社員のメール・PC操作ログのモニタリング｜個人情報保護委員会Q&Aが示す4つの留意点と社内規程
情報漏えい対策や労働時間の把握のために、社員のメールやPC操作ログを確認したい場面は増えています。個人情報保護法の安全管理措置・従業者の監督との関係、個人情報保護委員会Q&Aが示す4つの留意点、目的の特定と規程化、労働組合等への通知と周知、私的利用の扱い、ログの保存と閲覧権限の決め方を整理します。
- 対象読者
- 情報漏えい対策やテレワークの勤務管理で、社員のPC・メールの記録を確認したい総務・情シス兼任担当者
- 難易度
- 実務
- 所要時間
- 読了7分
- 最終確認日
この記事のポイント
- 社員のメールやPC操作ログの確認は、個人データを扱う従業者の監督（個人情報保護法第24条）など安全管理措置の一環として行うことができる。ただし社員の個人情報の取扱いにもなるため、ルールを決めて行う
- 個人情報保護委員会のQ&Aは、目的の特定と社内規程での明示、責任者と権限、実施ルールの策定と徹底、ルールどおりかの確認の4点を挙げ、重要事項は労働組合等に通知・協議し、従業者に周知することが望ましいとしている
- 「何を」「何のために」「誰が」「いつ」見るかを規程に書き、閲覧は必要な場面に限る。勤務時間の把握にPCログを使う場合は、労働時間のガイドラインに沿って客観的な記録として扱う
顧客情報の持ち出し、誤送信、退職者による情報の持ち出し。こうしたリスクへの備えとして、社員の会社メールやPC操作ログを記録・確認する会社が増えています。テレワークでは、PCのログオン・ログオフの記録を勤務時間の確認に使う場面もあります。
一方で、社員から見れば「会社に見られている」ことになり、ルールなしに行うとプライバシーの問題や信頼関係の悪化を招きます。この記事では、個人情報保護委員会のQ&Aを軸に、モニタリングを始めるときに決めておくことを整理します。
モニタリングの法的な位置づけ
個人情報保護法は、個人データの漏えい等を防ぐための安全管理措置（第23条）と、個人データを扱う従業者に対する必要かつ適切な監督（第24条）を会社に求めています（個人情報保護委員会のガイドライン（通則編））。社員のメールやPC操作の確認は、この監督の一環として位置づけられます。
一方で、メールの内容やログには社員自身の個人情報も含まれます。会社が確認すること自体が社員の個人情報の取扱いになるため、利用目的をはっきりさせ、必要な範囲で行うことが前提です。
個人情報保護委員会Q&Aが示す4つの留意点
個人情報保護委員会のQ&A（Q5-7）は、従業者を対象とするビデオやオンラインによるモニタリングを行う場合の留意点として、次の点を挙げています。
| No. | 留意点 | 会社がやること |
|---|---|---|
| 1 | モニタリングの目的をあらかじめ特定したうえで、社内規程等に定め、従業者に明示する | 「情報漏えいの防止」「不正アクセスの調査」「労働時間の把握」など目的を書く |
| 2 | モニタリングの実施に関する責任者とその権限を定める | 誰が閲覧を判断し、誰が実際に見るのかを決める |
| 3 | あらかじめ実施に関するルールを策定し、その内容を運用者に徹底する | 対象、方法、閲覧の条件、保存期間を決める |
| 4 | ルールに従って適正に行われているか確認する | 閲覧記録を残し、定期的に点検する |
さらにQ&Aは、モニタリングに関して個人情報の取扱いに係る重要事項等を定めるときは、あらかじめ労働組合等に通知し、必要に応じて協議を行うことが望ましいこと、定めたときは従業者に周知することが望ましいことも示しています。労働組合がない会社では、過半数代表者への説明や全社説明会などで代えることが考えられます。
何をモニタリングするか
| 対象 | 主な目的 | 決めておくこと |
|---|---|---|
| 会社メールの送受信記録・内容 | 誤送信・持ち出しの防止、不正の調査 | 内容まで見るのは調査時に限るか、自動検知のみか |
| Web閲覧・アプリ利用のログ | マルウェア対策、不正サイトのブロック | ログの保存期間と閲覧者 |
| ファイル操作・USB接続のログ | 情報の持ち出し防止 | アラートの条件と対応手順 |
| PCのログオン・ログオフ時刻 | 労働時間の把握、長時間労働の防止 | 勤怠記録との突き合わせ方法 |
| 画面の録画・定期キャプチャ | 不正操作の調査 | 必要性が高い場面に限るか |
| 社用スマホの位置情報 | 紛失対策、安全確認 | 勤務時間外の扱い |
画面の録画やWebカメラによる常時の確認は、社員への心理的な負担が大きく、目的に照らして必要かを慎重に検討します。防犯カメラは防犯カメラの設置と個人情報保護法、社用携帯の位置情報は社用携帯の管理で解説しています。
「常時見る」と「調査時に見る」を分ける
ログを記録しておくことと、担当者が内容を閲覧することは分けて考えます。多くの会社では、ログは自動で記録・保存し、内容の閲覧は次のような場合に限るルールにしています。
