情報管理規程を整備し、犯罪事実確認の運用フローも固めた。こども性暴力防止法（以下「法」）への対応はこれで一区切り・・・そう考えている事業者の方に、見落とされがちな論点をひとつ共有します。日本版DBSで取り扱う犯罪歴情報は、法だけでなく個人情報保護法上の「要配慮個人情報」にも該当し、こちらのルールへの対応も同時に必要になる場合があります。
この記事では、日本版DBSと個人情報保護法がどう重なるのか、そしてその重なりによって事業者が具体的に何を求められるのかを整理します。
日本版DBSとは
2024年6月に成立した「こども性暴力防止法」（正式名称：学校設置者等及び民間教育保育等事業者による児童対象性暴力等の防止等のための措置に関する法律）により、いわゆる日本版DBSの制度が創設されました。施行日は2026年12月25日です。
日本版DBSとは、子どもと接する仕事に就く人について、事業者が特定の性犯罪に関する前科の有無をこども家庭庁に照会できる仕組みです。イギリスのDBS（Disclosure and Barring Service）を参考に設計されており、性犯罪歴のある人物が教育・保育の現場で子どもと接することを防ぎ、子どもの安全を守ることを目的としています。
※こども性暴力防止法では、このDBSに該当する規律のほか、性犯罪や不適切な行為から守るための安全確保措置などが求められています。
対象となる事業者は、大きく2つに分かれます。
- 学校設置者等（学校・認可保育所・認定こども園・児童福祉施設など）：犯罪歴確認が義務
- 民間教育保育等事業者（学習塾・スポーツクラブ・認可外保育施設など）：国の認定を受けた場合に義務（認定を受けるかどうかは任意）
施行後、新規採用者については配置の直前に犯罪歴の確認が行われます。既に勤務している現職者についても、義務対象事業者は施行から3年以内に、認定対象事業者は認定から1年以内に、全従事者の確認を完了する必要があります。
なぜ個人情報保護法の「要配慮個人情報」と関係があるのか
個人情報保護法は、人種、信条、病歴、犯罪の経歴など、本人に対する不当な差別や偏見につながりかねない情報を「要配慮個人情報」として、通常の個人情報より厳格な取扱いルールを設けています（法2条3項）。このうち「犯罪の経歴」とは、有罪判決を受けてこれが確定した事実（前科）を意味します。
日本版DBSで照会・取得される特定性犯罪の前科情報は、まさにこの「犯罪の経歴」にあたります。つまり、日本版DBSを利用する事業者は、こども性暴力防止法の遵守に加えて、個人情報保護法に基づく要配慮個人情報の取扱いルールにも同時に対応しなければなりません。要配慮個人情報の定義や具体例については、要配慮個人情報とは？具体例と取り扱いルールを解説で詳しく整理していますので、あわせてご確認ください。
なお、犯罪の経歴がない場合は要配慮個人情報には該当しませんが、通常はその者の氏名とともに管理する情報になりますので、個人情報・保有個人データとして適切な管理が求められる点は変わりません。
取得時に同意が不要な理由
要配慮個人情報の取得には原則として本人同意が必要ですが、日本版DBSによる犯罪歴の照会は「法令に基づく場合」（法20条2項1号）に該当するため、本人の同意がなくても照会を行うことが可能です。ただし、本人には戸籍書類の提出や事前通知といった手続きへの関与機会が設けられており、公正さに配慮した仕組みとなっています。「同意が要らないなら気にしなくてよい」ということではなく、取得後の管理義務は別途生じる点に注意が必要です。
1件の漏えいでも報告義務が発生する
要配慮個人情報は、通常の個人情報のような件数要件（1,000件超など）にかかわらず、たった1件の漏えいであっても個人情報保護委員会への報告と本人への通知義務が発生します（規則7条1号）。犯罪歴情報が漏えいした場合は当然にこの義務が発生するため、漏えい時の初動対応フローを事前に整備しておくことが不可欠です。
事業者が押さえるべき情報管理のポイント
日本版DBSで取得した犯罪歴情報の管理にあたっては、こども性暴力防止法と個人情報保護法の双方の観点から、次の点に注意が必要です。
利用目的の厳格な限定
取得した犯罪歴情報を利用できるのは、児童に対する性暴力防止のための適格性確認に限られます。この情報を人事評価など他の目的に流用することは許されません。
厳格な情報管理体制の構築
犯罪歴情報は極めて機微性の高い要配慮個人情報です。法でも犯罪事実確認記録等の適切な管理が求められており、自己または第三者の不正な利益を図る目的で提供したときには2年以下の拘禁刑または100万円以下の罰金、漏えいさせたり不正な目的に利用したときは1年以下の拘禁刑または50万円以下の罰金という罰則が設けられています。アクセス権限の限定、施錠管理、ログの記録など、物理的・技術的な安全管理措置を講じる必要があります。
取得時・漏えい時、いずれも初動対応フローが必要
上記のとおり取得時の同意は不要な一方、漏えい時は1件でも報告義務が生じます。「取得は簡単でも、管理責任は重い」という非対称性を理解しておくことが実務上のポイントです。
施行に向けて準備すべきこと
十分な情報セキュリティ対策を講じてこなかった事業者にとっては、組織体制の整備には相応の時間がかかります。対象となる事業者は、早い段階から次の準備に着手することが望ましいといえます。
- 自社が義務対象・認定対象のいずれに該当するかの確認
- 採用プロセスへの犯罪歴確認ステップの組み込み
- 犯罪歴情報の管理に関する社内規程・情報管理体制の整備
- 犯罪歴が判明した場合の対応方針（配置転換等）の策定
- 従業員への制度の周知・研修
犯罪情報自体は新たに運用が開始される専用システム（こまもろうシステム）で管理される予定のため、基本的には各事業所で情報を保管しない場合が多いと考えられますが、そのシステムを操作し犯罪歴等を確認するのは各会社や事業所の従業員です。何らかの理由で情報を転記したり持ち出したりする場合に備え、上記の対策はどのような企業・事業者であっても軽視してよいものではありません。
まとめ
日本版DBSで取得する犯罪歴情報は、こども性暴力防止法上の犯罪事実確認記録であると同時に、個人情報保護法上の「要配慮個人情報」でもあります。この二重の位置づけを理解しないまま「規程を作って終わり」にしてしまうと、取得時の手続きは適切でも、管理・漏えい対応の場面で個人情報保護法上の義務を見落とすおそれがあります。
情報管理規程の整備と、要配慮個人情報としての取扱いルールへの対応は、どちらも欠かすことができません。自社の体制構築について不安がある場合は、早めに専門家へ相談することをお勧めします。
こども性暴力防止法に関するサポートについては、こちらをご覧ください。
※ 本記事は2026年8月時点の情報を前提としています。ガイドラインの更新や運用開始後の実務の変化により内容が変わる可能性があるため、最新情報は随時ご確認ください。
