【日本版DBS】こども性暴力防止法の情報管理規程、どうやって作ればいい？作り方を徹底解説

こんにちは。行政書士・情報処理安全確保支援士の毛利です。
日頃のちょっとした悩みに行政書士がお答えする、教えてもーりーのコーナーです。
今回は【日本版DBS】こども性暴力防止法の情報管理措置の作り方に関するご相談です。

Q. 情報管理規程はひな型を使えばすぐに作れますか？何に気をつければいいでしょうか？

こども性暴力防止法への対応において、多くの事業者がまず直面するのが「情報管理規程の作成」です。

情報管理規程をこども家庭庁に提出しなければ、従事者の犯罪事実確認書がそもそも交付されません。
つまり、情報管理規程の整備は、この法律に対応するための最初の関門です。

この方は「こども家庭庁がひな型を公開しているから、それを使えばいい」と思っているようです。
しかし、ひな型には3種類あり、自施設の実態に合わせてカスタマイズしなければ、かえってリスクになってしまう場合があります。

この記事では、情報管理規程の作り方を、行政書士かつ情報処理安全確保支援士（登録セキスペ）の立場から詳しく解説します。

なぜ情報管理規程が必要なのか？

こども性暴力防止法では、事業者が従事者の性犯罪前科を確認するために「犯罪事実確認書」の交付を国に申請します。
しかし、犯罪事実確認書には極めて機微な個人情報（性犯罪前科の有無）が記載されています。

この情報が不適切に管理された場合、従事者のプライバシーが侵害されるだけでなく、法律違反となります。
そのため、法律では「情報管理規程を整備し、こども家庭庁に提出すること」を、犯罪事実確認書交付の前提条件としています。

情報管理規程がなければ犯罪事実確認書は交付されない、犯罪事実確認書がなければ従事者の前科確認ができない、前科確認ができなければ法律違反になる、という流れです。

ひな型は3種類ある！

こども家庭庁は情報管理規程のひな型として、「別紙8」「別紙9」「別紙10」の3種類を公開しています。
どれを使うかは、自施設の情報管理の実態によって選択します。

別紙8：システムのみで管理する場合

こまもろうシステム上でのみ情報を取り扱い、紙やその他の電子媒体（USB・クラウドストレージ等）には一切保存しない場合に使用します。

【別紙8】情報管理規程ひな型（責任者1名記録保存なし）（ワード：78KB）

別紙9：システム＋紙で管理する場合

こまもろうシステムでの管理に加え、紙の書類でも情報を保管する場合に使用します。
多くの事業者がこのパターンに該当すると考えられます。

【別紙9】情報管理規程ひな型（記録保存なし）（ワード：89KB）

別紙10：システム＋紙＋他の電子媒体で管理する場合

システム・紙に加えて、USBメモリ・クラウドストレージ・自社サーバー等でも情報を管理する場合に使用します。
IT環境が整っている大規模事業者や、複数拠点を持つ事業者に多いパターンです。

【別紙10】情報管理規程ひな型（記録保存あり）（ワード：98KB）

ひな型をそのまま使う場合に考えられる3つのリスク

「ひな型があるなら、そのままコピーして提出すればいい」と考えるのは危険です。

リスク1：実態と規程が合わない

例えば、別紙8（システムのみ）のひな型を提出したにもかかわらず、実際には担当者がシステムの画面をスクリーンショットして自分のスマートフォンに保存していた、という場合、「規程通りに運用されていない」と判断されます。

情報漏えいが発生した際に、規程違反が発覚すれば、罰則の対象となるリスクがあります。

リスク2：取扱者の特定が不十分

ひな型には「取扱者」を明記する欄があります。
「担当者」と抽象的に記載するだけでは不十分で、具体的な役職・氏名・アクセス権限の範囲まで特定しておくことが求められます。

特に、複数拠点を持つ事業者では、本部スタッフと各拠点スタッフの「どちらがどこまでアクセスできるか？」を明確にする必要があります。

リスク3：廃棄・消去の方法が具体的でない

「廃棄する」とひな型に記載するだけでは不十分です。
紙媒体であればシュレッダーや溶解処理など復元不可能な方法を、電子データであれば上書き消去やメディアの物理的破壊など完全消去の方法を、具体的に規程に定めておく必要があります。

