障がい福祉サービス事業者は、利用者やその家族の障がい区分、心身の状況、家族構成、経済状況など、機微性の高い情報を日常的に取り扱っています。個人情報保護法は事業規模を問わず適用されるため、小規模な事業所であっても最低限の対応は欠かせません。本記事では、障がい福祉サービス事業者が「最低限」押さえておくべき義務をチェックリスト形式でまとめます。
そもそも障がい福祉サービス事業者にも個人情報保護法は適用されるのか
個人情報保護法は、営利・非営利、法人格の種類を問わず、個人情報を取り扱うすべての事業者（個人情報取扱事業者）に適用されます。かつては小規模事業者の除外規定がありましたが、現在は事業規模にかかわらず適用対象です。「うちは小さな事業所だから関係ない」という認識は誤りであるため、まずこの前提を理解しておく必要があります。
最低限守るべきことチェックリスト
- 利用目的をできる限り特定し、本人に通知または公表しているか（法第17条、第21条）
- 要配慮個人情報（障がい区分、病歴等）を取得する際、原則として本人の同意を得ているか（法第20条第2項）
- 個人データを安全に管理するための措置（安全管理措置）を講じているか（法第23条）
- 従業者に対する必要かつ適切な監督を行っているか（法第24条）
- 委託先（クラウドサービス事業者等）に対する必要かつ適切な監督を行っているか（法第25条）
- 本人の同意なく第三者に個人データを提供していないか（法第27条）
- 漏えい等が発生した場合に個人情報保護委員会へ報告する体制があるか（法第26条）
- 本人からの開示・訂正・利用停止等の請求に応じる体制を整えているか（法第32条〜第34条）
障がい福祉サービスの利用者に関する情報は要配慮個人情報にあたるものが多く、通常の個人情報よりも一段厳格な取扱いが必要です。特に、契約時に取得する「重要事項説明書」「個人情報使用同意書」の記載内容が、実際の業務内容（生成AIの利用を含む）と一致しているかを定期的に見直すことが重要です。
事業規模別に見る「最低限」の目安
| 事業所の規模 | 最低限の対応目安 |
|---|---|
| 小規模（職員数名〜十数名） | 同意書の整備、記録の保管ルール、パスワード管理等の基本的な安全管理措置 |
| 中規模（複数事業所・法人内複数拠点） | 個人情報保護規程の整備、研修の定期実施、委託先管理台帳の作成 |
| 大規模（多数拠点・多職種） | 個人情報保護管理者の設置、内部監査、漏えい時対応マニュアルの整備 |
特に見落とされやすいポイント
実務でよく見落とされるのが「委託先の監督」です。記録システム、シフト管理システム、生成AIサービスなど、外部のクラウドサービスを利用している場合、それらの事業者に個人データの取扱いを委託していることになります。委託先が適切にデータを管理しているかを定期的に確認し、契約内容を書面で残しておくことが、法第25条上の監督義務を果たすうえで重要です。
委託先管理は「導入時の1回確認」で終わらせず、年に1回程度、利用規約の変更やセキュリティ体制に変化がないかを確認する運用にすると、監督義務を継続的に果たしやすくなります。
すぐに着手できる3つのアクション
やるべきことが多く感じられるかもしれませんが、まずは次の3点から着手することをおすすめします。
- 現在使っているシステム・サービスの一覧を作り、委託先として整理する
- 重要事項説明書・同意書の内容が実態と合っているか確認する
- 個人情報の取扱いについて、簡単な社内ルール（誰が・何を・どう扱うか）を文書化する
Hope Care AIは障がい福祉・介護事業所向けに、記録業務や情報管理を支援するクラウドサービスです。委託先としてのデータ取扱い方針はセキュリティページで確認いただけます。制度に関する基礎知識は制度解説ページもご参照ください。
おわりに：完璧を目指すより「継続できる仕組み」を
個人情報保護対応は一度整備して終わりではなく、法改正やサービスの変化に応じて継続的に見直す必要があります。すべてを完璧にしようとするより、まずは最低限のチェックリストを満たし、そこから徐々に体制を強化していくアプローチが現実的です。最終的な法的判断が必要な場面では、弁護士や社会保険労務士など専門家に確認することをおすすめします。
監修
株式会社オルデンティアコーポレーション 福祉DXコンサルタント
福祉施設のDX・生成AI活用を専門に支援。本記事は現場の実務課題に基づき執筆・監修しています。