人事データ管理規程の作り方｜記載項目・条文例・運用まで解説

人事データ管理規程には、対象となる情報と利用目的、管理責任者、取扱権限、取得から削除までの手順、委託先管理、事故時の報告、教育・点検を定めます。ただし、すべての企業に共通する法定書式があるわけではありません。

既存の個人情報保護規程や就業規則との関係を確認し、自社が実際に扱う人事データと業務フローに合わせる必要があります。本記事では、規程に入れる項目、条文例、作成から運用・見直しまでの手順を解説します。

人事データ管理規程は、データの扱い方と責任を文書化するもの

人事データ管理規程とは、従業員等に関する情報について、誰が、何の目的で、どの範囲まで取り扱えるかを定める社内規程です。

対象となるのは、氏名や所属などの基本情報だけではありません。住所、家族情報、給与、人事評価、保有資格、異動履歴、面談記録、健康情報など、雇用管理に伴って取得・作成する幅広い情報が含まれます。

人事データには、本人の生活やキャリアに影響する情報も含まれます。担当者の判断だけで閲覧範囲を広げたり、利用目的が明確でない情報を収集したりしないよう、組織として取扱方法と責任を決める必要があります。

個人情報保護委員会のガイドライン（通則編）では、個人データの安全管理のため、具体的な取扱いに関する規律を整備することが求められています。取得、利用、保存、提供、削除・廃棄などの段階ごとに、取扱方法、責任者・担当者、その任務を定める取扱規程の策定は、その実施方法の例として示されています。

ただし、「人事データ管理規程」という名称や一律の書式が法律で指定されているわけではありません。既存の個人情報保護規程に人事データの取扱いを盛り込む方法や、詳細を別規程・別紙・手順書に分ける方法もあります。

人事データに関する方針、責任、品質、点検体制まで含めた全体像は、HRデータガバナンスの考え方と始め方で解説しています。

個人情報保護規程・就業規則・手順書との違い

人事データの管理に関係する文書には、複数の種類があります。それぞれの役割を整理し、同じ内容を重複して定めないことが重要です。

文書・設定	主に定める内容	記載例
個人情報保護方針	個人情報保護に対する会社の基本姿勢	法令遵守、安全管理、問い合わせ窓口
個人情報取扱規程	顧客・取引先・従業員などを含む個人データの共通ルール	管理体制、取得・利用、第三者提供、事故対応
人事データ管理規程	雇用管理で扱う人事データ固有のルール	対象データ、人事部門の責任、評価・給与情報等の取扱い
就業規則	労働条件や従業員が守る服務規律	秘密保持、懲戒、会社への届出
別紙・管理表	変更の多い具体的な情報	権限一覧、保存期間表、委託先一覧
業務手順書	担当者が行う具体的な作業	登録方法、承認手順、ファイルの廃棄方法
システム設定	規程や権限表をシステム上で実現する設定	閲覧権限、編集権限、認証、出力制限

規程には、組織として継続して守る原則と責任を記載します。担当者名、システムの画面操作、保存フォルダの名称など、頻繁に変わる情報は別紙や手順書へ分けると管理しやすくなります。

規程を作る前に既存文書との重複を確認する

新しい規程を作る前に、次の文書を確認しましょう。

• 個人情報保護方針・個人情報取扱規程
• 情報セキュリティ規程
• 文書管理規程
• 就業規則・秘密保持規程
• 健康情報取扱規程
• 特定個人情報取扱規程
• 委託先管理規程
• インシデント対応手順
• 人事システムの運用手順書

既存規程で必要事項を十分に定めている場合は、新規制定ではなく、人事データに関する別紙や業務手順を追加する方法もあります。

一方、既存規程が「個人情報を適切に管理する」といった原則だけにとどまり、対象情報、責任者、権限、更新、保存・削除などが明確でない場合は、人事データに特化した規程や細則を設ける余地があります。

人事データ管理規程に定める11項目

規程の構成は企業によって異なりますが、少なくとも次の項目を検討します。

項目	主に決めること
目的・適用範囲・用語	規程の目的、対象者、対象情報
対象データ・利用目的	何を、何のために扱うか
管理体制	管理責任者、担当者、利用部門の役割
取得・更新・訂正	取得元、確認方法、更新責任
アクセス権限	誰が誰の情報に何をできるか
共有・提供・持ち出し	社内共有、第三者提供、出力の条件
保存・削除・廃棄	保存期間、削除判断、廃棄方法
委託先管理	選定、契約、監督、終了時の処理
特に配慮が必要な情報	健康情報、マイナンバー等の取扱い
事故対応	報告経路、初動、調査、通知等
教育・点検・改定	研修、自己点検、監査、見直し

