個人情報保護法とは｜人事・経理の取得・委託・漏えい対応表

公開日: 2026年11月5日

文責: Masahiro Yasu（クリニック・EC事業の経営者／経理実務者）

会社の個人情報管理は、使い道を具体的に決め、利用目的の表示・通知の要否を確認し、必要な人と委託先に取扱いを絞ることが出発点です。漏えいのおそれが分かったときは、社内報告と被害の拡大防止を始め、報告・本人通知が必要な事態かを確認します。

個人情報保護法は顧客名簿だけの法律ではありません。応募者の履歴書、従業員の給与情報、取引先担当者の連絡先も、特定の生存する個人を識別できるなら個人情報です。この記事は民間企業の人事・経理で扱う情報に絞ります。

仕事別に確認する取扱義務

次の表は、個人情報を扱う民間企業の人事・経理業務の参照表です。個人データとは、政令の除外対象を除く個人情報データベース等を構成する個人情報です。法定の例外は後の節で確認します。

記録欄は社内管理の例です。この名前の帳票を作る義務があるという意味ではありません。既存の申請画面や管理簿で確認できれば、記録の重複を減らせます。

個人情報と個人データの違い

個人情報は情報の内容、個人データは整理・検索できる集合物との関係で区別します。自社の給与台帳・応募者管理表・アドレス帳を、氏名で検索できるよう体系化して管理する場合は、個人データを扱う例になります。

社内用に作る紙の従業員名簿も、氏名順に並べて索引を付けるなど、他人も容易に検索できるように体系化して管理する場合は、個人データを扱う例になります。反対に、未整理の書類だから個人情報でもなくなる、ということではありません。取得や利用目的のルールと、個人データの管理のルールを分けて確認します。

市販の電話帳などには、他の生存する個人の情報を加えず本来の用途に使うことなど、政令の要件を満たす場合の除外があります。自社で連絡履歴や評価を追記した名簿に、その除外をそのまま当てはめないようにします。

会社が小さいことだけで取扱義務がなくなるわけではありません。個人情報データベース等を事業に使う民間事業者は、事業規模や情報の性質に応じた安全管理を考えます。

利用目的を決め、取得方法に応じて伝える

「事業活動に利用する」ではなく、本人が使い道を想定できる程度に具体化します。例えば採用なら「採用選考、面接日程の連絡、選考結果の通知」、従業員情報なら「給与計算、社会保険・税務の手続き」のように、実際の業務に合わせて書きます。

これは記載例です。応募者情報を将来の採用案内にも使うなど、別の利用を予定するならその目的も検討します。第三者提供を予定する場合はその旨を、本人の行動・関心等を分析する場合はその取扱いを予測できる程度に、利用目的に示します。

利用目的の伝え方は取得方法で異なります。以下は通常の取扱いで、権利利益の保護などの例外は表の後にまとめます。

応募画面では入力前に目的を読めるようにし、紙なら記入用紙と一緒に示す方法が考えられます。ウェブサイトのどこかに方針を載せるだけで、本人への事前明示まで済んだと扱わないことが大切です。

主な例外：直接書面等の取得でも生命・身体・財産の保護に緊急に必要な場合は事前明示の例外です。取得状況から利用目的が明らかな場合などにも、通知等の例外があります。詳しい要件は通則編の利用目的の通知等の例外で確認します。

別の目的に使うときは、方針の書換えで済ませない

利用目的の変更は、変更前との関連性が合理的に認められる範囲に限られます。変更後の目的は、取得状況から目的が明白な場合などの例外を除き、本人への通知又は公表が必要です。その範囲を超える利用には、法令に基づく場合などの例外を除き、あらかじめ本人の同意が必要になります。

同意を得るためにメールや電話で連絡すること自体は、当初の目的に書かれていなくても目的外利用には当たりません。採用選考用の連絡先を別用途へ転用する前に、変更できる範囲か、同意が必要かを確認します。

