個人情報の持ち出し｜条文にない言葉だから安全管理措置と報告で考える

「利用者さんの記録を家に持ち帰って書いた職員がいた」「USBメモリに入れて持ち出していたことが後から分かった」。法人本部や事業所の管理者から、こうした相談を伺うことがあります。そのたびに、「これは法律違反なのか」「罰則があるのか」「国に報告しないといけないのか」という3つの疑問が一度に出てきます。

この3つの疑問は、実は別々の条文に答えが分かれています。しかも、個人情報の保護に関する法律の本則を全文検索すると、「持ち出し」という言葉は1回も出てきません。この記事では、条文の原文をたどりながら、「持ち出し」の問題がどの条文のどの言葉に対応するのかを整理します。

先に結論

• 個人情報の保護に関する法律の本則に、「持ち出し」「持出」はいずれも0回です。「管理簿」「懲戒」「USB」「記録媒体」も0回でした。条文上の用語ではありません。
• 条文の側は、安全管理措置（第23条）、従業者の監督（第24条）、委託先の監督（第25条）、漏えい等の報告（第26条）、罰則（第179条）という形で書かれています。
• 第179条の罰則の要件は、個人情報データベース等を「自己若しくは第三者の不正な利益を図る目的で」提供し、又は盗用したときです。うっかり持ち帰った、自宅で記録を書いた、というだけでは、この条文の要件にそのまま当てはまるとは読めません。
• 福祉の現場で扱う利用者情報は、ほとんどが要配慮個人情報です。要配慮個人情報が含まれる個人データの漏えい等は、「発生したおそれがある」だけで、個人情報保護委員会への報告の対象になります。件数の下限はありません。
• 懲戒処分をするかどうか、就業規則をどう定めるかは、個人情報保護法の条文からは決まりません。この法律の条文は、懲戒を定めていません。
• 条文は「持ち出し管理簿」の様式も定めていません。ただ、誰が、何を、いつ持ち出し、いつ戻したかが後から説明できる記録があるかどうかは、安全管理措置と報告の判断の両方に効いてきます。

1. 「持ち出し」は条文の言葉ではない

最初に事実を確認します。個人情報の保護に関する法律の本則（e-Gov法令検索）で語を数えると、次のとおりでした。

「持ち出し」を禁止する条文や、「持ち出すときはこの手続をとること」と定めた条文は、法律の本則にはありません。では、持ち出しの問題は何も規制されていないのかというと、そうではありません。持ち出しは、次の4つの義務と1つの罰則の結果として問題になる行為です。

以下、順番に原文を確認します。

2. 第23条：安全管理措置

安全管理措置の条文は、次の1文です。

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

（個人情報保護法第23条）

この条文から読み取れることは3つあります。

① 義務を負うのは「個人情報取扱事業者」です。 職員個人ではなく、法人（事業者）が主語です。利用者さんの情報が台帳やシステムなどで検索できる形にまとまっていれば、社会福祉法人もこの対象になります。

② 目的は「漏えい、滅失又は毀損の防止」です。 「持ち出しの禁止」そのものが目的ではありません。持ち出しを許す場合でも、許さない場合でも、結果として個人データの漏えい、滅失、毀損が防げていればよい、という書き方です。

③ 措置の内容は「必要かつ適切な」としか書かれていません。 暗号化するのか、持ち出しを全面禁止にするのか、申請制にするのかは、条文は決めていません。具体的な手法については、個人情報保護委員会などが示すガイドラインに書かれています。本記事では、ガイドラインの中身は扱いません。

つまり、「ルールを作ったか」よりも、そのルールで漏えい、滅失、毀損を防げる状態になっているかが問われる条文です。

3. 第24条：従業者の監督

次は、持ち出す本人である職員との関係です。

個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

（個人情報保護法第24条）

第23条と同じく、主語は事業者です。「従業者に個人データを取り扱わせるに当たっては」という書き出しなので、職員に記録の閲覧や入力をさせている以上、その職員への監督が事業者の義務になります。

ここで押さえたいのは、監督の義務は職員が持ち出す前から発生しているという点です。職員が記録を持ち帰ってから問題になるのではなく、取り扱わせる時点で、安全管理が図られるような監督が必要とされます。何をもって「必要かつ適切」と言えるかは、第23条と同じく、条文だけでは決まりません。

