employee-dsar-response

従業員のDSAR対応

概要

従業員のデータ主体アクセス請求（DSAR）は、組織が受け取るDSARの中でも、特に複雑で多くのリソースを必要とするものです。通常、定義された一連の取引データが対象となる顧客のDSARとは異なり、従業員のDSARは雇用期間全体に及ぶ場合があり、数十ものシステムに保存されたデータを含むことがあります。たとえば、人事記録、メール（従業員が送信したもの、受信したもの、従業員に関するもの）、CCTV映像、アクセス制御ログ、電話の録音、業績評価、調査ファイル、苦情記録、産業保健レポート、研修記録、給与データ、経費請求、モニタリングデータ、管理職間の非公式なメモや連絡などです。対象範囲の広さに加え、第三者の個人データの墨消しや法的秘匿特権の評価も必要となるため、従業員のDSARは、特有の業務上および法的な課題となります。

このスキルでは、体系的な対応プロセス、包括的なデータソース一覧、従業員のDSARで最もよく見られる適用除外と墨消しの判断基準を提供します。

第15条 — アクセス権

従業員が受ける権利のある情報

第15条第1項に基づき、従業員は管理者から次の情報を受け取る権利を有します。

情報	詳細
処理の確認	従業員に関する個人データが処理されているかどうか
データへのアクセス	処理中の個人データのコピー
目的	処理の目的
カテゴリー	対象となる個人データのカテゴリー
受領者	データが開示された、または開示される予定の受領者または受領者のカテゴリー
保管期間	想定される保管期間、または期間の決定に用いられる基準
権利	訂正、消去、処理の制限、および異議を申し立てる権利
情報源	従業員からデータを収集していない場合、その情報源に関する情報
自動化された意思決定	第22条に基づくプロファイリングを含む自動化された意思決定の有無、およびそのロジック、重要性、想定される結果に関する有意義な情報
移転時の保護措置	データが第三国に移転される場合、第46条に基づく適切な保護措置

第15条第3項 — 形式

管理者は、処理中の個人データのコピーを提供するものとします。追加のコピーが請求された場合、管理者は事務コストに基づく妥当な手数料を請求できます。請求が電子的手段で行われた場合、別途希望が示されない限り、一般的に使用されている電子形式で情報を提供するものとします。

第15条第4項 — 第三者の権利

「第3項に定めるコピーを取得する権利は、他者の権利および自由に悪影響を及ぼしてはならない。」

この規定は、DSARの開示内容から第三者の個人データを墨消しする法的根拠となります。

従業員DSARのデータソース一覧

包括的な検索範囲

従業員のDSARを処理する際は、以下のデータソースを検索する必要があります。

データソース	システム／場所	データの種類
人事情報システム	Workday、SAP SuccessFactors、BambooHRなど	個人情報、雇用履歴、契約、給与、福利厚生、休暇記録、業績評価
メールシステム	Microsoft 365、Google Workspace	従業員が送信したメール、従業員が受信したメール、および従業員に関するメール
CCTVシステム	オンプレミスの録画システム	従業員を特定できる映像
入退室管理システム	バッジ／近接カードシステム	入退室ログ、制限区域へのアクセス試行
勤怠管理	勤怠記録システム、生体認証リーダー	出退勤記録、出勤パターン
給与システム	SAP、ADP、Sage	給与履歴、税務記録、年金拠出額、福利厚生
業績管理	Workday、Lattice、Culture Ampなど	業績評価、目標、コンピテンシー評価、評価調整データ、360度評価のフィードバック
学習管理システム	Cornerstone、SAP LMSなど	研修記録、資格認定、必須研修の修了状況
採用システム	Greenhouse、Lever、Workable	応募データ、面接メモ、評価スコア（最近採用された従業員の場合）
懲戒および苦情申立てのファイル	人事案件管理システム、紙のファイル	調査メモ、証人の陳述、結果通知書
産業保健記録	産業保健サービス提供者のシステム	就業適性報告書、紹介に関するやり取り
モニタリングシステム	DLP、ウェブプロキシ、MDM	メール監視アラート、インターネット利用ログ、デバイス管理データ
経費システム	Concur、Expensify	経費申請、領収書、承認記録
非公式な記録	直属の上司のメール、メモ、インスタントメッセージ	従業員に関するメモ、業績に関する所見、管理上の話し合い
電話システム	通話録音プラットフォーム	従業員が参加者である録音通話
ITシステムのログ	Active Directory、サービスデスク	アカウントのアクティビティ、パスワードのリセット、サービスデスクのチケット
ファイルサーバーとSharePoint	共有ドライブ、コラボレーションプラットフォーム	従業員が作成した文書、または従業員に関する文書

