「個人情報 安全管理措置」で検索すると、だいたい同じ顔ぶれの記事が出てきます。組織的・人的・物理的・技術的の4分類がありますよ、という説明があって、その下に対策の一覧が並ぶ。ファイアウォール、アクセスログの定期分析、脆弱性診断、WAF、IDS/IPS——。読み進めるうちに、だんだん自分の会社の話に思えなくなってきて、タブを閉じる。従業員が数人から数十人の会社で採用をやっている方から、この反応をよく聞きます。
そして、たいていの場合こう落ち着きます。「うちみたいな規模で、そこまではできない。とりあえず鍵のかかる引き出しには入れてるし、今のところ何も起きていないから、まあいいか」。
気持ちはよく分かるのですが、ここには事実の取り違えが一つあります。国のガイドラインは、従業員100人以下の会社に対して、大企業とは別の列を用意しているのです。しかもその列を実際に読むと、拍子抜けするほど短い。WAFもIDS/IPSも脆弱性診断も、そこには一行も書かれていません。書かれているのは、ほとんどが「責任ある立場の者が確認する」という一文の繰り返しです。
この記事では、その「中小規模事業者における手法の例示」の原文を引きながら、4分類を採用書類という一つの場面——履歴書・職務経歴書、面接メモ、採用管理ツールやメール——だけに絞って埋めていきます。会社全体の情報セキュリティを設計する話ではありません。今日、自分の会社の採用書類がどこに置かれているかを見て、決められることだけの話です。
「何をしてよいか分からない」は、あなただけではない
先に、いまの実情を数字で置いておきます。個人情報保護委員会が従業員100人以下の事業者17,000先を無作為抽出して行った調査（令和6年5月16日〜6月28日、回収3,821件・回収率22.5%）の結果です（出典：個人情報保護委員会「中小規模事業者における個人情報等の安全管理措置に関する実態調査 結果概要」令和6年11月29日）。
個人情報の取扱いに関する課題として最も多かったのが「何をしてよいか分からない」で40.0%。次いで「個人情報保護法等（ガイドラインを含む。）の理解不足」が26.9%。そして、個人情報保護に関する担当者が「いない」と答えた事業者が65.5%でした。
つまり、同じ規模の会社の4割が、あなたとまったく同じところで止まっています。この調査の結果概要も「個人情報保護法等に係る理解が不足しているため、具体的に何をしてよいかが分からない状況にあることがうかがわれる」とまとめています。
ここで大事なのは、止まっている理由が「やる気」ではなく「どこまでやれば足りるのかが示されていないように見えること」だという点です。実際には示されています。それが次に見る別添です。
まず、自分が「中小規模事業者」に当たるか確認する
個人情報保護法の安全管理措置の条文そのものは、たった一文です。
第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
（出典：e-Gov法令検索 個人情報の保護に関する法律）
「必要かつ適切」としか書いていないので、これだけでは何をすればいいか分かりません。中身を示しているのが、個人情報保護委員会のガイドライン（通則編）の巻末にある「10（別添）講ずべき安全管理措置の内容」です。
この別添は、表が3列になっています。左が「講じなければならない措置」、真ん中が「手法の例示」、そして右に「中小規模事業者における手法の例示」という列があります。ネット上の解説記事が引用しているのは、ほぼ真ん中の列です。右の列は、ほとんど紹介されません。
そして別添は、中小規模事業者をこう定義しています。
（※2）「中小規模事業者」とは、従業員（※3）の数が100人以下の個人情報取扱事業者をいう。ただし、次に掲げる者を除く。
・その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去6月以内のいずれかの日において5,000を超える者
・委託を受けて個人データを取り扱う者
除外が2つあることに注意してください。ひとつ目は、扱っている個人情報の人数が過去6か月のどこかの日で5,000人を超えている場合。顧客名簿や会員データを持っている会社は、従業員が10人でもここに当たることがあります。ふたつ目は、他社から委託を受けて個人データを扱う場合。たとえば人材紹介や業務の受託でお客様の個人データを預かっている会社です。
なお、ここでいう「従業員」は中小企業基本法の従業員で、労働基準法第20条の適用を受ける労働者に相当する者とされています（別添※3）。
