何が問題になるか
場面
情報漏えいの疑いや、勤務中の私的なネット利用が気になり、社員の業務メールやPCの利用状況を確かめたいという相談があります。退職予定の社員が顧客データを持ち出していないか、確認したいという場面もあります。会社のアカウントや端末であっても、どこまで見てよいかは迷うところです。
法律の整理
会社の設備・アカウントの利用状況を業務目的で監視することは、就業規則等で目的・範囲を定めて周知していれば認められます。その際は、私的利用の禁止と併せて定めます。
一方で、目的外の閲覧や、必要性のない私的な内容への立入りは、プライバシー侵害になり得ます。閲覧は、定めた目的と範囲の中にとどめます。
また、個人情報保護法上、従業員の個人データの取扱いにも利用目的の特定が必要です。個人情報保護委員会のガイドライン（通則編）は、法人そのものの情報は個人情報に当たらないとしつつ、「役員、従業員等に関する情報は個人情報に該当する。」と明記しています。「個人に関する情報」は、「事実、判断、評価を表す全ての情報」とされています。メールアドレスも、どの会社に所属する誰のものか分かる場合は、個人情報に当たる事例として挙げられています。
利用目的の特定は、同じガイドラインで「利用目的の特定（法第17条第1項関係）」として整理されています。個人情報の保護に関する法律は、第3条で、「個人情報は、個人の人格尊重の理念の下に慎重に取り扱われるべきものであることに鑑み、その適正な取扱いが図られなければならない。」と定めています。
会社が備えること
確認すること
- 就業規則や情報管理の規程に、監視の目的と範囲が書かれているか
- その規程を社員に周知しているか
- 会社の設備・アカウントの私的利用を禁止する定めがあるか
- 確認する人と、閲覧の手順が決まっているか
- 社員の個人データについて、利用目的を特定しているか
目的と範囲を確認
対応
- 監視の目的（情報漏えいの防止、業務上の確認など）と範囲（メール、閲覧履歴、ファイル操作など）を就業規則等に書きます
- 会社の設備・アカウントの私的利用を禁止する定めを、同じ規程に置きます
- 規程を社員に周知し、周知した方法と時期を記録に残します
- 閲覧できる担当者と、閲覧の手順・記録の方法を決めます
- 利用状況の確認で得る情報も含めて、従業員の個人データの利用目的を特定します
規程が無いまま監視を始めている場合は、規程の整備と周知を先に行い、その後の運用を見直します。
規程を先に周知
ご相談で伺うこと
- 確認したい理由と、確認したいメール・PC・期間
- 現在の就業規則や情報管理の規程の内容
- 私的利用の禁止や監視について、社員に周知した方法
- 監視に使うツールと、閲覧できる担当者の範囲
- 従業員の個人情報について、利用目的をどう定めているか