従業員個人情報保護に関する通知 （各国共通）

本「従業員個人情報保護に関する通知」（以下、「通知」）は、B&Rの全グループ（オーストリア本社であるB&R Industrial Automation GmbH 内の全部門および同社が直接的または間接的に過半数の議決権を保有または管理する各国オフィス、グルプ関連）に適用されます。B&Rグループの本社にあたるB&R Industrial Automation GmbH は、ABBグループ（ABB Asea Brown Boveri Ltd.の100％子会社）の一員でもあります。従業員の雇用主であるB&Rグループ関連会社は、通知に基づき、従業員個人データの処理および処理方法の管理に責任を負います。さらに、各国のB&Rオフィス は、従業員の個人データを受領、管理、保管することができます。本通知は各国の当社オフィスにも適用されます。対応一覧については B&Rウェブサイトより確認することができます。

B&Rでは、従業員のデータ保護に関する権利の尊重を最優先事項としています。本通知はB&Rが従業員個人データをどの様に使用し、また従業員が自身の個人データに対してどのような権利を有するのかを説明するものです。

従業員と雇用契約を結ぶ（以下、「雇用関係」）B&R Industrial Automation GmbH （オーストリア、エッゲルスベルグ）あるいは各国のB&Rオフィスは、EU一般データ保護規則（General Data Protection Regulation ("GDPR") ）が定めるところの「データ管理責任者」となります。当社および各国にある関連会社（以下、「B&R」または「当社」）は、オーストリアのデータ保護法、または実際に個人データを管理する各国が定める保護法に則り、収集する従業員の個人データの種類と、その目的を本通知に従って決定します。

当社は、雇用に関係する従業員の個人データを収集、使用します。さらに、一般に公開されている情報源から入手した個人情報や、第三者（企業、登録・報道機関など）から合法的に通知された個人情報についても、本通知に記載されている目的のため、必要ある範囲で処理します。通知に基づき、当社では以下の個人情報をその目的の範囲内で収集、使用します。

• 個人の詳細と識別データ: 氏名、個人の住所および勤務先の所在地、個人および勤務先の電話番号、個人および勤務先でのEメールアドレス、またはその他の連絡先情報、日付、出生国など。
• 家族および社会的状況に関する個人データ: 性別、年齢、婚姻歴および家族関係（近親者の氏名、連絡先を含む）など。
• 雇用関係の個人データ: 従業員番号、署名、雇用形態、社会保障、納税番号、保険番号、居住国、国籍、写真、緊急連絡先、旅券情報、労働および居住許可、移住、査証情報など。
• 資格: 現在および過去の職位、教育訓練コース、履歴書または職務経歴書、学歴、職務上の業績、場合によっては身元保証人の連絡先、能力査定の結果、および面接評価ないしはフィードバックを含む資格、証明書など。
• 業務関連情報および職務評価: 職位、役職、雇用契約、給与支払ID、ライン管理者、職務範囲、業績履歴、雇用形態、休日情報、勤務時間記録、研修記録、業務目標、育成目標など。なお、B&Rは場合によっては能力査定、安全報告および事故、専門家のフィードバックの結果を記録することがあります。
• 給料、手当、給付金および出費関連の情報: 給与データ、給与支払データ、年金制度番号および寄付、給与以外の給付金、賞与、報酬、新株予約権、扶養家族、給付ないしは医療給付推薦、銀行取引明細書、出費請求および領収書、銀行口座明細、クレジットカードデータ、電話代、保険データなど。
• (従業員がアクセスする、または当該システムないしはアプリケーションによって影響をうける）電子識別データおよび情報: アクセスログ、ITおよびインターネットの利用、装置識別子（モバイル機器ID、パソコンIDなど）、登録およびログイン証明書、IPアドレス、追跡、解析データ、記録類（ボイスメールや通話記録など）、企業向けプラットフォーム（Yammerなど）への投稿、パスワード復旧データ、ITセキュリティツールによる情報入手など。
• 金融、その他の情報: 口座情報、与信調査、支払明細および取引、調査情報、懲罰歴など。
• その他の個人データ（下記の特別カテゴリーの情報を含む場合あり）: 自分または他者（従業員の同僚など）が当社のシステム、プログラム、アプリケーションに記録する可能性のある情報。クエリ、質問、苦情、注文および関連記録、Eメール、報告書、契約、発表、議事録、作業成果物など）個人情報を含む業務書類、写真、画像、動画などのデータ。 以下に述べる種類の個人データは、従業員が居住する国の適用される法律によってのみ収集、処理されます。
• 特別なカテゴリーの個人データ: 宗教団体への加入（納税関係で必要とされる場合など）、 障害の状態（立ち机の使用など）の特別な勤務状態、および職場における医療機器の必要性、労働災害による傷病情報、出張中の救急医療のためのデータ（血液型、治療歴、アレルギー）を含む医療、治療情報、 人種または民族（多様性関連で使用する場合など）、 労働組合への加入、政治的意見、性生活ないしは性的指向（不平等な待遇の調査に使用される場合など）。
• 刑事上の有罪判決および犯罪に関するデータ: 犯罪歴情報審査および人物審査（以下、「KYC（本人確認義務）チェック」という）およびマネーロンダリング対策（以下、「AML」という）の義務に対する目的に必要な範囲における犯罪歴情報や制裁リスト情報など。

