employee-monitoring-dpia

従業員モニタリングのDPIA

概要

従業員モニタリングは、GDPRに基づく処理活動の中でも特にリスクが高いものです。複数のEDPB WP248rev.01のリスク要因が重なるためです。すなわち、体系的なモニタリング（基準3）、脆弱なデータ主体に関するデータ（従業員は、雇用関係に内在する力関係の不均衡を理由に、明示的に脆弱なデータ主体に分類されています。基準7）、そして多くの場合は革新的な技術（基準8）です。欧州データ保護会議の「動画機器を通じた個人データの処理に関するガイドライン3/2019」および第29条作業部会の「職場におけるデータ処理に関する意見書2/2017」では、従業員モニタリングシステムを導入する前に、GDPR第35条第1項に基づくDPIAが必要であると定めています。

このスキルでは、従業員モニタリングのシナリオに特化した、体系的なDPIAの方法論を提供します。Barbulescu対ルーマニア事件（大法廷、ECHR、申立番号61496/08、2017年9月5日）で示された比例性の枠組みと、CNIL、ICO、ドイツ連邦データ保護監督官による国内の監督当局のガイダンスを取り入れています。

従業員モニタリングに関するDPIAの開始要件の分析

従業員モニタリングで常にDPIAが必要な理由

従業員モニタリングは、EDPB WP248rev.01の9つの基準のうち、少なくとも3つに該当します。

基準	従業員モニタリングへの適用
基準3：体系的なモニタリング	あらゆる形式の従業員モニタリングは、職場における個人の体系的な観察に該当します
基準7：脆弱なデータ主体	EDPBは、雇用関係に内在する力関係の不均衡を理由に、従業員を脆弱なデータ主体として明示的に挙げています
基準5：大規模な処理	企業のモニタリングシステムは通常、全従業員に関するデータを継続的に処理します
基準8：革新的な技術	AIを活用した生産性向上ツール、キーストローク・ダイナミクス、画面キャプチャ、行動分析には、新しい技術が用いられています
基準1：評価またはスコアリング	業績評価に使用されるモニタリングデータは、個人のスコアリングに該当します

2つ以上の基準に該当する場合、DPIAが必要であると推定されます。従業員モニタリングは通常、3つから5つの基準に該当するため、ほぼすべてのケースでDPIAが必須です。

国内監督当局による確認

• CNIL（フランス）：決定番号2018-327では、「従業員の体系的なモニタリング（生産性、キーストローク、画面キャプチャ）」をDPIAが必要なものとして明示的に挙げています。
• ICO（英国）：「Employment Practices Data Protection Code, Part 3: Monitoring at Work」では、すべての職場モニタリングシステムでDPIAが必要であることを確認しています。
• BfDI（ドイツ）：連邦データ保護法（BDSG）第26条では、従業員データの処理に関する追加要件が定められており、DPIAの義務が強化されています。
• AEPD（スペイン）：「労使関係におけるデータ保護ガイド」（2021年）では、すべての体系的な従業員モニタリングにDPIAを義務付けています。

モニタリングのカテゴリーとリスクプロファイル

カテゴリ 1：ビデオ監視（CCTV）

説明：職場で従業員の映像を記録する、固定式または移動式のカメラシステムです。

該当する EDPB ガイダンス：ビデオ機器を通じた個人データの処理に関するガイドライン 3/2019、第 8 章（雇用の文脈における処理）。

法的根拠の分析：

• 職場の CCTV では、Art. 6(1)(f) の正当な利益が最も一般的な法的根拠です。
• 国内法でセキュリティ監視が義務付けられている場合（例：金融機関）、Art. 6(1)(c) の法的義務が根拠となります。
• 雇用関係における力の不均衡があるため、Art. 6(1)(a) の同意は有効ではありません（WP29 Opinion 2/2017、第 5.1 節）。

