社員の個人情報・健康情報の保護とは?要配慮個人情報の扱い方・健康情報取扱規程の策定方法を解説

公開日: 最終更新日: 執筆:一般社団法人メンタルセーフティー推進機構
人事労務担当者・産業保健スタッフ向けの「社員の個人情報・健康情報の保護」を解説したアイキャッチ画像

健康診断の結果・ストレスチェックの回答・産業医との面談内容——職場の産業保健活動を通じて事業者が得る社員の健康情報は、その人の人生に大きく関わるデリケートな情報です。「健康診断の結果を上司に報告してよいのか」「ストレスチェックの結果は人事に見せてよいのか」——こうした疑問が現場で生じることは少なくありません。2019年の働き方改革関連法施行に伴う労働安全衛生法改正により、企業は社員の健康情報の取り扱いに関する規程(健康情報取扱規程)の策定が義務化されました。

当解説記事では、個人情報保護法における要配慮個人情報の定義・健康情報取扱規程の義務と策定手順・取り扱える者の範囲・不利益取扱いの禁止・罰則までを、厚生労働省の指針をもとに人事労務担当者・産業保健スタッフ向けに体系的に解説します。


 

💡 この記事でわかること
  • 1個人情報保護法が定める「要配慮個人情報」の正確な定義や、職場で取り扱う従業員の健康情報(健診結果や診断書など)がなぜ法律上で特別な保護を必要とするのか、その理由がわかります。
  • 2労働安全衛生法で策定が義務づけられている「健康情報取扱規程」について、必ず盛り込まなければならない必須記載事項や具体的な策定ステップ、人事・管理職・産業医といった各担当者の役割分担が整理できます。
  • 3従業員の健康情報を理由とした不利益な取り扱いの禁止ルール、万が一違反した場合のペナルティ、そして産業医や保健師などの産業保健スタッフが負う守秘義務の法的な範囲について正しく理解できます。

個人情報と要配慮個人情報:基本の整理

社員の健康情報保護を理解するうえで、まず個人情報保護法の基本的な概念を確認しておきましょう。

個人情報とは

個人情報保護法(令和3年改正・令和4年4月1日全面施行)上の「個人情報」とは、生存する個人に関する情報であって、氏名・生年月日その他の記述等により特定の個人を識別できるものを指します(個人情報保護法第2条第1項)。社員の氏名・住所・電話番号・マイナンバー・給与情報等はすべて個人情報に該当します。

個人情報を取り扱う事業者(個人情報取扱事業者)は、利用目的の特定・通知、目的外利用の禁止、安全管理措置の実施、第三者提供の制限等の義務を負います(同法第17条・第24条・第23条等)。

要配慮個人情報とは

個人情報の中でも、本人に対する不当な差別・偏見その他の不利益が生じないように、その取り扱いに「特別な配慮」が必要な情報が「要配慮個人情報」として区別されています(個人情報保護法第2条第3項・同法施行令第2条)。

要配慮個人情報に該当する主な情報として、身体障害・知的障害・精神障害等の心身の機能の障害に関する情報、健康診断その他の検査の結果に関する情報、医師等による心身の状態の改善のための指導・診療・調剤に関する情報、刑事事件に関する情報、人種・信条・社会的身分・犯罪被害事実等が挙げられます(個人情報保護法施行令第2条)。

職場の産業保健活動を通じて得られる社員の健康情報は、そのほとんどがこの要配慮個人情報に該当します(弁護士法人ALG大阪法律事務所「健康情報(要配慮個人情報)の保護」)。

一般の個人情報との違い

要配慮個人情報が一般の個人情報と異なる最大の点は、本人の同意なしに第三者提供が原則として禁止されること、および不正取得の禁止(オプトアウトによる第三者提供が不可)であることです。健康情報を本人の同意なしに上司・役員等に伝えることは、この要配慮個人情報の第三者提供制限に抵触する可能性があります。

職場で扱う主な健康情報の種類

労働安全衛生法に基づく産業保健活動を通じて事業者・産業保健スタッフが取得・管理する主な健康情報は以下のとおりです。これらの情報は、個人情報保護法上の要配慮個人情報かつ、労働安全衛生法が定める「心身の状態の情報」として二重に保護されるべき最も慎重な取り扱いを要する情報です。

社員の個人情報・健康情報の保護について、要配慮個人情報の定義・健康情報取扱規程の策定・取り扱える者の範囲・不利益取扱い禁止など実務上の重要ポイントをまとめた要約図
社員の個人情報・健康情報の保護とは?