従業員が特定の個人データ処理活動についての情報を求める場合は、www.abb.com/privacyへ要請を出して要求することができます。

B&Rは従業員との雇用関係を遂行、実行するために、従業員の個人データを処理、使用します。当社と従業員の間の雇用関係の枠組みにおいて、従業員は、雇用関係の開始、実行、終了、および関連する契約上の義務を遂行するのに必要な、または当社が法的に収集する義務を負う個人データを提供しなければなりません。

特定の従業員の個人データを処理しないと、B&Rは通常、従業員との雇用関係を締結、維持、または終了することができません。また従業員の要求に応じ、契約上または法的対策をとることもできません。従業員から特定の個人データの提供を受けない場合、当社は雇用に関して従業員の要求に応じた処理を遂行することができません。その場合、従業員は、雇用あるいは社会保障権を行使することができない可能性があります。当社が従業員に個人データの提供を求める場合には、当社は必要となる個人情報の種類、任意の提出で良い種類、どのような法的根拠に基づいて処理される予定かをあらかじめ従業員に提示します。

当社は、特に下記の目的に基づいて、上記に挙げられた個人データを処理、使用します。

• 人事管理（組織・従業員管理、労働時間管理、効率的な人事管理の改善および維持、社内の人事分析、人事報告・計画等）
• 人事異動管理（支社間の異動、後任者の選定等）
• 給与、報酬、業績管理（社会的サービスの提供、給与・報酬・手当・福利厚生・保険・年金・評価の維持を含む）
• 人材管理と獲得（採用、適正と職務能力の評価、経歴・資格の確認、人材確保、推薦状の提供等）
• 従業員教育、育成のための施策管理（資格取得、社員研修、従業員満足度調査・研究等）
• 入退職に伴う手続き（社内異動および雇用契約終了を含む）
• 休暇管理（病欠その他の欠勤等）
• 社内健康と安全のためのプログラム施策（労働上の安全衛生、事故の記録や報告、プロセス品質管理等）
• 出張と費用管理および出張手配（安全や医療上の緊急事態のための出張者のモニタリング、出張・健康・安全に関する研修、任意での申し出に応じ、緊急時の安全面でのサポート提供等）
• 労働および社会保障法ないしは労働協約の分野における義務履行、特定権利の行使
• B&Rグループと代表者の社内外との通信（商業登記簿への記載や代理人の任命等）
• B&R内のイベントと関連文書の管理（マーケティング活動以外の社内イベント、会議体の管理や実施等）
• B&Rの資産管理（B&Rのイントラや会社ホームページ上からダウンロード可能な社員またはその他の個人を写す写真、動画等）
• 財務および会計業務（報告用の記録、現金支払い要求、サービス購入等のため）
• 事業活動、事業部門および会社の買収や再編
• 年次報告書、統計および分析
• ABBおよびB&Rグループが定めるガイドラインの遵守状況のモニタリングと確認（従業員が業務において会社のポリシーを遵守しているか、懲戒処分などの雇用契約上の義務及び法的要件を遵守しているか等）
• 監査、審査、および既製チェックの実施（規制当局に対する義務を果たすことを目的とする）
• 管理およびリスク・コンプライアンス（法律、法執行機関・裁判所・規制当局の規則（従業員の身元確認プロセス（「KYC」）、マネーロンダリング防止策（「AML」）、関税・国際貿易規制の遵守、利益相反に関する規則、セキュリティ義務など）の遵守、犯罪・不正行為やその他の禁止行為の防止・発見・調査・解決、または法的権利・請求権の保護・確立・行使・防御を含む）
• 顧客とのビジネスに関して、注文処理、顧客サポートの提供、要求やその他問い合わせへの処理等
• サプライヤー、契約請負人、コンサルタント、その他各分野の専門家との協議、ビジネス管理に関して、交渉、購入・請求の処理・履行、契約のライフサイクル管理等
• 図面、注文書、販売注文、請求書、報告書等の書類の参照、製品の使用
• 緊急時のアクセス制限および現場要員の登録を行うことが許可された従業員に対する電子的管理に基づく出入室管理のためのアクセスコントロールシステム
• 第三者による強制や侵入、社内セキュリティポイントの監視および現場管理、自動システム用補助監視モニター等の侵入検知
• 事業継続のための犯罪ないし悪意ある行動の防止および検出（製品、設備、サービス、システム、ネットワーク、コンピュータ、情報の安全性維持、保護、セキュリティ脅威、不正手段等）
• ITリソースの管理（データバックアップ、アプリケーション管理のための情報システム支援、サービス運用、エンドユーザ支援、テスト、保守、セキュリティ（事故対応、リスク、脆弱性、違反への対応）、マスタデータ、職場等での使用アカウント管理、ソフトウェアのライセンス認証、セキュリティ・能力検査、事業継続などのインフラ管理等）

