はじめに
以前の記事では、事業を行う上で顧客等の情報をデータベースで管理している以上、ほぼ全ての企業が個人情報取扱事業者としてプライバシーポリシーを用意する必要がある点について解説しました。
顧客向けのプライバシーポリシーは、アプリやWebサイト等で細かな情報が取得されることに対する一般の方の「気持ち悪さ」を低減し、目的を開示するための重要なツールです。
しかし、多くの企業が見落としがちなのが、「自社の従業員」に対する個人情報の取扱いです。従業員向けには、顧客向けとは全く異なる視点での手当が必要となります。
もっとも、基礎的な個人情報保護法に関するルールは以前説明したところが当てはまりますので、従業員特有の問題点をいくつかに絞って解説したいと思います。
「雇用管理分野における個人情報のうち健康情報を取り扱うに当たっての留意事項」
現在有効である雇用関連の個人情報取扱いに係るガイドライン等として、「雇用管理分野における個人情報のうち健康情報を取り扱うに当たっての留意事項」があります。これは、健康診断の結果等の健康情報の取扱いに関して記載するものとなります。
そこで定められているもののうち、特に重要である事項は、次のとおりです。
- 健康診断の結果等の健康情報は、要配慮個人情報に該当するか、又は要配慮個人情報と同等の取扱いが望ましい機微情報であること
- 健康情報の取扱いにおいて、本人に対する不利益な取扱い又は差別等につながらないよう特に配慮を要すること
たとえば、HIVやB型肝炎に関する取扱いへの配慮が必要なこと（「職場におけるエイズ問題に関するガイドラインについて」も参照）を想起すると分かりやすいかと思います。 - ストレスチェックを実施した医師等にその結果の提供を強要する又は従業員に同意を強要する等の不正の手段によって、ストレスチェックの結果を取得してはならないこと
- 健康診断を実施した医師等から健康情報を提供させるときは、従業員の健康確保に必要な範囲で利用されるよう、医師等に適切な加工をさせるといった措置を講ずること
- 個人のストレスチェック結果を取り扱い、ストレスチェックを実施する者は、従業員に周知されること
- ストレスチェックを受ける従業員の人事に関して直接の権限を持つ管理監督者に、従業員の同意なく、ストレスチェックの結果を取り扱わせてはならないこと
要配慮個人情報に関する個人情報保護法のルール
要配慮個人情報（本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実等の機微情報）については、通常の個人情報よりもその取扱いに厳格なルールが適用されます。最大の違いは、原則として取得する際に本人の事前同意が必要となる点であり、通常の個人情報のように事後的な利用目的の通知・公表だけでは適法に取得できません。また、第三者への提供においても、本人の同意を不要とする特例（オプトアウト方式）の利用が禁止されているため、通常とは異なる配慮が必要です。
その他の留意点
従業員の個人情報の取扱いにおける落とし穴を、個人情報のライフサイクル（取得、利用、保管及び消去）に照らして、いくつか説明します。
「取得」の段階
「どのような個人情報を従業員から取得しているか」が問題です。たとえば、少々古く、かつ、有効ではないガイドラインの付属文書ですが、「雇用管理分野における個人情報保護に関するガイドライン：事例集」を参照すると、次のような項目が従業員の個人情報となります。
- 労働者等の氏名
- 生年月日、連絡先（住所、居所、電話番号、メールアドレス等）、会社における職位又は所属に関する情報について、それらと労働者等の氏名を組み合わせた情報
- ビデオ等に記録された映像・音声情報のうち特定の労働者等が識別できるもの
- 特定の労働者等を識別できるメールアドレス情報（氏名及び所属する組織が併せて識別できるメールアドレス等）
- 特定の労働者等を識別できる情報が記述されていなくても、周知の情報を補って認識することにより特定の労働者等を識別できる情報
（注：「周知の情報」の具体的内容は個別の事案ごとに判断することとなるが、原則として、特段の調査をすることなく、世間一般の不特定多数の者が知っている情報を指す。） - 人事考課情報等の雇用管理に関する情報のうち、特定の労働者等を識別できる情報
- 職員録等で公にされている情報（労働者等の氏名等）
- 労働者等の家族関係に関する情報及びその家族についての個人情報
これらはあくまで例示ですが、特に近時では、従業員の行動をPCの操作ログを取得したり、GPSの位置情報を取得したりするケースもあると理解しています。これらは、相当なプライバシー侵害を伴うものなので、事前に取得情報として明示する（かつ、利用目的としてモニタリングを掲げる）べきです。
「利用」の段階
取得した個人情報を「どのように利用しているか」も問題です。特別な規律はないものの、人事分野では特に注意したいものとして、AIの利用があります。近年、AIの利用が急速に進み、人事評価等でAIを取り入れている企業も増加してきています。確かにAIは便利である側面、次のような危険性もあり、特に人事評価といった人の評価の場面では慎重になるべきと考えます。
- 事実誤認のリスク
人事評価は正しい事実に基づくべきですが、AIが考慮すべきでない事情を考慮してしまう、又はAIに入力すべき事情が不足して考慮すべきである事情を見過ごしてしまう可能性があり得ます。 - 評価基準の適用誤りのリスク
AIが用いるべき評価基準が正しいものを用いていない可能性があります。 - 差別のリスク
AIが学習したデータセット自体が偏りのあるものである場合（たとえば、男性が優良な評価を得ている。）、その偏りがAIを利用した人事評価にも反映される可能性があります。
少なくとも現時点のAIの能力を過信することはできません。下手にAIを使い、リスクが顕在化して従業員の不満・不信を買うことにならないか、リスクが顕在化せずともAIが評価していることそれ自体が不平不満に繋がらないか、従業員のモチベーション維持のためにも細心の注意が必要です。
「保管」「消去」の段階
従業員の個人情報のうち、法令において一定期間の保存が義務付けられるものがあります。労働者名簿や賃金台帳はその代表例です。プライバシー保護の観点からは不要となった個人情報は速やかに削除すべきですが、法定保存期間を守る必要があることには留意が必要です。
おわりに
顧客向けのプライバシーポリシーの整備は進んでいても、従業員向けの手当が後回しになっている中小企業も数多くあるという認識です。もっとも、一から自社のみでプライバシーポリシーを作成するのは非常に骨の折れる作業です。ひな形を参考にしつつ、自社の労務実態に即した従業員向けプライバシーポリシーを整備する必要があります。
ご不明点がある方は、ぜひ当事務所にご相談ください。実務に即した文章化をサポートいたします。
