お客様ではなく「社員の個人情報」が漏えいしたら

1．社員の情報だから、社内処理だけで済むわけではない

PPCは、従業員に関する情報でも個人情報の定義に該当すれば、個人情報保護法の規律に従って扱う必要があると説明しています。社員が対象というだけで、漏えい等の報告・本人通知の検討から外れるわけではありません。［1］

被害の拡大防止、事実・影響範囲の確認、報告・通知の判断、問い合わせ対応という基本は顧客情報の事故と共通です。違うのは、会社が雇用主でもあり、人事評価や配置、健康情報の管理など、対象者と継続的な関係を持つことです。法的な責任の有無と、相談しやすい運用を整える仕事は分けて考えます。

給与計算や人事システムを外部へ委託していても、委託先の発表を社員へ転送するだけでは、自社の対象範囲や連絡先が分かりません。自社の保有・委託関係、対象情報、通知の主体を確認します。委託先事故の一般的な分担は関連記事で扱い、本記事では社員本人へどう戻すかに絞ります。

「社内で閲覧された」「社外へ持ち出された」という場所だけで、影響の大小を決めることも避けます。誰がどの権限で何を見たか、複製や外部提供があるか、本人にどのような影響が考えられるかを確認します。情報管理担当は報告対象への該当性を、法務等と個別に判断します。［2］

2．「社員情報一式」とせず、情報項目と本人を確かめる

ファイル名やシステム名ではなく、実際に含まれていた情報を整理します。同じ人事システムでも、社員ごとに保存項目が違うことがあります。対象者の人数、情報の件数、家族等の別の本人が含まれるかも分けます。

給与・評価・勤務の情報

給与額、賞与、評価、勤務記録等を区別する。情報の意味と閲覧範囲を確認し、全員に同じ項目が漏れたと説明しない。

健康・休職に関係する情報

病歴、健康診断結果、診療に関する情報等の有無を確認する。必要な範囲で産業保健の担当と連携し、受付で病状を聞き直しすぎない。

家族・扶養・住所・連絡先

社員本人だけでなく、家族本人の情報が含まれることがある。誰の情報か、誰へどのように説明するかを確認する。

振込先口座・認証情報等

口座情報、認証情報、利用履歴等を区別する。悪用可能性や必要な案内を担当が判断し、窓口で一律に口座変更等を指示しない。

マイナンバー・関連書類

個人番号の有無、対象者、画像・記録の内容を分け、番号法上の報告等を別途確認する。番号そのものを通常の問い合わせ履歴に転記しない。

給与・評価・口座情報を、機密性が高いという理由だけですべて法令上の「要配慮個人情報」と呼びません。一方、病歴や健康診断結果などはその定義に該当するため、含まれる内容を個別に確認します。番号法の適用も、通常の個人データの基準と混同しないようにします。［2］［5］

健康確保措置等で得た心身の状態の情報には、厚生労働省の指針が目的、取扱者・権限、扱う範囲等を定めています。事故対応で情報をまとめる際も、健康情報の詳しい原資料と、通知・連絡に必要な情報を分ける設計が必要です。［3］

3．人事だけに抱え込ませず、判断と本人対応を分担する

人事担当は対象者や勤務状況を確認しやすい立場ですが、技術調査、報告要否、本人への説明、労務判断をすべて一人で引き受ける必要はありません。誰が何を確認し、誰が承認し、誰が本人へ伝えるかを整理します。

直属の上司は、業務の調整に関わる場合があっても、病歴や相談内容をすべて知る必要があるとは限りません。上司へ渡す連絡と、本人・専門担当の間で扱う詳細を分けます。会社として何を誰に共有するかを決め、窓口で「社内には誰にも伝えません」と実行できない秘密保持を約束しないようにします。

説明を担う人が事故の調査対象になっている場合などは、別の責任者・相談経路を置くことも検討します。これは原因や懲戒を先に決める話ではなく、本人が安心して申し出られ、調査と本人対応が互いを妨げないようにする運用案です。

4．休職・出向・退職予定で、連絡条件を変える

在籍者名簿に載っていても、同じ方法で連絡できるとは限りません。所属部署の一斉連絡だけで到達を判断せず、社内アカウントの利用、本人が受け取れる方法、異動・退職の日程を確かめます。

通常勤務・在宅勤務の社員

会社の連絡経路が使えるかを確認する。個人別の説明は、共有チャットや会議の参加者全員へ見える形にしない。

休職中の社員

社内メールを見られるとは限らない。既存の適切な連絡先や本人の希望を確認し、健康状態・家庭事情を上司や同僚へ広めない。

出向中の社員

どちらの会社がどの情報を保有しているか、連絡の主体と実行担当を確認する。出向先への共有範囲と本人への説明を、雇用関係の名称だけで決めない。

退職予定の社員

在籍中の説明と、退職後に残る照会をつなぐ。アカウント停止後の連絡方法、担当、未回答を引き継ぐ。退職予定だから対象から外さない。

退職済みの人・採用応募者への連絡や、派遣元・派遣先の分担は、それぞれ別の課題です。本記事では同じ名簿・窓口で一括処理せず、管理上の区分と確認担当を分けるところまでを扱います。