B&Rは、上記の理由のために必要な個人データのみを収集します。従業員から提供を受けた特定の個人データには、従業員の近親者および緊急連絡先に関する情報が含まれます。この場合、従業員は本通知について、近親者または緊急連絡先にある当事者に伝えておく必要があります。

また当社は、従業員が個人データによって直接または間接的に識別されることが無いように、従業員のデータを匿名で収集し、統計やB&Rのサービス向上、ITシステムの見直し等、さらなる処理目的のために個人データを使用することがあります。

従業員が第三者の現場（B&Rの顧客の所在地または施設）で勤務する場合、第三者が、個人データのデータ管理者としてB&R従業員の個人データを取得し、処理することがあります。この場合、B&Rの従業員は、当該データ管理者から別途個人データ保護に関する通知を受領するか、通知の提示をデータ管理者に求めることができます。

当社は従業員の個人データを上記の目的(第3項)に従い、GDPRおよびオーストリアのデータ保護法の規定、特に以下の法的根拠に基づいて処理を行います。

• 当社が授業員の個人情報を処理する目的は、主に、従業員との雇用関係の開始、維持、終了、および当社との雇用契約から生じる権利の行使と義務の履行のためであり、その法的根拠はGDPRの第6条(1) b)になります。
• 当社が従業員の個人データ(特別なカテゴリーの個人データを含む) を、雇用法、社会保障法、社会保護法に起因する権利の行使または法的義務の履行のために処理する時、データ処理はGDPRの第6条(1) c) および第9条(2) b)、f) およびh)を法的根拠とします。
• 当社が従業員の個人データ（特別なカテゴリーの個人データを含む）を健康管理、産業医学、または労働能力の評価を目的として処理する時、また、その処理が医療従事者や秘密保持を条件として従事するその他の担当者によって行われる場合、その法的根拠はGDPRの第9条(2) h)になります。
• 当社が従業員データを、法的規則および雇用関係の義務に基づいて処理する場合（例えば、手当や税金、報告・通知義務、当局への協力義務、雇用主および企業としてのその他の契約上および法律上の義務を果たすための法定保存期間等）、その法的根拠は、GDPRの第6条(1) c) に基づきます。
• 個人データを提供するデータ主体（従業員）あるいは一般個人のデータが重要事項となり、データ処理が必要となった場合、GDPRの第6条 (1) d)および第9条 (2) c) を法的根拠に係る処理が行われます。 (例：B&Rの構内での事故の通知)
• 必要な場合、当社は自らの正当利益または第三者の利益を守るため、雇用関係の範囲内で、従業員の個人データを処理します。これは、GDPRの第6条(１)f)に基づく利益のバランスを考慮して行われます。GDPR第6条(1)f)に基づき、正当な利益を守るために必要であり、個人データの保護を必要とするデータ対象者の利益または基本的な権利および自由が優先されない場合には、処理が許容されます。正当な利益は、下記の個人データ処理の目的を有します。
• 監視（ITシステム等による監視）、調査、法的規制・規則、およびABBとB&Rグループ関連会社内要件およびガイドラインへの遵守
• 不正行為、類似行為の調査、B&Rおよびグループ関連会社資産、製品およびサービスの悪用などの犯罪行為防止、および必要かつ適切な範囲内でのネットワーク、情報セキュリティ確保
• B&Rでの従業員の業務に関連して、B&Rによる、またはB&Rに対する法的請求の確立、行使、および弁護
• 必要に応じて、社内管理を目的としたB&Rグループ内での従業員個人データの転送（一元管理サービスの提供）