健康情報の種類 主な根拠法令 実務における不足・補足事項(保存期間・労基署報告義務・取扱いの注意点)
定期健康診断・特殊健康診断の結果 労働安全衛生法第66条
  • 定期健康診断個人票は5年間、特殊健康診断個人票は項目(じん肺、石綿、電離放射線など)に応じて5年間〜30年間の保存義務があります(安衛則第51条等)。
  •  常時50人以上の労働者を使用する事業場は、定期健康診断の結果を「定期健康診断結果報告書」として管轄の労働基準監督署長へ遅滞なく提出する義務があります(安衛則第52条)。特殊健診も実施後の報告義務があります。
健康診断後の医師意見・就業上の措置内容 同法第66条の4・66条の5
  • 健診実施日から3か月以内に、異常所見のある労働者に関して医師(または歯科医師)から就業上の措置に関する意見聴取を行わなければなりません(安衛則第51条の2)。
  • 医師の意見を勘案し、「通常勤務」「就業制限(残業禁止、出張制限等)」「休職・就業禁止」等の措置を決定・実施します。この措置内容を理由とした労働者への不利益取扱いは法律上厳禁です。個人票への医師の署名・捺印の確認、または電子意見書の保管が必須です。
ストレスチェックの回答・結果 同法第66条の10
  •  労働者個人の回答内容および結果(高ストレス判定か否かを含む)は、原則として「本人の同意」がない限り、事業者(人事担当者含む)に開示することは法律上禁止されています。実施者(産業医・保健師等)または委託外部機関から本人へ直接通知されます。
  • 本人の同意を得て事業者に提供された結果データ、または実施者が保管する記録は5年間保存します。常時50人以上の事業場は、年に1回「心理的な負担の程度を把握するための検査結果等報告書」を労基署へ提出する義務があります。
ストレスチェックに基づく面接指導の結果・事後措置内容 同条
  • 高ストレス者と判定された労働者から「面接指導の申出」があった場合(この申出をもって結果の事業者開示に同意したとみなされる)、事業者は1か月以内に医師による面接指導を実施しなければなりません。結果の記録は5年間保存します。
  • 面接指導を行った医師の意見に基づき、就業場所の変更、作業の転換、労働時間の短縮、深夜業の回数の減少等の適切な事後措置を講じる義務があります。
長時間労働者等への医師面接指導の結果 同法第66条の8
  • 月80時間を超える時間外・休日労働を行い、かつ疲労の蓄積が認められる労働者から申出があった場合、事業者は医師による面接指導を義務として実施しなければなりません(安衛則第52条の2)。研究開発職や管理監督者、新技術・新商品開発者も一律に対象となります。
  •  医師の意見を遅滞なく(おおむね1か月以内)聴取し、適切な就業上の措置(残業禁止等)を決定・実施します。面接指導結果報告書・記録は5年間保存しなければなりません。
産業保健スタッフが健康管理等を通じて得た情報 同法全般
  • 産業医、産業看護師・保健師、衛生管理者、心理相談員等が日常の健康相談、職場巡視、面談を通じて得たカルテ、保健指導メモ、心理カウンセリング記録などが該当します。
  • 産業保健スタッフには非常に厳格な守秘義務(刑法第134条の秘密漏洩罪、安衛法等)が課されており、たとえ社内の人事や経営陣であっても、労働者の生命の危機等の緊急事態を除き、本人の同意なき情報共有はできません。人事に共有してよいのは、あくまで「就業上の措置(働かせてよいか否か、必要な制限内容)」という結論のみです。
労働者が任意に提供した病歴・通院状況・疾病管理情報 任意提供
  • 個人情報保護法上の「要配慮個人情報」に該当し、不当な差別や偏見を生まないよう、取得・管理には細心の注意が必要です(労働省告示「雇用管理に関する個人情報のうち健康情報を取り扱うに当たっての留意事項」等)。
  • 労働者が両立支援(病気と仕事の両立:がん、人工透析、難病等)や復職支援、合理的な配慮を求めて自発的に開示した主治医の診断書や通院シフト希望等が該当します。取得目的(就業配慮)をあらかじめ明確にし、同意を得た範囲内でのみ利用し、関係のない同僚や上司へ無断で漏洩させないためのアクセス権制限(鍵付き書庫、パスワードロック)の徹底管理が不可欠です。
がん検診・人間ドック等の法定外健診の結果 任意提供
  • 福利厚生等で会社が費用補助をして人間ドック等を受けさせる場合であっても、その全データを会社が自動的に閲覧・取得することはできません(要配慮個人情報のため、事前の包括的または個別の同意書取得が必要)。
  • 法定健康診断(2列目1行目)の「代用」として人間ドック結果を利用する場合は、法定健診に定められた必須項目(血圧・胸部レントゲン等)のみを抽出して会社が取得・保存(5年間)する運用が適法です。法定外の項目(胃カメラ、がん腫瘍マーカー等)のデータについては、原則として産業医・保健師のみが健康指導目的で閲覧・管理する「情報の切り分け(セパレーション)」を社内規程(健康情報取扱規程)で構築しておくことが、2026年現在の労務・個人情報ガバナンスにおける至適解です。

