個人情報を漏洩させてしまった企業は、ブランドの失墜、社会からの非難や顧客の離反など様々なダメージを受けることになる。個人情報の漏洩というと、一般的には「顧客名簿」の流出などが思い浮かぶところだが、来月（2019年4月）1日から新たに“健康情報”を個人情報として保護することが求められる。

政府が進める働き方改革の一環で労働安全衛生法が改正され、いよいよ来月1日から施行されるが、この改正労働安全衛生法で、「時間外労働の上限規制」の導入、「産業医の権限強化」などとともに事業者に求められているのが、「労働者の心身の状態に関する情報」（本稿ではこれを“健康情報”と呼ぶ）の適正な管理だ。

労働安全衛生法 ： 職場における労働者の安全と健康を確保するとともに、快適な職場環境を形成する目的で制定された法律（昭和47年10月1日施行）。労働者の安全と衛生についての基準が定められており、事業者にはこれらの基準を守ることや、快適な職場環境の実現と労働条件の改善を通じて職場における労働者の安全と健康を確保するようにすることなどが求められる。
時間外労働の上限規制 ： 原則として、時間外労働は月45時間、年間360時間を超えてはならない。臨時的な特別な事情がある場合は年720時間まで許容されるものの、単月で100時間を超えてはならない。また、45時間を超えていいのは年に6回までとなる。さらに、複数月の平均を80時間以下としなければならない。時間外労働が月80時間（従来は100時間）を超えた場合、産業医による面接指導の対象となる。
産業医の権限強化 ： 事業者は、長時間労働者の労働時間の状況や業務の状況など、産業医が労働者の健康管理等を適切に行うために必要な情報を産業医に提供するとともに、産業医から職場環境の改善等について勧告を受けた場合、これを尊重し、勧告の内容を事業場内の衛生委員会に報告しなければならない。

健康情報のほとんどが個人情報保護法でいう「要配慮個人情報」に該当する情報であることから、万が一これが流出すれば、個人情報保護法上の罰則（違反した従業員に対しては最大6月の懲役または30万円の罰金、会社に対しては最大30万円の罰金）が科されるほか、被害者となった従業員に対する損害賠償が必要になる場合もあろう。個人情報保護法上の罰金や従業員一人当たりに対する損害賠償金は大きな金額ではないかもしれないが、仮に社員数が多い企業で大量の健康情報が流出したとなれば、損害賠償額も巨額に上る可能性があるほか、冒頭で述べたようなブランドの失墜などの社会的ペナルティは避けられない。

要配慮個人情報 ： 本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実等が該当し、あらかじめ本人の同意を得ないで取得することが禁止されている。

では、「健康情報の適正な管理」とは具体的に何をすればよいのだろうか。改正労働安全衛生法では、事業者は健康情報を労働者の健康確保に必要な範囲内で収集し、その目的の範囲内で保管・使用しなければならず（同法104条1項）、健康情報を適正に管理するために必要な措置を講じなければならない（同2項）と規定している。また、厚生労働省は昨年9月に「労働者の心身の状態に関する情報の適正な取扱いのために事業者が講ずべき措置に関する指針」を公表している。同指針では、上述のとおり健康情報のほとんどが個人情報保護法にいう「要配慮個人情報」に該当する機微な情報（センシティブ情報）であることから、各事業者は「健康情報取扱規程」を策定し、取扱いを明確化することが必要であるとしたうえで、取扱規程の内容・策定方法・運用等にまで踏み込んで解説している。また、労働者が健康情報の収集・使用等に同意しないことや健康情報の内容を理由として労働者に不利益な取り扱いをすること（解雇、雇い止め、退職勧奨、配置転換、職位変更等）も禁じている。

雇い止め ： 有期雇用契約を更新しないこと
退職勧奨 ： 会社が従業員を退職させるために退職を勧めること。最終的に会社を退職するかどうかの判断は、労働者が判断するため、「解雇」とは異なる。

同指針で示されている健康情報の具体的な取扱いは下記のとおり。
（１）法令に基づき事業者が直接取り扱えるもの（本人の同意は不要）
　その目的の達成に必要な範囲を踏まえて取り扱う
　例）健康診断の受診・未受診の情報、面接指導の申し出の有無等
（２）本人の同意は不要だが取扱規程により適正に運用することが適当であるもの
　事業場の状況に応じて、情報を取り扱う者を制限する、情報を加工する等の措置を定め、また、本人に対し丁寧な説明を行う等、納得性を高める措置を講じるのが望ましい。
　例）健康診断の結果（法定項目）、再検査の結果（法定項目と同一のもの）等
（３）予め本人の同意を得ることが必要であるもの
　事業場ごとの取扱規程に則った対応を講じる必要がある
　例）健康診断（法定外の項目）・保健指導・精密検査・がん検診の結果、医師の意見書等