比例性の要件：

• 休憩室、トイレ、更衣室、労働組合の会議室にカメラを設置してはなりません。
• 録画は、入口、サーバールーム、現金取扱エリア、倉庫の荷積み場など、セキュリティ上重要なエリアに限定する必要があります。
• 継続的な録画には正当な理由が必要です。動体検知による録画のほうが侵襲性は低くなります。
• 具体的なセキュリティインシデントの調査において、より長期間の保存が必要な場合を除き、保存期間は 72 時間を超えてはなりません。CNIL は最長 30 日を推奨しています。
• 特定の法令による許可がない限り、多くの法域では映像と併せた音声の録音は禁止されています。

Atlas Manufacturing Group の例： Atlas Manufacturing Group は、製造施設全体に CCTV カメラを 14 台設置しています。DPIA では、従業員食堂に設置された 3 台のカメラが、掲げられたセキュリティ目的に対して過剰であると特定されました。DPIA は、食堂のカメラを撤去し、記録されたセキュリティインシデントに関する例外的な手続きを設けたうえで、残りすべてのカメラの保存期間を 30 日から 72 時間に短縮することを推奨しました。

カテゴリ 2：メールとインターネットの監視

説明：従業員のメール通信やインターネット閲覧の活動を記録、スキャン、分析するシステムです。

法的根拠の分析：

• データ漏えいの防止、セキュリティ脅威の検知、利用規定の徹底を目的とする場合、Art. 6(1)(f) の正当な利益が根拠となります。
• Art. 8 ECHR に定める私生活および通信を尊重される権利とのバランスを取る必要があります。

Barbulescu v Romania（大法廷）に基づく比例性の要件： ECHR の大法廷は、満たすべき 6 つの基準を定めました。

1. 通信が監視される可能性について、従業員に事前に通知されていますか？
2. 監視の範囲と、従業員のプライバシーへの侵入の程度はどのようなものですか？
3. 雇用主には、監視を正当化する正当な理由がありますか？
4. 侵襲性のより低い方法で監視を実施できますか？
5. 監視が従業員にもたらす影響はどのようなものですか？
6. 従業員には適切な保護措置が提供されていますか？

リスク評価に固有の要素：

• 内容の監視（実際のメールを読むこと）は、メタデータの監視（送信者／受信者／時刻）よりも大幅に侵襲性が高くなります。
• キーワードスキャンは、中程度の侵襲性にあたります。
• 個人のメールアカウントは、会社のデバイスからアクセスされた場合でも、決して監視してはなりません。
• 法律顧問、労働組合の代表者、医療専門家との間の秘匿性の高い通信は、監視対象から除外する必要があります。

カテゴリ 3：GPS と位置情報の追跡

説明：車両追跡システム、モバイルデバイスの位置情報モニタリング、現場従業員向けのジオフェンシングです。

法的根拠の分析：

• 車両管理、単独作業者の安全確保、ルートの最適化を目的とする場合は、正当な利益に基づく Art. 6(1)(f)
• 位置情報の追跡が職務上不可欠な場合（配達ドライバー、現場エンジニア）は、雇用契約の履行に基づく Art. 6(1)(b)

比例性に関する要件：

• 追跡は勤務時間内に限定する必要があります。勤務時間外の追跡は、車両が業務専用で使用されている場合を除き、過剰です。
• リアルタイム追跡は定期的な位置情報の記録よりも侵襲性が高いため、より強い正当化が必要です。
• ジオフェンシングによるアラートは継続的な追跡より侵襲性が低いため、十分な場合はジオフェンシングを優先してください。
• 社用車の私的利用が許可されている場合、従業員は私的利用時に追跡を無効にできる必要があります。
• 速度のモニタリングや運転行動の分析は、具体的な安全上の懸念に基づいて正当化する必要があります。

Atlas Manufacturing Group の事例： Atlas Manufacturing Group は、23 台の配送車両に GPS 追跡を導入しました。DPIA により、ドライバーに限定的な私的利用が認められていたにもかかわらず、リアルタイム追跡が 24 時間 365 日有効になっていたことが判明しました。DPIA では、車両のダッシュボードに「私的利用」切り替え機能を導入し、追跡を一時停止するとともに、車両が私的利用モードであることを車両管理部門に通知するよう求めました。

