こども性暴力防止法、情報管理対応が簡単ではない理由

こども性暴力防止法(いわゆる「日本版DBS」。以下「法」といいます。)の施行まで4か月を切り（※記事執筆時点）、情報管理措置について調べ始めた担当者の方も増えているかと思います。

ガイドラインを読むと、「組織的」「人的」「物理的」「技術的」という分類が出てきますが、これは個人情報保護法が求める安全管理措置と対応する形で整理されたものです。プライバシーマークを取得していたり、個人情報保護方針を整備済みの事業者であれば、見たことがあると感じるのではないでしょうか。

ただ、この「見慣れた型」であることが、かえって落とし穴になりかねません。対応関係にあることと、水準まで同じであることは別の話だからです。ガイドラインを読み込むと、「標準的措置」として示されている水準も、性犯罪歴という情報の特殊性から生じる要求も、決して軽いものではないことがわかります。

この記事では、情報管理措置がなぜ「見慣れた型なのに侮れない」のか、その構造を整理します。

情報管理措置は、個人情報保護法の「安全管理措置」と対応関係にある

個人情報保護法ガイドラインが事業者に求める安全管理措置は、基本方針の策定に加えて、組織的・人的・物理的・技術的・外的環境の把握という規律の整備を求めています。こども家庭庁が公表したガイドラインは、この個人情報保護法ガイドラインとの整合性を踏まえて、法に基づく情報管理規程に盛り込むべき組織的・人的・物理的・技術的情報管理措置を整理しており、両者の策定項目は対照表の形で示されています。

それぞれの分類に、具体的にどのような措置が対応するかを見てみます。

• 組織的情報管理措置:組織体制の整備、情報管理規程に基づく運用、取扱記録の記載項目の整理、漏えい等事案への対応体制、取扱状況の把握と見直し(監査を含む)
• 人的情報管理措置:取扱者への周知・研修
• 物理的情報管理措置:区域の管理、機器・電子媒体等の盗難防止、持ち運び時の漏えい防止、廃棄・消去
• 技術的情報管理措置:アクセス制御、アクセス者の識別・認証、不正アクセス等の防止、情報システム使用に伴う漏えい防止

個人情報保護の実務に触れたことがある方であれば、この並びに既視感を覚えるかと思います。実際、多くの施設がすでに個人情報保護方針や安全管理措置の体制を一定程度持っていると思いますので、この既視感が「うちはある程度対応できている」という安心感につながりやすい構造になりやすいです。

「標準的措置」と「最低限求められる措置」、水準の違いを取り違えない

情報管理規程に盛り込む措置は、ガイドラインが示す次の2つの水準から選択します。

• 標準的措置:実施に困難をきたすなどの特別な事由がない限り、相応に実施されるべき基本的水準の措置
• 最低限求められる措置:小規模事業者等の負担に配慮し、標準的措置の水準を一部緩和した措置。全ての事業者が、施設・事業単位で満たすべきもの

この2つの水準のうちどちらかを選択することになりますが、ガイドラインは最低限求められる措置を一律の推奨水準としているわけではなく、可能な限り標準的措置に基づく規程を選択し、その水準を満たすよう努めることを求めています。これを踏まえて、どちらを採用するかは自施設の事情を踏まえて判断する必要がある、という点をまず押さえておく必要があります。

物理的情報管理措置を例に、両者の違いを具体的に見てみます。
犯罪事実確認記録等を保管する「管理区域」(サーバー等の重要な情報システムを管理する区域)については、施錠・鍵の管理・入退室管理(ICカード・生体認証・ワンタイムパスワード等)は標準的措置・最低限求められる措置の双方に共通して例示されています。両者の主な違いは、警備システムの導入や警備員の配置が標準的措置のみに含まれる点です。

違いがより明確なのは、犯罪事実確認記録等を取り扱う事務を行う「取扱区域」です。
標準的措置では「区域を限定」した上で、管理手法の例として施錠・入退室管理・警備システム等が示されているのに対し、最低限求められる措置では「区域を特定」し、権限を有しない者による閲覧等を防止する適切な管理を行うことが求められます。最低限求められる措置における管理手法の例として、間仕切りの設置、座席配置の工夫、のぞき込み防止措置などが示されています。区域の限定が難しい場合には、時間帯で利用を区切るといった工夫も挙げられています。「限定」と「特定」、そこに紐づく管理手段の幅の違いが、両者の実質的な差です。