健診結果などは取得の根拠も確認する

健康診断の結果や病歴は、特に配慮が必要な「要配慮個人情報」に当たります。取得には事前の本人同意を基本とする別のルールがありますが、法令に基づく取得などの例外があります。

例えば、労働安全衛生法に基づく健診で、実施機関から従業員の結果を取得する場合は、通則編が法令に基づく取得の例として示しています。健診結果を扱う場面で、同意書の有無だけを見るのではなく、取得の根拠と対象情報を確認します。

同意による結果を判断できる本人から、書面・口頭等で適正に直接取得する場合は、本人が情報を提供したことをもって取得への同意があったと解されます。同意の結果を判断する能力がない未成年者等の場合は、親権者や法定代理人等から同意を得る必要があります。また、提供元が取得・第三者提供に必要な同意を得ている場合、受領側が取得の同意を取り直す必要はありません。

健診を受けたという事実だけは、健診結果としての要配慮個人情報に当たりません。健診・診療等の業務と無関係な方法で知った身長・体温等も、この区分とは別です。ただし、特定の生存する個人を識別できる情報としての管理は残ります。

法令に基づく取得以外にも、取得同意の例外があります。その他の例外と詳しい要件は通則編「要配慮個人情報の取得」で確認します。

社内管理は権限・持出し・退職時までつなぐ

個人データの安全管理は、情報の性質や量、事業の規模などのリスクに応じて整えます。個人データとして扱う予定の、取得済み・取得予定の個人情報の漏えい防止も含まれます。

対策の実務例として、給与フォルダーを担当者に限定する、紙の名簿を施錠保管する、送信前に宛先と添付を照合する、異動・退職時にアクセス権を見直す、といった作業があります。情報システムではアクセス制御・認証・不正アクセス防止等も確認します。

従業者とは、組織内で会社の指揮監督を受けて業務に従事する者等で、役員や派遣社員等も含みます。個人データを取り扱わせる従業者には、必要かつ適切な監督・教育が必要です。誓約書を受け取るだけで終わらせず、取扱ルールに沿って運用されているかを確認します。

外部委託と第三者提供を分ける

利用目的の達成に必要な範囲で個人データの取扱いを委託する場合、委託先は委託業務の範囲内では第三者に該当しない扱いになります。委託先独自の営業利用まで許す仕組みではありません。

給与計算の委託を検討するなら、必要なデータ項目を先に絞ります。監督ができるからといって、業務と関係のない応募者情報や健康情報までまとめて渡す扱いにはしません。

個人データの取扱いを委託する会社には、委託先に対する必要かつ適切な監督義務があります。契約への具体的な安全管理内容の記載や定期監査等は、通則編が望ましい措置として示しています。確認方法は情報の内容・規模に応じて選び、訪問以外の合理的な方法も使えます。

委託元が独自に法定水準を超える対策をしていても、その上乗せ分まで委託先に法律上要求されるという意味ではありません。契約で求める事項と、法律上必要な水準を区別します。

委託等に当たらない第三者提供には、事前の本人同意を基本とするルールがあります。主な例外は法令に基づく提供等です。適法なオプトアウトの仕組みや、要件を満たす事業承継・共同利用もありますが、単に「関係会社」「業務提携先」と呼ぶだけでは扱いは決まりません。

この表は国内での通常の委託管理を対象にしています。外国にある事業者への提供は別の条件を確認する必要があるため、国内委託と同じ確認だけで進めず、個人情報保護委員会の外国提供に関する法令・ガイドラインも確認します。

漏えいのおそれが分かったら何をするか

「漏えい等」の対応では、外部流出に加え、誤廃棄や復元できない暗号化なども確認します。滅失・毀損の定義と、同じデータの別保管等の非該当例は、通則編「漏えい等の考え方」で確認します。

漏えいの確定を待たず、責任者への報告と被害の拡大防止を始めます。事実関係と原因、対象情報、影響範囲を調べ、再発防止策を検討・実施します。委員会等への報告と本人通知は、報告対象事態に該当するかを分けて確認します。

