個人情報の保護に関する法律 第24条（従業者の監督）

個人情報保護法 24 条が定める、従業者に個人データを扱わせる際の安全管理のための監督です。アクセス権限の最小化、操作ログの記録・監視、定期研修、退職時の権限剥奪までを含みます。

含まれます。従業者は正社員に限らず、派遣社員・アルバイト・役員など指揮命令下で業務に従事する者すべてを指します。トップだから監督の対象外ということはありません。

ログ自体が直接の義務ではありませんが、不審なアクセスを検知・記録できない体制は「必要かつ適切な監督」を尽くしたと言いにくく、事故時に監督義務違反を問われやすくなります。

個人情報を検索できるよう体系的に構成した個人情報データベース等を構成する情報が個人データです。24 条は個人データを取り扱わせる場面の監督を対象としています。

24 条違反に直ちに罰則が科されるわけではなく、まず委員会の指導・勧告・命令が先行します。命令に違反すると刑事罰に直結する点が重い制裁です。

報告義務の要件を満たす漏えい等は、速報を概ね 3〜5 日以内、確報を原則 30 日以内に委員会へ提出し、本人にも通知します（法 26 条、最新の改正状況を要確認）。

あります。委託時は 25 条の委託先監督義務が並行して働き、委託元も監督責任を問われます。24 条の従業者監督とセットで管理する必要があります。

安全管理措置（23 条）は組織的・物理的・技術的な仕組みの整備、従業者監督（24 条）は人に対する監督で、人的安全管理措置として両者は連動します。

負います。派遣社員も指揮命令下にあれば 24 条の「従業者」に含まれ、その監督は派遣先である御社の直接義務です。過去の大規模漏洩事件でも、委託先の派遣エンジニアが漏洩させながら、元請け企業が謝罪と多額の賠償を負いました。業界裏話ヒント：「派遣だから派遣元の責任」は通用しません。派遣契約書に情報管理条項を入れ、派遣社員にも自社の研修と誓約書を課しておくかどうかで、事故時に「監督を尽くした」と主張できるかが決まります。

なりません。誓約書は人的安全管理措置の一部にすぎず、ガイドライン（通則編）はアクセス権限の最小化、操作ログの記録・監視、定期的な教育まで求めています。業界裏話ヒント：監督義務違反が問われる場面で決定的なのは「誓約書があるか」ではなく「不審なアクセスを検知・記録できていたか」です。ログを取っていない会社は、事故時に「監督を尽くした」証明ができず、一気に不利になります。

関係あります。2015 年改正で取扱件数による適用除外（旧 5000 件基準）が撤廃され、顧客一人でも個人情報を扱えば「個人情報取扱事業者」です。従業員を雇えば 24 条の監督義務も生じます。業界裏話ヒント：零細でも個人情報保護委員会の指導・勧告の対象です。ただし実務では規模やリスクに応じた合理的な措置で足りるとされ、大企業並みのシステムは不要。「できることを記録に残す」のが小規模事業者の現実的な防御線です。