【Q＆A】コロナ陽性は個人情報？「個人情報保護法」の具体的な疑問に弁護士が回答

2022年4月、個人情報保護法が改正されました。ご自身の企業ではしっかりと対応できているでしょうか？　何を守るための法律なのか、企業が求められる義務とは何なのか、経営者として把握しているでしょうか？

『経営ノウハウの泉』では中小企業経営者向けウェビナーを開催。日比谷タックス＆ロー弁護士法人 堀田陽平先生にご登壇いただき、個人情報保護法の内容を改めて整理していただきました。

ここでは、その模様を4回に分けて連載していきます。本記事では第4回（最終回）として、ウェビナーに寄せられた質問と回答を掲載します。

第1回：今さら聞けない個人情報の定義・概念
第2回：個人情報保護法の基礎
第3回：個人情報保護法違反のリスクと漏洩事例
第4回：ウェビナーに寄せられた質問と回答

【資料動画のダウンロードはこちらから】
※第1~4回のどの記事からでも全編の動画の閲覧URL・資料DLが可能

【登壇者】

出典: 経営ノウハウの泉

堀田 陽平（ほった ようへい）
日比谷タックス＆ロー弁護士法人

2020年9月まで、経産省産業人材政策室で、兼業・副業、テレワーク等の柔軟な働き方の推進、フリーランス活躍、HRテクノロジーの普及、日本型雇用慣行の変革（人材版伊藤レポート）等の働き方に関する政策立案に従事。「働き方改革はどうすればいいのか？」という疑問に対するアドバイスや、主に企業側に対して労務、人事トラブルへのアドバイスを行っている。日経COMEMOキーオピニオンリーダとして働き方に関する知見を発信。著書「Q＆A　企業における多様な働き方と人事の法務」（新日本法規出版）など多数。

ウェビナーに寄せられた質問と回答

Q：個人情報の利用目的を文書化する際、何を参考にすればよいか。

個人情報の利用目的を文書化にするにあたって参考になるホームページや例文があれば知りたい。

A：まず、個人情報保護委員会がWebページに掲出している個人情報のガイドラインが参考になると思います。もう1つは、さまざまな企業が自社のWebページで公表しているプライバシーポリシーです。特に大企業のプライバシーポリシーを参考にしていただくといいかもしれません。全部が全部マネできるわけではありませんが、中小企業においても、特に利用目的については参考できるところがあると思います。

【参考】「個人情報取扱事業者等に係るガイドライン・Q&A等」 / 個人情報保護委員会

出典: beauty-box / PIXTA(ピクスタ)

Q：個人情報の保護、管理に係る社内規程としてどの範囲まで定めたらいい？

A：一般的には、“個人情報取扱規程”として就業規則の付随規定に入れられていることが多いように思います。個人情報保護法は会社に対して課されているもので、社内における会社と従業員との関係に直ちに課されているわけではないですが、社内規定として会社と従業員の間でも「法に触れることはダメだよ」と明記しておかなければなりません。また、組織的な管理体制も必要なので、個人情報を扱う管理者を決め、その権限も明確にし、個人情報取扱規程に入れておきます。もう1つ重要なのは、漏洩のリスクが最も怖いので、個人情報が入ったストレージやパソコンを持ち歩かないという規定を入れておくことです。さらに、規定に反した場合、懲戒処分の対象になるということや、損害が発生した場合に損害賠償の対象になるということも明記しておく必要があるでしょう。

Q：個人情報を扱う際に最低限対応しておくべきこととは？

プライバシーポリシーの掲示、就業規則への記載以外に、ほかに最低限これだけは対応しておくべきということは？

A：個人情報の管理を第三者に委託している場合、委託契約で個人情報管理がどのようにされているのかという報告を受けたり、調査ができたりする権限があるかどうかを確認しておくべきです。必要あれば契約をまき直すべきでしょう。ほかには、従業員に対して個人情報を漏洩しないという秘密保持の誓約書をきちんと書かせておくことも重要です。特に個人情報に触れるような部署にいる従業員に対しては重要でしょう。

Q：個人情報保護法について社内研修する上でのポイントは？

出典: tabiphoto / PIXTA(ピクスタ)

A：就業規則に書くべき内容を通達するほか、今回のセミナーで解説したような、「個人情報はこういうものでこういうことをしてはダメ」という基礎的な情報を勉強してもらうのがまずはスタート地点だと思います。