除外に当たった場合でも、法23条の義務が新しく増えるわけではありません。真ん中の列の例示を見て判断する側に回る、というだけです。逆に、中小規模事業者に当たる会社が真ん中の列の手法も採用するのは「より望ましい対応である」と別添に明記されています。右の列は「これで許してあげる」ではなく、「円滑にその義務を履行し得るような手法の例」として示されているものです。
採用書類は、いつから安全管理措置の対象になるのか
ここが、この記事でいちばんお伝えしたいところです。
法23条が守れと言っているのは「個人データ」です。個人データというのは、検索できるように体系的に整理された個人情報のこと。だから、こう考えたくなります。「応募者管理表に打ち込んだ分は個人データだけど、昨日届いて机の上に置いてある封筒の履歴書は、まだ整理していないから対象外だろう」と。
別添の脚注は、そこを先回りして塞いでいます。
（※1）法第23条に定める「その他の個人データの安全管理のために必要かつ適切な措置」には、個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、当該個人情報取扱事業者が個人データとして取り扱うことを予定しているものの漏えい等を防止するために必要かつ適切な措置も含まれる。そのため、次に掲げる措置及び例示における「個人データ」には、当該個人情報も含まれる。
「取得しようとしている個人情報」で、いずれ個人データとして扱う予定のものまで含む、と書いてあります。応募フォームから送られてきて、まだ誰も開いていないメール。面接の日に受け取って、そのまま応接室の棚に置いた封筒。面接官が手書きしたまま机に伏せてあるメモ。これらは全部、この一文の射程に入ります。
採用の現場で書類がいちばん危ないのは、実は保管中ではなく、この「まだ処理していない束」の状態のときです。台帳に入った分はファイルに綴じて鍵をかけるのに、届いたばかりの分は「あとでまとめて入力するから」と平積みになる。人の出入りがある事務所なら、そこがいちばん無防備な瞬間になります。
安全管理措置を採用の場面で考えるときは、「保管庫をどうするか」より先に、書類が届いてから保管場所に収まるまでの数日間を誰が持っているかを決めてください。順番が逆だと、いちばん薄いところが空いたままになります。
4分類を、3つの置き場だけで埋める
ここから、別添の「中小規模事業者における手法の例示」の原文を引きながら、4分類を埋めます。対象は3つだけに絞ります。①紙の応募書類（履歴書・職務経歴書）②面接メモ・評価シート ③採用管理ツールやメールの中の応募者情報。この3つが揃えば、中小企業の採用まわりの個人情報はほぼ覆えます。
組織的安全管理措置：全部「責任ある立場の者」に集約されている
別添の右の列を、そのまま並べてみます。
- （1）組織体制の整備 →「個人データを取り扱う従業者が複数いる場合、責任ある立場の者とその他の者を区分する。」 - （2）取扱いに係る規律に従った運用 →「あらかじめ整備された基本的な取扱方法に従って個人データが取り扱われていることを、責任ある立場の者が確認する。」 - （3）取扱状況を確認する手段の整備 →（2）と同じ一文 - （4）漏えい等事案に対応する体制の整備 →「漏えい等事案の発生時に備え、従業者から責任ある立場の者に対する報告連絡体制等をあらかじめ確認する。」 - （5）取扱状況の把握及び安全管理措置の見直し →「責任ある立場の者が、個人データの取扱状況について、定期的に点検を行う。」
5項目中5項目に「責任ある立場の者」が出てきます。真ん中の列にある「システムログその他の記録の整備」「業務日誌の作成」「他部署等による監査」は、右の列には一つもありません。
つまり、組織的安全管理措置で最初にやることは一人決めることです。採用書類については誰が責任者か。その人が、決めた置き方どおりになっているかを、ときどき見る。それだけです。
先ほどの調査では、「個人データの取扱いに関する責任者の設置」を実施していると答えた事業者は28.9%でした。ここが空いている会社が7割ある、ということです。逆に言えば、責任者を決めるという一手で、組織的安全管理措置の5項目すべてに足場ができます。
人的安全管理措置：ここだけは軽くならない
別添で唯一、中小規模事業者の列が「（同左）」になっているのが人的安全管理措置です。内容はこの2つ。
・個人データの取扱いに関する留意事項について、従業者に定期的な研修等を行う。
・個人データについての秘密保持に関する事項を就業規則等に盛り込む。
規模による手加減がない、というのは覚えておく価値があります。採用書類は、社長と総務の担当者だけが触るとは限りません。面接に同席した現場のリーダー、書類をコピーしたパートの方、応募者からの電話を取った人。その人たちに一度も話していないなら、そこが穴です。