B&Rの従業員は、www.abb.com/privacyに要望を提出することで、B&RおよびABBグループ関連会社の従業員個人データを処理する上での正当な利益に関する評価の写しを入手することができます。

例外的に、前述の法的根拠ではカバーされない目的で従業員の個人データ（特別なカテゴリーの個人データを含む）を処理する場合、B&Rは GDPRの第6条 (1) a)および第9条 (2) a)に基づき、 個人データの処理を行うことへの同意を求めます。具体的には、個人が明確に判別できる写真やビデオ録画等がその対象になります。従業員からの同意は常に任意に基づきます。従って、従業員は同意の提出に義務感を負うことはなく、同意の提出を拒否したゆえに、何らかの不利益が生じるという不信や懸念を抱く必要はありません。GDPRの第7条 (3)が定めるように、従業員は、今後の影響を考慮して、理由を提示せずに、いつでも同意の撤回をすることができます。当社が、従業員の個人データを明確な目的に基づいて処理する上で従業員からの同意を求める場合、拒否する権限を有すること、また拒否の権限を行使する権利があることを、改めて通知します。

当社は、（現地の）適用法に従い、刑事上の有罪判決または犯罪に関連する個人データの処理のみを行います。

グローバル企業として、B&Rは欧州経済領域（EEA）の内外を問わず、B&RおよびABBグループの企業や外部のサービス提供者と取引関係にあります。ビジネス関係を構築しているそうした企業も、B&Rの従業員データを目的に沿った処理のために使用することがあります。当社は一般的に、従業員の個人データを他のB&Rグループ企業、または第三者機関に、以下に定められた目的のため、必要と判断された場合にのみ共有します。

その場合、従業員の個人データは、B&Rグループ企業全体、EEA圏内・外のエリアで、前述の目的に沿って利用、処理されることがあります。また、当社の従業員の個人データが前述の目的のために処理される際、当社は外部のサービス提供者（集約的コンピュータ管理会社、ソフトウェア企業やマーケティング・オートメーションツールのプロバイダ等）をデータ処理者として利用することがあります。当社は、そうした外部の事業者を、拘束力のある指示のもと、既存の契約関係の枠組みの中でのみ利用します。従業員の個人データは、データ処理に必要とされる期間と範囲内でのみ、外部の事業者へ開示されます。

当社が、従業員の個人データをB&Rグループ企業、または第三者機関に共有し、データが欧州連合（以下、「EU」）と欧州経済流域（以下、「EEA」）圏外、または従業員の雇用主の所在地のある国以外に譲渡、またはアクセス可能となる場合には、当社は従業員個人データ保護のため、適切な予防策を常に講じます。係る予防策の一例として、欧州委員会、標準的契約条項（SCC）に基づく適正な措置があります。従業員の個人データが、EU、EEA、または従業員の雇用主の所在地外の国へ譲渡される際には、データ保護のため、追加措置を講じます。講じた予防策の概要を確認する場合は、www.abb.com/privacyからリクエストを送信してください。