以下は、個人データの漏えい等が発生し、又は発生したおそれがある場合の報告対象です。高度な暗号化等、権利利益を保護するために必要な措置を講じたものは除かれます。不正行為の区分では、取得済み・取得予定で個人データとして扱う予定の個人情報も含みます。

報告の要否は人数だけで決めず、上の表の各区分と、除外・免除に当たるかを確認します。例えば、従業員の健診結果を含む個人データを誤送信した場合は、人数の基準だけで報告不要と判断しません。

報告対象事態を知った法人は、いずれかの部署が知った日を基準に期限を管理します。確報はその日を初日として土日祝も数え、末日が土日祝・年末年始閉庁日なら翌開庁日が期限です。以下は委員会への報告を示し、権限が委任されている場合は事業所管大臣へ報告します。

確報時に合理的な努力を尽くしても未判明の事項がある場合は、判明している内容を報告し、未判明の事項は判明次第追完します。速報時点で必要事項を報告できれば、速報と確報を兼ねることもできます。

報告対象事態では、委託元への法定通知による免除や、本人通知が困難な場合の権利利益を守るための代替措置を除き、本人へ状況に応じて速やかに通知する必要があります。本人に知らせるべき情報が全部そろうまで待つという意味ではありません。

委託先が報告義務を負う委託元へ、規則に従い把握済みの事項を速やかに通知した場合は、委託先の報告・本人通知義務が免除され、委託元が対応します。契約では、事故時の連絡先と、調査・報告・本人対応の分担を具体化しておくと確認しやすくなります。

保存義務と消去の努力義務を両立する

使う必要がなくなった個人データは遅滞なく消去する努力義務がありますが、法令に保存期間等の定めがある場合は別です。退職したから給与・労務の帳簿まで直ちに消す、保存義務があるから関係のない情報も残し続ける、のどちらにも寄せません。

人事・経理の管理簿には、情報の種類、利用目的、保存理由、保存期間、保管場所、削除方法を記す運用が考えられます。採用終了後の応募者情報と、法令で保存する従業員の帳簿を分けると、整理の判断がしやすくなります。

帳簿の記載事項・保存期間は賃金台帳と労働者名簿、電子取引の保存方法は電子帳簿保存法の保存用ツールで確認できます。これらの保存要件を満たすことと、閲覧権限や委託先を管理することは、両方必要な確認です。

よくある質問

小さな会社も個人情報保護法の対象ですか？

個人情報データベース等を事業に使う民間事業者なら対象になります。会社の規模だけで対象外にはなりません。安全管理措置は情報の性質や量、事業の規模などのリスクに応じて整えます。

応募フォームには同意チェックが必要ですか？

通常の個人情報の取得について、利用目的の事前明示と本人同意は別の確認です。本人から直接入力で取得する際は、目的が明白な場合等の例外を除き、事前に利用目的を明示します。要配慮個人情報の取得や目的外利用、第三者提供など、同意が問題となる場面は別に確認します。

給与計算を委託すれば管理は任せられますか？

委託元にも必要かつ適切な監督義務が残ります。個人データの取扱いを委託する場合は、委託先の選定、契約、取扱状況の把握を通じて確認します。委託先が再委託する場合の監督状況も確認の対象です。

漏えいは人数が少なければ報告不要ですか？

人数だけでは決まりません。個人データの漏えい等は、要配慮個人情報を含む場合、不正利用による財産的被害のおそれ、不正な目的の行為による場合も報告対象です。不正行為の区分では、個人データとして扱う予定の、取得済み・取得予定の個人情報も含みます。高度な暗号化等の保護措置による除外や、委託先の通知による免除も確認します。

担当者が先にそろえるもの

出典

• e-Gov法令検索「個人情報の保護に関する法律」定義、利用目的、取得、安全管理、委託先監督、漏えい等の報告、第三者提供
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
• 個人情報保護委員会「法令・ガイドライン等」

本稿は一般的な情報提供であり、個別の事案への回答ではありません。実際の取扱いは個人情報保護委員会の公表資料を確認し、必要に応じて弁護士などに相談してください。個別の税務・労務相談には応じられません。