【ひな型ダウンロード可】情報管理規程の作り方│日本版DBSの安全管理措置と記録の取扱いを行政書士が解説

学校設置者等及び民間教育保育等事業者による児童対象性暴力等の防止等のための措置に関する法律（以下、こども性暴力防止法）の認定を受けようとする学習塾やスポーツクラブ、放課後児童クラブ、認可外保育施設といった民間教育保育等事業者は、犯罪事実確認で得た情報を適切に管理するための「情報管理規程」を定め、認定の申請書に添付する必要があります。

犯罪事実確認で扱う情報は、従事者に性犯罪の前科があるかどうかを示す、きわめて機微な個人情報であり、漏えいすれば従事者本人の権利を深く傷つけるだけでなく、制度そのものへの信頼も損なわれます。

こども家庭庁は、確認書を見る人の数や記録を残すかどうかに応じて、3種類の情報管理規程のひな型を公表しています。本記事では、ひな型の選び方を確認したうえで、管理の体制、規程に定める基本的な事項、組織的、人的、物理的、技術的な安全管理措置、記録の廃棄と消去、漏えいが起きた場合の対応、罰則までを行政書士が解説します。

情報管理規程とは

情報管理規程は、犯罪事実確認で得た情報を、誰が、どこで、どのように扱い、いつ廃棄するかを定めた規程です。認定を受けるには、情報管理の責任者を置き、この規程を定めて守ることが求められ、情報管理の責任者を含めて、認定を受ける事業に従事する人が2人以上いることも要件とされています。

規程で管理する情報の中心となる「犯罪事実確認記録等」は、こども家庭庁から交付される犯罪事実確認書と、その内容を書き写した電子ファイルや紙の資料を合わせたもので、前科がないことを示す記録も含めて、個人情報保護法の要配慮個人情報に当たります。

あわせて、前科があると分かった従事者との面談で得た詳しい情報や、子どもから聴き取った性暴力のおそれに関する情報も、犯罪事実確認記録等に準じて厳格に扱う必要があります。

ひな型の選び方

こども家庭庁が公表している情報管理規程のひな型は、犯罪事実確認書を見る人が責任者1人だけか複数人か、こまもろうシステムの外にも記録を残すかどうかによって、3種類に分かれています。事業の規模や人事の体制に合ったひな型を選ぶことが、規程づくりの出発点となります。

ひな型	確認書を見る人	システムの外での記録
ひな型①	責任者1人だけ	残さず、こまもろうシステムの画面で確認するだけにとどめる
ひな型②	責任者を含む複数人	残さず、こまもろうシステムの画面で確認するだけにとどめる
ひな型③	責任者を含む複数人	残した上でシステムの外でも記録を作成し、保存する。

ガイドラインは、記録や保存はできる限り避けることを基本としており、確認書の内容はシステムの画面で見るだけにとどめるのが原則です。小規模な教室であれば、確認書を見る人を責任者1人に絞ってひな型①を使うことで、管理の負担を最も軽くできます。

なお、こども家庭庁は、記録の作成、保管、伝達、廃棄の状況を残すための取扱記録の様式案を、ひな型③とあわせて使うものとして公表しています。

管理の体制

情報管理規程では、まず、情報の管理を誰が担うのかを定める必要があります。ガイドラインは、情報管理を統括する責任者を置いたうえで、情報を扱う人と確認書を見る人を、業務に必要な最小限の範囲に限ることを求めています。

情報管理の責任者と担当者

事業者は、事業者内の情報管理を統括する責任者を置く必要があり、責任者は担当者を任命して、権限の一部を任せることができます。ひな型では組織の長が責任者を務めることが想定されており、小規模な事業者では、責任者が担当者を兼ねることもできます。

責任者は、情報を扱う人に役割を割り振るとともに、法令や規程に違反する兆しや漏えいの兆しを把握したときの報告と連絡の体制を整える必要があります。また、情報の扱いが規程どおりに行われているかを点検し、必要に応じて改善を指示することも、責任者の役割とされています。

取扱者と閲覧者

情報を扱う人（取扱者）は、責任者と担当者のほか、責任者が認めた人事部門や情報システム部門、各部署の管理職に限り、業務上必要な最小限の人数にとどめる必要があります。確認書を見る権限を持つ人はさらに絞り込み、小規模な事業者では1人とすることも認められています。

こまもろうシステムでは、事業者が自ら利用者のアカウントと権限を設定するため、人事異動や退職のたびに権限を見直す必要があります。異動や退職によって情報を扱う必要がなくなった人の権限は、直ちに削除することが求められます。

規程に定める基本的な事項

情報管理規程は、基本的な事項と、組織的、人的、物理的、技術的という四つの観点からの安全管理措置で構成されます。基本的な事項として、規程には以下の内容を定める必要があります。

