個人情報保護委員会が公表している「個人情報の保護に関する法律についてのガイドライン(通則編)」は、条文だけでは読み取りにくい実務上の解釈を示す重要な資料です。しかし専門用語が多く、障がい福祉・介護の現場職員がそのまま読んでも実務にどう落とし込めばよいかわかりにくいという声をよく聞きます。この記事では、通則編の主要な考え方を福祉現場の具体例に置き換えて解説します。
個人情報・個人データ・保有個人データの違い
通則編ではまず、個人情報・個人データ・保有個人データという3つの言葉が整理されています。福祉現場に置き換えると次のように理解すると分かりやすくなります。
| 用語 | 福祉現場での具体例 |
|---|---|
| 個人情報 | 利用者の氏名、生年月日、障がいの状況など、特定の個人を識別できる情報全般 |
| 個人データ | 検索できるよう体系的に整理された利用者台帳やクラウド上の支援記録 |
| 保有個人データ | 事業所が開示・訂正・削除等の権限を持つ、6か月を超えて保有する個人データ(短期保存でも一定の場合は含まれ得る) |
要配慮個人情報の扱い
通則編では、人種、信条、病歴、犯罪の経歴などとあわせて、障がいがあることも要配慮個人情報として明記されています。福祉事業所が日常的に扱う情報の多くがこれに該当するため、取得時の同意取得や、第三者提供時の慎重な取り扱いが特に重要になります。
- 利用契約時にサービス提供に必要な範囲で取得する情報は、通常この段階で本人同意を得ていると整理される
- 関係機関との連携で新たに取得する情報(医療機関からの情報提供等)は、その都度の取扱いを確認する
- 研修や事例検討で使う場合は、匿名化するか改めて同意を得る
「福祉サービスなのだから何でも共有してよい」という誤解が現場にありがちですが、要配慮個人情報の共有は目的の範囲内に限られます。関係機関との連携であっても、共有する情報の範囲を都度確認する姿勢が求められます。
安全管理措置の考え方
通則編では、個人データの漏えい等を防ぐための安全管理措置として、組織的・人的・物理的・技術的の4つの側面が示されています。福祉現場での具体化を考えると次のようになります。
- 組織的安全管理措置:個人情報管理責任者を定め、取扱規程を整備する
- 人的安全管理措置:職員への研修を定期的に実施し、誓約書を取得する
- 物理的安全管理措置:紙の記録を施錠管理し、閲覧できる部屋を限定する
- 技術的安全管理措置:クラウドシステムへのアクセス権限を職種・役職に応じて設定する
生成AI利用への当てはめ
通則編そのものは生成AI利用を直接想定して書かれたものではありませんが、AIサービスへの入力を「第三者への提供」または「委託」として整理する際の基本的な考え方は、通則編の枠組みに沿って検討することになります。委託の場合は委託先の監督義務が生じ、提供の場合は原則として本人同意が必要になる、という基本構造を理解しておくと、AI導入時の判断がしやすくなります。
通則編を職員全員に読ませるのではなく、管理者が要点を福祉現場向けに翻訳した1〜2ページの資料にまとめ、研修で使うと理解が進みやすくなります。抽象的な条文よりも、日々の業務での具体例と結びつけることが浸透の鍵です。
ガイドラインを実務に落とし込むために
ガイドラインの内容を正確に理解するには専門的な知識が必要な場面も多く、判断に迷う場合は個人情報保護委員会の相談窓口や、社会保険労務士・弁護士などの専門家に確認することが望ましいです。事業所としては、通則編の考え方を踏まえた取扱規程を整備し、生成AIツールの導入時にもその規程に沿った運用ができているかを確認する体制を作ることが実務上のゴールになります。Hope Care AIのようなツールを利用する場合も、制度対応のページで、国内の制度・ガイドラインを踏まえた設計方針を確認しておくと安心です。
ガイドラインは難解に見えても、実は現場の常識に近い考え方で構成されています。専門用語を一つずつ現場の具体例に翻訳していく作業こそが、個人情報保護を「形だけの規程」で終わらせず、実際に機能する仕組みにしていくための近道です。
監修
株式会社オルデンティアコーポレーション 福祉DXコンサルタント
福祉施設のDX・生成AI活用を専門に支援。本記事は現場の実務課題に基づき執筆・監修しています。