人事システムを外部委託やクラウド化した場合、従業員データの事故は誰の責任になりますか？
台湾の個人資料保護法第4条：委託を受けて個人データを収集、処理または利用する者は、同法の適用範囲において委託者とみなされます。同法施行細則第8条は、委託者が受託者を適切に監督するよう求めており、監督事項は次のとおりです。
- 個人データの範囲、種類、特定の目的と期間
- 受託者が講じる安全管理措置
- 再委託先
- 違反時の通知と是正
- 委託終了時の媒体の返却とデータの削除
委託者は、受託者の実施状況を定期的に確認し、その結果を記録しなければなりません。
人事責任者（CHRO）は選定と契約の段階で、データの保存場所、ベンダーが自社データを使えるか、再委託できるか、終了時の返却と削除の方法を確認し、契約に盛り込みます。個別の責任分担は、法律顧問が個別に判断します。
電子打刻や給与システムは、どんな法定要件を満たす必要がありますか？
| 項目 | 規定 |
|---|---|
| 勤怠記録 | 5年間保存。日ごとに分単位で記録。労働者から写しの請求があれば拒めない（労働基準法第30条第5項・第6項） |
| 記録方法 | 出勤簿、タイムカード、カードリーダー、入退室カード、生体認証システム、コンピューターの勤怠システム、その他出勤時刻を確実に記録できる手段。労働検査や労働者の請求があれば書面で提出（労働基準法施行細則第21条） |
| 賃金台帳 | 支払った賃金、各賃金項目の計算明細、賃金総額などを記載し、5年間保存（労働基準法第23条第2項） |
労働部も、出勤時刻を確実に記録できる手段による記録であれば、いずれも勤怠記録になると説明しています。選定時には、日ごとに分単位で記録できるか、書面で出力できるか、少なくとも5年間保存できるか、システム切り替え時に旧データをどう移行・保存するかを確認します。
人事システムの権限とセキュリティはどう管理すべきですか？
人事システムには給与、評価、健康、家族など最も機微な従業員データが集まるため、デジタル化とセキュリティは同時に進め、後から補うのではありません。
- 職務に応じた権限：給与、評価、健康関連のデータは別々に権限を付与
- 人事異動と連動したアカウント：入社、異動、退職の当日にアカウントを発行、変更、停止し、ISO 27001 の人的管理策と手順を共有
- アクセスと出力のログ：誰がいつ、どのデータを閲覧・出力したか
- セキュリティの範囲に含める：新しいクラウドとデータの資産を ISO/IEC 27001 の範囲に含め、リスクアセスメントと対応計画を行う
個人資料保護法施行細則第12条によれば、適切な安全管理措置とは、個人データの窃取、改ざん、毀損、滅失、漏えいを防ぐための技術的・組織的な措置であり、挙げられた項目には「データの安全管理及び人員管理」と「啓発及び教育訓練」が含まれます。詳しくはISO 27001をご覧ください。
海外子会社の従業員データを台湾本社のシステムに集約したい場合、何に注意すべきですか？
まずデータの出どころを分けます。
- 台湾：個人データの収集、処理、利用のそれぞれに、特定の目的と法的根拠があるか（個人資料保護法第19条・第20条）
- EU：GDPRは、EU域内の本人の個人データを処理する、またはEUの本人に商品・サービスを提供し、その行動を監視する組織に、所在地を問わず適用される（第3条）。EUはCBPRの参加者ではないため、CBPR認証はGDPR第46条の移転手段にならない。EUから台湾への移転には、引き続きSCC／BCRと移転影響評価が必要
- 証明書の限界：GDPRにも台湾の個人資料保護法にも公式の証明書はなく、RoPA、DPIA、契約、移転の仕組みなどの記録で自ら示す。ISO 27701 はプライバシーの仕組みが存在することを示すが、GDPRの法定手続を自動的に満たすものではない
グループ内での従業員データの移転をどう設計するかは、法律顧問が個別に判断します。詳しくはGDPR対応支援、ISO 27701をご覧ください。
従業員のデジタルスキルが追いつきません。人事責任者（CHRO）は組織変革をどう進めるべきですか？
人材のデジタルスキルの不足は、デジタル変革の五つのリスク領域の一つです（ほかの四つは、OT／IT統合のセキュリティ、レガシーシステムの統合、デジタル化後の業務中断、個人情報保護法への対応）。人事責任者（CHRO）は次のように進められます。
- 業務指標から始める：改善する業務と指標、基準値、見直しの周期を決めてから、導入するシステムを選ぶ
- 働き方の変化を洗い出す：各業務のデジタル化で誰の仕事が変わり、どんな新しいスキルが必要か
- 役割別の研修と移行期間：指標が安定するまで新旧の業務を並行し、その後で旧業務を停止する
- 成果を追跡する：定量的なデジタル化指標を設け、定期的に見直す
システムの切り替えや稼働後に中断が起きた場合の業務継続も、稼働当日ではなく計画段階で扱います。
変革後に職務変更や人員削減が必要になった場合、法的な限界は何ですか？
判断の枠組み：
- 労働基準法第11条第4号：業務の性質が変わり、労働者を減らす必要があり、かつ配置できる適当な仕事がない場合、雇主は予告して労働契約を終了できる。「配置できる適当な仕事がない」理由を説明できる必要がある
- 大量解雇労働者保護法：事業単位が労働基準法第11条各号のいずれか、または合併・組織再編を理由に労働者を解雇し、法定の人数基準に達する場合に適用される（例：同一事業単位で60日以内に200人超、または1日で100人超を解雇。事業場の規模ごとに別の基準もある）
- 手続：基準に該当する日の60日前までに、解雇計画書を主管機関と関係部門・関係者に通知し、公示する。解雇計画書の提出から10日以内に労使で協議する
個別の事案が要件を満たすかは、法律顧問が個別に判断します。デジタル変革のロードマップでは、人員と再教育もあわせて計画し、職務変更の根拠を整えておくことを勧めます。
積穗科研は人事責任者（CHRO）のデジタル変革をどう支援しますか？
積穗科研は副総経理・取締役クラスのコンサルタントが外注せず最後まで担当し、「セキュリティ・バイ・デザイン」の原則に基づき、デジタル変革の各段階に対応するセキュリティ対策を同時に構築します。
- 現状診断とロードマップ：デジタル化の成熟度を評価し、デジタル化のリスク評価を同時に行い、リスクを制御できる変革ロードマップを策定
- システム統合とセキュリティ：デジタルツールの選定と導入を支援し、ISO 27001 の要求に対応するセキュリティの仕組みを同時に構築
- データガバナンス：データ品質、データセキュリティ、データ主権のガバナンス体制を構築
- 事業継続：企業リスク管理、情報セキュリティ、事業継続マネジメントを変革計画に組み込む
- 組織変革と成果：組織変革のマネジメントを支援し、定量的なデジタル化指標を設定
サービスページに記載の支援期間は通常7～12か月以上です。関連情報：デジタル変革支援、デジタル変革コンサルタントの選び方、ISO 27001。