1．目的・適用範囲・用語

最初に、規程を何のために設け、誰が従うのかを明確にします。

対象者を「従業員」とだけ書くと、役員、契約社員、パート・アルバイト、派遣社員、退職者、採用応募者などの扱いが曖昧になる可能性があります。自社が実際に情報を扱う範囲に合わせて定義してください。

規程の適用を受ける取扱者についても、人事部員だけとは限りません。給与担当者、評価者、部門管理者、情報システム担当者など、人事データを業務で利用する者を整理します。

また、紙の書類、Excelファイル、メール、共有フォルダ、クラウドサービスなど、媒体や保管方法を問わず対象とするのかも明確にしましょう。

2．対象データと利用目的

次に、管理対象となるデータと利用目的を整理します。

主な人事データの例は次のとおりです。

• 氏名、社員番号、生年月日、連絡先
• 住所、通勤経路、緊急連絡先、家族情報
• 雇用区分、入社日、退職日、契約期間
• 所属、役職、職務、異動・昇降格履歴
• 勤怠、給与、賞与、振込先
• 人事評価、目標、面談記録
• スキル、資格、研修履歴
• 採用選考に関する情報
• 健康診断、休復職、就業上の配慮に関する情報
• 社会保険・税務手続きに必要な情報

項目を列挙するだけでなく、「何のために利用するか」を対応させます。「人事管理のため」のような広い表現だけでは、具体的な利用範囲を判断しにくいためです。

例えば、資格情報であれば、配置候補の検討、法定資格の有効期限確認、研修計画の作成など、実際の利用場面まで整理します。利用する予定がなく、更新責任者も決まらない情報は、安易に収集しないことが基本です。

対象データの洗い出しには、人事データベースの管理項目一覧も参考になります。ただし、掲載項目をそのまま自社の収集項目にするのではなく、利用目的と必要性を個別に判断してください。

3．管理責任者・取扱担当者・利用部門

人事データに関する役割は、少なくとも次のように分けて検討します。

役割	主な責任
管理責任者	利用目的、管理方針、例外対応などを決定する
取扱担当者	登録、更新、出力、提供、削除などの実務を行う
確認・承認者	申請内容や重要な変更、外部提供などを確認する
システム管理者	アカウント、権限、認証等の設定を管理する
利用部門	承認された目的と範囲で情報を利用する
事故対応責任者	漏えい等の報告を受け、初動や調査を統括する

担当者が複数の役割を兼務する場合でも、最終的な判断者と報告先は明確にします。

「人事部が管理する」とだけ定めるのでは不十分です。取得、訂正、権限付与、外部提供、削除、事故対応について、誰が申請し、誰が承認し、誰が実施するのかを決めましょう。

4．取得・入力・更新・訂正

人事データを正しく維持するため、次の事項を定めます。

• 情報を取得する業務と取得元
• 本人へ利用目的を示す方法
• 本人確認や内容確認の方法
• システムへ登録する担当者
• 更新の契機と期限
• 訂正を申請できる者
• 修正前後の情報や理由を残す方法
• 正式な情報として扱う管理先
• 複数の台帳で不一致があった場合の確認先

例えば所属情報であれば、人事発令の承認後に登録し、発令日と適用開始日を区別して管理する、といったルールが考えられます。

更新担当者の注意だけに頼らず、変更申請、承認、反映、確認までを一連の業務として設計します。具体的な点検方法は、人事データの品質を点検・改善する手順で解説しています。

5．閲覧・編集・承認・出力権限

アクセス権限は、「人事担当者」「管理職」といった役割だけで決めず、次の4要素に分けます。

• 利用者：誰がアクセスするか
• 対象者：誰の情報を扱えるか
• 情報項目：何を閲覧できるか
• 操作：閲覧、編集、承認、出力、権限変更のうち何ができるか

例えば、部門管理者が部下の所属や評価項目を確認する必要があっても、住所、銀行口座、健康情報まで閲覧する必要があるとは限りません。

CSVや帳票の出力は、システム外での複製や共有につながります。出力を認める場合は、目的、対象項目、保存先、共有先、削除時期も定めます。

権限付与時だけでなく、異動、休職、退職、組織変更、代理対応の終了時に見直すルールも必要です。設計表とテスト方法は、人事システムの権限設計表と設定手順を参考にしてください。

