COLUMN

社会福祉士と個人情報 ―
手引きのない領域をどう歩くか

／宮﨑 知也（代表取締役・社会福祉士）

独立して仕事をするようになって、最初に足が止まったのは「この記録、クラウドに置いていいんだろうか」でした。

事務所を構えて、成年後見の受任をして、相談の記録を残す。紙で管理するつもりは最初からありませんでした。検索できないし、火事や水害で消えるし、そもそも私しかいない事務所で、紙を鍵で守り切るほうがよほど危ない。

それでもしばらく手が止まったのは、どこを見れば答えが書いてあるのか分からなかったからです。

1. 手引きがない

介護事業所には、「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」という手引きがあります。個人情報保護委員会と厚生労働省が出しているもので、利用目的の書き方から安全管理措置まで、事例つきで書いてあります。

ただ、このガイダンスが対象にしている事業者は、次の2つです。

  1. 病院、診療所、助産所、薬局、訪問看護ステーション等
  2. 介護保険法や老人福祉法にもとづく介護・高齢者福祉の事業者（居宅サービス、ケアマネ事業、介護保険施設など。正確な列挙は文末のガイダンスへ）

独立型社会福祉士事務所は、ここに入っていません。成年後見の受任も、障害分野の相談も、この列挙のどれにも当たらない。ケアマネ事業を併設していれば話は別ですが、そうでなければ対象外です。

もう少し調べて、意外だったことがあります。かつては「福祉分野における個人情報保護に関するガイドライン」という専用の手引きがありました。それが2017年（平成29年）5月30日限りで廃止されています。各分野のガイドラインを個人情報保護委員会の通則ガイドラインへ一元化する、という整理の一環でした。

つまり、いま厚生労働省が分野別に出しているガイドライン等の一覧に、「福祉分野」という項目はありません。並んでいるのは、医療、医学研究、雇用管理、職業紹介・労働者派遣、技能実習、企業年金です。医療と介護には残り、福祉の相談援助には残らなかった。

これは怠慢ではなく整理の結果なので、誰かを責める話ではありません。ただ、現場から見ると「同じくらい機微な情報を扱っているのに、手引きだけが片方にある」という状態になっています。

2. 拠り所は2つある

手引きがないというのは、ルールがないという意味ではありません。私が拠り所にしているのは2つです。

ひとつは個人情報保護法です。分野別ガイダンスがなくても、通則ガイドラインは全業種にかかります。むしろ一元化されたぶん、読むべきものははっきりしました。

もうひとつは社会福祉士及び介護福祉士法46条です。

社会福祉士又は介護福祉士は、正当な理由がなく、その業務に関して知り得た人の秘密を漏らしてはならない。社会福祉士又は介護福祉士でなくなつた後においても、同様とする。

この条文には罰則があります。50条で、1年以下の拘禁刑または30万円以下の罰金。親告罪なので告訴がなければ起訴されませんが、罰則があること自体は変わりません。加えて32条2項により、登録の取消しや名称使用の停止もありえます。

ここは意識しておいたほうがいいと思っています。個人情報保護法は「事業者」にかかる義務ですが、46条は「私個人」にかかる義務です。法人として何をどう整備していても、法人の責任とは別に、漏らした私個人が処されます。資格を返上したあとも消えません。

この2つを重ねると、やることは意外とはっきりします。法律の求める安全管理措置は満たす。そのうえで、専門職としては、それより手前で止まる。

3. クラウドに置いていいのか

本題です。結論から言うと、現時点の個人情報保護委員会の解釈では、条件つきで置けます。

ここを読み違えている人は多いと思います。私も最初そうでした。「個人情報をクラウドに上げる＝第三者に渡す」ではないんです。判断の分かれ目は、データを預けたかどうかではなく、その事業者が中身を触ることになっているかどうかです。個人情報保護委員会のQ&A（Q7-53）に、正面から書いてあります。

保存している電子データに個人データが含まれているかどうかではなく、クラウドサービスを提供する事業者において個人データを取り扱うこととなっているのかどうかが判断の基準となります。

触らないことになっている場合には、第三者提供にあたっての本人の同意は要らないし、委託先の監督義務（法25条）もかかりません。もっとも、利用目的の特定や通知といった、もともとかかっている義務が消えるわけではありません。「触らないことになっている場合」とは、Q&Aの言葉では契約条項で取り扱わない旨が定められており、適切にアクセス制御を行っている場合等です。

ひとつ注意があります。これはQ&Aの逐語ではなく私の理解ですが、ここでいう「取り扱う」は、人が目で見ることに限りません。規約のうえで、サービスの改善やAIの学習に中身を使う設計になっていれば、人が一切見ていなくても「取り扱う」側にあたると考えています。見る場所は規約の利用目的の条項で、「サービス向上のために利用」「学習に利用」といった記載があるかどうかです。個人向けの無料サービスには、この記載があるものが少なくありません。