カテゴリ 4：キーストロークの記録と画面キャプチャ

説明：個々のキーストロークを記録し、定期的またはトリガーに応じてスクリーンショットを撮影し、アプリケーションの利用状況をモニタリングするソフトウェアです。

リスク分類：非常に高い — これは従業員モニタリングの中で最も侵襲性の高い形態です。

法的根拠の分析：

• 侵害の重大性が通常、正当な利益を上回るため、正当な利益に基づく Art. 6(1)(f) を立証することは困難です。
• 各国の DPA は、一般的な生産性モニタリングにおけるキーストロークの記録は比例性を欠くとの判断を一貫して示しています。
• CNIL Decision No. MED-2019-006：キーストロークの記録が正当化されるのは、具体的かつ文書化されたセキュリティインシデントの調査時に限られ、期間も限定する必要があります。

比例性に関する要件：

• デフォルトのモニタリングツールとしてキーストロークを記録することは、ほぼ確実に比例性を欠き、DPIA で不適合となります。
• 一定間隔（例：5 分ごと）での画面キャプチャは、個人情報や個人のパスワードを取得します。
• アプリケーションレベルのモニタリング（どのアプリケーションが開かれているか、またその使用時間）は、画面キャプチャより侵襲性が低くなります。
• 導入する場合は、期間を限定し、特定の職務または個人を対象とするとともに、文書化されたセキュリティ上の正当な理由を根拠とする必要があります。

監督機関による執行：

• CNIL（フランス）：DPIA を実施せず、適切な透明性も確保しないまま、従業員のワークステーションにキーストローク記録ソフトウェアを導入した雇用主に、20,000 ユーロの罰金を科しました（Decision SAN-2021-003）。
• Garante（イタリア）：継続的な画面キャプチャソフトウェアの使用を禁止し、表明された生産性モニタリングの目的に対して比例性を欠くとの判断を示しました（Provvedimento No. 9834141, 2022）。

カテゴリー 5：生産性と行動分析

説明：複数のソース（メール、カレンダー、アプリケーションの使用状況、入退室バッジのスキャン、コラボレーションツール）からデータを集約し、生産性スコアと行動プロファイルを生成するソフトウェアプラットフォームです。

リスク分類：非常に高い — 評価・スコアリングと、体系的なモニタリングおよび革新的な技術を組み合わせています。

法的根拠の分析：

• Art. 6(1)(f) の正当な利益には、厳格な利益衡量テストが必要です。
• 生産性スコアが雇用上の決定（昇進、解雇、給与）に使用される場合、Art. 22 の自動意思決定に関する制限が適用されます。
• モニタリングデータを業務遂行の側面の評価に使用する場合、Art. 4(4) に基づくプロファイリングに該当します。

比例性に関する要件：

• 全社・チーム単位の分析は、個人単位のスコアリングよりも侵襲性が低くなります。
• 従業員には、生産性指標にどのデータソースが寄与しているのかを正確に知らせる必要があります。
• 従業員には、Art. 15 および Art. 22(3) に基づき、生産性プロファイルにアクセスし、異議を申し立てる権利が必要です。
• モニタリングデータに基づく不利益な雇用上の決定を行う前に、人による審査が必ず行われる必要があります。

従業員モニタリングのための DPIA 手法

フェーズ 1：事前評価（第 1 週）

1. モニタリングシステムを特定する：具体的なテクノロジー、ベンダー、導入範囲、およびデータフローを文書化します。
2. モニタリングのカテゴリーを分類する：上記の 5 つのカテゴリーのうち、該当するものを 1 つ以上割り当てます。
3. DPIA の義務を確認する：WP248rev.01 の基準のうち、満たしているものの数を数えます（従業員モニタリングは常に少なくとも 2 つを満たします）。
4. DPIA チームを編成する：Art. 35(9) に従い、処理責任者（通常は人事部長）、DPO、IT セキュリティ責任者、法律顧問、従業員代表または労使協議会のメンバーで構成します。
5. 労使協議会に通知する：労使協議会に関する要件がある法域（ドイツ、フランス、オランダ、オーストリア）では、国内労働法に基づき、モニタリングシステムに対する共同決定権を労使協議会が有します。