検索戦略

すべてのDSARについて、すべてのデータソースを網羅的に検索する必要はありません。検索範囲は、以下に照らして相応である必要があります。

1. 請求の範囲：従業員が求める特定のデータを指定している場合（例：「2022年から2025年までのすべての業績評価のコピーを請求します」）、検索対象をそれに応じて絞り込めます
2. 雇用状況：現職の従業員のDSARは通常、雇用期間全体に及びます。元従業員のデータは、保存ポリシーに基づいて一部削除されている場合があります
3. 合理性：第12条第5項では、「明らかに根拠がない、または過剰」な請求を拒否できます。20年にわたる職歴の中で「自分の名前が出てきたすべてのメール」を求める請求は過剰となる場合がありますが、拒否の基準は高く設定されています

回答期限

標準期限 — 第12条第3項

• DSARを受領してから1暦月以内
• 期間は受領日の翌日から起算します（3月15日に受領した場合、期限は4月15日です）
• 期限が週末または祝日に当たる場合、次の営業日まで延長されます（ICOのガイダンス）

延長 — 第12条第3項

• 請求が複雑な場合、または管理者が同一人物から多数の請求を受領した場合、期限をさらに2か月延長できます
• 管理者は、受領から1か月以内に、遅延の理由とともに延長することを従業員に通知する必要があります
• 従業員のDSARでは、データソースの多さ、墨消しの複雑さ、法的秘匿特権の確認が必要となるため、延長が正当化されることがよくあります

従業員のDSAR対応プロセス

1日目：受領と受領確認

1. DSARを中央DSAR登録簿に、一意の参照番号を付けて記録します
2. 従業員の本人確認を行います（現職の従業員は通常、雇用関係を通じて本人確認できます。元従業員については、追加の確認が必要な場合があります）
3. 受領したことと回答予定日を記載した受領確認を送信します
4. DSARコーディネーターを任命します（通常はプライバシー／DPOチームから選任します）

2～5日目：対象範囲の確認

1. 依頼内容を確認し、対象範囲を判断します。すべてのデータが対象なのか、特定のカテゴリーが対象なのかを確認します
2. 依頼内容が不明確な場合は、従業員に連絡して対象範囲を明確にします（確認期間中も、確認がなければ依頼を処理できない場合を除き、期限のカウントは停止しません — ICOのガイダンス）
3. 依頼をデータソースのインベントリに対応付けます
4. 各データソースの保管責任者を特定し、収集の指示を出します
5. 期限の延長が必要になりそうか評価します。必要な場合は、最初の1か月以内に従業員へ通知します

5～20日目：収集

1. 各データ保管責任者が、担当するシステムを検索し、関連データをエクスポートします
2. メール検索：直属のマネージャー、人事ビジネスパートナー、関連する関係者のメールボックスで、従業員の氏名とメールアドレスを検索します
3. CCTV：映像に従業員が映っている可能性がある期間と場所を特定します
4. 紙のファイル：物理的な人事ファイルと保管済みの記録を取り出します
5. 収集したすべてのデータについて、ソース、保管責任者、抽出日を記録する必要があります

15～25日目：確認とマスキング

1. 収集したすべてのデータを確認し、依頼者である従業員の個人データを特定します
2. 第三者の個人データを特定し、マスキングします（以下のマスキングフレームワークを参照）
3. 法的秘匿特権の対象となる資料を特定し、開示対象から除外します（以下の秘匿特権フレームワークを参照）
4. その他、適用される可能性のある免除を特定し、評価します
5. 開示資料一式をまとめます

25～30日目：品質確認と送付

1. DPOまたは上級プライバシー担当者が、開示資料一式の完全性と適切なマスキングを確認します
2. 対象とした検索範囲、適用した免除、監督機関に苦情を申し立てる従業員の権利について説明する送付状を用意します
3. 暗号化メール、安全なポータル、または書留郵便など、安全な手段で開示資料を従業員に送付します

マスキングフレームワーク

第三者の個人データ — Art. 15(4)