情報管理規程に盛り込むべき必須項目

ひな型をベースに、以下の項目を自施設の実態に合わせてカスタマイズしてください。

1. 目的
   この規程が何のために存在するかを明記します。
2. 取り扱う情報の範囲
   犯罪事実確認書・犯罪事実確認記録等の定義を明確にします。
3. 取扱者の特定
   誰がこの情報にアクセスできるかを、役職・氏名・権限の範囲まで具体的に定めます。
   取扱者は必要最小限に絞ることが原則です。
4. 保管方法
   紙媒体は施錠できるキャビネットに保管、電子データはパスワード保護されたフォルダに保管、など具体的な方法を定めます。
5. アクセス権限の管理
   誰がどの情報にアクセスできるかを定め、退職・異動時のアクセス権限の即時削除まで規程に盛り込みます。
6. 利用目的の制限
   取得した情報を、法律で定められた目的（性暴力防止のための従事者確認）以外に使用してはならないことを明記します。
7. 第三者提供の禁止
   法律で認められた場合を除き、第三者への情報提供を禁止することを定めます。
8. 漏えい等発生時の対応手順
   漏えい・滅失・き損が発生した際の報告ルート・連絡先・こども家庭庁への報告手順を定めます。
9. 廃棄・消去の方法と時期
   保存期間（法律で定められる期間）と、期間満了後の廃棄・消去の具体的な方法を定めます。
10. 従事者への周知方法
    秘密保持義務を従事者にどのように周知するか（研修・誓約書等）を定めます。
11. 定期的な見直し
    規程を定期的に見直し、実態と合わせていくための仕組みを定めます。

情報処理安全確保支援士が関わる意義

上記の項目を見ると分かるように、情報管理規程の作成には「法律上の要件を満たす書類作成」と「情報セキュリティの実務に即した体制設計」の両方が必要です。

特に以下の点は、情報セキュリティの専門知識がなければ適切に対応することが難しい領域です。

• アクセス権限の設計（最小権限の原則に基づく設計）
• 電子データの完全消去方法の選定
• 漏えい検知の仕組みの整備
• 退職者のアクセス権限管理

行政書士が書類を作るだけでは、実態に合った規程になりません。
情報処理安全確保支援士の視点から、実運用に耐えうる規程と体制を一緒に作ることが重要です。

当事務所は行政書士に加え、情報処理安全確保支援士を保有しており、規程の作成から体制整備まで、ワンストップでサポートします。

作成から提出までの流れ

ステップ1：現状確認（ヒアリング）

現在の情報管理の実態（紙・システム・その他電子媒体の使用状況、取扱者の人数・役職など）を確認します。

ステップ2：ひな型の選択

現状に基づき、別紙8・9・10のどれを使うかを決定します。

ステップ3：規程のカスタマイズ

ひな型をベースに、取扱者・保管場所・廃棄方法・漏えい対応フローなど、自施設の実態に合わせて記載内容を具体化します。

ステップ4：内部確認・修正

管理責任者・経営者が内容を確認し、必要に応じて修正します。

ステップ5：こども家庭庁への提出

こまもろうシステムを通じて提出します。GビズIDの取得が前提となるため、事前に取得しておく必要があります。

ステップ6：従業員への周知

規程を従業員に周知し、秘密保持に関する研修・誓約書の取得を行います。

まとめ

情報管理規程の作成は、こども性暴力防止法への対応において最初の、そして最も重要なステップです。

• ひな型は3種類あり、自施設の実態に合わせて選ぶ
• ひな型をそのまま使うと「規程と実態の乖離」というリスクが生じる
• アクセス権限設計・廃棄方法・漏えい対応フローまで具体的に定める必要がある
• 提出の前提としてGビズIDの取得が必要

「どのひな型を選べばいいか分からない」「規程を作ったが実態と合っているか不安」という事業者様は、まずは無料相談からお気軽にお問い合わせください。

初回無料相談をご利用ください。03-6903-0534受付時間 10:00-18:00 [ 土・日・祝日除く ]

お問い合わせはこちら