個人情報Q&A ⁽⁸¹⁾

個人情報保護法が施行されましたが、現在在職中の従業員から、新たに個人情報の取扱に関する誓約書や同意書を取得することは必要でしょうか。 個人情報保護法の施行に合わせて、各企業では従業員から個人情報の取扱に関する同意書や誓約書（以下単に「誓約書」といいます）を取得することが積極的に行われています。しかし個人情報保護法が要求しているのは、あくまでも「従業者に対する必要かつ適切な監督を行」うことです（同法24条）。そのため個人情報の取扱方法を教育したり、従業員の個人情報の取扱方法を定期的に確認していなければ、誓約書を取得していたとしても、法律を遵守していることにはなりません。逆に誓約書が無くても、実効性のある監督手段を実施しているのであれば、法令を遵守していることになります。結局、誓約書の取得は必須というわけではありません。 もっとも誓約書を書かせるという行為は、従業員の個人情報保護への意識を高める効果があります。監督の実効性を挙げるための一手段として位置づけるのがよいのではないでしょうか。 また他の企業から業務を受託する際には、従業員から誓約書を取得していることが条件とされることが多くなってきています。そのため契約を遵守するために誓約書の取得が必要となる場合があり注意が必要です。

従業員から秘密保持に関する誓約書を集める予定にしています。秘密保持契約書のような詳しい内容のものではないのですが、法的には効力があるものなのでしょうか。 従業員から徴収する秘密保持契約書には、通常は秘密保持義務や損害賠償義務が規定されています。もっとも労働契約上、従業員は当然に秘密保持義務を負っており、また、民法４１５条や７０９条により、情報を漏洩させた場合には、損害賠償義務を負うこととなります。そのため秘密保持契約書のこれらの規定は既存の法的義務を確認する性質がありますが、対象や範囲を明確にし、義務を認識していたことの証拠とする意味があります。また損害賠償額の予定や違約金条項を入れる場合もありますが、労働基準法16条が、労働契約の不履行について違約金や損害賠償額をあらかじめ定める契約を禁止しています。実際に発生した損害の賠償請求とは区別します。 もっとも日本人は一般的には律儀ですので、機密保持誓約書に署名すると、「情報を漏洩してはいけない」という意識がかなり高まります。そのため事実上情報漏洩防止の効果は高まるでしょう。 また、社外への持ち出し禁止や退職時の返却などの情報の安全のためのルールは、法的に必ずしも従業員が義務を負っているわけではありません。そこで誓約書雛形を会社側で作成する際には、これらの条項を盛り込むと効果のより高い誓約書となるでしょう。

一般的に購入して入手可能な名簿類を廃棄するときにもシュレッダー処理や溶解処理が必要でしょうか？ 個人情報について要求される安全管理の度合いは個人情報のセンシティブ性に応じて様々です。廃棄に際しても、個人情報の重要性に応じた処理が必要になります。購入可能な名簿にしても、個人情報保護法施行後に、本人の同意の下で編纂されて一般に発売されている名簿であれば、シュレッダーや溶解処理までは不要でしょう。一方、個人情報保護法施行前に編纂された名簿や、本人の知らないところで発売されてしまっている名簿（多くの紳士録・公務員名簿等が該当します）については、念のため安全な廃棄方法をとった方が望ましいでしょう。 ちなみに悩ましいのがＮＴＴのタウンページやハローページ（現在は配布停止）です。これらをシュレッダー処理や溶解処理していたらキリがありませんが、一般への流通度、普及度が高いため、個人情報保護法施行前に編纂されたものであっても、簡易な処分で問題ないと思われます。 現行制度では、公表済み・市販という事情だけで全ての情報が保護対象外になるわけではありません。施行令４条１項により個人情報データベース等から除かれる市販電話帳等と、顧客属性・書込みを加えた独自の名簿は分けます。安全管理の対象である個人データは、媒体や内容に応じ、復元できない方法で確実に廃棄する必要があります。

会社の従業員が個人情報を漏洩した場合には、その個人はどのような責任を負うのでしょうか？ まず民事上の責任として本人に対する損害賠償が必要となります。勤務先や委託元が本人に対して先に賠償している場合には、これらの勤務先や委託元からの求償を受けることになります。たとえば京都府宇治市の住民基本台帳データ漏洩事件では、情報を持ち出した大学院生やその所属企業が宇治市に対し４００万円の賠償をすることになりました。 一方、刑事上の責任ですが、故意に持ち出したのであれば、窃盗罪や業務上横領、不正競争防止法違反として、拘禁刑又は罰金が科されます。さくら銀行の派遣社員が個人情報を持ち出した事件では業務上横領罪が成立した例があります。 ただし、情報を故意に持ち出した場合に、挙げた全ての犯罪が自動的に成立するわけではありません。紙・媒体の持出し、営業秘密の要件、不正利益目的等の各罪の要件を確認します。現行の個人情報保護法179条は、業務上取り扱った個人情報データベース等を自己又は第三者の不正利益を図る目的で提供・盗用する行為を直接処罰します。損害賠償・会社からの求償も、故意過失、因果関係、責任分担等を踏まえて判断します。

個人情報の安全管理を行うため、業務上不要となった個人情報については廃棄したいと考えています。また顧客にこのことをアピールするため「お客様の個人情報は業務終了時に廃棄いたします」とお伝えする予定です。この伝え方で問題ありませんか。 個人情報の保護はもちろん大切ですが、他の法律の要求を遵守しなければ、これは別のコンプライアンス違反となってしまいます。そのため法定の保管年限が定められている文書については、まずこれを遵守することが第一です。 その場合、「お客様の個人情報を業務終了時に廃棄いたします。」と言ってしまうと、一部虚偽の事実を伝えてしまうことになり、また、不当表示となってしまうリスクもあります。そのため例えば、「お客様の個人情報については、法律で保管が義務づけられているものの他は、業務終了時に直ちに廃棄いたします。」などとして、一定の留保をして表示した方が良いでしょう。 現在の22条も、利用する必要がなくなった個人データを遅滞なく消去するよう努める義務を定めています。法定保存に加え、実際に必要な紛争対応等の保存も整理し、保存する情報・期間・管理方法を定めて、本人向けの説明と実際の運用を一致させます。廃棄を委託する場合は、確実に消去・廃棄されたかを確認します。