6．共有・第三者提供・外部持ち出し

人事データをほかの部門へ共有したり、社外へ提供したりする場合の手続きを決めます。

規程に含めたい項目は次のとおりです。

• 社内共有を認める目的と範囲
• 個人別情報ではなく集計情報で目的を満たせないか
• 共有・提供の申請者と承認者
• 提供項目を必要な範囲に限定する方法
• メール、クラウド、外部媒体等で送付する場合の手順
• 私物端末や個人契約サービスの利用可否
• 紙書類や端末を持ち出す場合の条件
• 提供・持ち出しの記録方法

個人データの第三者提供には、本人同意が原則必要となる場合や、記録・確認が必要となる場合があります。一方、委託や事業承継など、第三者提供に該当しないケースもあります。具体的な提供可否は一律に判断せず、個人情報保護委員会のガイドラインと個別の事情を確認してください。

7．保存期間・バックアップ・削除・廃棄

人事データを保存する期間は、すべて一律に設定できません。次の観点から情報ごとに判断します。

• 法令上の保存義務と起算日
• 雇用管理や紛争対応など、業務上保存する必要性
• 本人への説明や同意の内容
• システムのバックアップに残る期間
• 委託先や連携先に残るデータ
• 利用目的を終えた後の削除条件

労働者名簿、賃金台帳、雇入れ・退職等に関する書類など、個別法令で保存期間が定められている書類もあります。規程に具体的な年数を列挙する場合は、法令改正のたびに見直せるよう、保存期間表を別紙にする方法が考えられます。

削除・廃棄については、実施者、承認者、削除方法、実施記録を定めます。紙は裁断や溶解、電子データは通常の画面上の削除だけで足りるかを確認します。

バックアップから直ちに個別データを消去できない場合は、復元時の再削除を含め、製品や運用に応じた扱いを決めておきましょう。

8．委託先・クラウドサービスの管理

給与計算、健康診断、採用、人事システムなど、人事データを外部事業者に取り扱わせる場合は、委託先の管理が必要です。

個人情報保護委員会の通則編では、委託元に、適切な委託先の選定、委託契約の締結、委託先での取扱状況の把握などが求められています。

規程には、次の事項を定めます。

• 委託開始前の確認項目と承認者
• 委託するデータと業務の範囲
• 契約に盛り込む安全管理上の事項
• 再委託の条件
• 委託先での取扱状況を確認する方法
• 漏えい等が発生した場合の連絡
• 契約終了時の返却・削除
• クラウドサービスの利用終了時にデータを取り出す方法

「セキュリティ認証を取得している」「有名なサービスである」という理由だけで選定を完了させず、自社が委託する情報と業務に必要な条件を確認します。

9．健康情報・マイナンバー等の個別取扱い

健康情報やマイナンバーは、一般的な所属・連絡先情報と同じ取扱ルールをそのまま適用できません。

健康情報

健康診断結果、病歴、障害に関する情報などは、その内容により要配慮個人情報に該当します。

雇用管理分野における健康情報の取扱いに当たっての留意事項では、利用目的・利用方法、安全管理体制、取扱者と権限、情報の範囲、開示・訂正・削除、苦情処理などを事業場内の規程等に定め、労働者へ周知することが望ましいとされています。

健康情報を扱う場合は、次の点を個別に決めましょう。

• 取得する情報と取得根拠
• 本人同意が必要となる場合
• 産業保健業務従事者が扱う情報
• 人事担当者へ提供する際の加工
• 就業上の措置に必要な情報の範囲
• 閲覧できる者と利用目的
• 健康診断機関等への委託
• 保存、開示、削除、苦情対応

特にストレスチェック結果には、提供・取扱者に関する個別の制限があります。一般的な人事評価データと同じ権限設定にしないでください。

マイナンバー

個人番号を含む特定個人情報は、利用できる事務が法令で限定されています。本人の同意があっても、認められた事務の範囲を超えて利用できるとは限りません。

特定個人情報の適正な取扱いに関するガイドライン（事業者編）を確認し、一般の人事データとは分けて、取得、本人確認、利用、提供、保存、削除・廃棄、担当者の範囲を整理してください。