労働安全衛生法第104条:健康情報保護の法的根拠

2019年4月の働き方改革関連法施行に伴う労働安全衛生法改正により、第104条「心身の状態に関する情報の取扱い」が新設されました。

条文の内容

条項(根拠法令) 事業者が講ずべき措置・義務の内容 目的 / 大臣の権限
労働安全衛生法
第104条第1項
この法律又はこれに基づく命令の規定による措置の実施に関し、労働者の心身の状態に関する情報を収集し、保管し、又は使用するに当たっては、以下のように取り扱わなければなりません。
  • 【収集】労働者の健康の確保に必要な範囲内で行うこと
  • 【保管・使用】当該収集の目的の範囲内で行うこと
【目的】
労働者の心身の状態に関する情報の適正な取扱いの担保
労働安全衛生法
第104条第2項
健康情報を取り扱う際の適正管理のための措置を講じる義務が事業者に課されています。
【具体的措置の対象】安全管理・秘密保持等
事業主に対する
「義務化」
労働安全衛生法
第104条第3項
厚生労働大臣が、労働者の心身の状態に関する情報の適正な取扱いのために事業者が講ずべき措置に関する指針(健康情報取扱指針)を公表します。 厚生労働大臣による
「事業者に対する指導等」を行うことができる根拠
参照:弁護士法人ALG「健康情報(要配慮個人情報)の保護」を元に当法人にて加筆

健康情報取扱指針の位置づけ

厚生労働省は2018年9月に「労働者の心身の状態に関する情報の適正な取扱いのために事業者が講ずべき措置に関する指針」(健康情報取扱指針)を公表し(令和4年3月31日一部改正)、事業場における健康情報の取り扱いの基本原則・健康情報取扱規程の策定方法・取り扱える者の範囲等について具体的に定めています。

この指針は、ストレスチェック指針・メンタルヘルス指針等にも含まれる健康情報の取り扱いに関するルールを統合・包括する位置づけにあります(独立行政法人労働者健康安全機構「産業保健21」第97号)。

健康情報取扱規程の策定義務

健康情報取扱指針は、すべての事業場(規模を問わず)に対して「健康情報等の取扱規程(健康情報取扱規程)」を策定することを義務として求めています(2019年4月施行)。