この記事を書くにあたって、自分の道具もあらためて開いて確かめました。

まず、個人向けの無料のGeminiです。アクティビティの保存をオフにしても、保護などの目的でチャットが使われ、人のレビューが入ることがあると書いてあります。そしてこう続きます。「レビュアーに見られたくない機密情報……は入力しないでください」。Google自身がそう言っているわけです。だから、ここに他人の情報は入れません。

仕事で使っているGoogle Workspaceは、逆でした。コンテンツが人にレビューされることも、許可なくドメインの外で生成AIモデルの学習に使われることもない、と明記されています。組織として結ぶ契約が適用される。つまり、「どう取り扱うか」を契約で縛れる側です。

文字起こしに使っているNottaには、公式ヘルプに「AI学習について」というページがありました。学習を「あり」にすると音声データの提供に同意したことになる。「なし」なら音声はサーバーに保存されず、処理と同時に消える。ただし、「なし」の環境が用意されているのは上位のプランです。同じサービスでも、契約の形でどちら側にもなるということです。

同じ「クラウド」でも、開いてみるとこれだけ違います。

ただし、規約を確かめて、それで終わりにすると危ない。続きのQ7-54に、はっきり書いてあります。

クラウドサービスの利用が、法第27条の「提供」に該当しない場合、法第25条に基づく委託先の監督義務は課されませんが（Ｑ7－53参照）、クラウドサービスを利用する事業者は、自ら果たすべき安全管理措置の一環として、適切な安全管理措置を講じる必要があります。

委託先の監督義務が外れるかわりに、自分の安全管理措置は丸ごと自分の責任として残るということです。契約を結べば終わり、ではありません。共有設定もアクセス権も端末の管理も、全部こちら側の仕事です。人を雇っていれば、辞めた人のアカウントの停止もここに入ります。

海外のサーバでも考え方は同じです（Q12-3）。事業者が中身を取り扱わないことになっていれば、外国にある第三者への提供（法28条）にも当たりません。

ただし注意書きがついています。外国にサーバを置く以上、その国の個人情報保護の制度を把握したうえで、安全管理措置をとる。そして、使っていることと、何をしているかを、本人が知れる場所に書いておく。多くの事務所にとって、その場所はプライバシーポリシーになると思います。

4. 私はどこに線を引いているか

制度の話はここまでです。あとは、自分でどう決めたか。記録の置き場所は、ここまでの基準で整理がつきました。次に迷ったのは、生成AIです。

入れないものを、先に決めました。

生成AIを日常的に使うようになってから最初にやったのは、「何を入れないか」を書き出すことでした。都度考えていると、忙しいときに判断がぶれます。ぶれた一回が事故になる。

いま決めているのは、このあたりです。

  • 支援している方の個人が特定できる情報
  • 顧客との契約書、請求書の原本
  • 預かっているアカウントの認証情報
  • 相手方の組織の内部情報（人事・労務、売上、組織体制）

逆に、すでに公開されている資料（理念やパンフレット、営業資料、制度の解説）は気にせず使っています。

この切り方には理由があります。「機微かどうか」で判断しようとすると、毎回迷います。「すでに世に出ているかどうか」なら、迷いません。線は、疲れているときでも引ける場所に引いておくものだと思っています。

開発と実務は、混ぜません。

いま記録アプリをつくっているので、動作確認のために実際のデータを使いたくなる場面があります。使えばいちばん確実です。

それはやらないことにしています。テスト用のダミーデータをつくるほうが手間ですが、開発中の仕組みは壊れるのが前提です。壊れていい場所に、預かった情報を置かない。

最後は、地味な話です。

端末は暗号化し、アカウントには2段階認証をかけ、席を立つときはロックする。ここに書くほどのことでもない基本ですが、線引きの議論は、この基本が守られている前提ではじめて意味を持ちます。クラウドの規約をどれだけ読み込んでも、ロックしていない画面の前では全部が無意味だからです。

5. 手引きがないことは、使えないことではない

調べてみて分かったのは、判断の材料はちゃんと揃っているということでした。法律があり、通則ガイドラインがあり、Q&Aは想定される場面にかなり具体的に答えている。

足りないのは材料ではなく、それを福祉の現場の言葉に翻訳したものです。「クラウドサービス提供事業者において個人データを取り扱うこととなっているのかどうか」という文が、「Googleが中身を使うことになっているかどうか」だと分かるまでに、私はしばらくかかりました。

手引きがないから使えない、と考えるのは、たぶん逆です。手引きがないぶん、自分で線を引いて、引いた理由を説明できるようにしておく。それが、いまの私たちに求められていることだと思っています。

同じところで止まっている方の参考になれば嬉しいです。

次回は、線を引いていても起きてしまう事故の話です。漏えいや誤送信のときに何をしなければならないかを書く予定です。

確認したもの

← コラム一覧へ