調査では「秘密保持に関する事項を就業規則等に盛り込む」を実施しているのが20.8%でした。就業規則を作り直すのは大ごとですが、採用に関わる人に向けて、次の3つを口頭で伝えて記録に残すだけでも中身は変わります。「応募書類を自宅に持ち帰らない」「応募者の名前を社内の雑談で出さない」「面接メモを個人のスマホで撮らない」。
物理的安全管理措置：紙が多い採用では、ここが本丸
- （1）取り扱う区域の管理 →「個人データを取り扱うことのできる従業者及び本人以外が容易に個人データを閲覧等できないような措置を講ずる。」 - （2）機器及び電子媒体等の盗難等の防止 →（同左）。真ん中の列は「施錠できるキャビネット・書庫等に保管する」「機器をセキュリティワイヤー等により固定する」。 - （3）持ち運ぶ場合の漏えい等の防止 →「パスワードの設定、封筒に封入し鞄に入れて搬送する等、紛失・盗難等を防ぐための安全な方策を講ずる。」 - （4）削除及び廃棄 →「個人データを削除し、又は…廃棄したことを、責任ある立場の者が確認する。」
（1）の「本人以外が」という言い方に注目してください。応募者本人が、他の応募者の書類を見てしまう状況を想定しています。面接に来た方を応接室に通したとき、机の上に前の人の履歴書が置きっぱなしになっていないか。ここは今日その場で直せます。
（3）は、採用でいうと面接会場への持ち出しです。現場の事務所で面接する、社長が自宅で書類を読む、といった場面。「封筒に封入し鞄に入れて搬送する」という例示は、裏を返せばクリアファイルのまま小脇に抱えて持ち歩くのは足りない、ということでもあります。
（4）の廃棄は、不採用者の応募書類の返却・廃棄と保管期間で詳しく扱っていますが、ここで一点だけ。中小規模事業者の列は「復元不可能な手段で」ではなく「廃棄したことを責任ある立場の者が確認する」と書かれています。つまり、シュレッダーにかけたかどうかより、誰も確認しないまま「たぶん捨てた」になっていることのほうを問題にしています。調査では「個人データが記録された媒体を復元不可能な手段で廃棄」を実施しているのが34.0%で、4分類の中では比較的高い数字でした。捨て方は分かっている会社が多い。足りていないのは確認のほうです。
技術的安全管理措置：中小の列に、専門的な設備は一つも出てこない
- （1）アクセス制御 →「個人データを取り扱うことのできる機器及び当該機器を取り扱う従業者を明確化し、個人データへの不要なアクセスを防止する。」 - （2）アクセス者の識別と認証 →「機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）により、…情報システムを使用する従業者を識別・認証する。」 - （3）外部からの不正アクセス等の防止 →「オペレーティングシステムを最新の状態に保持する。」「セキュリティ対策ソフトウェア等を導入し、自動更新機能等の活用により、これを最新状態とする。」 - （4）使用に伴う漏えい等の防止 →「メール等により個人データの含まれるファイルを送信する場合に、当該ファイルへのパスワードを設定する。」
（2）は、要するにWindowsやMacのログインアカウントを人ごとに分けるということです。専用のシステムを買う話ではありません。採用書類をスキャンして保存している共有PCが、全員同じアカウントで開けるようになっていたら、そこが（1）と（2）の両方に当たります。
そして、ここが冒頭の話につながります。WAF・IDS/IPS・脆弱性診断・PCI-DSS・システムネットワークの監視ツール・仮想ブラウザは、中小規模事業者の列に一つも出てきません。 調査でこれらを実施していると答えた事業者は、WAFが3.3%、IDS/IPSが3.6%、脆弱性の診断が6.3%でした。実施率が低いのは事実ですが、そもそも中小規模事業者に例示されていない項目です。検索して出てきた一覧に圧倒されて手が止まっていたなら、止まる必要はありませんでした。
採用書類で、1件でも報告義務になる線がある
安全管理措置の話は、「漏れたらどうなるか」とセットで見ないと優先順位が付きません。ここも採用固有の事情があります。
令和4年4月1日に全面施行された改正で、個人データの漏えい等が起きたときの個人情報保護委員会への報告と本人への通知が義務になりました（法26条）。報告が必要な事態は個人情報保護委員会規則第7条で4つ決められていて、ガイドラインが原文を引いています。
(1) 要配慮個人情報が含まれる個人データ…の漏えい、滅失若しくは毀損…が発生し、又は発生したおそれがある事態
(2) 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