健康情報取扱規程の必須記載事項

健康情報取扱指針が定める規程の記載事項は以下のとおりです。

規程の策定事項 具体的な策定内容(元テキスト通り) 人事担当者・産業保健スタッフの実務における不足・補足事項
健康情報を取り扱う目的・取扱方法 健康情報を取り扱う目的・取扱方法として、どの健康情報をどのような目的で収集・保管・使用・加工・消去するかを明示します。 利用目的は「労働者の健康確保および就業適合性判定(適切な就業上の措置)に必要な範囲」に限定しなければなりません。取得した精神・身体の健診データを、本人の同意なく賞罰、解雇、不当な配置転換等の「人事権の恣意的な行使」へ直接流用(目的外利用)することを規程上明確に禁止します。就業規則(安全衛生管理規則等)の下位規程として本規程を正式にビルドイン(法的位置づけの明確化)することが実務の前提です。
健康情報を取り扱う者とその権限・取り扱う情報の範囲 健康情報を取り扱う者とその権限・取り扱う情報の範囲として、誰がどの健康情報に接触できるか・その権限の範囲を明示します(後述)。 「健康情報取扱担当者」を人事労務課の特定のメンバーや常勤保健師等に限定し、役職名(例:労務課長、専任担当者○名)で明確に指定します。一般のライン長(上司)や人事権を持つ役員は、原則として生データ(診断名や血液数値、ストレスチェックの個別回答など)への接触権限から完全に隔離(チャイニーズウォールの構築)し、共有する情報の範囲を「産業医の就業上の意見(結論)」のみに制限する役割マトリクスを策定します。
目的・取扱方法等の通知方法および本人同意の取得方法 目的・取扱方法等の通知方法および本人同意の取得方法として、労働者本人への情報利用目的の通知方法と、必要な場合の同意取得手続きを定めます。 法定健診の結果(会社に実施義務があるもの)は社内通知による目的明示で足りますが、ストレスチェック結果の事業者提供(面接指導の申出をしていない場合)や、任意提供の通院情報、人間ドックの法定外項目等の取得には、個別具体的な「書面による本人の同意取得手続き」が不可欠です。また、本人が同意を拒否した場合、それを理由とした不利益取扱いを完全に禁止する旨を明文化し、自発的なSOS(二次予防)を阻害しない設計にします。
健康情報の適正管理の方法 健康情報の適正管理の方法として、アクセス制限・施錠管理・電子データの暗号化等、安全管理のための具体的な措置を定めます。 物理的書面は施錠された「健康情報専用書庫」で管理します。電子データ(クラウドシステム等)については、一般の人事給与データベースから完全に独立したアクセス権限を敷き、二要素認証やファイルの暗号化、および「誰がいつ閲覧したか」のアクセスログを定期監査する仕組みを明記します。また、労働安全衛生法が定める5年間の法定保存期間(一部特殊健診は最長30年)が終了した後の、安全かつ確実な「データの消去・廃棄手順」もスケジュール化します。
健康情報の開示・訂正・使用停止等の方法 健康情報の開示・訂正・使用停止等の方法として、本人からの開示請求・訂正・使用停止の申し出への対応手順を定めます。  個人情報保護法に基づく本人からの開示請求窓口(人事または衛生委員会事務局)と、請求書面の様式、開示に要する期間(原則として遅滞なく)を定めます。ただし、産業医の面談メモ等で、「本人に開示することにより、その精神症状を著しく悪化させる、または主治医との治療関係を破壊するなど、本人の健康・生命に重大な支障を及ぼす恐れがある場合」の、医療上の判断に基づく一部不開示措置の手順および産業医による判定プロセスを盛り込みます。
健康情報の第三者提供の方法 健康情報の第三者提供の方法として、社内の関係者・社外の機関等へ情報を提供する際の手順と同意取得の方法を定めます。 復職支援(三次予防)に伴う主治医への情報提供や、派遣先への就業配慮通知、健康保険組合との共同事業(コラボヘルス)等へデータを提供する際、提供先・目的・提供項目を明示した「第三者提供同意書」をあらかじめ取得する手順を敷きます。ただし、「労働者本人の精神障害の悪化等により自殺の危険(自傷他害の恐れ)が極めて高く、緊急に医療機関や家族と連携しなければ本人の生命が守れない場合(法第27条第1項第2号:生命・身体の保護のための緊急事態)」の、本人の同意を要しない例外運用の判定ルート(産業医の承認フロー)をあらかじめ定めておきます。
事業承継・組織変更に伴う健康情報の引継 事業承継・組織変更に伴う健康情報の引継として、合併・分社・組織変更の際の健康情報の適切な引継方法を定めます。  吸収合併等の「包括承継」においては、法理上、健康情報も新会社へ原則自動的に引き継がれます。しかし、2026年現在の多様なM&A・組織再編において、会社分割(分社化)や事業譲渡、子会社への転籍等の「特定承継」のスキームをとる場合、要配慮個人情報である健康情報は自動的には移転しません。新会社へ転籍する従業員全員から「健康情報の新会社移転に関する個別同意書」を組織変更の実行日より前に完全に回収し終える実務タイムライン(タスクスケジュール)を人事計画に組み込む必要があります。
健康情報の取扱いに関する苦情の処理 健康情報の取扱いに関する苦情の処理として、労働者からの苦情・問い合わせへの対応窓口と手続きを定めます。  「上司に診断内容が漏れているのではないか」といった従業員の不信感や苦情を処理するため、一般の人事ルートから独立した相談窓口(例:衛生委員会苦情処理小委員会、外部EAP窓口等)を設置します。苦情の申し出を行ったことを理由とする労働者への一切の不利益取扱い(ハラスメントや評価下げ等)の禁止を規程に明記し、事実関係の調査プロセスにおいて「産業医および外部の弁護士(リーガル顧問)」が客観的に関与するルートを確保して、組織の自浄作用と信頼のインフラを担保します。

