個人情報保護法の完全施行まであと数日。各社対応に追われる毎日に、多少疲労感が伺えるのは気のせいでしょうか。社員がきちんと個人情報を扱っているかを会社は監督しなければならない、なんていうけれど、社員のプライバシーや社員自身の個人情報保護はどう考えればいいの？

ちょっとちょっと！すごい話聞いちゃったよ～！！

なんだよ、大騒ぎして。

うちの会社で社員が使ってるＥメールが、全てシステム管理部でネットワーク監視されてるって噂なのよ～！

げげ！！そんな説明あったっけ？？？（ってことは、この前会社のパソコンでこっそりメールしていた「酒豪友の会」とのやりとりも全部見られてたってことか…）

特に説明はなかったよね…。ま、私は仕事とプライベートはきっちり分けてるから、いつ監視されても問題ないけど。

お、お、俺だって問題はないけど…（もごもご）

確か個人情報保護法では、社員が個人情報をきちんと取り扱っているかどうか、会社が監督する義務があるって決められているのよね。いつ監視されてもしょうがないんじゃない？

ちょっと待った～！

あ、ゆき先輩！

その話は一度よく整理しておく必要がありそうよ。まず、個人情報保護法では、個人情報を取り扱う「従業者の管理」を定めているのよね。ここでいう従業者は、その会社の組織の中で指揮監督を受けて業務を行っている人全てを含み、正社員、契約社員、嘱託社員、パート、アルバイト社員、派遣社員はもちろん、取締役、執行役、理事、監査役、監事なども含まれるわよ。

管理って具体的にどういうことなんですか？

そうね。企業によって異なるとは思うけど、
・秘密保持契約の締結や個人情報保護に関する誓約書の取り交わし
・内部規定、社内規定を定めること
・教育、訓練を行うこと
･･･などが挙げられるわね。

で、何で社員のＥメールを会社が勝手に見ていいんだ～？？？！！

あせらないで（苦笑）。個人情報保護法第21条には、「個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない」と定められているわ。つまり、内部規定などのルールがちゃんと運用されているか定期的にチェックしたうえで、個人情報を従業者が適正に取り扱っているか、不法行為を行っていないかを会社が監督する義務があるのね。

なるほど。

そこで問題になるのが、社内Ｅメールの監視、サーバ室における監視カメラでの行動監視、個人情報などへのアクセスログの監視など、つまり「モニタリング」ね。

過去の判例では、事前に社員に告知せずにＥメールのモニタリングが行われたことについて、適法であるって判決が出ていた気がするけれど…？

おっ！よく勉強してるわね～。確かにそうなんだけど、これは私用メールが発見されたことをもって適法になったのであって、ここにはとても難しい問題を含んでいるのよ。「従業者」の個人情報保護、プライバシーの面を考えると、どんな場合でも安易にモニタリングしていいとは言い切れないのではないかしら。特に監視カメラでの「人」に対するモニタリングは、プライバシーの問題が切り離せないわね。

逆にモニタリングしていい場合ってどういうことなんだ？

モニタリング行為自体が禁止されているわけではないのよ。ただし、モニタリングをされる側に、目的や、実施時期、実施方法、モニタリングした情報を何に利用するのか、例えば、「不法行為がないかを監督するために件名と添付ファイルのみのモニタリングを行う」など、周知徹底して、事前に同意を得ていることが大切なのよ。厚生労働省から出された雇用管理指針では、あらかじめ労働組合などに通知して、協議を行うことが望ましいとされているわ。

俺は全然知らされてないっ！（怒）

そういう意味で今回は問題がある可能性が高いわ。モニタリングするときの留意点として、経済産業省のガイドラインの中で、
モニタリングの目的、つまり取得する個人情報の利用目的をあらかじめ特定し、社内規程に定めるとともに、従業者に明示すること
モニタリングの実施に関する責任者とその権限を定めること
モニタリングを実施する場合には、あらかじめモニタリングの実施について定めた社内規程案を策定するものとし、事前に社内に徹底すること
モニタリングの実施状況については、適正に行われているか監査または確認を行うこと
をあげているわ。

なるほど！規程で定められた目的や範囲を超えてのモニタリングが行われないように、監査することも必要なんですね。

監視の監視･･･？？頭がこんがらがってきた～。

なんとなく監視されているような気がする、ってくらい怖い話はないもんね･･･。