組織的情報管理措置についても、標準的措置には、責任者・担当者の設置に加えて「犯罪事実確認記録等の管理に関する監査を行う者を設置する」という項目があります。加えて、情報管理措置の運用状況を定期的に見直す場面でも、標準的措置では自己点検に加えて他部署等による監査を行うことが求められており(最低限求められる措置では自己点検又は監査のいずれか)、その監査の方法の例として、部署を分けた内部監査・外部監査と並んで「情報処理安全確保支援士等のセキュリティ資格を保有する者が実施」することが挙げられています。
規程を作って終わりではなく、取扱部署から一定の独立性を持った立場から定期的に確認する体制まで含めて「標準的」とされている、という点は見落とされやすい部分ですが、適切かつ安全な情報管理のためにはとても重要です。

「入退室管理システムを入れ、規程を1本作ればよい」という単純な話ではなく、複数の措置を組み合わせて、実際に機能する状態を作ることが求められている、という点が実務上のハードルになります。

性犯罪歴という情報だからこそ上乗せされる要求

情報管理措置がさらに侮れない理由は、一般的な個人情報保護の実務だけでは足りない点にあります。

犯罪の経歴や刑事事件に関する手続が行われたことを含む個人情報は、個人情報保護法上の要配慮個人情報に該当します。特定性犯罪事実がある旨の情報や、その詳細を含む特定性犯罪事実関連情報は、こうした極めて機微性の高い情報です。加えて、本法は犯罪事実確認記録等そのものについて、個人情報保護法とは別に厳格な情報管理を求めています。そのため、通常の安全管理措置に加えて、次のような固有の規制が課されています。

要配慮個人情報についてはこちらのブログもご参照ください
https://privacy.beans-g.jp/2024/07/sensitive-personal-information

業務外での口頭開示も違反になり得る
法第39条は、業務に関して知り得た情報を「みだりに他人に知らせてはならない」と定めています。これは職場の中だけの話ではありません。たとえば懇親の場で「先日面接に来た人が性犯罪歴のある人だった」と話してしまうことも対象になり得ます。違反した場合、1年以下の拘禁刑または50万円以下の罰金という刑事罰の対象です。仕事の話として何気なく話すということが罰則につながる可能性がある、という点は、一般的な情報管理研修では扱われにくい内容です。

異動・退職時は、アクセス権の解除と記録の廃棄を分けて考える
技術的情報管理措置は、異動又は退職する者等が発生した際には、即時に法関連システム及び情報システムからアクセス権を解除する手続を求めています。これは標準的措置・最低限求められる措置の双方に共通する要求で、「即時」がキーワードです。

これとは別に、法第38条は、犯罪事実確認記録等について、離職等の日から起算して30日を経過する日までに廃棄・消去しなければならないと定めています(このほか、確認日から5年後の年度末から30日、対象事業者に該当しなくなった日から30日という起算点もあります)。なお、これに違反すれば罰則（50万円以下の罰金）の対象です。

漏えい時の報告期限は、原則と例外を分けて押さえる
漏えい等が発生した場合、法律上は「速報」と「確報」をこども家庭庁へ報告することが求められており、ガイドラインはこの速報については、事態を知った日から起算しておおむね3〜5日以内(重大性が特に高い事案は可能な限り早く)という目安で示しています。
確報については、知った日から起算して原則30日以内ですが、不正の目的をもって行われたおそれがある行為による漏えい等の場合は60日以内とされています。個人情報保護法上の報告対象にも該当する場合は、個人情報保護委員会への報告もあわせて必要になります。

これらは、個人情報保護法の一般的な安全管理措置だけを整えていても、そのままではカバーしきれない部分です。「型」を知っていることと、この特有の要求まで織り込んで運用できることの間には、相応の距離があります。

情報管理規程の提出・変更届は、こども家庭庁が窓口になる

情報管理規程の提出タイミングは、事業者の立場によって異なります。認定を受けようとする民間教育保育等事業者の場合、情報管理規程は認定申請時の添付書類の一つです。一方、犯罪事実確認実施者等(国公立を除く)は、一人目の従事者の犯罪事実確認までに、作成した情報管理規程をこども家庭庁に提出することになっています(規則第12条第4項)。

情報管理規程の提出を怠ったまま交付申請が行われた場合、規程が提出されるまでの間は犯罪事実確認書が交付されません。また、認定を受けようとする(または認定を受けた)民間教育保育等事業者については、情報管理措置の基準(第二十条第一項第六号)に適合していないと認められる場合、是正命令や適合命令の対象となり、その措置が講じられたと認められるまでの間は犯罪事実確認書の交付が留保されます(法第35条第3項)。
「規程さえ提出すればそれで終わり」ではなく、特に認定事業者については内容が法令に適合していることまで求められている、という点は押さえておく必要があります。

