従業員の健康診断を毎年実施している企業でも、「診断結果をどのように管理すればよいのか」という点については曖昧なままにしているケースが少なくありません。健康診断結果は従業員の最もデリケートな個人情報のひとつであり、取り扱いを誤ると従業員からの信頼を失うだけでなく、法的な責任を問われるリスクもあります。
実際に、「なぜ上司が自分の健診結果を知っているのか」という従業員からのクレームや、担当者の異動にともなって管理体制が引き継がれないといった問題は、中小企業でもしばしば起きています。特に2022年の個人情報保護法改正により、これまで適用除外とされていた小規模事業者も含めたすべての企業が規制の対象となったため、経営者・人事担当者としてあらためて正確な知識を身につける必要があります。
本記事では、健康診断結果の個人情報保護管理について、法律の要点から具体的な実務対応まで、中小企業の経営者・人事担当者の視点でわかりやすく解説します。
健康診断結果は「要配慮個人情報」にあたる
まず確認しておくべき重要な前提があります。健康診断の結果は、個人情報保護法上の「要配慮個人情報」（第2条第3項）に該当します。要配慮個人情報とは、不当な差別・偏見その他の不利益が生じる可能性のある情報のことであり、通常の個人情報よりも厳格な取り扱いが求められます。
具体的には、以下のような制約があります。
- 本人の同意なく取得することが原則禁止（ただし、法令に基づく場合など例外あり）
- 本人の同意なく第三者に提供することが原則禁止
- 利用目的を特定・通知・公表する義務がある（第17条・第21条）
- 安全管理措置を講じる義務がある（第23条）
労働安全衛生法に基づいて実施される健康診断は、法令上の義務を果たすために取得するものですから、本人の同意がなくても取得自体は適法です。しかしその後の利用・保管・共有・廃棄については、要配慮個人情報として適切に管理しなければなりません。
また、2022年の個人情報保護法改正により、それまで「取り扱う個人情報が5,000件以下の小規模事業者は適用除外」という規定が廃止されました。つまり、従業員数や規模を問わず、すべての事業者がこの法律の義務を負うこととなっています。「うちは小さい会社だから関係ない」という認識は、現在では通用しません。
誰がアクセスしてよいのか：情報共有の範囲を正しく理解する
中小企業で最も多い混乱のひとつが、「健診結果を社内の誰まで共有してよいのか」という問題です。産業医、人事担当者、直属の上司、経営者――それぞれの立場で「必要だから知りたい」という気持ちはあるかもしれませんが、法律的な観点からはアクセスできる者は必要最小限に限定することが原則です。
産業医・保健師への提供
労働安全衛生法第66条の5に基づき、健康診断結果に応じた就業上の措置を検討するために、産業医または医師に健診結果を提供することは法令上の根拠があり、適法です。産業医は健診結果全体（検査数値を含む生データ）にアクセスすることが前提となります。ただし、産業医への提供もあくまで就業管理目的であり、目的外の利用は認められません。
人事担当者への提供
人事担当者は、健康管理業務を担う立場として健診結果を取り扱うことができますが、閲覧できる者を指定し、その範囲を社内規程で明確化しておく必要があります。兼務している担当者が他部門の業務でその情報を活用するようなことがあってはなりません。
上司・管理職への提供
ここが最もトラブルになりやすい点です。上司に伝えてよいのは、原則として「就業上の配慮が必要かどうか」という結論のみです。具体的な検査数値や病名などの生データを上司に渡すことは、過剰な情報提供となり、プライバシー侵害のリスクがあります。
たとえば、「〇〇さんは当面、夜勤を避けた業務配置が望ましい」という産業医の意見を伝えることは適切ですが、「〇〇さんの血圧が180mmHgあった」という具体的な数値を上司に共有することは原則として不適切です。
経営者への提供
経営者だからといって、全従業員の健診結果を自由に閲覧してよいわけではありません。経営者も、業務上の必要性がある範囲に限定されます。就業措置に関わる場合など、明確な目的がある場合にのみ情報提供を行うべきです。