なお、ここで語られているのは事業者の監督義務です。職員に対して処分をするかどうか、どのような処分にするかは、この条文には書かれていません。この法律の条文は、懲戒を定めていません。就業規則や雇用契約の側の問題であり、本記事では処分の当否には踏み込みません。

4. 第25条：委託先の監督

持ち出しの話題では、職員の行動に目が向きがちです。しかし、事業所の外に個人データが出ていく経路は、職員の持ち帰りだけではありません。

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

（個人情報保護法第25条）

利用者さんの記録を扱うシステムを外部のベンダーに預けている、クラウドサービスに記録を保管している、給食や清掃の業務を外部に委託していて、その過程で利用者さんの氏名などが相手に渡る、という場面があります。個人データの取扱いの全部又は一部を委託しているなら、この条文の対象になりうるというのが入口です。個別の契約や利用形態が「委託」に当たるかどうかは、条文だけでは決まらないので、実際の契約内容に即して確認する必要があります。

委託そのものを同意なしにできるのかという点（第三者提供との関係）は、別の条文の話です。そちらは 個人情報の第三者提供と同意を整理した記事 で扱っていますので、本記事では深入りしません。ここで言えるのは、第三者に当たらない形で渡す場合でも、渡した後の安全管理について委託元が監督する義務は残るということです。

5. 第179条：罰則は「不正な利益を図る目的」が要件

罰則の条文は、次のとおりです。

個人情報取扱事業者（その者が法人（法人でない団体で代表者又は管理人の定めのあるものを含む。第百八十四条第一項において同じ。）である場合にあっては、その役員、代表者又は管理人）若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む。）を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、一年以下の拘禁刑又は五十万円以下の罰金に処する。

（個人情報保護法第179条）

括弧書きが多くて読みにくいので、括弧を外して骨格だけを取り出すと、次のようになります。

この条文から、次の3点が読み取れます。

① 「持ち出した」だけでは、要件に入っていません。 条文の動詞は「提供し、又は盗用した」です。事業所の外へ持ち帰ること自体は、この条文には書かれていません。

② 「不正な利益を図る目的で」が要件に入っています。 うっかり持ち帰った、家で記録を書くために持ち帰った、というだけでは、この目的の要素が条文のうえで満たされているとは読めません。本記事では、このような場面がこの条文に当たると考える根拠は、条文のなかにはないと整理します。ただし、個別の事案で刑事上の責任が生じるかどうかは、具体的な事実で判断される問題であり、本記事は断定しません。

③ 「従業者であった者」も含まれ、「複製し、又は加工したもの」も対象です。 退職した職員が、在職中に取り扱った利用者名簿のコピーを不正な目的で提供した場合は、条文の文言上、この条の射程に入ります。コピーしたデータは対象外という読み方はできません。

大切なのは、この罰則が「悪意のある持ち出し」だけを対象にした条文である一方で、現場で実際に多いのは悪意のない持ち出し（うっかり、善意、便利だから）だという点です。罰則に当たらないことと、法律上の義務を果たしていることは、別の話です。悪意のない持ち出しは、第23条から第26条の問題として残ります。

6. 福祉の現場の情報は、ほぼ要配慮個人情報

次に、報告の話に進む前に、扱っている情報の性質を確認します。

法第2条第3項は、要配慮個人情報を次のように定義しています。

この法律において「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。

（個人情報保護法第2条第3項）

「政令で定める記述等」は、個人情報の保護に関する法律施行令第2条にあります。第1号から第3号を見ます。

身体障害、知的障害、精神障害（発達障害を含む。）その他の個人情報保護委員会規則で定める心身の機能の障害があること。

（個人情報の保護に関する法律施行令第2条第1号）

本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）の結果

（個人情報の保護に関する法律施行令第2条第2号）

健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。

（個人情報の保護に関する法律施行令第2条第3号）

これを福祉の現場に置き換えると、次のようになります。

つまり、障がい福祉サービスの事業所の利用者記録は、障がいがあること自体が記録の前提になっています。 特養やグループホームの記録にも、診療や服薬の情報が日常的に含まれます。法人本部から見ると、福祉の現場が扱う利用者情報は、ほぼ要配慮個人情報と考えておくのが実態に近い整理です。「ほぼ」と書いたのは、個別の記録の項目が政令の各号に当たるかどうかは、記録の中身ごとに確認が必要だからです。

