障がい福祉サービス事業者にとって、プライバシーポリシー(個人情報保護方針)の整備は、単なる法令遵守の形式的な作業ではなく、利用者・家族との信頼関係を築くための重要な土台です。特に生成AIの活用が広がる中、AIによるデータの取り扱いについても明記すべき事業所が増えています。ここでは、プライバシーポリシー作成時に押さえておきたいポイントを整理します。
プライバシーポリシーに最低限盛り込むべき項目
- 個人情報の利用目的(サービス提供、緊急連絡、支援計画の作成など具体的に)
- 要配慮個人情報(障がいの状況、病歴など)の取得・利用に関する方針
- 第三者提供の有無とその条件(家族・後見人・関係機関への提供を含む)
- 委託先(システムベンダー、生成AIサービス提供事業者を含む)の有無と監督方針
- 開示・訂正・利用停止等の請求への対応窓口
- 安全管理措置の概要(アクセス制限、暗号化、職員教育など)
生成AIを業務に導入している事業所は、「AIツールを業務効率化のために利用しており、入力データの取り扱いについては契約事業者の管理方針に基づいている」旨を、可能な範囲で具体的に記載することが望ましいです。利用者側から見て「何にAIが使われているか」がわかる記載は、信頼獲得につながります。
作成のステップ
ステップ1: 現状の業務フローを棚卸しする
まず、事業所内でどのような場面で個人情報を取得・利用しているかを洗い出します。相談支援、サービス提供記録、送迎、事故報告、家族連絡など、業務ごとにリストアップし、それぞれで生成AIを使っているかどうかも合わせて確認します。
ステップ2: 利用目的を具体的に言語化する
「サービス提供のため」という抽象的な記載だけでなく、「支援計画作成、日々の記録管理、家族への状況報告、関係機関との連携」など、実際の業務内容に即した表現にすることで、利用者にとってわかりやすいポリシーになります。
ステップ3: 生成AI利用に関する記載を追加する
生成AIを記録の要約作成や文書のドラフト作成に利用している場合、その旨と、個人を特定できる情報の取り扱い方針(匿名化の有無、外部送信の範囲など)を記載することが望ましいです。
ステップ4: 専門家によるレビューを受ける
作成したポリシーは、可能であれば弁護士や社会福祉士会など専門知識を持つ第三者にレビューしてもらうことをおすすめします。法改正への対応漏れや、表現の曖昧さを事前に防ぐことができます。
| 項目 | ありがちな記載(不十分) | 望ましい記載 |
|---|---|---|
| 利用目的 | 「サービス提供のため」 | 「支援計画の作成、記録管理、家族・関係機関への状況報告のため」 |
| 第三者提供 | 記載なし | 「家族・後見人・関係機関への提供条件を明記」 |
| AI活用 | 記載なし | 「記録要約等の業務効率化にAIを活用している旨と管理方針を記載」 |
「AIを使っています」という一文だけでは説明として不十分な場合があります。どのような場面で、どの範囲の情報を、どのような目的で使うのかまで具体的に書くことで、利用者・ご家族の理解を得やすくなります。
公開・周知の方法
プライバシーポリシーは作成して終わりではなく、利用者・家族に対して分かりやすく周知することが大切です。契約時の書面での説明に加え、事業所のウェブサイトへの掲載、掲示板での掲示など、複数の手段を組み合わせることで、実質的な理解促進につながります。
定期的な見直しの重要性
個人情報保護法は改正が続いており、生成AIの活用状況も事業所によって日々変化します。プライバシーポリシーは一度作成したら終わりではなく、年1回程度を目安に内容を見直し、実際の業務フローとの乖離がないか確認することが望ましいでしょう。
Hope Care AIを導入する事業所では、システム上でのデータ取り扱いに関する情報が整理されているため、プライバシーポリシー作成時の参考情報としても活用しやすくなっています。
プライバシーポリシーの最終的な文言や法的な妥当性については、弁護士など専門家に確認のうえ策定することをおすすめします。
監修
株式会社オルデンティアコーポレーション 福祉DXコンサルタント
福祉施設のDX・生成AI活用を専門に支援。本記事は現場の実務課題に基づき執筆・監修しています。