企業や組織が従業員の健康情報を適切に管理することは、コンプライアンス上の重要な課題です。特に、「要配慮個人情報」 は個人情報保護法上も厳格な取り扱いが求められ、適切な運用をしなければ法的リスクを伴います。
本記事では、「要配慮個人情報とは何か」「健康情報取り扱い規定で求められるポイント」「企業が実践すべき対応策」 について、わかりやすく解説します。
1.要配慮個人情報とは？
要配慮個人情報の定義
「要配慮個人情報」は、個人情報保護法第2条第3項で**「本人に対する不当な差別、偏見、その他の不利益が生じる可能性がある情報」**として定義されています。
具体的には、以下の情報が含まれます。
- 人種・信条・社会的身分
- 病歴・健康診断結果・精神疾患情報
- 障害・障害者手帳の有無
- 遺伝情報・DNA情報
- 犯罪歴・被害歴
- 性的指向・性自認
特に健康情報（健康診断結果や病歴、メンタルヘルス情報など）は、要配慮個人情報として厳格な管理が求められるため、企業は適切な運用ルールを整備する必要があります。
2.健康情報取扱規定とは？
企業が従業員の健康情報を管理する際には、「健康情報取扱規定」を適切に運用しなければなりません。
厚生労働省が策定した**「事業場における労働者の健康情報等の取扱規程を策定するための手引き」**では、以下のような点が求められています。
(1) 健康情報の取り扱い目的の明確化
健康情報の取り扱いは、企業の事業運営のために必要な範囲に限定されるべきです。
具体的には、以下のような目的での利用が認められています。
✅ 労働安全衛生法に基づく健康診断の実施・管理
✅ 従業員の健康確保・安全配慮義務の履行
✅ ストレスチェック・メンタルヘルス対策の実施
✅ 就業制限の判断（業務遂行能力に関する評価）
✅ 産業医・保健師による健康相談・指導
逆に、人事評価や労働者への不利益な処遇に使用することは厳しく制限されるため、企業はその点を遵守する必要があります。
(2) 健康情報の管理責任者を明確にする
企業は、健康情報を適切に管理するために、「健康情報取扱責任者」 を任命しなければなりません。
💡 管理責任者になり得る人の例
✅ 常勤産業医・保健師
✅ 人事・労務担当者（ただし、健康情報の詳細は開示されるべきではない）
✅ 衛生管理者・安全衛生委員会
また、企業の従業員全員が健康情報を自由に閲覧できる状態は個人情報保護法違反となるため、管理者の権限を明確にし、アクセス制限を設けることが求められます。
(3) 健康情報の取得時の同意取得
要配慮個人情報である健康情報は、原則として「本人の同意」を得た上で収集・管理しなければなりません。
健康診断の結果や病歴などは、本人の明確な同意なしに第三者（会社の上層部や他部署）へ共有することは法律違反となる可能性があります。
📌 例外的に同意なしで情報提供が可能なケース
- 労働安全衛生法に基づく企業の義務を履行する場合（健康診断実施や長時間労働者の健康管理）
- 複数の従業員が被害を受けているケース（例えば、職場内でハラスメントが発生している場合）
- 本人の生命・健康に重大な影響が及ぶリスクがある場合（自傷行為や精神的危機）
(4) 健康情報の適正な管理
健康情報の適正な管理を行うために、企業は**「収集」「保管」「使用」「提供」「消去」のルール**を明確に策定する必要があります。
💡 健康情報の取り扱いルール例
✅ 収集：健康診断・ストレスチェック結果は、産業医・保健師が一括管理
✅ 保管：電子データはパスワード管理し、紙データは施錠保管
✅ 使用：健康確保措置に必要な範囲でのみ利用（人事評価に使わない）
✅ 提供：本人の同意がある場合を除き、第三者提供を禁止
✅ 消去：必要がなくなった情報は適切に廃棄（法定期間を経過した健康診断結果など）
企業は、これらのルールを従業員に周知し、不適切な取り扱いが発生しないよう徹底することが求められます。
(5) 健康情報の苦情対応と違反時の措置
健康情報の取り扱いに関する苦情や問い合わせに対応するため、企業は苦情処理窓口を設置することが推奨されています。
⚠ 違反が発生した場合のリスク
- 個人情報保護法違反による罰則（6ヶ月以下の懲役または30万円以下の罰金）
- 労働基準監督署からの指導・勧告
- 従業員からの損害賠償請求や訴訟リスク
違反が発生しないよう、従業員向けの研修を実施し、ルールを徹底することが重要です。
3. まとめ
企業における健康情報の管理は、「要配慮個人情報」として特に厳格なルールが求められるため、適切な取り扱いを徹底する必要があります。
✅ 健康情報取扱規定のポイント
✔ 健康情報は労働安全衛生目的のみに使用する（人事評価には使わない）
✔ 管理責任者を明確にし、アクセス制限を設ける
✔ 本人の同意なしに情報提供しない（ただし、例外規定あり）
✔ 適正な管理ルールを策定し、違反時の対応策を整備する
これらを徹底することで、企業のコンプライアンスリスクを防ぎ、従業員のプライバシーを適切に保護することができます。