この整理が、次の報告義務の判断に直結します。

7. 第26条と施行規則：「おそれ」だけで報告対象になる

漏えい等の報告の条文は、次のとおりです。

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。

（個人情報保護法第26条第1項本文）

どの事態が報告対象かは、法律ではなく規則に委ねられています。個人情報の保護に関する法律施行規則第7条が、その対象を定めています。

要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第一項において「漏えい等」という。）が発生し、又は発生したおそれがある事態

（個人情報の保護に関する法律施行規則第7条第1号）

読み取れるのは、次の4点です。

① 要配慮個人情報が含まれる個人データの漏えい等は、それだけで報告対象です。 第7条第1号が独立の類型になっています。

② 「発生したおそれがある」でも対象です。 漏えいが確定していなくても、おそれがある段階で報告の対象になるという書き方です。持ち出した記録を紛失したが、見つかるかもしれない、誰かに見られたかどうかは分からない、という段階が、まさにこの文言に当たりうる場面です。紛失がどの語（漏えい、滅失）に当たるかは条文では決まらないため、場面ごとの確認が必要です。

③ 件数の下限は書かれていません。 同条第4号に「個人データに係る本人の数が千人を超える漏えい等」という別の類型がありますが、これは第1号とは別の類型です。第1号には「何人以上」という条件はありません。利用者さん1人分の記録でも、要配慮個人情報が含まれていれば、条文上は第1号の対象になりえます。

④ 暗号化したデータは、括弧書きで除かれる場合があります。 条文は「高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたもの」を除くと書いています。何が「高度な暗号化」に当たるかは、条文だけでは決まりません。持ち出す媒体を暗号化していれば報告が要らなくなる、と読み替えるのは早計です。

8. 速報と確報、そして本人への通知

報告の時期と方法は、施行規則第8条が定めています。まず速報です。

個人情報取扱事業者は、法第二十六条第一項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。

（個人情報の保護に関する法律施行規則第8条第1項）

「速やかに」とあり、「何日以内」とは書かれていません。報告する事項は、第1項の各号に、概要、漏えい等が発生し、又は発生したおそれがある個人データの項目、本人の数、原因、二次被害又はそのおそれの有無及びその内容、本人への対応の実施状況、公表の実施状況、再発防止のための措置、その他参考となる事項が挙げられています。括弧書きのとおり、報告をしようとする時点で把握しているものに限るので、全部が分かってから報告するのではなく、分かっている範囲で速やかに出す形です。

次に確報です。

前項の場合において、個人情報取扱事業者は、当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。

（個人情報の保護に関する法律施行規則第8条第2項）

整理すると、次の表のとおりです。

「60日以内」は、前条第3号、つまり「不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為」による事態の場合です。通常の持ち出し、紛失の場面は、30日以内の側に入ると読むのが自然です。

報告の方法は、同条第3項で、個人情報保護委員会に報告する場合は電子情報処理組織を使用する方法が原則とされ、使えない場合に報告書を提出する方法などが定められています。具体的な画面や手順は、条文の範囲を超えるので、委員会の案内を確認してください。

そして、本人への通知です。

個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。

（個人情報保護法第26条第2項本文）

委員会への報告と、本人への通知は、別の義務です。条文には本人への通知が困難な場合に、これに代わる措置をとることでよいというただし書もあります。通知の中身や時期の詳細は、個人情報保護委員会規則に委ねられており、今回の抜粋には含まれません。なお、第26条第1項のただし書は、他の事業者から取扱いを委託された場合に、委託元に通知したときは報告が不要になるという仕組みです。事業所が委託を受ける側にもなっている場合は、この点も確認が必要です。

9. 場面別に、どの条文から確認するか

ここまでの整理を、現場の場面ごとにまとめます。右の列は、条文の抜粋だけで答えが決まるかどうかです。

「決まらない」と書いた行が多いのは、条文が具体的な手法を定めていないからです。条文が決めていないことは、法人が自分で決め、自分で説明することになります。ここが、次の節の話につながります。

10. 「ルールを作る」で終わらせず、「後から説明できる」記録を残す

ここからは条文の話ではなく、弊社の見立てです。

第23条は「必要かつ適切な措置」、第24条は「必要かつ適切な監督」を求めています。そして第26条は、事態が起きたときに、概要、データの項目、本人の数、原因、二次被害のおそれ、再発防止の措置といった事項の報告を求めています。この2つをつなげて考えると、持ち出しについて法人に求められるのは、「ルールの文書がある」ことだけではなく、事が起きたときに、何が起きたかを後から説明できる材料があることだと考えられます。