フェーズ 2：体系的な記述（第 2 週）

モニタリングシステムごとに、以下を記録します。

項目	必要な詳細情報
データのカテゴリー	具体的にどのようなデータを収集するか（例：メールのメタデータ、メールの内容、閲覧した URL、キーストローク、スクリーンショット、GPS 座標、映像）
データ主体	全従業員、特定の部署、特定の職務、契約社員、来訪者
規模	モニタリング対象の従業員数、データ収集の頻度、1 日あたりのデータ量
保持期間	モニタリングデータの保存期間、削除手順、アーカイブポリシー
アクセス	モニタリングの生データにアクセスできる者、レポート／ダッシュボードにアクセスできる者、役割ベースのアクセス制御
受領者	内部の受領者（人事部、直属の管理職、IT セキュリティ）、外部の受領者（モニタリングソフトウェアのベンダー、クラウドホスティングプロバイダー）
移転	モニタリングデータが EEA 域外に移転されるかどうか（米国を拠点とする SaaS モニタリングツールでは一般的です）
法的根拠	具体的な Art. 6(1) の根拠、および該当する場合は Art. 9(2) の条件

フェーズ 3：必要性および比例性の評価（第 3 週）

各監視措置について、以下の比例性テストを適用します。

ステップ 1 — 正当な目的：この監視が役立てる具体的かつ文書化された目的は何ですか？（セキュリティ、不正防止、規制遵守、生産性管理、健康と安全）

ステップ 2 — 必要性：目的を達成するために監視は必要ですか。それとも、より侵襲性の低い手段で目的を達成できますか？

監視措置	より侵襲性の低い代替手段
常時のビデオ監視	動体検知録画、アクセス制御ログ
メール本文のスキャン	メタデータ分析、添付ファイルのみを対象としたデータ損失防止ルール
キーストロークの記録	アプリケーション使用状況の記録、成果に基づくパフォーマンス測定
リアルタイムの GPS 追跡	ルート完了の確認、定期的なチェックイン
常時の画面キャプチャ	アクティブウィンドウの記録、手動入力に対応した時間追跡ソフトウェア
行動分析によるスコアリング	上司による定期的なレビュー、客観的な成果指標

ステップ 3 — 比例性：必要である場合でも、監視は目的に見合ったものですか？Barbulescu の 6 要素テストを適用します。

ステップ 4 — 保護措置：従業員への影響を軽減するには、どのような措置が必要ですか？（透明性、アクセス権、保存期間の制限、データ最小化、苦情申し立て手続き）

フェーズ 4：リスク評価（第 3～4 週）

従業員監視に固有のリスクを評価します。

リスク	可能性	深刻度	固有リスク
正当な職場でのコミュニケーションや労働組合活動が萎縮する	高い	重大	高
過度な監視により、敵対的な職場環境が生じる	可能性あり	重大	高
監視データが差別的な雇用判断に使用される	可能性あり	最大	高
ラインマネージャーによる監視データへの不正アクセス	高い	限定的	中
目的の逸脱：監視データが当初の正当化理由を超えた目的に使用される	高い	重大	高
監視データが十分性認定を受けていない法域へ越境移転される	可能性あり	重大	高
従業員が監視データに関する DSAR の権利を行使できない	可能性あり	重大	高
秘匿特権のある通信（法律、医療、労働組合）の取得	可能性あり	最大	非常に高