Q：新型コロナウイルスの陽性情報は事前同意が必要？

病院内でクラスターが発生したとき、陽性者と同室におられる患者さまに事情説明をする場合、 陽性者の情報（同室者なので個人の特定は容易、感染の事実は要配慮個人情報）を同室者やその家族等の第三者に提供する場合、どこまでの事前同意が必要ですか？

A：“人の生命や身体または財産の保護のために必要がある場合”に該当するケースと思われるので、同意は不要かと思います。なお、新型コロナウイルス禍における対応については、個人情報保護委員会がガイドラインを掲出していますので、参考にしてください。

【参考】「新型コロナウイルス感染症の拡大防止を目的とした個人データの取扱いについて」 / 個人情報保護委員会

Q：「保有個人データ」の具体例は？

A：第1回で触れた“保有個人データ”の具体例としてまず挙げられるのは“名刺”です。まず、1枚の名刺は“個人情報”に該当します。名刺をデータ化してパソコンなどで検索できるようにしているのが“個人情報データベース”です。名刺をファイリングして五十音順に並べるだけでも検索が容易になるので、個人情報データベースに該当します。しかし、名刺が机にばら撒かれている状態であれば、それは個人情報ではあるけれども個人情報データベースを構成していないので、個人データにはならず、保有個人データであるというわけです。

Q：個人番号はメールで回収しても問題ない？適切な回収方法は？

新入社員やアルバイトに提出してもらう個人番号の適切な回収方法は？メールに添付してもよいのか？

A：メールに添付しても大丈夫です。しかし、誤送信に備えてパスワードをかけるといったことも必要になるでしょう。郵送で送ることも多いですが、誤配送というリスクもあります。

出典: C-geo / PIXTA(ピクスタ)

Q：個人情報の利用目的などは、書面でなくてもWebサイトに書いてあればいい？

A：Webサイトの記載で問題ありません。一般的にはプライバシーポリシーとして個人情報の利用目的の掲載があれば問題ないでしょう。ただ、利用目的はできるだけ具体的である必要があり、自分の個人情報が何に使われるのかを予見できるようにある程度特定しなければなりません。「事業活動に使う」「マーケティングに使う」というような不明瞭な説明では不十分とされます。個人情報保護委員会が特定している例だと、「マーケティングに使う」の場合は「事業における商品の発送やアフターサービス、新商品の情報提供のために個人情報を利用します」というぐらい具体的に書く必要があるということです。また、特殊ではありますが、“インハウス情報”と呼ばれる従業員情報も、個人情報に該当します。そのため、インハウス情報については就業規則の中にその利用目的を書くことが多いようです。

Q：過去の従業員の情報は、いつまで保存すればいい？

A：前述したように、従業員の情報も個人情報に該当します。そして利用目的を達した個人情報は、消去する努力義務が課されています。そのため、従業員が退職して利用目的がなくなった場合は、削除していいことにはなっています。ただ従業員情報は労働基準法に沿った帳簿義務がありますから、そちらの保存義務に則った期間で保存していくべきでしょう。ですから、労働基準法で規定された保存期間を過ぎれば、従業員情報は削除すべきです。ただ最近よくある話なのですが、過去に辞めた従業員に再就職の声がけをしたとき「まだ私の個人情報を持ってるの？　削除してください」と言われるケースがありますのでその点は要注意です。もし辞めた人に声をかけるために個人情報を利用するのであれば、利用目的にその旨が書かれていないといけません。

Q：中小企業で大きな裁判になった例はある？

A：今の時点で中小企業での大きな事例はないようですが、中小企業でも個人情報を持っている企業であれば、個人情報保護法は適用されます。大事にならないからといってあまり雑に対応しない方が賢明だと思います。

4回にわたって個人情報保護法について解説してきました。中小企業であっても、個人情報保護法に従わないという選択肢はもはやありえません。個人情報についてしっかり理解するとともに、個人情報保護法についても確実に遵守していく姿勢が必要です。未対策の企業は、この記事をきっかけに再考していただきたいものです。

*Yokohama Photo Base、beauty-box、tabiphoto、C-geo / PIXTA(ピクスタ)

【エクセル版チェックシートも】はじめてのオフィス移転お役立ちマニュアル