あわせて、共同認定の場合は、それぞれの措置をどちらの事業者が担うかの役割分担も、規程に記載する必要があります。規程は作って終わりではなく、自己点検の結果を踏まえて見直していくことが求められます。

安全管理措置

安全管理措置は、情報の漏えいや紛失を防ぐための具体的な措置で、組織的、人的、物理的、技術的の四つに分かれています。ガイドラインは、それぞれの措置を「標準的な措置」と「最低限求められる措置」に分けて示しており、事業の規模や情報の扱い方に応じて、どこまで講じるかを決める必要があります。

組織的安全管理措置

情報を扱う体制とルールを整える組織的安全管理措置では、確認書の閲覧の状況や、書き写した記録の作成、媒体の持ち運び、伝達、廃棄や消去について取扱記録を作成し、責任者が定期的に確認する必要があります。あわせて、漏えいが起きた場合の対応の体制を整え、規程どおりに扱われているかを定期的に自己点検することも求められます。

標準的な措置としては、これらに加えて、取扱記録に書く項目をあらかじめ整理しておくことや、責任者以外の人を監査者に置き、他の部署による監査を行うことが示されています。点検に責任者以外の人が加わることで、責任者自身による不適切な扱いも見つけやすくなります。

人的安全管理措置

情報を扱う人の意識と行動を確かにするための人的安全管理措置では、取扱者に、着任したときと、その後も定期的に研修を受けさせ、受講の記録を責任者が確認する必要があります。

研修には、情報管理の重要性、基本的な原則と具体的な措置、違反や漏えいが起きたときの報告の体制、禁止されている行為と罰則を盛り込むことが求められており、こども家庭庁は、管理職向けに10分から15分程度、情報管理の責任者と担当者向けに1時間弱、従事者向けに10分程度の研修動画も用意しています。

研修以外にも、会議での注意の呼びかけや掲示によって、日頃から情報を扱う人の意識を高めることが求められます。あわせて、就業規則に秘密を守る義務と違反した場合の人事上の扱いを定め、退職する人には、退職した後も情報を漏らさないことを確認しておく必要があります。

物理的安全管理措置

情報を扱う場所や機器、書類を物理的に守る物理的安全管理措置では、情報を扱う区域に施錠や入退室の管理を行い、権限のない人が立ち入れないようにする必要があります。あわせて、間仕切りや座席の配置を工夫して、画面や書類をのぞき見されないようにすることも求められます。

情報を扱う機器や書類については、機器をセキュリティワイヤーで固定する、書類を施錠できるキャビネットで保管するといった方法で、盗難や紛失を防ぐことが求められます。機器や書類の持ち運びはやむを得ない場合に限り、その際は暗号化やパスワードの設定、封をした封筒や施錠できる容器の使用といった方法で漏えいを防ぐ必要があり、紙の書類は回収を徹底して、従事者の手元に残さないことも求められます。

技術的安全管理措置

パソコンやネットワークの面から情報を守る技術的安全管理措置では、情報にアクセスする人をユーザーIDと多要素認証によって識別し、アクセスの権限を必要な人に限る必要があります。そのうえで、異動や退職の際には直ちに権限を外し、定期的に権限の設定を確かめることが求められます。

情報を扱う端末は専用のものを使うことが推奨されており、私物の端末を使うことは認められていません。OSやアプリは常に最新の状態に保ち、ウイルス対策ソフトやファイアウォールで不正なアクセスを防ぎ、通信やファイルを暗号化することが求められます。クラウドサービスを使うのはやむを得ない場合に限られ、その場合は、政府の安全評価制度（ISMAP）の基準を満たし、国内の法律が適用される拠点にデータを保存するサービスを使うことが原則とされています。

目的外利用と第三者への提供の禁止

犯罪事実確認記録等は、防止措置を講じることや犯罪事実確認を行うこと以外の目的に使ったり、第三者に提供したりすることが禁止されています。事業者の中で、防止措置のために必要な関係者が共有することは目的外の利用に当たりませんが、共有する範囲は必要最小限にとどめる必要があります。

例外として、共同認定の事業者の間で防止措置に必要な範囲の情報を共有する場合や、裁判の手続や犯罪の捜査のために提供する場合、こども家庭庁の報告の求めや立入検査に応じる場合は、提供が認められています。一方で、保護者からの問い合わせに前科の有無を答えることや、派遣元や請負の事業主に前科の有無を伝えることは、第三者への提供に当たるおそれがあります。

そのため、派遣や請負で働く人について防止措置を講じ、人の交代を求めるときは、派遣元に記録を渡さず、前科に触れずに「防止措置を講じる必要がある」と伝えるといった、間接的な伝え方を用いる必要があります。