内容を変更した場合には、あらかじめ届出書をこども家庭庁に提出しなければなりません(規則第12条第6項)。ただし、次の場合は軽微な変更として届出は不要です。

• 部署名・役職名の形式的な変更など、実質的な変更を伴わないもの
• 例示されている手法の変更など、情報管理措置の水準を維持したまま具体的な手法だけを変えるもの
• 最低限求められる措置から標準的措置への変更など、水準を向上させるもの

実態と合わない規程を後から実質的に変更するたびに、届出が必要となり得ると考えると、最初から自施設の実情に即した内容で整備しておくほうが、後々の手間を減らせます。情報管理規程のひな型は取扱者数やシステム外保存の有無によって別紙8〜10の3パターンが用意されていますが、テンプレートをそのまま使う場合も、自施設の保存形態や担当体制に合わせた調整が欠かせません。

情報管理規程の整備をどこから手をつければよいかについては、別の記事（こども性暴力防止法対応で必須の情報管理措置、規程ひな型選定後に整える3つの柱）でも整理していますので、あわせてご覧ください。

情報管理規程と、既存の「基本方針」の関係

民間の義務対象事業者や認定事業者等では、情報管理規程の整備・提出が必要であり、これは既存の文書があるかどうかにかかわらず変わりません。では、施設がすでに個人情報保護の体制を持っている場合、その体制はどう扱われるのでしょうか。

ガイドラインは、施設が個人情報保護法に基づいてすでに「基本方針」(個人情報の取り扱いに関する基本的な考え方を示す文書)を策定している場合の扱いについて、次のように整理しています。

なお、既に施設・事業所内における個人情報保護法に基づく基本方針を策定している場合は、法に基づく基本的事項が漏れなく含まれるよう、既存の基本方針を改定する等の対応が求められる(別途、法に基づく情報管理規程を定める場合の改定等は不要)。

つまり、情報管理規程を別途整備すれば、その中に法が求める基本的事項(取扱者を必要最小限にすること、記録・保存を極力避けること等)が盛り込まれるため、既存の個人情報保護の基本方針まで重ねて改定する必要はありません。整備の手間が二重にならないよう配慮された整理です。

ここで注意したいのは、これが「情報管理規程を作らなくてよい」という意味ではない点です。民間の義務対象事業者や認定事業者等にとって、情報管理規程は省略できるものではありません。既存の個人情報保護の体制があることで軽減されるのは、その体制自体を作り直す手間ではなく、周辺文書との重複整備の手間です。

整備の進め方と専門家の活用場面

情報管理規程の整備を始めるに当たって、まず取り組むべきことは、犯罪事実確認書に関してどのような情報を持つことになるかを棚卸しすることです。保存する書類の種類、形態(紙か電子データか)、使っているクラウドサービスの有無、現時点で閲覧できる状態にある人の範囲を確認することで、規程に書くべき内容の輪郭が見えてきます。セキュリティ文書の整備に不慣れな施設には、別記事（中小企業が情報セキュリティポリシーを作る手順）も参考になります。

ここまで見てきた内容を踏まえると、対応は大きく2つの専門性に分かれます。
一つは、規程に何を書くべきかという文書整備で、これは弁護士や行政書士などに依頼することができる業務です。もう一つは、前述のとおりガイドラインが監査の実施者の例として挙げている情報処理安全確保支援士等のセキュリティ資格保有者による確認で、規程の作成にとどまらず、監査など通じて、その運用状況を定期的に確認する役割も想定されています。

なお、もう一つ見落とされがちなのが、規程の文言と実際のシステム環境が一致しているかという点です。ガイドラインはアクセス制御の方法として、サーバの物理的・論理的分離やネットワークの分離、電子ファイルの暗号化、クラウドサービスを利用する場合はISMAP基準を満たすサービスの選定といった、かなり具体的な技術的措置や、その実現手法にまで踏み込んでいます。
規程に「アクセス制御を行う」と書けても、実際のアカウント設定・クラウドの設定・端末・アクセスログ・ネットワーク構成がその記載どおりに機能しているかは、文書だけを見ていては判断できませんので、情報処理安全確保支援士などのセキュリティ専門家の知見が、ここで判断のよりどころになります。
規程に何を書くかだけでなく、それを実際に機能させる仕組みが整っているかまで同時に確認できる体制が、要件を満たす整備への近道になります。

まとめ

情報管理措置は、個人情報保護法の安全管理措置と対応する形で、組織的・人的・物理的・技術的に整理されています。この既視感が安心感につながりやすい一方、標準的措置の水準や、特定性犯罪事実に関する情報の機微性まで踏まえると、漏れなく整備することは見た目以上にハードルが高いのが実情です。

「型」を知っていることと、その型を自施設の実情に合わせて漏れなく機能させることの間には距離があります。情報管理規程の作成やアクセス制御の技術的な確認をあわせて相談したいという場合は、こちらからお気軽にお問い合わせください。