安全管理措置の4本柱：具体的に何をすればよいか
個人情報保護法第23条は、個人情報の漏えい・滅失・毀損を防ぐために、事業者が「安全管理措置」を講じることを義務づけています。健康診断結果のような要配慮個人情報については、特に丁寧な対応が求められます。安全管理措置は以下の4つの区分で整理されています。
組織的措置
健康情報の取扱責任者を明確に選任し、誰が何をどのように管理するかを文書化します。内部での定期的な監査や、問題発生時の報告・対処フローの整備も含まれます。兼務担当者が多い中小企業では特に、「担当者が変わっても管理が継続される仕組み」が重要です。
人的措置
健診結果を取り扱う担当者に対して、個人情報保護に関する教育・研修を定期的に実施します。また、担当者から秘密保持誓約書を取得することも有効な手段です。健康情報は特に機密性が高いという意識を全担当者が持てる体制を整えましょう。
物理的措置
紙の健診結果は施錠できるキャビネットで保管し、閲覧できる者を物理的にも制限します。保管場所への入退室管理も、規模に応じた形で実施することが求められます。紙と電子データが混在している企業では、まずこの統一化から着手することをお勧めします。
技術的措置
電子データで管理する場合は、アクセス権限の設定が不可欠です。「全員が見られる共有フォルダに保存されている」という状態は明らかに不十分です。パスワード管理の徹底、データの暗号化、アクセスログの記録なども重要な対策となります。クラウドサービスを利用する場合は、サービス提供事業者のセキュリティ仕様を事前に確認してください。
外部委託先の管理責任は自社にある
多くの企業では、健診の実施を外部の健診機関に委託し、データ管理をクラウドサービスに任せているケースも増えています。しかし、ここで重要な認識を持っていただく必要があります。委託先が情報を漏えいさせた場合でも、責任を問われるのは委託元である自社です。
個人情報保護法では、個人情報の取り扱いを外部委託する場合、委託先が適切な安全管理措置を講じているかを確認・監督する義務が委託元に課されています（第25条）。具体的には以下の対応が必要です。
- 健診機関や健康管理クラウドとの契約書に個人情報保護に関する条項を明記する
- 委託先の安全管理措置の水準を確認する（セキュリティ認証の有無、管理体制の確認など）
- 委託先がさらに別の事業者に再委託する場合は、その事実を把握し必要に応じて同意する
- 委託契約終了時のデータ削除・返却方法を契約で定めておく
「健診機関に預けているから自社は何もしなくてよい」という考え方は誤りです。また、漏えい等が発生した場合、要配慮個人情報については件数が1件以上であれば個人情報保護委員会への報告義務が生じます（個人情報保護法第26条）。これも2022年改正で明確化された点です。
なお、従業員の健康管理を産業医と連携しながら進めている場合は、産業医サービスを活用することで、情報共有の範囲や管理体制の構築についても専門的なアドバイスを受けることができます。
社内規程の整備と従業員への周知
厚生労働省は2019年に「労働者の心身の状態に関する情報の適正な取扱いのために事業者が講ずべき措置に関する指針」を策定し、事業者に対して健康情報の取扱規程を整備するよう求めています。中小企業でもこの指針への対応は求められており、文書化された規程の存在は、万が一のトラブル時に自社の適切な対応を証明する根拠にもなります。
取扱規程に盛り込むべき主な項目
- 利用目的：健康管理・就業上の措置のためといった具体的な目的の明記
- 取扱者の範囲と権限：誰がどの情報にアクセスできるかの明確化
- 保管方法・保管場所・保管期間：一般健康診断は5年間（労働安全衛生法第66条の3）、特殊健康診断は種類により5年から40年
- 廃棄方法：紙媒体はシュレッダーまたは専門業者委託、電子データは復元不可能な形での削除、廃棄記録の保存
- 第三者提供の条件：どのような場合に、誰の同意を得て提供するかの基準
- 漏えい時の対応手順：発見から報告・対処までのフローの明記
従業員への周知の重要性
