日本版DBSの情報管理研修、標準教材だけで終わらせないための実務ポイント

こども家庭庁は、こども性暴力防止法（通称：日本版DBS）に関して、従事者向けの研修標準教材を公開しています。

法律が定める研修事項は8項目あり、こどもの権利や性暴力が生じる背景といった基礎知識から、不適切な行為の範囲、疑いの早期発見、相談・報告への対応、被害児童等の保護・支援、犯罪事実確認への対応、防止措置の基礎、そして厳格な情報管理の必要性まで、幅広い内容を動画と演習の形式でカバーしています。この教材を使って研修（演習・確認テストを含みます）を実施すれば、法律が求める研修の要件は満たされます。

ただし、法的な要件を満たすことと、実際に情報管理や漏えい防止に役立つことは、必ずしも同じではありません。8項目の大半は、施設の業種や規模にかかわらず共通する内容で対応でき、標準教材が有効に機能します。

ところが、とりわけ厳格な情報管理の必要性は、施設ごとの実態を前提にしなければ、従業員にとって「自分事」として響きにくいという性格を持っています。

こども性暴力防止法の対象は幅広く、学校や保育所のように犯罪事実確認が義務となる事業者から、学習塾やスポーツクラブのように認定取得を検討する事業者まで含まれます。法律は、規程の整備と研修の実施を別々の義務として定めています。これは、ルールが書いてある状態と、従業員がそのルール通りに動ける状態を同一視しないためともいえます。規程は判断の基準を定めるものであり、研修は従業員の行動を変えるものですので、両者は役割が異なります。

とりわけ情報管理の1項目は、施設の実態を把握せずに研修内容を組み立てると、知識は伝わっても行動には結びつかない、いわば他人事の研修になりかねません。「自分の施設では具体的にどうするか」を明確にできるかどうかが、法的要件を満たす研修と、実際に漏えいを防げる研修の分かれ目になります。

情報管理の研修事項が、もっとも施設の実態を左右される

「不適切な行為」を含む7項目は、大部分が共通教材で足りる

こどもの権利や性暴力が生じる背景といった基礎知識、疑いの早期発見の視点、相談・報告への対応、被害児童等の保護・支援、犯罪事実確認への対応、防止措置の基礎という6項目は、施設の業種や規模によって内容が大きく変わるものではありません。こども家庭庁が作成した標準動画教材は、こうした「共通化できる知識」を届けることを目的としており、意図した通りに機能する領域です。

残る1項目である「不適切な行為」の範囲についても、こども家庭庁は「不適切な行為」の例を挙げており、これは業種ごと大きく異なるものではないため、大部分は事業者を問わず共通する内容で定義できると考えられます。ただし着替えの補助、水泳や体操指導のような身体接触を伴う指導、個別面談など、業務上必要な場面と紙一重になり得る一部の行為については、事業者が自施設の業務内容に即して具体的に定め、服務規程や就業規則等に明示して従事者に周知することが求められています。とはいえ、これも業種ごとにある程度共通化できる部分は多いかと思います。

情報管理の1項目は、施設ごとに変数が違う

一方、「厳格な情報管理の必要性」を研修で伝えるには、前提となる情報が必要になります。犯罪事実確認記録を誰が、どんな環境で、どの程度の情報リテラシーを持つ人が取り扱うか。こども家庭庁のシステム内だけで管理が完結するか、書類として保管もしているか。こうした実態は施設によって大きく異なります。

たとえば園長・主任・事務職員など複数名で情報を分担管理している保育園もあれば、教室長1名が採用から犯罪事実確認の実務までほぼ一人で担っている学習塾や音楽教室もあります。

取扱う環境にも差があります。事務職員専用の個室で確認作業ができる施設もあれば、他の職員が常駐する事務室で確認せざるを得ない施設もあります。取扱者の情報リテラシーも一様ではなく、日常的にパソコンを扱う担当者もいれば、紙の書類が中心でシステム操作に不慣れな担当者もいます。

取扱者が1名の施設と複数名の施設では、「誰に見せてはいけないか」という話が変わります。個室で確認できる施設と、他の職員がいる場所で確認せざるを得ない施設では、画面の見え方や声の大きさへの注意点が変わります。システム内だけで管理が完結する施設と、書類として保存している施設では、気をつけるべき対象がまったく異なります。情報リテラシーの高い担当者と、システム操作に不慣れな担当者とでは、同じ説明でも伝わり方が変わります。従業員が自分の業務で具体的に何をすべきかをイメージできない研修になりやすいのは、ここに理由があります。