事業者の規模等によって示されている対応方法も異なるため、自社に適用される条件を確認する必要があります。

10．漏えい等の報告・対応

情報の誤送信、紛失、誤公開、不正アクセス、権限設定ミスなどを発見した場合の報告経路を定めます。

少なくとも次の事項を決めておきましょう。

1. 発見者が直ちに連絡する窓口
2. 被害拡大を防ぐ初動の担当者
3. 事実関係と原因を調査する担当者
4. 影響を受ける本人・項目・範囲の確認方法
5. 個人情報保護委員会への報告要否を判断する責任者
6. 本人への通知等を判断・実施する責任者
7. 再発防止策と対応記録の管理
8. 委託先や取引先との連絡方法

すべての漏えい等で同じ報告・通知が必要になるわけではありません。法令上報告対象となる事態や期限は、事故発生時点の個人情報保護委員会の案内を確認してください。

報告対象か判断できるまで待つのではなく、社内では「漏えい等のおそれ」の段階から責任者へ報告できる設計にします。

11．教育・点検・監査・改定

規程を配布するだけでは、実際の取扱いが適切か確認できません。教育と点検の方法も定めます。

教育内容の例は次のとおりです。

• 人事データを取り扱う際の基本ルール
• 目的外利用や不必要な閲覧の禁止
• ファイル出力、メール送信、持ち出し時の注意
• パスワードや認証情報の管理
• 不審なメール・不正アクセスへの対応
• 漏えい等を発見した場合の報告先
• 健康情報やマイナンバーの個別ルール

点検では、規程の有無だけでなく、実際の権限、保存先、出力ファイル、委託先、削除状況が規程と一致しているか確認します。

見直しの契機として、法令改正、組織変更、システム導入・変更、委託先変更、事故発生、取扱データの追加などを規程に定めておくとよいでしょう。

規程本文と別紙・手順書を分ける

すべてを規程本文に書き込むと、担当者やシステムが変わるたびに規程改定が必要になります。反対に、原則だけを記載すると、担当者が具体的な取扱方法を判断できません。

次のように分けると運用しやすくなります。

管理文書	記載する内容の例
規程本文	目的、適用範囲、管理体制、取扱原則、禁止事項、教育・点検、改定
人事データ一覧	データ項目、利用目的、取得元、保管先、正本
権限一覧	利用者、対象者、項目、閲覧・編集・承認・出力権限
保存期間表	保存根拠、期間、起算日、削除承認者
委託先一覧	委託業務、対象データ、契約、確認日、再委託
事故対応手順	連絡先、初動、調査、報告・通知の判断手順
操作手順書	登録、承認、出力、削除などの画面・作業手順
改定履歴	変更日、変更内容、承認者、施行日

規程本文と別紙で内容が矛盾しないよう、主管部署と改定権限も決めます。

人事データ管理規程を作る6つの手順

1．既存規程と対象業務を確認する

まず、個人情報、情報セキュリティ、文書管理、就業規則、健康情報、マイナンバーなどに関する既存文書を集めます。

各文書について、次の点を確認してください。

• 人事データが対象に含まれているか
• 管理責任者が明確か
• 実際の業務と内容が一致しているか
• 同じ事項を異なる内容で定めていないか
• 参照している法令や組織名が古くないか
• 規程改定の承認者と手続きが分かるか

確認後、新規規程を作るのか、既存規程を改定するのか、別紙・細則を追加するのかを決めます。

2．データ・保管先・委託先を棚卸しする

次に、規程の対象となるデータを実態に即して棚卸しします。

棚卸し項目	確認内容
データ	項目、対象者、機密性
利用目的	どの業務や判断に使うか
取得元	本人、上司、行政機関、委託先等
保管先	紙、Excel、共有フォルダ、各システム
正本	どの情報を正式な記録として扱うか
取扱者	閲覧・編集・承認・出力する者
更新	更新契機、期限、担当者
共有先	社内部門、委託先、行政機関等
保存・削除	根拠、期間、削除方法
連携	ほかのシステムへの受け渡し

人事システムだけでなく、担当者が作った集計ファイル、メール添付、紙の申請書、委託先へ送るデータも対象に含めます。

3．利用目的と取扱フローを整理する

棚卸し結果をもとに、データがどのように流れるかを整理します。

1. 誰から、どの方法で取得するか
2. 誰が内容を確認するか
3. どこへ登録・保管するか
4. 誰が何の目的で利用するか
5. どの部門・システムへ共有するか
6. いつまで保存するか
7. 誰の承認で削除・廃棄するか