勤務状況を調べる際にも、事故対応に不要な休職理由や家庭事情を追加収集しないようにします。連絡できる条件と配慮事項を確認し、必要な詳しい判断は権限のある人事・労務・専門担当へ相談します。

5．社内一斉説明で、新たな開示を起こさない

全社員へ伝える概要と、対象となった本人へ伝える内容を分けます。一斉説明で対象者名簿、個人別の情報項目、給与や病歴を示すと、事故を説明するための資料が新たな開示の経路になります。

本人通知が必要な場合は、本人に認識される合理的で適切な方法による必要があります。全体メールを送った事実だけで通知完了とせず、個別の対象情報、説明内容、到達の見込みを確認します。本人ごとに漏えい等の情報項目が違う場合は、関係する内容を分ける点もPPCが示しています。［2］

社内説明会では、個別の質問を全員の前で詳しく答えないようにします。参加者名、録画、議事録、共有資料の閲覧範囲も確認します。「対象者はこちらの部屋へ」といった案内で対象者が推測されないかも、会場や配信の設計で点検します。

説明後に出た一般的な疑問はFAQへ反映できますが、個別相談の内容はそのまま公開しません。誰が尋ねたか分からない形にしただけでは、職位や経緯から特定される場合があります。共通化する内容と、個別の対応記録を分けます。

6．上司経由だけにせず、相談内容の取扱いも説明する

社内の通常連絡網は、事故の対象者が相談しやすい経路とは限りません。直属の上司を通さずに、限定された担当へ連絡できる方法を検討します。電話だけでなく、会社が承認したメール等の経路、利用できる時間、本人確認の方法を整えます。

一般的な不安や情報提供の受付と、個別の対象照合・保有情報の回答は分けます。匿名で寄せられた意見を受け止めることはできますが、個別の回答には所定の本人確認が必要です。相談者がどこまで分かるか、誰に共有されるか、連絡を希望しない場合に何ができないかも、正確に伝えます。

健康確保措置等で得た心身の状態の情報は、取扱目的や担当者・権限を明確にし、指針にある不利益な取扱いの防止も踏まえます。事故の相談記録を安易に人事評価へ回さず、本人対応の記録と評価資料のアクセスを区分する運用にします。これは、事故に関するすべての労務判断が一律に禁止されるという説明ではありません。［3］

窓口へ不要な病歴、家族情報、個人番号などが届いた場合は、さらに転送せず情報管理担当へ扱いを確認します。翻訳や要約を急いでも、未承認AIへ事故情報や個人情報を入力しない運用を守ります。［6］

7．本人への配慮と原因調査・労務判断を混ぜない

対象となった社員が、事故対応の担当者でもある場合があります。自分の被害への不安を抱えながら、他の対象者へ説明する負担が重ならないかを確認し、担当の交代や相談先を検討します。必要な支援は人事・労務、産業保健等へつなぎ、窓口で健康状態を診断しません。

労働契約法は使用者による労働者の安全への配慮を定めています。また、懲戒については、客観的に合理的な理由を欠き、社会通念上相当と認められない場合を無効とする規定があります。誰に原因があるか、処分が必要かを、未確認の話や相談への不満から決めないでください。［4］

本人への説明、被害の申告、原因調査の聴取、労務上の判断は、それぞれ目的と担当を分けます。質問した社員を問題のある人として扱ったり、情報管理への協力を求める際に外部の相談先まで一律に制限すると説明したりしない運用にします。個別の就業上の措置や費用負担は、権限者と専門家が確認します。

対応の完了は、説明会の開催ではなく、必要な通知、個別回答、未達・回答待ち、追加の配慮の扱いを確認して判断します。退職や部署異動が挟まる場合も、次の担当と連絡経路へつなぎます。日次報告では個人の病状等を広く載せず、受付番号、区分、残件、担当と期限を中心に集計します。

社員から寄せられた疑問は、共通化してよい部分を確認・承認し、説明資料やFAQへ戻します。相談しやすい経路と、答えが戻るまでの管理を両立してこそ、社内説明が一度きりで終わらない対応になります。

8．社員本人への対応で確認すること

社員を知っていることと、その人が安全に相談できることは別です。個人別の事情を守りながら、必要な説明、確認、回答を途切れさせない体制を整えます。

あわせて読みたい記事