たとえば、紛失が分かった場面を想像してください。委員会に報告する時点では、次のような事項を答えることになります（第8条第1項の各号から）。

• 何が持ち出されていたのか（個人データの項目）
• 何人分だったのか（本人の数）
• なぜ持ち出されたのか、なぜ紛失したのか（原因）
• 二次被害のおそれはあるか
• 本人への対応は進んでいるか

これらに答えるには、誰が、いつ、何を、どこへ持ち出し、いつ戻したかが分かる記録が必要です。持ち出し管理簿のひな形は、条文が様式を定めていないため、本記事では配布しません。形は、紙の台帳でも、システムのログでも、事業所の実態に合うものでかまいません。確認したいのは次の3点です。

1. 誰が何を持ち出したかが、後から追えるか。 記録がなければ、紛失が起きたときに「何が失われたか」を特定できず、「発生したおそれ」の範囲を絞れません。範囲が絞れなければ、本人への通知の範囲も絞れません。
2. 持ち出しが「個人の判断」で行われていないか。 第24条は事業者に監督を求めています。事業者が把握していない持ち出しは、監督の対象にもなりません。
3. 外部の事業者についても同じ記録があるか。 第25条の委託先でも、何を預けているのか（項目、件数、保管場所）を委託元が説明できる必要があります。

もうひとつ、現場でよくある場面を挙げます。「家でなければ記録が終わらないから持ち帰る」という職員の背景には、日中に記録を書く時間がない、記録の入力が二度手間になっているといった業務の事情があることが少なくありません。禁止のルールだけを強めると、見えないところで持ち出しが続き、かえって把握できなくなります。持ち出しの背景にある記録業務の負担を減らす、という方向も、安全管理措置の一部として考える価値があります。

なお、法人の運営が外部から確認される場面については、社会福祉法人の指導監査を整理した記事 もあわせてご覧ください。

まとめ

• 個人情報の保護に関する法律の本則に、「持ち出し」は0回です。条文の側は、安全管理措置（第23条）、従業者の監督（第24条）、委託先の監督（第25条）、漏えい等の報告（第26条）、罰則（第179条）という形で書かれています。
• 第179条の罰則は、「自己若しくは第三者の不正な利益を図る目的で」提供し、又は盗用したときが要件です。うっかり持ち帰った、自宅で記録を書いた、というだけでは、この条文の要件に当てはまるとは読めません。ただし、個別の事案の刑事責任は断定しません。
• 福祉の現場の利用者情報は、ほぼ要配慮個人情報です。要配慮個人情報が含まれる個人データの漏えい等は、「発生したおそれがある」だけで報告の対象になり、件数の下限はありません（施行規則第7条第1号）。
• 報告は、速報（速やかに）と確報（事態を知った日から30日以内。不正の目的による行為の場合は60日以内）の2段階で、本人への通知（第26条第2項）は別の義務です。
• 懲戒処分の可否、持ち出し管理簿の様式、暗号化の評価などは、条文からは決まりません。法人が自分で決め、後から説明できる記録を残すことが、安全管理措置と報告の両方の土台になります。

参考にした一次情報

• 個人情報の保護に関する法律｜e-Gov法令検索：第二条、第二十三条、第二十四条、第二十五条、第二十六条、第百七十九条
• 個人情報の保護に関する法律施行令｜e-Gov法令検索：第二条
• 個人情報の保護に関する法律施行規則｜e-Gov法令検索：第七条、第八条

いずれも条文の原文によります。本記事は条文の構造を整理したもので、個別の事案への適用や、行政の運用、処分の当否を示すものではありません。

持ち出しの記録も、記録業務の負担も、法人としてそろえたい

パレットテクノロジーズは、社会福祉法人様のデジタル化を「現地現物」で伴走支援しています。利用者さんの情報が、いつ、誰によって、どこで扱われているかを、法人として説明できる状態にするところからご一緒します。記録の二度手間を減らし、持ち帰らなくても記録が終わる仕組みづくりも含めて、ITに詳しい職員がいらっしゃらなくても大丈夫です。

▶ 社会福祉専門IT｜社会福祉法人様向けのDX伴走支援

▶ ご相談・お問い合わせはこちら