アクセス権の行使によって、他者の権利や自由が損なわれてはなりません。そのため、以下の場合を除き、第三者の個人データをマスキングする必要があります。

• 第三者が開示に同意している場合、または
• あらゆる事情を考慮して、同意なしに開示することが妥当な場合

マスキング判断表：

データの種類	マスキングするか	理由
依頼者である従業員についてのメールで言及されている他の従業員の氏名	原則として、はい。ただし、第三者の氏名を依頼者がすでに知っている場合（例：直属のマネージャー）は除きます	第三者のプライバシーと依頼者の権利のバランスを取ります
懲戒調査における証人の陳述	証人の身元をマスキングし、申し立ての内容は開示します	証人の秘密保持と、申し立てを知る権利を両立させます
評価者の氏名が記載された360度フィードバック	評価者の氏名をマスキングし、フィードバックの内容は開示します	評価者が匿名であると合理的に期待することを考慮します
CC欄に記載されたメールアドレス	原則としてマスキングします。ただし、依頼者がすでに知っている場合は除きます	プライバシーへの配慮は最小限ですが、一貫して適用します
従業員の元雇用主から提供された推薦状	開示します。これは依頼者の個人データです	従業員には、自身に関する推薦状を見る権利があります
他の従業員の氏名が記載されたパフォーマンス評価調整会議のメモ	他の従業員の氏名と評価データをマスキングします	他の従業員の評価データは、その従業員の個人データです

実践的なマスキング手法

• ハイライトや変更履歴によるマスキングではなく、完全に削除するマスキングを使用します
• 開示資料全体を通じて、氏名を「Person A」「Person B」に一貫して置き換えます
• 第三者を特定できる可能性のあるメールアドレス、電話番号、役職をマスキングします
• 請求を行った従業員自身のデータや、本人がすでに知っている情報はマスキングしません

法的秘匿特権の適用除外

英国 — DPA 2018, Schedule 2, Part 4, Paragraph 19

開示によって、法的手続きにおいて法的専門家秘匿特権（LPP）または通信の秘密を主張できる情報が開示されることになる範囲において、個人データは第15条の適用除外となります。

秘匿特権の種類

秘匿特権の種類	範囲	適用例
法的助言秘匿特権	法的助言を得る、または提供する目的で、依頼者と弁護士の間で交わされる秘密の通信	従業員の状況に関する雇用法上の助言、苦情について人事部が法律顧問に相談すること
訴訟秘匿特権	係属中または合理的に予想される訴訟を主たる目的として作成された通信	雇用審判への申立てを見越して作成された文書
和解協議における秘匿特権	紛争を解決するための真摯な試みとして行われた通信	和解交渉に関する通信

秘匿特権の確認プロセス

1. 秘匿特権の対象となる可能性があるとしてフラグが付けられたすべての文書を、法律顧問が確認する必要があります
2. 法律顧問が、各文書に秘匿特権が適用されるかどうかを判断します
3. 秘匿特権の対象となる文書は開示せず、秘匿特権ログに記載します
4. 従業員宛ての送付状には、秘匿特権に関する内容を明らかにすることなく、法的秘匿特権の適用除外に基づき一部の情報を非開示としたことを記載する必要があります
5. 文書の一部のみが秘匿特権の対象となる場合、対象外の部分は開示する必要があります

従業員の DSAR に適用されるその他の適用除外

係属中の手続きに関する適用除外

開示によって、係属中の法的手続き、懲戒調査、または規制当局の調査に支障が生じる場合：

状況	適用除外	範囲
進行中の懲戒調査	調査に支障をきたす調査資料は非開示にできる	一時的 — 調査終了後に開示する必要があります
雇用審判への申立てが係属中	訴訟を主たる目的として作成された文書には、訴訟秘匿特権が適用されます	法的手続きの期間中
規制当局による調査（例：FCA、HSE）	規制当局の調査に支障をきたす文書は非開示にできる	規制当局と連携します

経営計画に関する適用除外 — UK DPA 2018, Schedule 2, Part 4, Paragraph 24

経営予測または経営計画のために処理される個人データは、開示によって計画または予測に支障が生じる範囲において、第15条の適用除外となります。以下が該当する場合があります。

