障害児通所支援の記録・個人情報管理の実務｜利用者情報と従業員情報の2つの管理義務を整理

はじめに

障害児通所支援事業所が管理する個人情報は、これまで主に「利用者（子どもと保護者）の情報」が中心でした。しかし令和7年12月のこども性暴力防止法（日本版DBS）完全施行により、「従業員の個人情報（照会結果・誓約書・判断ログ等）」の管理も、法的に厳格な要件が課せられるようになりました。

この記事では、利用者情報と従業員情報という2つの個人情報管理義務を整理し、事業所が整備すべき実務的な対応をお伝えします。

個人情報保護法の基本─障害児福祉事業所への適用

個人情報保護法（令和4年改正・令和5年全面施行）は、個人情報を取り扱うすべての事業者に適用されます。障害児通所支援事業所も当然対象です。

📋 事業所が取り扱う主な「個人情報」の種類

【利用者に関する個人情報】

• 氏名・住所・生年月日・連絡先（基本個人情報）
• 診断名・療育手帳・障害支援区分・服薬情報（要配慮個人情報★）
• 個別支援計画・支援記録・アセスメント結果・モニタリング記録
• 保護者の就労状況・家族構成・相談内容

【従業員に関する個人情報】

• 氏名・住所・給与・社会保険情報（基本個人情報）
• DBS照会結果（要配慮個人情報）・誓約書・判断ログ

★ 要配慮個人情報：取得に際して原則として本人同意が必要。第三者提供は原則禁止。通常より厳格な安全管理措置が義務

令和8年12月以降の「新しい管理義務」─従業員情報が要配慮個人情報になる

これは多くの事業所がまだ気づいていない重要な変化です。こども性暴力防止法の完全施行（令和8年12月25日）により、DBS照会結果は「従業員の前科・前歴に関する情報」として要配慮個人情報に該当します。

🔴 従業員情報の管理が厳格化される理由と対応

【なぜ厳格化されるか】
前科・前歴・犯罪歴は個人情報保護法第2条第3項が定める要配慮個人情報です。DBS照会結果はまさにこの「犯罪歴に関する情報」にあたるため、通常の従業員情報より厳格な管理が求められます。

【事業所が整備すべき対応】

• DBS照会結果や事件などの機微な情報の保管場所を利用者情報とは分けて管理する
• 閲覧可能な担当者を管理職等に限定し、アクセス権限を文書で規定する
• 既存の「個人情報管理規程」にDBS関連情報の取り扱い規定を追加する
• 保存期間・廃棄方針を明文化する（目安：雇用期間中＋5年）

利用者情報の取得・利用・保存・廃棄の実務フロー

利用者（子どもと保護者）の個人情報は、入所から退所後の保存期間終了まで一貫した管理が必要です。

プライバシーポリシーの整備と公表

個人情報保護法は、個人情報取扱事業者に「利用目的の公表（または通知）」を義務付けています。障害児通所支援事業所では、プライバシーポリシー（個人情報保護方針）として整備・公表することが実務的な対応です。

📋 プライバシーポリシーに含めるべき主な事項

1. 事業者の名称・連絡先
2. 取得する個人情報の種類と利用目的（「支援計画の作成」「関係機関への提供」等）
3. 第三者への提供の有無と提供先の種類（学校・医療機関・相談支援専門員等）
4. 個人情報の安全管理措置の概要（施錠管理・アクセス制限等）
5. 開示・訂正・削除・利用停止の請求窓口と手続き
6. 漏洩等が発生した場合の対応方針

プライバシーポリシーは「ホームページへの掲載」と「重要事項説明書・入所時書類への添付」の2つの方法で公表することが一般的です。「作ったが更新していない」という状態は、利用目的の変化（DBS対応による従業員情報の追加等）に対応できていないリスクがあります。年1回の見直しを習慣にしてください。

電子化・クラウド管理の注意点

記録の電子化・クラウドサービスの活用は業務効率化に有効ですが、個人情報保護の観点から確認が必要な事項があります。

• 委託先の安全管理措置の確認：クラウドサービス事業者は「委託先」として扱われる（個人情報保護法第25条）。ISO認証・セキュリティポリシーの確認が必要
• 外国サーバーへのデータ移転：日本国外のサーバーを使用する場合は、移転先国の法制度の確認・本人への情報提供が必要（個人情報保護法第28条）
• アクセスログの管理：誰がいつどのデータにアクセスしたかを記録する仕組みを整備する（不正アクセスの早期発見）
• 障害・サービス終了時の対応：クラウドサービスが突然停止した場合のデータ取り出し手順・バックアップ体制を事前に確認しておく

漏洩時の対応義務─報告・通知・再発防止

令和5年の個人情報保護法改正により、一定規模以上の個人情報漏洩が発生した場合、個人情報保護委員会への「報告義務」と本人への「通知義務」が課せられています。

⚠️ 漏洩発生時の対応フロー（概要）

STEP1：漏洩の事実確認と被害範囲の特定（速やかに）

STEP2：個人情報保護委員会への報告（発生から72時間以内に速報、30日以内に確報）

STEP3：本人（保護者）への通知（速やかに）

STEP4：再発防止策の実施と記録

※ 報告義務が生じる漏洩の規模・要件については個人情報保護委員会のガイドラインを参照してください

保護者からの開示請求への対応

個人情報保護法は、本人（保護者）に「開示・訂正・削除・利用停止」を請求する権利を認めています。「保護者から記録を見せてほしいと言われた」という場面は実際に起きています。

• 開示請求への対応方針の整備：プライバシーポリシーに請求窓口・手続き・対応期限（原則2か月以内）を明記しておく
• 開示の範囲：基本的に本人（子ども）・保護者の情報は開示対象。ただし「第三者の情報が含まれる場合」「開示が支援に著しく支障をきたす場合」等は拒否できる場合がある
• 対応記録の保存：請求日時・請求内容・対応内容・対応日時を記録として残す
• 拒否する場合の理由説明：開示を拒否する場合は、拒否の根拠（法令上の不開示事由）を書面で説明する義務がある

📌 行政書士コラム：個人情報管理は「事業所の信頼インフラ」

企業法務では「個人情報漏洩は経営危機」という認識が定着しています。顧客情報が漏れれば信頼を失い、訴訟リスクが生じ、場合によっては事業継続が難しくなります。障害児通所支援事業所でも、利用者の診断情報・保護者の連絡先が漏洩した場合の影響は甚大です。

さらに令和8年12月以降は、従業員のDBS情報という「要配慮個人情報」の管理も義務化されます。利用者情報と従業員情報、2つの管理義務を同時に整備することは大変に見えますが、「個人情報管理規程」という一つの仕組みとして統合することで、効率的に対応できます。 個人情報管理は「コスト」ではなく、保護者・スタッフ・地域からの「信頼のインフラ」です。今が整備のタイミングです。

次回（STEP6へ）：広報・集客・保護者対応─「選ばれる事業所」の情報発信

STEP5「守る」編がここで完結します。次回からはSTEP6「伝える」編として、事業所の強みを保護者・地域に伝える広報戦略と、保護者対応の実務を解説します。