保険業界の案件で気をつけたい規制とセキュリティのルール｜機微情報と委託先の立場

保険業界の案件で守るルールは、保険会社が法令と金融庁の監督指針に沿って作った社内規程と、それを反映した契約・誓約書です。フリーランスは、保険会社やその委託先から仕事を受ける「委託先」の立場で、その規程に従って作業します。

とくに気をつけたいのは、健康状態や病歴などの機微（センシティブ）情報の扱い、業務に必要な範囲に限ったアクセス権限、委託先として求められる作業の記録と報告の3つです。この記事では、2026年10月時点で金融庁と個人情報保護委員会の公式ページで確認できた範囲に絞って、ルールの層と現場での注意点を整理します。個別の取扱いが法令に合っているかの判断は、参画先の担当部門や専門家に確かめてください。

ルールは層になっている

保険の案件のルールは、いくつかの層が重なってできています。フリーランスが直接読むのは一番下の契約と現場のルールですが、上の層を知っておくと、なぜその手順が厳しいのかが分かります。

監督指針は、金融庁が保険会社を監督するときの着眼点をまとめたもので、フリーランスに直接義務を課すものではありません。ただ、保険会社はこの着眼点を満たすように社内規程を作り、外部委託先にも同じ水準を求めます。その結果、現場の手順として作業者に届きます。

顧客情報は「業務に必要な人だけ」が原則

「保険会社向けの総合的な監督指針」の「顧客等に関する情報管理態勢」（II－4－5）では、顧客の情報を保険契約取引の基礎と位置づけ、適切な管理を求めています。主な着眼点として、次のような点が挙げられています。

• 情報へのアクセスと利用を、業務上必要な役職員に限る（Need to Knowの原則）
• アクセス権限の範囲を決め、内部の関係者による持ち出しを防ぎ、外部からの不正アクセスを防ぐ
• 外部委託先（保険代理店などを含む）の管理状況を確かめ、漏えいが起きたときに速やかに報告される体制を作り、再委託先も監督する
• 漏えいが起きたときは、顧客への説明、当局への報告、原因の分析と再発防止に取り組む

現場では、これが「担当する機能に必要なデータだけ見られる権限を申請する」「権限は参画終了時に返す」「データを画面の外に出すときは申請する」といった手順になって現れます。手間に見える手順も、この着眼点から来ていることが多いため、自分の判断で省かないことが大切です。

監督指針は、クレジットカード情報についても、保存期間を決めて廃棄することや、画面に表示する範囲を絞ること、委託先や再委託先の点検などを着眼点に挙げています。保険料をカードで払う仕組みの開発では、この点を意識した要件が出てきます。

保険で特に重い「機微情報」の扱い

個人情報保護委員会と金融庁の「金融分野における個人情報保護に関するガイドライン」第5条は、法律上の要配慮個人情報に加えて、労働組合への加盟、門地、本籍地、保健医療、性生活に関する情報を「機微（センシティブ）情報」とし、原則として取得・利用・第三者提供をしないことを求めています。

ただし、例外として、保険業その他金融分野の事業の適切な業務運営を確保する必要性から、本人の同意に基づいて業務の遂行に必要な範囲で取得・利用・提供する場合などが挙げられています。保険の引受や給付金の支払で健康状態の情報を扱えるのは、こうした例外の範囲で扱っているからです。逆に言えば、業務に必要な範囲を超えた使い方は認められていない情報だと理解しておく必要があります。

開発や運用の現場で注意したいのは、次のような場面です。

• テストデータ：告知内容や病名、入院の記録を含む本番データを、許可なくテスト環境にコピーしない。加工したデータを使う場合も、参画先の手順に従う
• ログと画面の記録：エラーの調査で、ログやスクリーンショットに病名や事故の内容が残ることがある。チャットや課題管理ツールへの貼り付けは、参画先のルールで許された範囲にとどめる
• 分析用のデータ：データ活用の案件では、集計や加工の目的が業務の範囲に入っているかを、担当部門が判断する。自分の判断で項目を足したり、別の用途に使ったりしない

金融分野ガイドラインは、安全管理措置（第8条）、従業者の監督（第9条）、委託先の監督（第10条）も定めています。フリーランスが委託先として求められることの全体は業務で個人情報を扱うときの契約の記事、個人情報保護法そのものの義務と改正の動きはフリーランスと個人情報保護法の記事で整理しています。