講じた予防策の概要を確認する場合は、www.abb.com/privacyからリクエストを送信してください。

当社は、通常、本通知で定められた目的に沿って、必要と判断された場合に限り、従業員の個人データを収集し、保管します。保管期間は、従業員がGDPRの第6条 (1) a) に基づき、同意を撤回するまで、あるいは正当な利益が処理の法的根拠となっている場合、従業員が個人データの使用に異議を唱えるまで (GDPRの第6条 (1) f))です。

しかし、法的規則が特定の個人データの最低期間の保管をB&Rに求める際は、この限りではありません。特定の、ある一定の従業員の個人データには、雇用契約書、報酬及び費用償還に関する情報などがあり、企業と税法が定める基準に基づき定められた最低期間は保管が求められています。

同時に、適応されるデータ保護法では、当社が、個人データが収集された目的に必要とされる期間を超えない範囲で、従業員を特定できる形で個人データを保管および処理すること、およびこの点に関する定期的なチェックを行うことを求めています。ITシステムやガイドラインの設定により、当社は従業員の個人データが不要となった際には速やかにデータを削除します。

当社が保管する従業員の個人データの保存期間については、次のリンク Corporate regulations または各国のB&Rが定める会社方針を確認してください。法的に定められた保管期間が終了した後、当社は、従業員の個人データの更なる保管が求められる特別なケース（法的・規則的に求められるケース、あるいは雇用に関し法廷闘争が発生している等）を除き、消去または匿名化を確実に行います。

従業員個人データに適用される特定の保管期間についての詳しい情報は、www.abb.com/privacyからリクエストを送信してください。

B&Rでは、会社データ、従業員の個人データ、デジタル資産のデータセキュリティを最重要課題と位置付けています。当社ではデータセキュリティを共有の責任と捉えています。B&Rは、係るデータの安全性を確保するためには必要な対策を取ることが組織全体としての責任だと考え、従業員に対しても同様の行動と認識を求めています。当社のセキュリティ対策と従業員の責任の詳細については、下記にて確認することができます。 End user security policy.

B&Rグループ会社の監視システム

業務上の理由により、またＩＴシステム対策の維持のため、B&Rは電話（携帯および固定電話）、コンピュータシステム（Eメールおよびインターネットアクセスを含む）、これらの従業員の個々の使用についての情報を収集し、監視します。そのため、私用での利用は、ビジネス上の義務を怠らない範囲で撤回するまで認められません。会社のシステムを私用で利用している情報は収集、モニタリングされ、B&Rシステムのセキュリティを確保し、適用される法律に基づくB&Rセキュリティ・ポリシーを遵守するために必要であることを条件に、事業目的とITセキュリティ面での維持、管理のために使用されます。従業員がパスワード、およびB&RのＩＴ、通信システム上のログイン名を使用してサービスにアクセスすると、B&Rは従業員のアクセス詳細を見ることができます。

この監視は、法によって許可される範囲、ないしは法によって義務付けられ、かつ業務上の目的において必要かつ正当な場合にのみ行います。ログファイルの結果は第6項に基づき、最短期間で保管されます。モニタリングは、データの悪用が試みられたケースやその他のセキュリティインシデントを検出し、その後の調査や継続措置を可能にするために必要です。

社内のガイドラインや適応される法律が認める範囲内で、必要に応じては懲戒処分が下されることもあります。これにより、そのような個人データを警察やその他の法的機関に提供することが必要となる場合もあります。適応法がある場合のみ、それに従い、情報は関連する機関へ転送し、評価されます。

ビデオでの監視

本通知で説明している通り、B&Rグループの中には、安全と事業継続の観点から、CCTVビデオ監視システムを所有地やビル内外に設置し、監視システムを行っているところもあります。一般的なルールとして、B&Rでは、必要ない限りは、7日間以内に録画済のフィルム本体を消去しています（長期的に保管されるのは、セキュリティ上のインシデントが発生した場合などに限る）。詳細については、各国、各拠点の労働契約が定めるところとします。

