2005422

NPO法人情報公開クリアリングハウス

三木 由希子

個人情報保護法施行を受けての動き

1 個人情報保護法の施行

1         200541日に全面施行

2         「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」

3         「雇用管理に関する個人情報の適正な取扱いを確保するために事業者が講ずべき措置に関する指針」の施行

4         「個人情報の適正な取扱いを確保するために労働組合が講ずべき措置に関する指針」の施行

5         「雇用管理に関する個人情報のうち健康情報を取り扱うに当たっての留意事項」

2 個人情報保護法と指針

1)個人情報保護法の概要

2         5000件以上の個人データを含む個人情報データベースを持つ事業者を「個人情報取扱事業者」として規制

3         「個人情報」とは「生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述により特定の個人を識別することができるもの(他の情報と照合することができ、それにより特定の個人を識別することができることとなるものも含む。)」(法21項)

4         個人情報取扱事業者の義務

個人情報の取扱いにあたって利用目的をできる限り特定しなければならない

利用目的の変更は、変更前と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない

本人の同意無しに利用目的の達成に必要な範囲を超えての取扱いの原則禁止

偽りその他不正の手段による個人情報の取得の禁止

取得した個人情報の利用目的の本人への通知、公表義務

データの正確性の確保の努力義務、安全管理措置を講ずる義務

個人データの取り扱いを委託する場合の委託先の監督

本人同意無しの第三者提供の原則禁止

保有個人データについて、個人情報取扱事業者の氏名・称、利用目的、開示請求等の手続などの公表義務

開示請求、訂正請求、利用停止請求に応じる義務とその手続

個人情報取扱いに関する苦情への適切・    かつ迅速な対応の努力義務

    適切な個人情報の取扱い等に関する主務大臣の報告の聴取、助言、勧告、命令に応じる義務

罰則」
…@主務大臣による命令・勧告に従わない者への懲役又は罰金、A主務大臣の報告の求めに応じないあるいは虚偽の報告をした者への罰金、B @、Aの違反行為を行った者のほか法人等への罰金、C認定個人情報保護団体で廃止届を出さない場合、認定個人情報保護団体ではないのに名乗った場合の過料

2)指針

個人情報保護法第8条を根拠に各省庁が作成

「国は、地方公共団体が策定し、又は実施する個人情報の保護に関する施策及び国民又は事業者等が個人情報の適正な取扱いの確保に関して行う活動を支援するため、情報の提供、事業者等が講ずべき措置の適切かつ有効な実施を図るための指針の策定その他必要な措置を講ずるものとする」

経済産業界全般に関するガイドラインは「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」

厚生労働省の策定した指? 針で労務、労働組合に関連するのは以下のもの

2         「雇用管理に関する個人情報の適正な取扱いを確保するために事業者が講ずべき措置に関する指針」

3       「個人情報の適正な取扱いを確保するために労働組合が講ずべき措置に関する指針」

4        関連で「雇用管理に関する個人情報のうち健康情報を取り扱うに当たっての留意事項」がある

業態、個人情報の性質などの分野ごとに策定されている指? 針は20にのぼる

3 就業規則、誓約書等との関係

1)個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン

2 個人情報取扱事業者の義務等

3)個人情報データの管理

2)安全管理措置(法第20条関連)

20

 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人のデータの安全管理のために必要かつ適切な措置を講じなければならない。

 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のため、組織的、人的、物理的及び技術的な安全管理措置を講じなければならない(括弧書略)。その際、本人の個人データが漏えい、滅失又はき損等を市た場合の本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱状況等に起因するリスクに応じ、必要かつ適切な措置を講じるものとする。なお、その際には、個人データを記録した媒体の性質に応じた安全管理措置を講じることが望ましい。

(略)

人的安全管理措置

 人的安全管理措置とは、従業者に対する、業務上秘密と指定された個人データの非開示契約の締結や教育・訓練等を行うことをいう。

【人的安全管理措置として講じなければならない事項】

@雇用契約時及び委託契約時における非開示契約の締結

A従業者に対する教育・訓練の実施

 なお、管理者が定めた規定等を守るよう監督することについては、法第21条を参照。

【各項目について講じることが望まれる事項】

@雇用契約時及び委託契約時における非開示契約の締結をする上で望まれる事項

従業者の採用時又は委託契約時における非開示契約の締結

※雇用契約又は委託契約等における非開示条項は、契約終了後も一定期間有効であることは望ましい

非開示契約に違反した場合の措置に関する規程の整備

※個人データを取り扱う従業者ではないが、個人データを保有する建物等に立ち入る可能性がある者、個人データを取り扱う情報システムにアクセスする可能性がある者についてもアクセス可能な関係者の範囲及びアクセス条件について契約書等に明記することが望ましい。なお、個人データを取り扱う従業者以外の者には、情報システムの開発・保守関係者、清掃担当者、警備員等が含まれる。