システムリスク管理と委託先としての自分

監督指針の「オペレーショナル・リスク管理態勢」（II－3－13）には、「システムリスク管理」と「システム統合リスク・プロジェクトマネジメント」の項目があります。システムリスク管理の着眼点には、情報セキュリティ管理、サイバーセキュリティ管理、システムの企画・開発・運用管理、システム監査、外部委託管理、コンティンジェンシープラン、障害発生時の対応などが並んでいます。

外部委託管理の対象になる

外部委託管理の着眼点では、委託先を選定基準に基づいて選ぶこと、委託した業務が適切に行われているかを定期的に確かめること、二段階以上の再委託も含めて管理することが示されています。フリーランスが元請や二次請の会社を通じて参画する場合も、保険会社から見れば委託の連鎖の中にいる作業者です。参画時の経歴の確認、作業場所や端末の指定、作業記録の提出を求められるのは、この管理の一部と考えると理解しやすくなります。

障害が起きたら、まず報告

障害発生時の対応の着眼点では、顧客への影響を抑えること、最悪のシナリオを想定すること、重大な障害を経営陣に速やかに報告し、影響を過小に報告しないことが示されています。現場の作業者に求められるのは、異常に気づいたときに自分で抱え込まず、決められた経路ですぐに報告することです。影響が小さいと思っても、判断は報告を受けた側が行います。

サイバーセキュリティの指針

監督指針は、取締役会などがサイバーセキュリティの重要性を認識し、「金融分野におけるサイバーセキュリティに関するガイドライン」を踏まえた態勢を整えることを求めています。このガイドラインは、2024年10月4日に金融庁が公表し、同日から適用されています。開発の現場では、脆弱性への対応の期限、外部サービスの利用の承認、端末の管理などの形で影響が出ます。

参画前と参画中に確かめておきたいこと

保険業界の案件では、次の点を参画前の面談や契約の段階で確かめておくと、作業を始めてから戸惑うことが減ります。

1. 本番データや本番に近いデータに触れる作業があるか。あるなら、どの端末・どの場所で行うか
2. リモートで作業できる範囲と、自宅で作業する場合の端末や回線の条件
3. 情報の取扱いに関する誓約書や研修の有無と、その内容
4. 権限の申請・返却の手順と、参画終了時のデータや資料の返却・廃棄の方法
5. 障害や情報の取扱いの事故に気づいたときの報告先と経路
6. 再委託の可否と、自分が委託の連鎖のどこにいるか

自宅で作業するときの端末や回線の整え方は在宅作業のセキュリティの記事、秘密保持契約の読み方は秘密保持契約の記事で扱っています。

規制の知識をどう仕事に生かすか

ここまでのルールを、条文の単位まで覚える必要はありません。案件で役に立つのは、「この手順は、どの層のどんな考え方から来ているか」を理解し、要件や作業手順の意図を取り違えないことです。募集のルールが画面や記録の要件になる話は保険業界の業務知識の記事、案件の種類ごとの作業環境の違いは保険業界の案件の種類の記事で説明しています。情報管理の経験をスキルシートにどう書くかは保険業界のスキルシートの記事をご覧ください。

監督指針やガイドラインは改正されることがあります。金融庁の監督指針のページは2026年10月時点で令和8年10月の改正を反映した版を掲載しています。個人情報保護法の改正の動きはフリーランスと個人情報保護法の記事で扱っています。最新の内容は、金融庁と個人情報保護委員会の公式ページでご確認ください。

よくある質問

監督指針はフリーランスにも直接適用されますか？

監督指針は、金融庁が保険会社を監督するときの着眼点で、フリーランスに直接義務を課すものではありません。ただし、保険会社は指針を踏まえて社内規程と委託先への要求事項を決めるため、契約や誓約書、作業手順を通じて、フリーランスもその水準で作業することを求められます。

健康に関する情報が含まれるデータは、テストに使えますか？

参画先の規程と手順によります。金融分野ガイドラインでは、保健医療に関する情報は機微情報とされ、業務の遂行に必要な範囲を超えて扱わないことが求められています。テストに使うデータの作り方や使える範囲は、自分で判断せず、参画先の担当者に確かめてください。

情報漏えいが起きたら、自分で当局に報告するのですか？

委託先の作業者としては、まず契約や手順で決められた報告先、通常は委託元や元請の担当者にすぐに知らせます。当局への報告や顧客への説明は、保険会社が判断して行います。個人情報保護法上の委託先の報告の扱いはフリーランスと個人情報保護法の記事で整理しています。個別の判断が必要な場合は、弁護士などの専門家にご相談ください。