個人情報保護法は2003年に成立し、2005年に全面施行されました。2017年の改正以降は、取り扱う件数が5,000件以下の事業者に対する従来の適用除外が廃止され、規模を問わず個人情報データベース等を事業に用いるすべての事業者に適用されます。所管は個人情報保護委員会です。従業員記録、履歴書、面接記録、給与データはいずれも同法上の個人情報に当たります。
人事の実務で特に重要なルールは3つあります。第一に、病歴、障害、健康診断結果、犯罪歴などを含む要配慮個人情報は、他の法令に基づく場合など限られた例外を除き、本人の同意なく取得できません。第二に、外国にある第三者へ個人データを提供するには、移転先の国の個人情報保護制度や移転先が講じる措置について情報提供を受けたうえでの本人の同意が必要です。ただし、EUや英国など日本と同等の水準にあると認められた国にある場合や、移転先が同等の措置を講じている場合はこの限りではありません。グループ内であっても、海外の親会社は別の第三者に当たります。第三に、2022年4月以降、要配慮個人情報、財産的被害のおそれ、不正の目的によるもの、または1,000人を超える漏えい等が発生した場合は、委員会に報告しなければなりません。速報は概ね3〜5日以内、確報は原則30日以内で、本人への通知も必要です。
国民一人ひとりに付番されるマイナンバーは、別のより厳格な法律で規律されています。
外資系企業にとってのポイント
- 本社に送られる情報を洗い出す。 グローバルHRIS、タレントレビュー、日本国外の給与計算ベンダーは、いずれも外国への提供に当たります。入社手続き書類で同意を取得するか、同等の保護を確保するデータ移転契約を結びましょう。
- 健康情報が落とし穴。 年1回の健康診断は義務ですが、その結果を地域の人事チームやグローバルのウェルネスベンダーに転送するには、明確な法的根拠が必要です。
- バックグラウンドチェックには注意が必要。 候補者の犯罪歴や病歴を取得するには、本人の同意と真の業務上の必要性が求められます。
- 漏えい時の対応を日本語で準備しておく。 速報の期限は短いため、誰が報告するのかを事前に決めておく必要があります。
出典
- 個人情報の保護に関する法律（平成15年法律第57号）、2017年5月30日および2022年4月1日施行の改正後、第20条、第26条、第28条。
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」および漏えい等の報告に関するガイダンス。