前回は、限られた手間とお金で守りを固める順番を書きました。今回は、守る対象そのもの、労務データの話です。事業所が持つ情報の中で、漏れたときにいちばん困るのはどれかを考えると、多くの場合、従業員の情報に行き着くのではないでしょうか。
先に、要点を三つ
- 労務データは、種類ごとに「誰が見られるか」を決めます。 マイナンバー、給与と口座、健康の情報は、重さも守り方も違います。
- 置き場所の数が、そのまま漏れる入口の数です。 紙、表計算のファイル、メールの添付、クラウド。同じ情報が何か所にあるかを数えます。
- 委託先との約束は、「始め」より「終わり」を書きます。 契約を終えたときに消すこと、消したことを知らせてもらうことです。
労務データの三つの顔
一つ目はマイナンバーです。 使い道が法律で限られており、漏えいしたときの国への報告も、通常の個人情報とは別の仕組みで定められています。不正な目的によるものや、一定の人数を超えるものなどは、報告と本人への通知が義務とされ、それに当たらない場合でも報告に努めることが求められています。
二つ目は給与と口座です。 金額そのものより、口座の情報が問題になります。個人情報保護委員会は、財産的な被害が生じるおそれのある漏えいを、報告の対象となる類型の一つに挙げています。給与明細のお知らせを装った偽メールが職場向けに出回った例もあります。口座の変更を「メール一本」では受け付けない、という決めごとは、労務の手続きの中でそのまま作れます。
三つ目は健康の情報です。 健康診断の結果や病歴は、法律上「要配慮個人情報」と呼ばれる、取り扱いに特に配慮が要る情報に当たるとされています。報告の対象となる事態は四つの類型で示されていて、人数の基準とは別に「この情報を含む場合」が一つの類型になっています。委員会の指針でも、従業員の健康診断の結果を含むデータの漏えいが例として挙がっています。ストレスチェックの結果や、休職の理由が書かれた書類も、同じ重さで扱うのが無理のない考え方ではないでしょうか。
置き場所を数える
労務データは、気づくと増えています。入社時の書類は紙で棚に、給与の計算は表計算のファイルに、年末調整の書類はメールの添付で届き、勤怠と給与はクラウドにもある。同じ従業員のマイナンバーが四か所に別々にある、ということも珍しくないと考えられます。
置き場所の一つひとつが入口です。紙の写しを取ったまま捨てていない、担当を外れた人のパソコンにファイルが残っている、メールの添付が受信箱にずっとある。まずは種類ごとに「どこに、誰が見られる形で、いつまで置くか」を書き出し、減らせるものから減らします。年末調整の時期は集めた書類が一時的に増えるので、終わったらどこに寄せ、どれを捨てるかまで決めておくと、翌年の手間も減ります。
委託先との約束は「終わり」を書く
給与計算や年末調整を外に頼んでいる事業所も多いと思います。社労士事務所も、その委託先の一つです。委員会の指針では、委託先で漏えいが起きた場合、原則として委託元と委託先の双方が報告の義務を負うとされています。預けた先で起きても、自社の話になるということです。
契約で確かめておきたいのは三つです。
- 再委託: さらに別の会社に預けることがあるか、その場合に知らせてもらえるか
- 事故時の連絡: 漏えいや停止が起きたとき、誰に、どのくらいの早さで連絡が来るか
- 終了時の削除: 契約を終えたとき、データを消し、消したことを知らせてもらえるか
第2回で見たとおり、委託を終えて2年以上たっても応募者のデータが残っていた例があります。始めるときの契約書は丁寧に読んでも、終わるときの条項までは目が届きにくいものです。
まとめ
- 種類で分ける: マイナンバー、給与と口座、健康の情報ごとに、見られる人を決める
- 数える: 同じ情報の置き場所を書き出し、減らせるものから減らす
- 終わりを書く: 委託契約に、事故時の連絡と終了時の削除を入れる
次回は、システムが止まった日の労務の話です。採用の入口の話(第2回)はこちら、守り方の順番(第4回)はこちらです。
ご相談は、当事務所の無料相談をご利用ください。
参考(一次情報)
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」(報告の対象となる四つの類型): https://www.ppc.go.jp/personalinfo/legal/leakAction/
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」(要配慮個人情報・委託先での漏えい): https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
- 個人情報保護委員会「特定個人情報の漏えい等事案が発生した場合の対応について」(概要資料): https://www.ppc.go.jp/files/pdf/roueitaiou_gaiyo.pdf
※本記事は一般的な情報提供であり、個別の法的助言やセキュリティ診断ではありません。記載した事実は2026年11月2日時点の公表内容で、今後の調査により変わることがあります。