個人情報保護法と従業員監視

従業員のPC操作を記録すること自体が、直ちに違法となるわけではありません。ただし記録した情報は従業員の個人情報にあたるため、目的の決め方と伝え方によって適法性の評価が変わります。導入前に整理しておきたい論点を4つにまとめました。

従業員のPC操作ログは「個人情報」にあたる

氏名、社員番号、メールアドレスなどと結びついた操作履歴は、個人情報保護法上の個人情報に該当します。したがって、監視ソフトの導入は「個人情報を取り扱う仕組みを社内に置く」という判断でもあります。設備を入れる話としてだけでなく、個人情報の取扱いの話として検討する必要があります。

論点1: 利用目的の特定と通知・公表

個人情報は、利用目的をできるだけ特定したうえで取得し、その目的を本人に通知または公表しなければなりません。監視の場合、「業務時間中のPC利用状況の把握」「情報漏えいの防止」「稼働状況の管理」のように、目的を具体的な言葉で決めます。複数の目的があるなら、それぞれを書き出します。「業務改善のため」のような漠然とした表現は、後から範囲を広げたと見なされる原因になります。

論点2: 目的外利用の禁止

伝えた目的の範囲を超えて利用することは、原則として認められません。勤務状況の把握を目的として導入した画面記録を、本人に伝えないまま人事評価や懲戒の根拠に使うと、目的外利用として問題になります。評価に使う可能性があるなら、その旨を最初から利用目的に含めて伝えておく必要があります。

論点3: 必要最小限の範囲と社会的相当性

業務上必要な範囲を超えた監視は、社会的相当性を欠くと判断される可能性があります。私物端末の監視、勤務時間外の位置情報の取得、休憩時間の画面記録の常時取得などは、必要性の説明が難しくなります。記録する項目と時間帯を絞り、記録しない項目を明示しておくことが、結果として説明力を高めます。

論点4: 安全管理措置と保存期間

記録したデータの漏えいを防ぐ措置も求められます。管理画面にアクセスできる人を限定する、記録の保存期間を決めて自動削除する、持ち出し可能な形式を制限する、といった対応です。保存期間は「必要以上に長く持たない」が原則で、画面記録は14〜30日、ファイル操作は90〜180日程度を目安にすると説明しやすくなります。

あわせて確認したい社内の規程

就業規則に、業務上の必要性にもとづく監視を行う旨が書かれているか
個人情報保護方針（プライバシーポリシー）に監視の記載があるか
記録の閲覧権限、保存期間、削除の手順が文書化されているか
従業員からの訂正・苦情を受け付ける窓口が決まっているか

参考になる公的資料

厚生労働省「労働者の個人情報保護に関する行動指針」は、事業者が社内規程を整備する際のよりどころとして公表されています。個人情報保護委員会のFAQも、モニタリングに関する考え方を確認する際に参照できます。

よくある質問

従業員全員の同意を取れば問題ありませんか

同意は有効な手段のひとつですが、同意があれば何をしてもよいというものではありません。利用目的の特定と通知、必要最小限の範囲、安全管理措置は、同意の有無にかかわらず求められます。

就業規則に書けば、通知しなくてもよいですか

就業規則への記載は有効ですが、従業員が実際に目にする機会は限られます。書面の配布や説明会など、別の手段を組み合わせて通知することが実務上は安全です。

海外の親会社の指示で導入する場合は

日本国内の事業者として、日本の法令に沿った取扱いが求められます。記録データを海外のサーバーへ移す場合は、個人情報の第三者提供や越境移転の論点も加わります。

退職者の記録はどう扱いますか

退職後は、必要な記録を除いて削除する運用が一般的です。引き継ぎや紛争対応で保管が必要な場合は、その目的と期間を決めておきます。