副業人材・フリーランス・パートに社内アカウントを渡すときの線引き

社内アカウントを渡す相手が従業者か委託先かは、自社との契約の形で決まります。パート・アルバイト・派遣社員は、個人情報保護委員会のガイドライン(通則編)で「従業者」に含まれます。従業者の監督(個人情報保護法 24 条)の対象です。業務委託契約のフリーランスは委託先で、委託先の監督(25 条)の側です。副業人材は、自社と雇用契約を結ぶなら従業者、業務委託契約なら委託先です。どちらに当たるかで、発行するアカウント、監督の根拠、終了時の手続きが変わります。

従業者か委託先かは契約の形で決まる

ガイドライン 3-4-3 は、従業者を次のように説明しています。「個人情報取扱事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等」です。雇用関係にある従業員(正社員、契約社員、嘱託社員、パート社員、アルバイト社員など)がここに含まれます。取締役や監査役、派遣社員も含まれると明記されています。パートやアルバイトを正社員と分けて扱う理由は、この点に関してはありません。

委託は、3-4-4 の ※1 で「契約の形態・種類を問わず」他の者に個人データの取扱いを行わせることとされています。業務委託契約や請負契約で仕事を受けるフリーランスに個人データを扱わせれば、相手が個人でも委託先です。監督の中身は委託先の監督とはにまとめています。

副業人材はこの 2 つにまたがります。厚生労働省の「副業・兼業の促進に関するガイドライン」は、労働時間の通算を説明する中で、労働基準法が適用されない例を挙げています。フリーランス、独立、起業、顧問などです。同じ「副業で来ている人」でも、自社と雇用契約を結んでいれば従業者、業務委託契約なら委託先です。本業の勤務先での立場は、自社での位置づけに関係しません。なお同ガイドラインは、請負であるかのような契約でも実態が雇用契約と認められる場合を取り上げています。その場合は、就労の実態に応じて使用者責任が問われるとしています。契約の名前だけで決めるわけにはいきません。

雇用形態ごとの整理

• 正社員・契約社員は従業者です。本人のユーザーを発行し、24 条に基づいて、就業規則などの秘密保持事項と教育で監督します。退職日に本人のユーザーを停止します。
• パート・アルバイトも従業者で、扱いは正社員・契約社員と同じです。共有 ID で使わせると、記録が ID 単位になります。
• 派遣社員も従業者です。派遣先である自社が本人のユーザーを発行し、24 条に基づいて監督します。派遣期間の終了日に停止します。
• 雇用契約で来ている副業人材も従業者です。本人のユーザーを発行し、24 条に基づいて監督します。契約終了日に停止します。
• 業務委託契約の副業人材とフリーランスは委託先です。本人のユーザーを、任せる業務に必要な範囲で発行します。1 つしかないアカウントを渡すなら、知っている人の範囲を決めます。監督の根拠は 25 条で、委託契約に安全管理措置の内容と取扱状況の把握を盛り込みます。契約終了日に停止し、共有アカウントならパスワードを変え、端末に残った ID・パスワードとデータの消去を確かめます。

「本人のユーザー」を発行する点は、どの立場でも同じです。ガイドラインの別添は、行わなければならない技術的安全管理措置を挙げています。アクセス制御(担当者と扱う範囲の限定)と、アクセス者の識別と認証(使う人を見分け、本人と確かめること)です。従業者にも委託先にも当てはまる措置で、立場によって変わるのは監督の根拠と契約の形です。

従業者と委託先で何が違うか

従業者に対する監督は、教育と規程で行います。別添の人的安全管理措置は、従業者に個人データの適正な取扱いを周知徹底し、適切な教育を行うことを求めています。手法の例は、定期的な研修と、秘密保持に関する事項を就業規則などに盛り込むことです。パートやアルバイト、派遣社員にも同じ教育と規程が及びます。

委託先に対する監督は、選定・契約・把握の 3 点です。フリーランスに個人データを扱わせるなら、その人の安全管理措置が自社に求められるものと同等かを委託前に確かめます。契約には安全管理措置の内容と取扱状況の把握を盛り込み、契約後も状況を把握します。相手が 1 人でも、この 3 点は変わりません。

IPA「組織における内部不正防止ガイドライン」第 5 版の対策 7 は、共有 ID と共有のパスワードを使わないよう求めています。利用者ごとの ID を、個別のパスワードで認証する形です。パートやアルバイトに共有 ID で使わせている場合、この対策から外れているのは雇用形態のせいではなく、ID の発行の仕方のせいです。

迷いやすい場面

派遣元の会社に自社のアカウントを渡し、派遣社員がそれで作業する形では、自社の記録は派遣元名義の 1 つのアカウントで残ります。誰が使ったかは、派遣元の名簿に頼ることになります。派遣社員には自社が本人のユーザーを発行します。

フリーランスに、社員と同じ共有 ID を使わせている形は、委託先に共有アカウントを渡している状態です。確かめることは委託先が「共有 ID で作業しています」と答えたときの確認事項にまとめています。契約終了時にはパスワードを変えて残る社員に配り直します。

副業人材が複数の会社で働いている場合、自社のアカウントで扱う個人データを別の勤務先で使わないことを求めます。雇用契約なら就業規則の秘密保持事項で、業務委託契約なら委託契約で求めます。どちらの契約でも、自社のシステムに入る端末を本人の私物にするかどうかは、別に決めることになります。