A従業者に対する周知・教育・訓練を実施する上で望まれる事項

個人データ及び情報システムの安全管理に関する従業者の役割及び責任を定めた内部規程等についての周知

個人データ及び情報システムの安全管理に関する従業者の役割及び責任についての教育・訓練の実施

従業者に対する必要かつ適切? な教育・訓練が実施されていることの確認

(略)

2)従業者の監督(法第21条関連)

法第21

 個人取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

 

 

 個人取扱事業者は、法第20条に基づく安全管理措置を遵守させるよう、従業者に対し必要かつ適切な監督をしなければならない(括弧書略)。その際、本人の個人データが漏えい、滅失又はき損等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の性質及び個人データの取扱状況等に起因するリスクに応じ、必要かつ適切な措置を講じるものとする。

 なお、「従業者」とは、個人取扱事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者をいい、雇用関係にある従業員(正社員、契約社員、嘱託職員、パート社員、アルバイト社員等)のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。

 

(略)

 

【従業者のモニタリングを実施する上での留意点】

 個人データ取扱いに関する従業者及び委託先の監督、その他安全管理措置の一環として従業者を対象とするビデオ及びオンラインによるモニタリング(以下「モニタリング」という。)を実施する場合は、次の点に留意する。

 その際、雇用管理に関する個人情報の取扱いに関する重要事項を定めるときは、あらかじめ労働組合等に通知し、必要に応じて、協議を行うことが望ましい。また、その重要事項を定めたときは、労働者等に周知することが望ましい。

 なお、本ガイドライン及び雇用管理に関する個人情報の適正な取扱いを確保するために事業者が講ずべき措置に関する指針第三 九(一)に規定する雇用管理に関する個人情報の取扱いに関する重要事項とは、モニタリングに関する事項等をいう。

?0 モニタリングの目的、すなわち取得する個人情報の利用目的をあらかじめ特定し、社内規程に定めるとともに、従業者に明示すること。

?1 モニタリングの実施に関する責任者とその権限を定めること。

?2 モニタリングを実施する場合には、あらかじめモニタリングの実施について定めた社内規程案を策定するものとし、事前に社内に徹底すること。

?3 モニタリングの実施状況については、適正に行われるか監査又は確認を行うこと。

 

 

2)雇用管理に関する個人情報の適正な取扱いを確保するために事業者が講ずべき措置に関する指針

 

第三 事業者が講ずべき措置の適切かつ有効な実施を図るための指針となるべき事項

一 法第十五条に規定する利用目的の特定に関する事項事業者は利用目的の特定に当たっては、単に抽象的、一般的に特定するのではなく、労働者等本人が、取得された当該本人の個人情報が利用された結果が合理的に想定できる程度に、具体的、個別的に特定すること。

二 法第十六条及び法第二十三条第一項に規定する本人の同意に関する事項事業者が労働者等本人の同意を得るに当たっては、当該本人に当該個人情報の利用目的を通知し、又は公表した上で、当該本人が口頭、書面等により当該個人情報の取扱いについて承諾する意思表示を行うことが望ましいこと。

三 法第二十条に規定する安全管理措置及び法第二十一条に規定する従業者の監督に関する事項

事業者は、雇用管理に関する個人データの安全管理のために次に掲げる措置を講ずるように努めるものとすること。

(一)雇用管理に関する個人データを取り扱う従業者及びその権限を明確にした上で、その業務を行わせること。

(二)雇用管理に関する個人データは、その取扱いについての権限を与えられた者のみが業務の遂行上必要な限りにおいて取り扱うこと。

(三)雇用管理に関する個人データを取り扱う者は、業務上知り得た個人データの内容をみだりに第三者に知らせ、又は不当な目的に使用してはならないこと。その業務に係る職を退いた後も同様とすること。