フェーズ 5：リスク軽減策（第 4～5 週）

特定した各リスクについて、具体的な技術的および組織的措置を文書化します。

技術的措置：

• 秘匿特権のある通信を監視対象から自動的に除外（法律顧問、医療提供者、労働組合のメールアドレスをホワイトリストに登録）
• 役割ベースのアクセス制御により、監視ダッシュボードへのアクセスを許可された人事担当者のみに制限
• 保存期間終了時に復元不可能な削除を行う、自動化された保存期間管理
• データ最小化：本文より先にメタデータを収集し、個人単位のデータより先に集計データを使用
• 保存中（AES-256）および転送中（TLS 1.3）の監視データを暗号化
• 改ざん防止ログを用いて、監視データへのすべてのアクセスを監査ログに記録

組織的措置：

• 監視の範囲を反映するよう許容利用ポリシーを更新し、監視開始前に全従業員へ提供
• 監視について具体的に説明する第 13 条／第 14 条に基づくプライバシー通知を、システムの有効化前に配布
• 監視に関する判断に異議を申し立てるための従業員向け苦情申し立て手続き
• 監視が引き続き必要であることを確認するための、年次の比例性レビュー
• 監視データの許容される利用について、管理職向けの研修を実施
• 不利益な雇用判断の唯一の根拠として監視データを使用することを制限

フェーズ 6：DPO によるレビューと従業員代表機関との協議（第 5～6 週）

1. 完成した DPIA を DPO に提示し、第 35 条第 2 項に基づく独立した助言を求めます。
2. DPO の助言と、それを受け入れたかどうかを文書に記録します。受け入れなかった場合は、その理由を記録します。
3. 共同決定権が適用される場合、DPIA の調査結果を従業員代表機関に提出します。
4. 第 35 条第 9 項に基づき従業員との協議を実施します。従業員代表機関との協議を通じて、この要件を満たせる場合があります。
5. 残存リスクを認識したことを示す上級管理職の承認を得ます。
6. リスク軽減後も残存リスクが高または非常に高い場合は、第 36 条に基づく監督機関との事前協議を開始します。

継続的なレビュー要件

従業員監視に関する DPIA は、次の場合にレビューする必要があります。

• 新たな監視技術を導入する前
• 監視対象の範囲を拡大するとき（新たな部門、新たなデータカテゴリー）
• 監視ソフトウェアをアップグレードするとき、またはベンダーを変更するとき
• 監視に関する従業員からの苦情があった後
• 従業員監視に関連する監督機関のガイダンスや執行措置があった後
• プライバシープログラムの年間予定の一環として、少なくとも年 1 回

執行事例

当局	事例	罰金／結果	関連性
CNIL（フランス）	SAN-2021-003	EUR 20,000	DPIA や透明性の確保なしにキーストロークの記録を導入
Garante（イタリア）	Provvedimento 9834141, 2022	処理禁止	継続的な画面キャプチャーは不均衡と判断
AEPD（スペイン）	PS/00120/2021	EUR 60,000	勤務時間外に従業員の車両を GPS 追跡
Datainspektionen（スウェーデン）	DI-2020-11370	SEK 300,000	有効な同意または DPIA なしに、従業員の勤怠記録に顔認識を使用
Hellenic DPA（ギリシャ）	Decision 26/2019	EUR 150,000	比例性評価なしに、従業員を継続的に CCTV で監視
ICO（英国）	ENF/2021/00352	執行通知	従業員の個人用デバイスに対する秘密監視の停止を雇用主に要求

統合ポイント

• 雇用関係における同意の制限：この DPIA では、監視の適法な根拠として同意に依拠していないことを確認する必要があります（employment-consent-limits スキルを参照）。
• 職場のメールプライバシー：この DPIA におけるメール監視の要素は、Barbulescu への準拠に関する詳細な確認のため、workplace-email-privacy スキルに反映されます。
• 従業員の DSAR への対応：監視データは従業員の DSAR の対象範囲に含まれます（employee-dsar-response スキルを参照）。
• リモートワークの監視：リモート監視では、remote-work-monitoring スキルで扱う比例性に関する追加の懸念が生じます。
• 第 36 条に基づく事前協議：残存リスクが高い場合は、監督機関へのエスカレーションが必要です。