実態が規程案と合わない場合、文章だけを現状に合わせるのではなく、不要な複製や広すぎる権限など、業務側の問題も見直します。

4．責任者・権限・例外ルールを決める

各工程について、実施者、確認者、承認者を決めます。

通常のルールだけでなく、次のような例外時の扱いも必要です。

• 担当者が不在のとき
• 代理対応で一時的に権限を付与するとき
• 通常と異なる目的でデータ提供を求められたとき
• 緊急対応で通常手順を省略するとき
• データの正しさを判断できないとき
• 削除要否について部門間で意見が分かれたとき

例外対応では、判断者、理由、対象範囲、期限、終了後の確認を記録します。

5．規程案を確認し、承認・周知する

規程案ができたら、人事部門だけで確定せず、内容に応じて情報システム、法務、個人情報保護、総務、産業保健などの担当者と確認します。

就業規則との関係、懲戒、労働条件、健康情報の扱いなど、法的な判断を伴う部分は専門家への確認も検討してください。

承認後は、対象者へ規程の存在だけでなく、業務上必要な事項を周知します。特に取扱担当者には、別紙や手順書を使った教育を行いましょう。

6．システム設定と実態を照合し、定期的に見直す

規程を施行したら、システム設定や日常業務が規程どおりになっているか確認します。

例えば、次の両方をテストします。

• 許可された利用者が、必要な情報を扱えること
• 許可されていない利用者が、情報を閲覧・編集・出力できないこと

規程に「人事担当者のみ閲覧できる」と書かれていても、共有フォルダが全社員に公開されていれば、規程と実態が一致していません。異動者・退職者のアカウント、期限付き権限、出力済みファイルなども確認します。

人事データ管理規程の条文サンプル

以下は、規程を検討するための簡易サンプルです。法定の雛形や、そのまま使用できる完成版ではありません。［　］内を自社の状況に合わせて変更し、既存規程や法令との整合を確認してください。

第1条　目的

本規程は、当社が雇用管理その他の人事業務において取り扱う人事データについて、適正な取得、利用、保存、共有、提供、削除および廃棄に関する基本事項を定め、人事データの適切な管理を図ることを目的とする。

第2条　適用範囲

1. 本規程は、当社の役員、従業員、派遣社員その他当社の指揮監督を受けて業務に従事する者のうち、人事データを取り扱う者に適用する。
2. 本規程の対象者および対象データの詳細は、別紙「人事データ一覧」に定める。

第3条　定義

本規程における「人事データ」とは、採用、配置、勤怠、給与、評価、育成、健康管理、福利厚生、退職その他の雇用管理に関連して、当社が取得または作成する個人に関する情報をいう。

第4条　利用目的

1. 人事データは、あらかじめ特定し、本人に通知または公表した利用目的の達成に必要な範囲で取り扱う。
2. 新たな目的で人事データを利用する必要が生じた場合、取扱担当者は、［管理責任者］の確認を受けなければならない。
3. 利用目的および対象データは、別紙「人事データ一覧」に定める。

第5条　管理体制

1. 人事データの管理責任者は、［役職名］とする。
2. 管理責任者は、取扱担当者の指定、アクセス権限の承認、取扱状況の点検、事故発生時の対応その他必要な管理を行う。
3. 取扱担当者は、承認された業務および権限の範囲を超えて人事データを取り扱ってはならない。

第6条　取得および更新

1. 人事データは、業務上必要な範囲に限り、適正な方法で取得する。
2. 取扱担当者は、承認された申請、人事発令その他所定の根拠を確認したうえで、人事データを登録または更新する。
3. 更新方法、確認者および更新期限は、別に定める業務手順書による。

第7条　アクセス権限

1. 人事データへのアクセス権限は、利用者、対象者、情報項目および操作の範囲を業務上必要な最小限に限定する。
2. 権限の付与、変更または削除は、［承認者］の承認を受け、［設定担当者］が実施する。
3. 異動、休職、退職その他担当業務の変更が生じた場合は、速やかに権限を見直す。
4. 権限の詳細は、別紙「アクセス権限一覧」に定める。