(四)雇用管理に関する個人データの取扱いの管理に関する事項を行わせるため、当該事項を行うために必要な知識及び経験を有していると認められる者のうちから個人データ管理責任者を選任すること。

(五)雇用管理に関する個人データ管理責任者及び個人データを取り扱う従業者に対し、その責務の重要性を認識させ、具体的な個人データの保護措置に習熟させるため、必要な教育及び研修を行うこと。

四 (略)

五 法第二十三条に規定する第三者提供に関する事項

事業者は、雇用管理に関する個人データの第三者への提供(法第二十三条第一項第一号から第四号までに該当する場合を除く。)に当たって、次に掲げる事項に留意するものとすること。

(一)提供先において、その従業者に対し当該個人データの取扱いを通じて知り得た個人情報を漏らし、又は盗用してはならないこととされていること。

(二)当該個人データの再提供を行うに当たっては、あらかじめ文書をもって事業者の了承を得ること。但し、当該再提供が、法第二十三条第一項第一号から第四号までに該当する場合を除く。

(三)提供先における保管期間等を明確化すること。

(四)利用目的達成後の個人データの返却又は提供先における破棄若しくは削除が適切かつ確実になされること。

(五)提供先における個人データの複写及び複製(安全管理上必要なバックアップを目的とするものを除く。)を禁止すること。

六 法第二十五条第一項に規定する保有個人データの開示に関する事項

事業者は、あらかじめ、労働組合等と必要に応じ協議した上で、労働者等本人から開示を求められた保有個人データについて、その全部又は一部を開示することによりその業務の適正な実施に著しい支障を及ぼすおそれがある場合に該当するとして非開示とすることが想定される保有個人データの開示に関する事項を定め、労働者等に周知させるための措置を講ずるよう努めなければならないこと。

七 法第二十九条第二項に規定する本人の利便を考慮した適切な措置に関する事項

事業者は、労働者等からの雇用管理に関する個人データの開示等の求めができるだけ円滑に行われるよう、閲覧の場所及び時間等について十分配慮すること。

八 法第三十一条に規定する苦情の処理に関する事項

事業者は、雇用管理に関する個人情報の取扱いに関する苦情の適切かつ迅速な処理を行うため苦情及び相談を受け付けるための窓口の明確化等必要な体制の整備に努めること。

九 その他事業主等が雇用管理に関する個人情報の適切な取扱いを確保するための措置を行うに当たって配慮すべき事項

(一)事業者は、六に定める保有個人データの開示に関する事項その他雇用管理に関する個人情報の取扱いに関する重要事項を定めるときは、あらかじめ労働組合等に通知し、必要に応じて、協議を行うことが望ましいものであること。

(二)事業者は、九の(一)の重要事項を定めたときは、労働者等に周知することが望ましいものであること。

 

3)個人情報取扱事業者として必要な措置

1         安全管理措置を講ずる一環として、業務上の秘密とされた個人データの非開示契約と、従業員に対する教育・訓練等の実施

2         従業者の監督をするために必要な措置を講ずる(労働組合等との協議をすることが望ましいとされる)

3         雇用管理のために従業員から収集する個人情報の利用目的の明示と同意、個人データの取扱いを一部委託することへの同意など

個人情報保護法の施行に関連して就業規則の改定、誓約書の中で

一般的に求められる事項

 

4 労働組合の個人情報保護指針

1         5000人以上の個人データを保有している場合は、個人情報取扱事業者とみなされ、事業者と同じ法的義務が課される

2         指針は、労働組合の個人情報の保護に関する方針等に関する宣言を定め、公表することが望ましいとされる(宣言には、取得した個人情報を目的外に利用しないこと、苦情処理に適切に取り組むことを定めることが望ましいとする)

3         個人情報取扱事業者に該当しない労働組合に対しても、法と指針に準じて個人情報を適正に取り扱うことが望ましい

 

5 個人情報保護法の施行前と施行後

1         個人情報の利用目的、本人同意の範囲をめぐり若干の混乱

2         利用目的、目的外利用・第三者提供に対する本人同意の取り方

3         個人情報取扱事業者が法で求められている対応を行っていない場合、問題が発生した場合厳しく責任を問われることになる

4         個人情報の本人の自己責任

 

6 罰則追加の動向

与党が民間企業の従業員による情報漏えいに対する罰則規定を設ける個人情報保護法改正を議員立法で行うために準備中

 

トップページ/目次/サイトマップ/労働相談ページ