策定の手順

健康情報取扱規程を策定する際の基本的な手順は以下のとおりです。

実務上のプロセス 具体的な策定・実施内容(元テキスト通り) 人事担当者・産業保健スタッフの実務における不足・補足事項
労使間の協議 労使間の協議として、規程の原案を作成し、常時50人以上の事業場では衛生委員会または安全衛生委員会での審議を行います。50人未満で衛生委員会の設置がない事業場においても、集会・会合等の場を設けて労働者の意見を聴取することが求められます。 衛生委員会での審議にあたっては、労働者側委員の選出において「労働者の過半数で組織する労働組合(ない場合は労働者の過半数を代表する者)」からの適切な推薦手続きを経る必要があります(労働安全衛生法第18条)。これに瑕疵があると委員会の決議自体が法的に無効化されます。また、審議を行った議事録は作成し、3年間保存する義務があります(安衛則第23条)。50人未満の事業場における意見聴取についても、実施した「集会・会合の議事メモ」を残し、意見聴取の事実(エビデンス)を保管することが実務上必須です。
就業規則への記載 就業規則への記載として、従業員の承認を得た内容を就業規則に記載、または別規程として整備します。 健康情報の取扱いは労働基準法第89条第10号の「労働者の安全及び衛生」に関する事項、すなわち相対的必要記載事項に該当します。したがって、内容を就業規則に直接追記する場合だけでなく、「健康情報取扱規程」等の別規程(附属規程)として独立して整備する場合であっても、単に社内完結させることはできず、過半数組合(または過半数代表者)の署名・捺印のある「意見書」を添付した上で、管轄の労働基準監督署長へ届け出る義務(労働基準法第90条)が生じる点を見落としてはなりません。
社内周知 社内周知として、策定した規程を掲示・書面配布・イントラネットへの掲載等の方法で全従業員に周知します。 労働基準法第106条(法令等の周知義務)および最高裁判例(フジ興産事件等)に基づき、規程は単に「サーバーの奥深くに格納した」だけでは周知と認められず、法的な効力を発揮しません。従業員が「いつでも、自らの意思で自由に閲覧・確認できる状態」が担保されている必要があります。実務上は、イントラネットのトップページへの常設リンク、新入社員研修時の個別ガイダンス、パート・アルバイト等の非正規社員を含めた全社アナウンスの実施記録(ログ)を保持し、周知の「実効性」を担保します。
定期的な見直し 定期的な見直しとして、法令改正・技術の変化・社内体制の変化に応じて規程を見直します。 少なくとも年に1回、あるいは2〜3年周期(個人情報保護法の定期見直しサイクル等)での定期監査プロセスを衛生委員会の年間計画に組み込みます。また、2026年現在のようにクラウド勤怠や生成AIを活用した産業保健システムの刷新といった「技術の変化」、M&Aや分社化といった「組織変更」、あるいは厚生労働省が発信する健康情報取扱マニュアル等の「法改正・指針の更新」が起きた際は、それを明示的なトリガー(契機)として臨時委員会を招集し、ステップ1(労使協議)から再ランさせる仕組みを規程内に明記します。