施設の実態を把握せずに組んだ研修は、「厳格に管理してください」という言葉を伝えることはできても、従業員が自分事として捉えられず、行動を変えるところまで届かない可能性があります。

では、「システムで管理しているから安全」という前提は、どこで崩れるのでしょうか。権限設定が適切に行われていても制御しにくい、具体的な経路を示します。

システム内管理でも起きる、見落とされやすい漏えいの経路

画面と口頭を経由する情報の流出

アクセス権限が適切に設定されていても、制御しきれない行動経路があります。スクリーンショットによる持ち出しは、その一つです。手元で確認したい、後から見返したいという実務上の理由で発生することが多く、悪意がなくても起こり得ます。システムの設計だけで防ぐことには限界があり、画面を撮影しない、記録を印刷しないという行動規範を、従業員が自分の行動として具体的に理解している状態を作ることが必要になります。

口頭による開示も、見落とされやすい経路です。閲覧権限のない上司や同僚から「あの確認結果はどうだった？」と聞かれて反射的に答えてしまう場面、退勤後の居酒屋での会話で無意識に話が出てしまうケースなどが考えられます。こども性暴力防止法39条は、業務に関して知り得た情報をみだりに他人に知らせてはならないと定めており、業務外の会話で第三者に話した場合も対象になり得ます。違反した場合は45条2項により1年以下の拘禁刑または50万円以下の罰金（併科されることもあります）が科され得ます。技術的なアクセス制御と、その法的な意味を従業員が理解していること。この両方が揃って初めて、管理の仕組みとして機能します。

なお、情報が漏えいした、またはそのおそれがあると判断した場合は、こども家庭庁への報告が義務となります。法律上は「直ちに」の速報が求められ、ガイドラインではその目安が事態を知った日から3〜5日以内と示されています。確報は原則30日以内、不正の目的による漏えい等の場合は60日以内です。インシデント対応の流れについて事前に確認しておきたい場合は、セキュリティインシデント60分相談もご参考にしてください。

離職・配置転換にともなうアクセス権限の見直し漏れ

学習塾チェーンや保育所を複数運営する事業者において、特に見落とされやすいのがこのケースです。担当者が離職した場合はもちろん、対象業務から外れる配置転換があった場合も、システムの権限設定を見直す必要があります。施設が1か所であれば手順は単純ですが、複数施設にまたがると、どの施設のどのシステムの権限を誰がいつ見直すかという責任の所在が曖昧になりやすくなります。

法律は、従事者の離職等から30日以内に犯罪事実確認記録の廃棄・消去を行うことを義務付けており（法38条）、怠った場合は罰則の対象となり得ます（法46条3号）。権限の見直しと記録の廃棄・消去は連動する作業ですが、対象となる場面や期限の考え方が異なるため、それぞれの手続きを整理しておく必要があります。権限を見直す仕組みを作ること（技術的な権限管理の手順）と、行った対応を記録に残すこと（規程上の文書管理）はセットで設計しておく必要があり、どちらか一方だけでは義務を果たしたとは言いにくい面があります。

こうした手順の設計は規程の文言に落とし込む作業でもあり、技術的な管理と文書上の整備を分離して考えると、どちらかが宙に浮いた状態になりやすいといえます。

まとめ

動画を視聴し、法律が求める研修の要件を満たしたことと、従業員が自施設での行動を変えたことは、同じではありません。標準教材がカバーする部分と、施設ごとに補足しなければならない部分を区別することが、研修義務を実態として果たす出発点になります。研修の内容が、自分の施設で今日から何をすべきかに落とし込まれているかどうかが、この差を分ける分かれ目です。

規程の整備が完了したタイミングにあわせて研修内容の検討に着手すると、規程に書かれた手順と研修で伝える内容が自然に一致する形で組み立てやすくなります。

自施設の情報管理の状況が現在の研修内容でどこまでカバーできているか確認したい場合や、規程の整備と研修の内容をあわせて検討したい場合は、まずご相談ください。施設の実態をお聞きした上で、規程面・技術管理面の両方から状況を整理します。

情報管理の規程と研修を同一の窓口で相談できることで、規程に書かれた手順と研修で伝える内容のずれを防ぎやすくなります。まずは状況の確認だけでも、お気軽にどうぞ。

ご相談・お問い合わせはこちら