記録の廃棄と消去

犯罪事実確認記録等は、決められた期限までに廃棄、消去する必要があり、期限は以下のとおりです。期限を過ぎて記録を残し続けることは認められていません。

場合	廃棄・消去の期限
確認から5年が経過する場合	確認の日から5年を経過した日の属する年度の末日から30日以内
従事者が離職した場合	離職した日から30日以内
採用しなかった場合	従事する予定だった日（確認書の交付がそれより遅い場合は交付の日）から30日以内
事業者が認定事業者等に当たらなくなった場合	当たらなくなった日から30日以内

紙の記録はシュレッダーや焼却といった復元できない方法で廃棄し、電子データは容易に復元できない形で消去する必要があり、機器を処分する際は、専用のソフトを使うか物理的に壊すことが求められます。廃棄や消去を行ったときは取扱記録を作成し、責任者が確認する必要があり、廃棄や消去を外部の業者に任せることは、第三者への提供に当たるため認められていません。

こまもろうシステムの中の犯罪事実確認書は、5年の期限が来ると自動的に消去されます。ただし、従事者が離職した場合や採用しなかった場合は自動的には消去されないため、事業者がシステム上で消去の手続を行う必要があります。

漏えいが起きた場合の対応

犯罪事実確認記録等が漏えいしたり、なくなったり、壊れたりした場合や、禁止されている第三者への提供が行われた場合は、こども家庭庁に報告する必要があります。前科があると分かった従事者との面談で得た詳しい情報が漏えいした場合も、報告の対象となります。

報告は、事態を知った後直ちに、把握している範囲で行う速報と、詳しい内容をまとめた確報の2段階で行う必要があります。速報は3日から5日以内が目安とされ、重大な事案ではできる限り早く行うことが求められ、確報は事態を知った日から30日以内（不正な目的による行為が原因の場合は60日以内）に行う必要があります。

あわせて、前科があることを示す記録や面談で得た詳しい情報が漏えいした場合は、速やかに本人に通知する必要があります。本人への通知が難しい場合は、事案を公表したり問い合わせの窓口を設けたりといった代わりの措置を講じ、被害の拡大を防いだうえで、原因を突き止め、再発の防止策を講じることが求められます。

罰則

情報の扱いに違反した場合は、違反した本人だけでなく、法人にも罰金が科されます。情報管理に関する罰則は以下のとおりです。

違反の内容	罰則
自分や第三者の不正な利益を図る目的で情報を提供した場合	2年以下の拘禁刑又は100万円以下の罰金（併科あり）
業務で知った情報をみだりに他人に知らせたり、不当な目的に使ったりした場合	1年以下の拘禁刑又は50万円以下の罰金（併科あり）
偽りや不正な手段で犯罪事実確認書の交付を受けた場合	1年以下の拘禁刑又は100万円以下の罰金
期限までに記録を廃棄、消去しなかった場合	50万円以下の罰金

また、情報管理の要件を満たさなくなった場合や、記録を適切に管理しなかった場合は、認定を取り消されることがあります。罰則の対象となるのは情報を扱う一人ひとりの行為であるため、研修を通じて、取扱者全員に罰則の内容まで伝えておくことが大切です。

規程の変更と定期報告

認定を受けた後に情報管理規程を変更する場合は、軽微な変更を除いて、あらかじめこども家庭庁に届け出る必要があります。責任者が代わる場合や、確認書を見る人を増やしてひな型①の運用からひな型②の運用に切り替える場合は、規程を見直したうえで、届出の要否を判断することが求められます。

認定を受けた事業者は、毎年1回、情報管理措置の実施状況をこまもろうシステムで報告する必要があります。定期報告は、規程どおりに情報が扱われているかを振り返る機会でもあり、自己点検の結果を規程の見直しにつなげることが求められます。

情報管理規程の作成サポート

情報管理規程には、情報管理の責任者と取扱者の体制、記録や保存をできる限り避けるといった基本的な事項、組織的、人的、物理的、技術的な安全管理措置を定める必要があります。認定を受けた後も、取扱記録の確認や研修、期限どおりの廃棄と消去、毎年の定期報告を続け、漏えいが起きた場合は速やかにこども家庭庁に報告することが求められます。

弊所では、こども性暴力防止法の認定申請と、情報管理規程の作成を代行しています。事業の規模に合ったひな型の選択から、責任者と取扱者の体制の整理、安全管理措置の設計、規程と添付書類の作成、認定後の変更の届出に至るまで、しっかりまるっとサポートいたします。

さらに、弊所は「話しの分かる行政書士事務所」として、さまざまな事情をくんだ上での柔軟な対応を心がけています。学習塾やスポーツクラブ、放課後児童クラブ、認可外保育施設で情報管理規程の作成にお困りの際は、弊所までどうぞお気軽にご相談ください。