健康情報を取り扱える者の範囲

健康情報を誰が取り扱えるかについて、健康情報取扱指針は役職・立場に応じた明確な区分を定めています。これが実務上最も混乱が生じやすいポイントのひとつです。

健康情報を取り扱う主体 具体的な取扱定義・権限の範囲(元テキスト通り) 人事担当者・産業保健スタッフの実務における不足・補足事項
産業保健スタッフ
(直接取り扱う必要がある者)
産業医等・産業保健師等(保健師・看護師)・衛生管理者等・事業場内メンタルヘルス推進担当者は、健康情報を直接取り扱うことが想定される担当者です。産業医等は面接指導や健康診断の結果を直接管理し、就業上の意見を事業者に提供する際には「情報を加工したうえで」提供します。具体的には診断名・検査値・具体的な症状の詳細等の加工前の情報は提供せず、「業務内容の変更を要する」「残業を制限する必要がある」といった就業上の措置として必要な情報に限定して伝えることが求められます(厚生労働省・健康情報取扱指針)。 産業医や保健師等の医療職は、労働安全衛生法第105条(秘密保持)および刑法第134条(秘密漏洩罪)に基づき、最も厳格な守秘義務を負う最高権限者です。実務上は、産業医が書く「就業上の意見書」のフォーマット自体をハック(最適化)し、「診断名」の欄を最初から排除します。「通常勤務」「就業制限(残業制限、深夜業禁止等)」「要休業」の3大就業区分と、配慮が必要な期間のみを記述する仕組み(標準化)を徹底し、人事への生データの流出を水際でブロックします。
人事労務担当者
(一般に取り扱うことが想定される者)
人事労務担当者は就業上の措置の実施のために健康情報を取り扱うことが想定されますが、取り扱える情報は「就業上の措置の実施に必要な最小限の情報」に限られます。健康診断の有所見の事実や就業上の配慮が必要という情報は受け取ることができますが、具体的な診断名・検査数値・詳細な症状等を知る必要はなく、受け取るべきでもありません。  人事部全員に閲覧権限を与えるのはガバナンス違反です。規程上、「健康情報取扱担当者」を労務課長などの特定役職(○名)に限定指名します。また、実務上で回収した「産業医の意見書」や「就業上の措置記録」は、従業員の通常の人事評価ファイル(履歴書、昇進査定シート等)とは物理的・システム的に完全に隔離して保管しなければなりません。採用担当者や、当該労働者の異動先を検討する人事メンバーが、過去の病歴等の生データを覗き見できない独立したフォルダ権限設定が絶対条件です。
管理監督者
(限定的に取り扱うことが想定される者)
管理監督者(上司)は、直属の部下に就業上の措置を実施するために必要な最小限の情報のみを受け取ることができます。原則として「○○さんは残業を制限する必要があります」「業務の負荷を軽くする配慮をお願いします」といった措置の内容の伝達に限定され、診断名・具体的な症状・健康診断の数値等の詳細な健康情報を管理監督者に開示することは適切ではありません。 直属の上司(ライン長)に対しては、人事がハブとなり「措置命令(例:当面の間、残業を月20時間以内、出張禁止とする)」という形でのみ情報を提供します。上司は、以前ハックした「ラインケア(2行目)」の責任においてこの配慮措置を現場で100%遵守する強行義務(安全配慮義務の履行代行)を負いますが、部下本人に対して「何病なんだ?」「メンタルか?」などと病名や理由を深く詮索・問い詰める行為を規程上厳禁とします。また、メールや口頭での周囲への情報漏洩(プライバシー侵害)を防ぐための伝達マニュアルの整備が必要です。

取り扱える情報の範囲の原則(早見表)

立場 取り扱える情報 注意点
産業医等 すべての健康情報 事業者への提供は加工後の最小限の情報に限定
産業保健師等 健康管理に必要な健康情報 目的外使用の禁止・秘密保持義務
人事労務担当者 就業上の措置実施に必要な最小限の情報 診断名・数値等の詳細は不要
管理監督者 就業配慮の実施に必要な最小限の情報 詳細な健康情報の開示は不適切
その他の役員・社員 原則として取り扱わない 本人の同意なしに開示することは禁止

出典:厚生労働省「労働者の心身の状態に関する情報の適正な取扱いのために事業者が講ずべき措置に関する指針」・弁護士法人ALG「健康情報(要配慮個人情報)の保護」をもとに作成

産業保健スタッフの守秘義務

産業医等・保健師・看護師は、法律上の守秘義務を負っています。

産業医については、医師法・刑法第134条(秘密漏示罪)に基づく守秘義務が課されており、業務上知り得た秘密を正当な理由なく漏らした場合は6か月以下の拘禁刑または10万円以下の罰金の対象となります。保健師・看護師については、保健師助産師看護師法第42条の2に基づく守秘義務が課されています。労働安全衛生法上、健康診断・長時間労働者への面接指導・ストレスチェック等の実施に関する事務を取り扱う者(実施事務従事者を含む)にも守秘義務が課されています(同法第105条・第104条第2項)。

守秘義務は「退職後も継続する」点も重要です。産業保健スタッフが離職した後も、在籍中に知り得た情報の秘密保持義務は継続します(独立行政法人労働者健康安全機構「産業保健21」第97号)。