(3) 不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ（当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態
(4) 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態
採用の場面で効いてくるのは、(4)ではなく(1)と(3)です。
(1)には人数の下限がありません。要配慮個人情報が1件でも含まれていれば報告対象です。要配慮個人情報は法2条3項で「本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他…」と定義されています。応募書類にこれが入る場面は、思っているより普通にあります。持病や通院を自分から書いてくる方、障害者雇用の応募、健康状態の申告欄。調査でも、従業員100人以下の事業者のうち「健康状態（健康診断情報を含む。）」を保有しているのが12.2%、「病歴」が8.5%でした（いずれも従業員情報を除いた集計）。
ここで誤解しないでいただきたいのは、だから履歴書に病歴を書かせるな、という話ではないことです。本人が自発的に書いてくることは止められません。選考で聞いてはいけないことは面接で聞いてはいけない質問の側の論点で、こちらは入ってきてしまったものをどこに置くかの話です。要配慮個人情報が混じった書類は、他と同じ束に入れない。置き場を分けて、触れる人を絞る。それだけで(1)の距離が変わります。
(3)は、先ほどの「取得しようとしている個人情報」が条文レベルでもう一度出てきます。盗難や不正アクセスが原因なら、まだ応募者管理表に打ち込んでいない書類の束でも報告対象です。「整理前だから対象外」は、ここでも通りません。
報告の期限も決まっています。速報は事態を知った後「速やかに」で、ガイドラインは「概ね3〜5日以内」を目安としています。確報は知った日から30日以内（規則7条3号の事態は60日以内）です。会社としてこの期限に間に合わせるには、現場の誰かが「まずい」と気づいた瞬間に責任者へ届く道が要ります。組織的安全管理措置の（4）が「報告連絡体制等をあらかじめ確認する」だけで済んでいるのは、中小企業ではその道が短いからです。短いぶん、決めていないと誰も動きません。
決めたら、書いて、外から見えるようにする
最後にもう一つ、見落とされがちな義務があります。安全管理措置は、講じるだけでなく、その内容を本人が知り得る状態に置くところまでが法律の要求です。
法32条1項4号が「保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの」を本人の知り得る状態に置けと定めていて、その政令が具体化しています。
第十条 法第三十二条第一項第四号の政令で定めるものは、次に掲げるものとする。
一 法第二十三条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態…に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）
二 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先
（出典：e-Gov法令検索 個人情報の保護に関する法律施行令）
ただし括弧書きに「安全管理に支障を及ぼすおそれがあるものを除く」とあるとおり、金庫の位置やパスワードの桁数まで書く必要はありません。むしろ書いてはいけません。書くのは、体制と考え方の水準です。
採用ページの「個人情報の取扱い」欄で言うと、こうなります。
※記入例（Before）
当社は、ご応募いただいた個人情報を適切に管理し、採用選考の目的以外には使用いたしません。
※記入例（After）
当社は、ご応募いただいた個人情報を、採用選考および選考結果のご連絡の目的にのみ使用します。
・取扱いの責任者：管理部門の責任者を個人情報の取扱責任者として定めています。
・取扱う者の範囲：選考に関与する担当者に限定し、それ以外の従業員は閲覧できない措置を講じています。
・保管：応募書類は施錠できる書庫で保管し、電子データは担当者ごとのアカウントで管理しています。
・廃棄：選考終了後、当社が定める期間の経過をもって、復元できない方法で廃棄します。
・従業員への教育：個人情報の取扱いに関する留意事項を、採用に関与する従業員に周知しています。
・お問い合わせ・苦情の申出先：○○部 ○○（電話 ○○-○○○○-○○○○／メール ○○＠○○.co.jp）