• 発表前の人員削減対象者の選定基準
• 影響を受ける従業員の氏名が記載された組織再編計画
• 後継者育成計画の文書

制限事項：この適用除外の範囲は限定的で、一時的なものです。開示によって計画業務に実際に支障が生じる間に限り適用されます。

交渉に関する適用除外 — UK DPA 2018, Schedule 2, Part 4, Paragraph 25

データ主体との交渉に関する管理者の意図を記録した個人データは、開示によって交渉に支障が生じる範囲において適用除外となります。以下が該当する場合があります。

• 雇用主による和解案の戦略
• 通知前の給与調整計画
• 結果の通知前における懲戒処分に関する内部協議

よくある落とし穴

落とし穴	リスク	対応策
「本人に関する」データをメールで検索しない	開示漏れ、ICOへの苦情	従業員の氏名で直属の上司と人事部のメールボックスを検索します
上司の氏名を過剰にマスキングする	過剰な非開示により、アクセス権が損なわれます	雇用関係上、従業員がすでに相手の身元を知っている場合は、上司の氏名を開示できることがあります
1か月の期限を逃す	規制当局への苦情、執行措置	期限を自動的に追跡する仕組みを導入し、必要に応じて早めに延長を申請します
第三者の特別カテゴリーのデータを開示する	第9条違反、および第三者からの苦情	すべての開示資料について、第三者の特別カテゴリーのデータが含まれていないか確認します
非公式な記録を見落とす	上司の個人的なメモも個人データであり、検索する必要があります	上司の非公式なメモも検索範囲に含めます
すべてのDSARを定型的なものとして扱う	従業員からのDSARは、苦情や差し迫った法的請求を示すことが少なくありません	紛争中の従業員からDSARを受領した場合は、法務顧問に通知します

Atlas Manufacturing Group の事例

Atlas は、最近、パフォーマンス改善計画（PIP）の対象となった従業員からDSARを受領しました。DSARの担当者は次の対応を行いました。

1. 請求を記録し、24時間以内に受領確認を送りました
2. 請求の範囲を特定しました。従業員は「自分について保有されているすべての個人データ」を求めていました
3. データソースを特定しました。人事システム（SAP SuccessFactors）、メール（Microsoft 365 — 従業員、直属の上司、人事ビジネスパートナーのメールボックス）、パフォーマンス管理システム（SuccessFactors Performance & Goals）、勤怠管理システム（バッジシステム）、産業保健記録（紹介記録2件）、CCTV（請求されていませんが、技術的には対象範囲内。CCTVの検索には特定の日付と場所が必要であることを従業員に伝えました）、およびPIP関連文書を含む懲戒ファイル
4. メールデータの量が多く、法的秘匿特権の確認が必要だったため、期限を2か月延長しました（従業員は弁護士に依頼しており、和解交渉が続いていました）
5. 次の情報をマスキングしました。パフォーマンス評価の調整で言及された他の従業員の氏名、以前の非公式な調査における証人の氏名、および第三者のメールアドレス
6. 秘匿特権に基づき、PIPと潜在的な労働審判請求について人事部長と雇用関係の弁護士がやり取りした3通のメール、および和解に関する非公開でのやり取りを非開示としました
7. 人事記録、パフォーマンス評価、PIP関連文書、パフォーマンスに関する直属の上司のメール、研修記録、欠勤記録を含む847ページの資料を開示しました
8. 添付書簡に、適用した免除規定を記載し、ICOに苦情を申し立てる権利を従業員に通知するとともに、検索方法を説明しました

執行措置の先例

当局	事案	罰金／結果	主な問題
ICO（英国）	Mermaids、2023年	執行通知	法定期間内に従業員のDSARに回答しなかった
CNIL（フランス）	SAN-2022-009	800,000ユーロ	雇用主が、パフォーマンス評価データへのアクセスを1か月以内に従業員へ提供しなかった
AEPD（スペイン）	PS/00231/2021	70,000ユーロ	適切な検索を実施せず、過度な負担を理由に従業員のDSARを拒否した
Autoriteit Persoonsgegevens（オランダ）	2022年の決定	525,000ユーロ	従業員に関するメールデータを含めず、不完全なDSAR回答を提供した
Garante（イタリア）	Provvedimento 2021-0234	是正命令	従業員のDSAR回答を過剰にマスキングし、秘匿特権の対象ではない管理職間のやり取りを非開示とした
Datainspektionen（スウェーデン）	DI-2022-1456	200,000 SEK	退職した従業員のDSARについて、バックアップシステムを検索しなかった

統合ポイント

• 従業員モニタリングに関する DPIA：モニタリングデータは DSAR の対象範囲に含まれます（employee-monitoring-dpia スキルを参照）。
• 従業員の健康データ：DSAR に含まれる健康データは、アクセス制御に特に注意して取り扱う必要があります（employee-health-data スキルを参照）。
• HR システムのプライバシー設定：DSAR への準拠は、HR システムが従業員データを抽出およびエクスポートできるかどうかに左右されます（hr-system-privacy-config スキルを参照）。
• バックグラウンドチェックのプライバシー：現職または元従業員のバックグラウンドチェックデータは DSAR の対象範囲に含まれます（background-check-privacy スキルを参照）。
• 内部告発者データ：内部告発者の身元データには特別なアクセス制限があり、DSAR での開示が制限される場合があります（whistleblower-data スキルを参照）。