- 情報漏えいや不正の疑いがあるとき
- システム障害やウイルス感染の調査が必要なとき
- 本人の同意を得て確認するとき（引き継ぎで退職者のメールを確認する場合など）
閲覧するときは、責任者の承認を得て、閲覧した日時・閲覧者・目的を記録します。
私的利用の扱いを先に決める
モニタリングのルールとセットで、会社のPC・メールの私的利用をどこまで認めるかを決めておきます。
- 業務用のPC・メールは業務目的で使うことを原則とし、私的利用は禁止または最小限とする
- 会社がモニタリングを行うことがあり、私的なやり取りも記録の対象になりうることを明示する
- 私的なメールの内容を、業務上の必要なく閲覧しない
ルールを明示しないまま私的なメールを詳しく閲覧すると、社員のプライバシーとの関係で問題になるおそれがあります。PCの貸与時に誓約書で確認しておくと、トラブルを防ぎやすくなります。私物端末を業務に使う場合は私物スマホの業務利用（BYOD）も参照してください。
労働時間の把握に使う場合
厚生労働省の労働時間適正把握ガイドラインは、始業・終業時刻をタイムカード、ICカード、パソコンの使用時間の記録など客観的な記録で確認することを原則としています。自己申告制の場合でも、申告した時間とPCの使用時間に大きな乖離があれば、実態調査を行って補正することが求められます。
テレワークのガイドラインでも、パソコンの使用時間の記録などで労働時間を把握する方法が示されています。PCログを勤怠管理に使うと決めたら、
- どの記録（ログオン・ログオフ、操作の有無など）を使うか
- 申告時間との差があったときの確認方法
- 中抜けや私用の時間の扱い
を規程に書いておきます。労働時間の把握全般は労働時間の適正な把握義務とガイドライン、テレワークの規程はテレワーク規程の作り方と労務管理で解説しています。
社内規程に書く項目
情報セキュリティ規程やPC等利用規程に、次の項目を入れます。
- モニタリングの目的
- 対象（メール、Web閲覧、ファイル操作、ログオン記録など）と方法
- 実施責任者と閲覧できる者
- 内容を閲覧する条件と承認手続き
- 記録の保存期間と廃棄方法
- 閲覧記録の作成と定期点検
- 私的利用の禁止・制限
- 取得した情報を目的外に使わないこと（人事評価に流用しないなど）
規程の制定・改定は、社員への説明とあわせて行います。改定の手順は社内規程を改定するときの手順、情報セキュリティの全体像は情シス兼任総務の情報セキュリティ最低限チェックを参照してください。
まとめ
- モニタリングは従業者の監督など安全管理措置の一環として行えるが、社員の個人情報の取扱いでもある
- 個人情報保護委員会Q&Aの4点（目的の特定と明示、責任者と権限、ルールの策定と徹底、運用の確認）を押さえる
- 重要事項は労働組合等に通知・協議し、社員に周知する
- 記録と閲覧を分け、閲覧は必要な場面に限り、記録を残す
- 私的利用のルールと、労働時間の把握に使う場合の扱いも規程に書く
この記事で使えるテンプレート
総務 情報セキュリティ基本規程（ひな形） IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版の組織的・人的・物理的・技術的対策の区分に沿って、基本方針、管理体制、情報資産の管理、アクセス制御とパスワード、端末・メール・クラウドの利用、バックアップ、委託先管理、事故対応までを条文にした情報セキュリティ基本規程のひな形です。 総務 貸与PC・スマートフォン 利用誓約書 会社が貸与するパソコン・スマートフォンの利用ルールを従業員に確認してもらう誓約書です。業務目的外利用の禁止、パスワード管理、紛失時の報告、社外持出し、生成AIへの情報入力、モニタリング、返却までを定めています。 労務 テレワーク勤務規程（ひな形） 厚生労働省のテレワークモデル就業規則をもとに、在宅勤務・サテライトオフィス勤務・モバイル勤務の定義、対象者と許可、服務規律、労働時間・中抜け・時間外労働、連絡体制、通信費・水道光熱費などの費用負担、機器の貸与、安全衛生とハラスメント防止を条文にしたテレワーク勤務規程のひな形です。この記事に出てくる用語
- 安全管理措置
- 個人データの漏えい・滅失・毀損を防ぐために会社が講じる措置です。基本方針の策定、規律の整備、組織的・人的・物理的・技術的な措置などがあり、規模にかかわらずすべての会社に義務づけられています。
- 過半数代表者
- 労働者の過半数で組織する労働組合がない事業場で、労使協定の締結や就業規則の意見聴取の相手方になる、労働者の過半数を代表する人です。
- 個人データ
- 検索できるように体系的に整理された個人情報の集まり（個人情報データベース等）を構成する個人情報のことです。社員名簿や顧客台帳、名刺管理ソフトの中の情報などが該当します。
- 人事評価
- 社員の仕事の成果や行動、能力を一定の基準で評価し、昇給・賞与・昇格や育成に反映させる仕組みです。等級制度・報酬制度とつなげて設計します。