健康情報を収集・取得する際のルール

健康情報を収集・取得する際の主なルールを整理します。

収集・選考における項目 具体的な法規要件および実務運用の詳細(原文通り)
目的の明示と本人通知 目的の明示と本人通知として、健康情報を収集する際は事前に利用目的を明確にし、本人に通知することが必要です。法定健康診断の実施・ストレスチェックの実施等は法律上義務として実施されるため、その目的で収集することは本人への通知として認められています。
法定外情報の取得には同意が必要 法定外情報の取得には同意が必要として、法定の健康診断・ストレスチェック以外の健康情報(任意の人間ドック・法定外検診のオプション項目・本人の申告による病歴等)を事業者が収集・利用するためには、原則として本人の同意が必要です。
採用選考での健康情報収集の制限 採用選考での健康情報収集の制限として、採用選考段階で応募者に健康情報の提出を求めることは、特定の疾患を理由とした不採用につながるリスクがあり、適切な雇用管理に必要な範囲を超えると判断される場合があります。採用後であっても、業務遂行上の必要性が認められる範囲に限定することが求められます。

健康情報を理由とした不利益取扱いの禁止

事業者が産業保健活動・ストレスチェック等を通じて把握した労働者の健康情報を理由として、以下のような不利益な取扱いを行うことは一般的に合理的ではなく、事業者はこれらを行ってはなりません(厚生労働省・メンタルヘルス指針第8項・ストレスチェック指針)。

解雇すること、期間を定めて雇用される者について契約の更新をしないこと、退職勧奨を行うこと、不当な動機・目的をもってなされたと判断されるような配置転換または職位(役職)の変更を命じること、その他の労働契約法等の労働関係法令に違反する措置を講じることの5点が禁止事項として明示されています。

これらの禁止は、ストレスチェックの受検有無・面接指導の申出の有無・検査結果の事業者への提供への不同意等を理由とした不利益取扱いについても同様に適用されます(労働安全衛生法第66条の10第3項・厚生労働省・ストレスチェック指針)。

違反した場合の罰則・リスク

健康情報の取り扱いに関するルールに違反した場合の主な罰則・リスクを整理します。

違反・リスクの種類 具体的な法的ペナルティの内容および経営・民事上のリスク詳細(原文通り)
守秘義務違反(産業医等) 守守秘義務違反(産業医等)として、産業医等が正当な理由なく業務上知り得た秘密を漏らした場合、刑法第134条により6か月以下の拘禁刑または10万円以下の罰金の対象となります。
個人情報保護法違反 個人情報保護法違反として、個人情報保護委員会の是正勧告・命令に従わない場合や虚偽報告をした場合は1年以下の拘禁刑または100万円以下の罰金、個人情報データベース等の不正提供・盗用の場合は1年以下の拘禁刑または50万円以下の罰金が科される可能性があります(個人情報保護法第173条〜第185条)。
労働安全衛生法違反 労働安全衛生法違反として、第105条の守秘義務に違反した場合は50万円以下の罰金の対象となります(同法第120条)。
安全配慮義務違反 安全配慮義務違反として、健康情報の不適切な取り扱いにより労働者が損害を受けた場合、民事上の損害賠償責任が生じるリスクがあります。また健康情報の不適切な開示が人事評価・昇進等に影響したことが明らかになった場合、不当な不利益取扱いとして損害賠償請求の対象となりえます。

健康情報の安全管理措置

健康情報の安全管理のために事業者が講じるべき主な措置を整理します。

安全管理・運用の項目 具体的な安全管理措置および運用の詳細(原文通り)
アクセス制限 アクセス制限として、健康情報を保管するシステム・ファイル等へのアクセス権限を、取り扱う必要のある担当者に限定します。紙媒体の健康情報は鍵のかかる場所で保管します。
電子データの安全管理 電子データの安全管理として、健康情報を含む電子データはパスワード設定・暗号化・アクセスログの記録等の安全管理措置を実施します。クラウドサービス・外部記録媒体の利用については、情報漏洩リスクを考慮した取り扱いルールを定めます。
委託先の管理 委託先の管理として、健康情報の取り扱いを外部に委託する場合(健診機関・ストレスチェック外部委託等)は、委託先の安全管理体制を確認し、委託契約に守秘義務・再委託の制限等を明記します。
教育研修 教育研修として、健康情報を取り扱う担当者(産業保健スタッフ・人事労務担当者等)に対して、個人情報保護・守秘義務・適正な取り扱い方法に関する研修を定期的に実施します。

社員の個人情報・健康情報の保護に関するよくある質問

Q 健康診断の結果を上司に報告してよいですか?
A

原則として本人の同意なしに上司へ個別の健康診断結果を報告することはできません。報告してよいのは、就業上の措置の実施に必要な最小限の情報(「業務負荷を軽減する必要がある」等)を、産業医の意見に基づいて伝える場合に限られます。診断名・検査数値・具体的な症状等の詳細な健康情報を上司に開示することは、個人情報保護法・労働安全衛生法上の守秘義務に抵触するリスクがあります。

Q ストレスチェックの結果は会社に見せてよいですか?
9 JST.