Afterの各行が、そのまま前の章で決めた内容に対応しています。書ける状態になっているかどうかが、決まっているかどうかの試験紙になります。逆に、書こうとして手が止まる行があれば、そこがまだ決まっていない項目です。
なお、政令10条2号の「苦情の申出先」は独立した項目です。開示や消去の請求が来たときの受付先とあわせて整理しておくと二度手間になりません（応募者からの個人情報の開示請求への対応）。
今日、決められる5つ
順番に決めるだけで、別添の4分類がひととおり埋まります。採用書類の3つの置き場ごとに、次の表を埋めてみてください。
| 置き場 | ①紙の応募書類 | ②面接メモ・評価シート | ③採用管理ツール・メール | |---|---|---|---| | 誰が責任者か | | | | | 触れるのは誰か | | | | | どこに置くか（届いた直後も） | | | | | どう捨てるか・誰が確認するか | | | | | いつ点検するか | | | |
※記入例（①紙の応募書類の列）
誰が責任者か：総務の○○
触れるのは誰か：総務○○、社長、面接に同席する部門長のみ
どこに置くか：届いた当日のうちに施錠できる書庫の「選考中」ボックスへ。机の上に置いたままにしない。要配慮個人情報（病歴・障害等）の記載がある書類は「要配慮」の封筒に分けて同じ書庫へ
どう捨てるか・誰が確認するか：シュレッダー。処理した日と件数を台帳に1行書き、総務○○が確認
いつ点検するか：毎月の給与計算の日にあわせて、書庫の中身と台帳が合っているかを見る
「いつ点検するか」を既にある別の予定に紐づけているのがポイントです。単独の予定にすると、必ず流れます。
自分の求人はどこでつまずくか
ここまでは、応募があったあとの書類の話でした。ただ、実際にはその手前で応募が集まっていないというご相談のほうが多いのも事実です。求人票の書き方でつまずいているのか、応募までの導線が重いのか、条件の見せ方なのか。原因が違えば直す場所も変わります。
よくある質問（FAQ）
Q. 従業員が5人しかいません。それでも安全管理措置は必要ですか。 A. 必要です。個人情報保護法23条の義務は、事業者の規模で免除されていません。ただしガイドライン別添は、従業員100人以下の「中小規模事業者」向けに別の手法の例示を用意しています。その列の内容は、責任者を決める・決めた置き方どおりか確認する・施錠できる場所に保管する・パソコンのアカウントを人ごとに分ける、といった範囲です。
Q. 従業員100人以下なら、必ず「中小規模事業者」に当たりますか。 A. いいえ。ガイドライン別添※2で2つの除外があります。①扱っている個人情報の人数の合計が過去6か月以内のいずれかの日に5,000を超える場合 ②委託を受けて個人データを取り扱う場合。顧客名簿が大きい会社や、他社の個人データを預かる業務がある会社は、従業員数が少なくても除外に当たることがあります。
Q. 届いたばかりでまだ管理表に入力していない履歴書も、対象になりますか。 A. なります。ガイドライン別添※1が、法23条の措置には「取得し、又は取得しようとしている個人情報であって、…個人データとして取り扱うことを予定しているもの」の漏えい等を防止する措置も含まれると明記しています。漏えい等報告の対象を定める規則7条3号にも、同じ趣旨の括弧書きがあります。
Q. 応募書類を1件だけ紛失した場合、個人情報保護委員会への報告は必要ですか。 A. 件数だけでは決まりません。報告が必要な事態は規則7条の4つで、1,000人超という基準は4号です。ただし1号は「要配慮個人情報が含まれる個人データ」の漏えい等で、人数の下限がありません。病歴などが記載された書類であれば1件でも該当し得ます。また3号の「不正の目的をもって行われたおそれがある行為による」漏えい等（盗難・不正アクセス等）も件数を問いません。実際の判断は事案ごとに異なるため、該当しそうな場合は個人情報保護委員会の相談窓口や専門家にご確認ください。
Q. 安全管理措置の内容は、どこまで公開しないといけませんか。 A. 法32条1項4号と政令10条1号により、法23条で講じた措置を本人の知り得る状態に置く必要があります。ただし政令10条1号は「本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるもの」を除いています。保管場所の詳細やパスワードの仕様などは書かず、責任者を定めていること・取扱う者を限定していること・保管と廃棄の方法の水準、といった粒度で書くのが一般的です。
この記事は、中小企業の採用運用を支援する SaishiLu（運営：株式会社プラスメイト）が作成しています。求人の制作から掲載運用、応募者対応まで、採用の実務を一貫してお手伝いしています。