「改正労働安全衛生法」および「労働者の心身の状態に関する情報の適正な取扱いのために事業者が講ずべき措置に関する指針」の施行日である来月1日以降、同指針が行政指導の根拠となるのは間違いない。まだ健康情報取扱規程の策定等、健康情報の管理体制が十分に整備できていないという企業は、健康情報の流出が顧客情報の流出にも匹敵し得るインパクトを持つことを認識したうえで、早急に取り組むべきだろう。

※3月28日、厚生労働省から「事業場における労働者の健康情報等の取扱規程を策定するための手引き」が公表されました。「取扱規程の雛型」も掲載されているなど、健康情報取扱規程を策定するうえで参考になる内容となっておりますのでご参照ください。

欧米の大手金融機関の多くが投資銀行部門に力を入れる中、伝統的な商業銀行のスタンスを崩さないまま、長らく米国金融界トップの時価総額を誇ってきたのが、ウェルズ・ファーゴだ。しかし、サブプライムローンに関連して従業員が顧客の同意なしに口座を開設するなど不祥事が相次いで発覚して以降、同社のコーポレートガバナンス体制は厳しい批判にさらされてる。今月（2019年3月）12日には、同社のCEOが米国議会下院の公聴会に呼ばれ、実に4時間にもわたって数々の不祥事の温床となった同社のコーポレートガバナンス体制について、与野党を問わず徹底的に問い詰められている。公聴会では同社の規模が大きすぎるがゆえに従業員の管理が十分にできていない旨の指摘があり、同社の規模の縮小や現経営陣の解任にまで話が及んでいる。

サブプライムローン ： 信用力の低い個人向け住宅融資

もっとも、公聴会に先立ち、株主代表訴訟を提起されていたウェルズ・ファーゴの経営陣は株主との間で2億4,000万ドルの和解金を会社に支払うことで合意している。この株主代表訴訟は、経営陣が、従業員の一部が顧客の同意なしに口座を開設しているという事実を認識していたか、認識しながら意図的に無視していたことが問題視されたもので、現CEOや前CEOを含む20人の経営陣を対象に提訴された。2億4,000万ドルという和解金はこれまでの株主代表訴訟の中でも最高額と思われるが、注目されるのは、当該和解金がD&O保険（会社役員賠償責任保険）によって賄われる見込みとなっているということだ。

D&O保険（会社役員賠償責任保険） ： 役員等がその職務の執行に関し責任を負うこと又は当該責任の追及に係る請求を受けることによって生ずる損害を塡補する保険。第三者訴訟で役員が損害賠償責任を負った場合に支払われる「普通保険約款」と、株主代表訴訟で役員が敗訴した場合に支払われる「株主代表訴訟補償特約（自動で付与される）」がある。

ここで誤解しないようにしたいのは、役員が不正を認識しながら行った行為については、どこの保険会社であっても、D&O保険の支払い対象にはならないということだ。
本件においてD&O保険が支払われることとなった経緯は不明だが、同様のケースにおいてD&O保険が支払われるパターンを一般論としてみてみよう。

まず、不正を認識していたのが一部の役員のみで、残りの役員は不正の存在に気づいていなかったケースだ。不正を認識していたかどうかは各役員個別に判断されることになるため、不正を認識していない役員が“巻き添え”的に株主代表訴訟に巻き込まれた場合、当該役員はD&O保険の補償対象となる可能性がある。

あるいは、より単純なケースも想定される。「不正を認識していた」という株主の主張に対し、当然ながら、役員は「認識していなかった」と反論することになる。両者の主張が対立する中で「不正を認識していた」という証拠が出てこなければ、結局両者が和解し、保険金が支払われるということは十分にあり得る。ウェルズ・ファーゴの一件も、保険金が支払われることとなった以上、同様の展開を辿った可能性はあろう。

いずれにせよ、CEOが議会に呼ばれるという事態に至りながらも保険金が支払われることとなったという点、日本企業の役員にとっても参考になる事例と言えそうだ。