第8条　出力、共有および持ち出し

1. 人事データの出力、共有または社外への持ち出しは、承認された業務に必要な範囲に限る。
2. 出力したファイルおよび書類は、指定された保存先で管理し、利用終了後は所定の方法で削除または廃棄する。
3. 私物端末または会社が承認していないサービスへ人事データを保存してはならない。

第9条　保存および削除

1. 人事データは、法令上の保存義務および業務上の必要性を踏まえて定めた期間、適切に保存する。
2. 保存期間を満了し、利用する必要がなくなった人事データは、［承認者］の承認を受け、復元または判読が困難な方法で削除または廃棄する。
3. 保存期間および起算日は、別紙「保存期間表」に定める。

第10条　委託先の管理

1. 人事データの取扱いを外部へ委託する場合、当社は、委託する業務およびデータの内容に応じて委託先の安全管理措置を確認する。
2. 委託契約には、人事データの取扱範囲、安全管理、再委託、事故時の報告、取扱状況の確認および契約終了時の返却・削除に関する事項を定める。
3. 委託先の取扱状況は、リスクに応じた方法と頻度で確認する。

第11条　健康情報等の取扱い

健康情報、特定個人情報その他特に慎重な取扱いを要する情報については、本規程に加え、関係法令、ガイドラインおよび当社が別に定める規程・手順に従って取り扱う。

第12条　事故の報告

1. 人事データの漏えい、滅失、毀損、不正利用またはこれらのおそれを発見した者は、直ちに［報告窓口］へ報告する。
2. 報告を受けた責任者は、被害拡大の防止、事実関係の調査、影響範囲の特定、報告・通知の要否判断および再発防止に必要な対応を行う。
3. 発見者は、自己の判断のみで事実を隠し、または対応を完了させてはならない。

第13条　教育および点検

1. 当社は、人事データを取り扱う者に対し、必要な教育を行う。
2. 管理責任者は、人事データの取扱状況、アクセス権限、保存先、委託先その他必要な事項を定期的に点検する。
3. 点検で問題が確認された場合は、担当者と期限を定めて改善する。

第14条　改定

本規程は、関係法令の改正、取扱業務・組織・システムの変更、事故の発生その他必要が生じた場合に見直し、［社内の規程管理手続き］に従って改定する。

規程案の確認チェックリスト

規程案と別紙を作成したら、次の点を確認しましょう。

• 規程の目的と対象者が明確になっている
• 紙、Excel、メール、クラウドを含む対象媒体が整理されている
• 対象データと利用目的が対応している
• 管理責任者、取扱担当者、承認者が明確になっている
• 取得、利用、保存、提供、削除・廃棄の各段階を扱っている
• 閲覧、編集、承認、出力、権限変更を区別している
• 異動・退職・代理対応時の権限変更を定めている
• 出力後のファイルや紙書類の管理方法を定めている
• 保存期間と起算日の確認方法が明確になっている
• 委託先の選定、契約、監督、終了時の対応を定めている
• 健康情報やマイナンバーの個別ルールを確認している
• 漏えい等のおそれを含む社内報告経路がある
• 教育、点検、改定の担当者と契機が明確になっている
• 規程本文、別紙、手順書、システム設定に矛盾がない
• 既存の個人情報保護規程や就業規則との整合を確認している
• 条文の法的な妥当性を必要な担当者・専門家が確認している

人事データ管理規程を運用するときの注意点

雛形をそのまま採用しない

公開されている雛形は、一般的な項目を確認する参考資料です。自社が扱うデータ、組織、委託先、利用システムと一致するとは限りません。

実際には存在しない承認工程を書いたり、反対に日常的に行っているデータ共有を規程へ反映しなかったりすると、規程と実務が乖離します。先に現状を棚卸しし、問題のある業務を是正したうえで規程へ反映しましょう。