データ保護に関する質問、自身の個人データの処理に関する不服・申し立て、下記に掲げられた個人データの実際の処理について要望がある際には、www.abb.com/privacyからリクエストを送信してください。特定の状況下では、公共の利益（例：犯罪の防止または発見）または当社のビジネス上の利益（例：法的特権の維持）を保護するために、データ対象者のこれらの権利を制限しなければならない場合があります。当社の対応に納得できない場合、または当社が従業員の個人データを違法に処理していると思われる場合は、 GDPRの第77条に基づく苦情申し立ての権利に従い、従業員の居住国、勤務国、またはデータ侵害が発生したと思われる国のデータ保護当局に連絡することが可能です。苦情申し立ての権利に加え、B&Rグループの従業員には自身についての情報について、下記の通り一定の権利が付与されています。

• データアクセス権: GDPRの第15条に定められる通り、従業員は、B&Rが従業員の個人データとして保持しているデータの閲覧または写し（書面）を受ける権利があります。この権利はオーストリアのデータ保護法第4条 (6)の例外規則によって制限されます。個人情報を提供することで、データ管理者または第三機関のビジネス、企業秘密が危険に晒されるような特殊なケースにおいては、この権利は適応されません。
• データ訂正の権利: GDPRの第16条の定めの通り、従業員は、B&Rが従業員の個人データとして保持しているデータに誤りがあった場合、速やかな訂正を要求する権利を有します。この権利は、オーストリアのデータ保護法第4条 (２)に規定された制限の対象となります。それによると、自動化によって処理された個人データの修正が、経済的または技術的な理由で特定の時期にした修正ができず、迅速に対応が出来ない場合、当該個人データの処理は、ある期間までGDPRの第18条(2) の効力で制限されなければなりません。
• データ消去権: 従業員は、GDPRの第17条に定められた条件において、自身の個人データの消去を申し立てる権利を有します。特に下記の条件が一致する場合、上記の権利が有効になります。（1）データ処理の目的が達成した場合、またはその他の方法で適応されなくなった場合、（２）当社が従業員のデータを違法に処理した場合、（３）データ処理を別の法的根拠に基づいて継続することが出来ず、従業員が同意書を撤回した場合、（４）データ処理に異議を唱えた場合、または（５）EU法または当社が従うEU加盟国の法律に基づいてデータを削除する義務がある場合です。この権利は、オーストリアのデータ保護法第4条 (２)に規定された制限の対象となります。それによると、自動化によって処理された個人データの修正が、経済的または技術的な理由で特定の時期にした修正ができず、迅速に対応が出来ない場合、当該個人データの処理は、ある期間までGDPRの第18条(2) の効力で制限されなければなりません。
• データ処理を制限する権利: 従業員はGDPRの第18条に従い、 特定の場合において自らの個人データの処理を制限することができます。この権利は、特定の条件を満たす次の場合、有効となります。（１）個人データの正確性に疑念が生じた場合、（２）従業員が、正当な削除要求の条件に基づき、削除ではなく限定的な処理を要求した場合、（３）個人データがデータ管理者の処理対象ではなく、不要となった場合。但し、この場合、従業員は犯罪に巻き込まれない様、データを適切に守り、何らかの措置を講じる必要があります。（４）異議申し立ての成否が、以前として議論の最中にある場合。
• データポータビリティに対する権利: GDPRの第20条に従い、従業員は、自身の目的のために構成され、機械での読み取りが可能な形式にて従業員個人データを受領する権利、および当該データを第三者に転送するようB&Rに要求する権利を有します。
• データ処理に対する異議申し立て権: GDPRの第21条に基づき、 従業員は公共の利益または正当な利益を守るため、従業員の特定の状況に関連する理由において、個人データの処理に対し、いつでも異議を申し立てる権利を有します。当社は、保護に値する個人情報を処理するためのやむを得ない理由を証明でき、それが従業員の利益、権利、自由を上回る場合、または係る処理が法的請求の主張、行使、弁護に役立つ場合を除き、従業員の個人情報の処理を中止します。マーケティング目的での個人データの処理に異議を申し立てる場合、当社はいかなる場合においてもデータ処理を中止します。

本通知は必要に応じ更新されます。更新が行われた際、修正された箇所の重要度に応じ、当社は従業員への通知のため適切な措置を講じます。適応される法律によって更新が必要となる場合、当社の最新のビジネス状況を記載した重要なプライバシーポリシーの変更について、従業員の同意を求めます。本通知の更新日については、以下の「発行日」を確認してください。

発行日：2021年2月15日