規程を整備するだけでなく、従業員への周知も法律上の要請であり、信頼関係の構築のためにも欠かせません。健康診断の実施前に利用目的を明示し、取扱規程の内容を就業規則や社内イントラネットなどで公開することが基本となります。また、従業員が「自分の情報に誰がアクセスしたか」を確認できる仕組みを設けることができれば、信頼性のさらなる向上につながります。
メンタルヘルス関連の健康情報については特に繊細な扱いが求められます。メンタルカウンセリング（EAP）を導入している場合は、EAP機関との情報共有の範囲についても明確なルールを設けておくことが重要です。
実践ポイント：今日から始められる管理改善のステップ
これまでの内容を踏まえ、特に対応が後手に回りがちな中小企業に向けて、優先度の高い実践ポイントを整理します。
- 現状の棚卸しを行う：紙・電子データの保管場所と管理状況を確認し、誰がアクセスできる状態になっているかを把握する
- 取扱責任者を明確にする：兼務担当者であっても、健康情報管理の責任者を文書で指定する
- 規程を作成または見直す：厚生労働省の指針や既存のモデル規程を参考に、自社の実態に合った取扱規程を整備する
- アクセス権限を設定する：電子データは共有フォルダから個別管理へ移行し、閲覧できる者を限定する
- 外部委託先との契約を見直す：健診機関・クラウドサービスとの契約書に個人情報保護条項が含まれているか確認する
- 担当者への研修を実施する：年1回以上、最低限の個人情報保護教育を実施し、記録を残す
- 従業員に周知する：取扱規程の概要と問い合わせ窓口を全従業員に案内する
まとめ
健康診断結果は単なる「社内の書類」ではなく、従業員の尊厳に関わる最重要の個人情報です。2022年の法改正により、規模の大小にかかわらずすべての事業者が個人情報保護法の義務を負うこととなり、中小企業においても「知らなかった」では済まない時代になっています。
今回解説した主なポイントを振り返ると、健康診断結果は要配慮個人情報として厳格に管理すること、上司への情報共有は就業措置に関わる結論のみとし生データは渡さないこと、外部委託先の管理責任は自社が負うこと、安全管理措置の4本柱（組織的・人的・物理的・技術的）を実装すること、そして社内規程の整備と従業員への周知を行うこと、が基本となります。
「完璧な体制を一気に整える」ことは難しくても、まず現状を把握し、優先度の高いところから着実に対応を進めることが大切です。法的リスクを回避するだけでなく、従業員が安心して健康診断を受けられる職場環境づくりが、結果として健全な組織と生産性の向上につながっていきます。具体的な対応方法については、社会保険労務士や弁護士などの専門家にご相談ください。
よくある質問（FAQ）
Q1. 健康診断結果を人事評価や昇進の判断に使ってもよいですか？
原則として認められません。健康診断結果は「就業上の安全・健康管理」という目的で取得した要配慮個人情報です。個人情報保護法では、取得時に特定した利用目的の範囲を超えた利用を禁じており（第18条）、人事評価や解雇の根拠として直接使用することは法的リスクを伴います。また、健康状態を理由とした不当な人事上の不利益は、労働契約法や障害者雇用促進法の観点からも問題となる可能性があります。個別の事案については、社会保険労務士や弁護士などの専門家にご相談ください。
Q2. 退職した従業員の健診結果はいつまで保管すればよいですか？
労働安全衛生法第66条の3に基づき、一般健康診断の結果は5年間の保存義務があります。特殊健康診断（じん肺、有機溶剤、電離放射線など）については、種類によって5年から40年と保存期間が異なります。退職後も保存義務期間内は適切に管理し、期間満了後は復元できない方法で廃棄したうえで廃棄記録を残すことが望ましい対応です。
Q3. 健診結果が漏えいした場合、どのような対応が必要ですか？
要配慮個人情報の漏えい等が発生した場合、個人情報保護委員会への報告義務が生じます（個人情報保護法第26条）。報告は原則として速報（事態を知った後、おおむね3〜5日以内）と確報（30日以内）の2段階で行います。また、影響を受ける可能性のある本人への通知も必要です。漏えい発生時の対応フローをあらかじめ社内規程に盛り込んでおくことで、初動の遅れを防ぐことができます。具体的な対応については、速やかに弁護士や社会保険労務士などの専門家にご相談ください。
