中国：新型コロナウイルス肺炎に起因する
中国従業員の個人情報の取扱いについて（後半）
従業員からの同意の取得の要否
ネットワーク安全法によると、ネットワーク運営者[1]は、個人情報の収集、使用にあたり、個人情報の主体たる従業員から同意を取得しなければならない（ネットワーク安全法第41条第1項）。また、2020年2月9日に中央ネットワーク安全及び情報化委員会弁公室が公布した個人情報に対する適切な保護及びビッグデータを利用した共同防衛管理業務のサポートについての通知第1条は、各地方各部門は、個人情報の保護業務を重視し、国務院衛生健康部門がネットワーク安全法、伝染病防治法、突発公共衛生事件応急条例に基づき授権した機構以外、いかなる事業者又は個人も伝染病防止、伝染病防止治療を理由として同意なしに個人情報を収集又は使用してはならない、と定めている。これら従業員からの同意の取得を必要とする規定・解釈に対して、労働契約法第 8 条に、使用者は労働者の労働契約と直接関連する基本的な情報を知る権利があり、労働者は誠実に説明しなければならないと規定されていることを根拠に、従業員の新型コロナウイルス肺炎に関連する個人情報は「労働契約と直接に関連する情報」に該当するとして、中国企業は従業員から個人情報を収集する際に必ずしも別途同意を取得する必要はないとする中国実務家の解釈もある。統一的な解釈はなく、公衆衛生上の緊急時であることも考慮すると同意を取得していないことを以て直ちに違法となるかは明確ではないが、中国における個人情報保護強化の情勢に鑑み、個人センシティブ情報の取得にあたっては従業員から同意を取得しておいた方が好ましいと考えられる。
同意の取得方法
個人情報の収集に際し従業員から同意を取得するにあたっては、従業員に対し、情報を収集・使用する目的並びに方式及び範囲を明示することが求められる（ネットワーク安全法第41条第1項）。また、個人センシティブ情報の収集に際しては、個人情報主体が関連する事情を完全に理解した上で、自発的に提供する具体的かつ明確的な意思表示がなければならない（個人情報安全規範第5.5条第a）号）。したがって、従業員から同意を取得する際には、書面、電子メール又はその他電子プラットフォームシステムを用い、情報を収集・使用する目的並びに使用範囲及び用途を明示するとともに、「関連事情を完全に理解した上で自らの意思に基づいて同意する」等の文言を記載して、明確な同意が取得できていることを証明できるようにしておくことが好ましい。また、個人情報の収集にあたっては、必要最小限の情報に限定し、関連性のない個人情報を過度に収集することのないよう注意が必要である。
収集した個人情報の取扱い
収集した従業員の個人情報の取扱いについては、以下の点に注意する必要がある。まず、収集した個人情報の保存は必要最小限の期間に留めなければならず、当該個人情報が不要になり次第、削除又は匿名化処理を行わなければならない（個人情報安全規範第6.1条）。また、企業は個人情報を収集した後速やかに仮名化処理（追加情報が無いと個人を特定できないようデータを加工する処理）を実施し、処理後のデータと個人識別情報を分離して保存することが求められている（個人情報安全規範第6.2条）。個人センシティブ情報については、暗号化等の安全措置を採るとともに（個人情報安全規範第6.3条）、個人情報の管理を担当する責任者を設置して技術的な保護手段が適切に採られているか常に確認することが望ましい。
法令違反に対する制裁
個人情報の保護に関し法令に違反し従業員の権利を侵害した場合、関係当局から是正命令、警告、過料が課される可能性があり、情状が重大である場合には、業務の一時停止、営業許可の取消といった行政処分が課されることもある（ネットワーク安全法第64条）。また、権利侵害を受けた従業員からは、侵害の停止、損害賠償といった民事上の責任追及を受ける可能性がある。
以上
[1] ネットワーク運営者とは、「ネットワークの所有者、管理者及びネットワークサービスの提供者」（ネットワーク安全法第76条第3号）をいうとされているところ、「ネットワーク」とは「コンピュータ又はその他の情報端末及び関連設備で構成され、一定の規則及びプログラムに従い情報を収集、保存、伝達、交換、処理するシステム」（同法第76条第1号）を意味するとされている。これらの定義から、ネットワーク運営者にはネットワークを事業に利用している事業者はもちろん、会社グループ内でイントラネットを運用している会社についてもネットワーク運営者に該当する可能性があると考えられており、ネットワークを利用する事業者は通常ネットワーク運営者に該当する可能性が高い。