情報の漏洩や、不正な目的による持ち出し、一定規模を超える漏洩などが起きた場合は、個人情報保護委員会への報告と本人への通知が法律で義務づけられています。

社内の初動フローには、この外部対応もあわせて組み込んでおく必要があります。事前に、社内対応フロー、連絡先一覧、報告書テンプレート、関係部署への共有手順などを整えておきましょう。

情報システム担当者がいなくても運用できる体制をつくる

中小企業では専任の情報システム担当者がおらず、総務や管理部門が、個人情報管理やPC管理を兼任しているケースも少なくありません。

それでも、個人情報の適切な管理は必要です。専門部署がなくても、ルールと仕組みを整えることで、無理なく続けられる体制をつくれます。

社内ルールをマニュアル化する

まず取り組みたいのが、個人情報の取り扱いルールを文書化することです。担当者の経験や記憶に頼っていると、担当者が変わったときに運用が崩れてしまいます。

マニュアルには、以下のような内容をまとめておくと実用的です。

• 取得できる個人情報の種類と利用目的
• アクセス権限の設定基準と変更手順
• 個人情報を含む書類やファイルの保管ルール
• 不要になった情報の削除・廃棄ルール
• 漏洩や紛失が起きた場合の初動対応フロー

最初から完璧なマニュアルを作る必要はありません。入社時、退職時、採用時、情報漏洩時など、ミスが起こりやすい場面から順に整備していきましょう。

個人情報の扱い方を社内で共有する

マニュアルを作っても、担当者しか内容を知らなければ意味がありません。個人情報は人事や総務だけでなく、現場の管理職や一般従業員も扱うことがあります。

入社時の研修で基本ルールを伝えるほか、年に一度程度、全従業員へ注意点を周知するとよいでしょう。メール誤送信、私用連絡先の共有、書類の置き忘れなど、身近な事例を交えて説明すると理解されやすくなります。

PC管理とログ管理で証跡を残す

個人情報を安全に管理するには、ルールだけでなく、実際の操作を確認できる仕組みも必要です。「いつ、誰が、どの情報にアクセスしたのか」を追える状態にしておくことで、不正アクセスや誤操作を後から確認できます。

また、業務PCに私有のUSBメモリを接続できないようにする、外部ストレージへの保存を制限するなど、シンプルな対策から始めることも有効です。

専門的な体制がなくても、PC管理とログ管理を組み合わせることで、個人情報の取り扱いを見える化できます。

会社が扱う個人情報の範囲を定め、情報漏洩リスクを減らす

個人情報の管理では、利用目的やアクセス権限を定めるだけでなく、実際にどのように扱われているかを確認できる状態にしておくことが重要です。特に、従業員情報をPCや共有フォルダで管理している場合、ファイル操作やUSBメモリへのコピー、Web上での操作などを把握できなければ、情報持ち出しの兆候に気づきにくくなります。

こうした課題に対応できるのが、クラウド型IT資産管理・ログ管理ツールの「Watchy（ウォッチー）」です。Watchyでは、PC情報の管理に加え、フォルダー監視、USBドライブ監視、Web操作監視などを行えます。

この記事で紹介した「情報持ち出しの兆候を確認する」「PC管理とログ管理で証跡を残す」といった対策も、Watchyを活用することで進めやすくなります。

個人情報の漏洩リスクを減らすには、ルール作りと併せて、実際の操作を見える化する仕組みが欠かせません。まずは自社の個人情報管理やPC管理の状況を見直し、必要な対策から段階的に整えていきましょう。

Watchy（ウォッチー） - クラウド型IT資産管理・ログ管理ツール