この記事のポイント
- 勤怠記録も従業者の個人情報として、PMSの対象になることが分かる
- 勤怠記録を台帳に載せ、安全管理措置を決めるときのポイントが分かる
- 審査で記録が見られる理由（取扱いの記録との関係）が分かる
はじめさん
まもる先生勤怠記録はPMSの対象になる個人情報（先に結論）
Pマークの構築・運用指針は、従業者の個人情報も、会社が事業で使っている個人情報だとしています（構築・運用指針 適用範囲）。従業者の勤務・退勤時間の記録は、従業者の個人情報です。
そのため、勤怠記録も、ほかの個人情報と同じように個人情報管理台帳に載せ、リスクを洗い出し、見られる人を限るなどの安全管理措置を決めて管理します。
また、審査では運用の記録の提示を求められることがあり、勤怠記録が個人情報の取扱いの記録と照らし合わせて見られることもあります。
従業者の個人情報もPMSの対象
勤怠記録、給与、健康診断の結果なども対象
PMSは、会社が事業で使っているすべての個人情報が対象です（構築・運用指針 J.1.4）。お客様の情報だけでなく、従業者の個人情報も含みます。
たとえば、次のようなものです。
- 勤務・退勤時間の記録（タイムカード、勤怠管理システムのデータ）
- 給与や社会保険の手続きの書類
- 健康診断の結果
- 履歴書や雇用契約書
- 採用の応募者の書類
はじめさん
まもる先生台帳に載せ、リスクアセスメントをする
洗い出した個人情報は、台帳にまとめます。台帳には、個人情報の項目、利用目的、保管場所、保管方法、アクセスできる人、利用期限、保管期限、件数（概数でも可）などを書きます（構築・運用指針 J.3.1.1）。
勤怠記録なら、紙のタイムカードか勤怠管理システムか、どこに保管し、誰が見られるのかを書きます。そのうえで、取得から廃棄までの各場面で起こりうるリスクを洗い出し、対策を決めます（J.3.1.3）。
はじめさんまもる先生Pマークの取得・更新でお困りなら、まずはご相談ください。
勤怠記録の管理で決めておきたいこと
見られる人を限る（アクセス制御）
個人情報保護委員会のガイドラインは、個人データを扱える従業者を限ることなどを、安全管理措置の例として挙げています。中小規模事業者の例としては、個人データを扱える機器と、その機器を使う従業者をはっきりさせ、不要なアクセスを防ぐことが示されています（ガイドライン（通則編） 10-6）。
勤怠記録なら、本人と、勤怠や給与の事務を担当する人など、見る必要がある人に限るのが基本です。勤怠管理システムを使っている場合は、管理者の権限を持つ人を確かめておきましょう。
保管期限と廃棄の方法
台帳には保管期限も書きます（J.3.1.1）。勤怠記録は法令で保存期間が決まっているものもあるので、法令で求められる期間を確かめたうえで、保管期限と廃棄の方法を決めます。紙ならシュレッダーにかける、データなら削除の記録を残すなど、規程で決めた方法で廃棄します。
審査で勤怠記録が見られることがある理由
運用の記録の提示を求められる
現地審査では、業務ごとに個人情報の扱いと安全管理措置の状況が確認され、審査員がPMS文書や運用の記録の提示を求めることがあります（現地審査（JIPDEC））。勤怠記録を個人情報として正しく管理しているかも、その一つとして見られます。
取扱いの記録やログと照らし合わせる
個人情報保護委員会のガイドラインは、決めたルールに従って個人データが扱われているかを確かめられるように、システムのログや業務日誌などで取扱いの記録を残すことを例に挙げています。たとえば、個人データの利用や持ち出しの状況、担当者のログイン実績やアクセスログです（ガイドライン（通則編） 10-3）。中小規模事業者の例では、責任ある立場の人が、決めた方法で扱われているかを確かめることが示されています。
こうした取扱いの記録は、「いつ、誰が」扱ったかを示すものです。勤怠記録は、その時間に誰が働いていたかを示すので、取扱いの記録と合わせて見ることで、ルールどおりに扱われているかを確かめる材料になります。
まもる先生入退室の記録については「入退室の記録は何か月分そろえればよい？」、オンラインの管理については「クラウドのファイル管理もPマークの現地審査で見られる？」で説明しています。
監修者のひとこと
現地審査では、施錠や入退室のログ、作業の記録と照らし合わせて、不正なアクセスや、勤務時間外の不適切なデータ操作がないかを確かめ、会社がそれを管理しているかを見ることがあります。入退室装置等のログを確認できるようにしておきましょう。
まとめ
- 従業者の勤務・退勤時間の記録は、PMSの対象になる個人情報です。
- 勤怠記録も台帳に載せ、リスクを洗い出し、見られる人を限り、保管期限と廃棄の方法を決めます。
- 現地審査では運用の記録の提示を求められることがあり、勤怠記録が取扱いの記録やログと照らし合わせて見られることもあります。
- 記録を日ごろから正しくつけておくことが、一番の準備です。