本人の同意がない限り、事業者(会社)にストレスチェックの個人結果を提供することは禁止されています(労働安全衛生法第66条の10第2項)。例外として、高ストレスと判定された本人が面接指導の申出を行った場合は、面接指導の実施に必要な情報が産業医経由で事業者に伝えられます。集団分析(5人以上の集計単位)の結果は、個人が特定されない形であれば事業者が活用することができます。

Q 採用面接で健康状態・既往歴を聞いてもよいですか?
A

業務遂行に直接関係のない健康状態・既往歴の質問は、就職差別につながるとして厚生労働省が就職採用時の配慮事項として不適切と位置づけており、避けることが求められます。業務遂行上の安全配慮等から必要がある場合(特定の有害業務・高ストレス業務等)に限り、採用後に産業医等を通じて確認することが適切な手順です。

Q 退職した社員の健康情報はいつまで保管する必要がありますか?
A

健康診断個人票の保存期間は法定5年間です(労働安全衛生規則第51条)。特殊健康診断(有機溶剤・特定化学物質・放射線業務等)については種類によって5年・30年・40年など異なる保存期間が設定されています。退職後も法定の保存期間が終了するまでは適切に保管し、期限が来た時点で適切な方法で廃棄することが必要です。

Q 健康情報取扱規程のひな型はどこで入手できますか?
A

厚生労働省が2019年3月に「事業場における労働者の健康情報等の取扱規程を策定するための手引き」を公表しており、規程のひな型・策定方法・Q&Aが含まれています。厚生労働省のウェブサイトから無料でダウンロードできます。また、産業保健総合支援センター(さんぽセンター)でも規程策定に関する相談を受け付けています。

Q 10人未満の小規模事業場でも健康情報取扱規程の策定は必要ですか?
A

規程策定の義務はすべての事業場(規模を問わず)に課されています。10人未満の事業場は衛生委員会の設置義務がありませんが、衛生委員会での審議に代わる形で労働者の意見を聴取する機会を設けたうえで規程を策定することが求められます。さんぽセンターへの相談や、厚生労働省の手引きのひな型を活用することで、小規模事業場でも策定を進めやすくなります。

Q 健康情報をクラウドサービスで管理する際の注意点は何ですか?
A

健康情報をクラウドサービスを利用して健康情報を管理する場合、サービス提供事業者への「委託」として個人情報保護法上の監督義務が生じます。委託先の選定にあたっては個人情報保護体制・セキュリティ認証(ISO27001等)の確認必要であり、委託契約書に守秘義務・安全管理措置・再委託の制限・事業終了時のデータ消去等を明記することが求められます。なお、クラウドサービスへの情報保管が「第三者提供」に当たるかどうかは、そのサービスの利用形態によって異なります。不安な場合は個人情報保護委員会のガイドラインや専門家への相談を活用してください。

「管理するため」でなく「守るため」の健康情報取り扱い

社員の健康情報は、適切に保護されることで「安心して産業保健サービスを利用できる」という信頼の基盤をつくります。ストレスチェックへの受検率・産業医への相談件数・保健師への相談のしやすさは、すべて「自分の情報が適切に守られる」という社員の信頼感と直結しています。

当解説記事でご紹介したとおり、2019年の労働安全衛生法改正による健康情報取扱規程の策定義務は、健康情報の取り扱いを「ルール化して全社員に周知する」ことを事業者に求めるものです。策定が未完了の事業場はまず厚生労働省の「事業場における労働者の健康情報等の取扱規程を策定するための手引き」を参照し、さんぽセンターへの相談も活用しながら、衛生委員会での審議を経た規程整備を進めることをお勧めします。

健康情報を「管理するため」ではなく「社員の権利を守るため」に扱うという姿勢が、信頼される産業保健・健康経営の基盤となります。

社員の個人情報・健康情報の保護に関する主要情報へのクイック参照表(リンク集)