規程の制定だけで法令対応が完了するわけではない

規程があっても、従業者への教育、アクセス権限の制限、委託先の監督、事故対応などが実行されていなければ、必要な管理ができているとはいえません。

「規程が存在するか」だけでなく、「規程どおりに運用されているか」を定期的に確認する必要があります。

人事担当者に一律で広い権限を与えない

人事部門の中でも、担当業務によって必要な情報は異なります。採用担当者が全従業員の給与情報を閲覧する必要があるとは限りません。

人事部門だからという理由だけで広い権限を与えず、業務単位で対象者・項目・操作を決めます。権限変更を行う管理者権限も、通常の編集権限とは分けて検討してください。

システム外へ出力したデータを見落とさない

システム上で権限を限定しても、CSVやExcelとして出力した後に共有フォルダや端末へ残れば、同じ管理が続くとは限りません。

出力の目的、保存場所、共有先、削除期限を決め、不要な出力を減らすことが重要です。

保存期間を一律に決めない

人事データには、法令上の保存義務があるもの、雇用管理上一定期間必要なもの、利用目的を終えたら削除を検討すべきものが混在します。

「退職後○年」と一律に決めるのではなく、情報・書類ごとに根拠、期間、起算日を確認します。

人事データ管理規程に関するよくある質問

人事データ管理規程の作成は法律で一律に義務付けられていますか？

「人事データ管理規程」という名称や統一書式の規程が、すべての企業に一律に指定されているわけではありません。

一方、個人情報取扱事業者には、個人データの漏えい等を防ぐため、必要かつ適切な安全管理措置を講じる義務があります。個人情報保護委員会の通則編では、具体的な取扱いに関する規律を整備し、取得から削除・廃棄までの取扱方法や責任者等を定める取扱規程を策定することが手法として示されています。

マイナンバーを含む特定個人情報などは別の要件があるため、対象情報と自社に適用される条件を確認してください。

個人情報取扱規程があれば、別の規程は不要ですか？

既存の個人情報取扱規程が、人事データの対象、利用目的、担当者、権限、更新、保存・削除、委託、事故対応まで具体的に定めていれば、別の規程を作らず、別紙や手順書で補える場合があります。

既存規程では人事固有の業務を判断できない場合に、人事データ管理規程や人事情報取扱細則を設ける方法があります。

人事データ管理規程は就業規則として届け出る必要がありますか？

文書の名称だけでは判断できません。

規程が労働条件、従業員の服務規律、懲戒などとどのように関係するかによって検討が必要です。自社の就業規則との関係を確認し、必要に応じて社会保険労務士、弁護士、労働基準監督署などへ確認してください。

Excelで人事データを管理している場合も規程は必要ですか？

管理方法がExcelであっても、対象情報、利用目的、閲覧者、保存場所、共有、持ち出し、削除等のルールは必要です。

特に、複数のファイルが作られる、メールへ添付する、端末へ保存する、複数人で更新するといった運用では、正本や権限、削除対象を把握しにくくなります。ファイル名やパスワードだけでなく、業務全体の取扱ルールを整理しましょう。

人事管理システムは、決めた規程を運用する手段

人事管理システムは、人事データ管理規程そのものを決めるものではありません。利用目的、収集項目、責任者、承認者、保存方針などは、自社で判断する必要があります。

一方、規程で定めた情報管理、更新、申請承認、履歴管理を継続的に運用する手段として、人事管理システムを検討できます。

サイレコの公式サイトでは、従業員情報の管理、管理項目のカスタマイズ、CSVファイルによる一括登録、申請承認・ワークフロー、過去・未来の情報を含む履歴管理などが案内されています。

セキュリティについては、SSLによる暗号化通信、パスワードポリシー設定、ISMSクラウドセキュリティ認証（ISO/IEC 27017）が紹介されています。接続元IPアドレス制限と二要素認証はオプションです。

規程で必要とした権限をどの単位まで設定できるか、ログや出力の管理、契約終了時のデータの扱いなどは、導入前に個別に確認してください。サイレコのセキュリティ仕様では、現在案内されている標準仕様とオプションを確認できます。

まとめ｜まずは対象データと取扱フローを棚卸しする

人事データ管理規程には、対象データと利用目的、管理責任者、権限、取得・更新、共有・提供、保存・削除、委託先管理、事故対応、教育・点検などを定めます。

ただし、雛形をそのまま採用しても、自社の業務と一致しなければ適切に運用できません。最初に、扱っている人事データ、保管先、利用者、委託先、取得から削除までの流れを棚卸ししましょう。

そのうえで、既存規程への追記、新しい規程の制定、別紙・手順書の追加から、自社に合う方法を選びます。規程案は関係部署や必要な専門家と確認し、システム設定と実態が一致しているか定期的に点検することが大切です。

人事データの管理ルールを整理した後は、申請承認や履歴管理などの運用要件を確認しましょう。人事データの管理・更新に使えるサイレコの機能を確認する