１．はじめに
今回は、先月号の「従業員の休職」に続き、近年ご相談が増えている「従業員による情報漏洩」についてお話しします。
「退職した従業員が、在職中に顧客名簿を持ち出していたことが後から分かった」
「従業員が業務用パソコンのデータを私物のＵＳＢメモリにコピーしているのを見つけたが、どう対応すべきか分からない」
「情報漏洩が疑われるものの、確たる証拠がなく懲戒処分に踏み切れない」
経営者や情報システムご担当者様から、このようなご相談をいただく機会が増えています。情報漏洩は、発覚後の初動対応を誤ると、被害の拡大はもちろん、取引先・顧客からの信用失墜、損害賠償請求、監督官庁への報告対応など、会社に多方面での深刻なダメージをもたらしかねません。
２．従業員による情報漏洩とトラブルの背景
従業員による情報漏洩は、従業員が業務上知り得た営業秘密や個人情報等を、正当な権限なく社外の第三者に開示してしまったり、本来の業務目的を超えて利用してしまうことによって発生することが多いようです。
近年は、クラウドサービスの普及や在宅勤務の広がりにより、従業員が社外から社内データにアクセスできる環境が一般化しており、情報漏洩のリスクは以前にも増して身近なものとなっているようです。
ご相談いただくことが多いトラブルの類型としては、以下の内容が多い印象です。
（１）秘密保持に関する定めが整備されていないことによるトラブル
- 実は、就業規則や誓約書において秘密保持義務を具体的に定めていない会社が少なくありません。
秘密保持義務の内容や、対象となる情報の範囲、違反した場合の効果（懲戒処分・損害賠償請求等）が明確にされていない場合、実際に情報漏洩が発覚しても、懲戒処分の有効性や損害賠償請求の可否をめぐって従業員側との間で争いになりやすく、法的トラブルに発展するケースがあります。
（２）退職者による情報持ち出しに関するトラブル
- また、最近増えているのが、退職・転職の際に生じる情報持ち出しをめぐるトラブルです。退職を予定している従業員が、転職先や独立後の事業で活用する目的で、在職中に顧客名簿や取引先情報、ノウハウ等を私物のパソコンやクラウドストレージに保存しておくといったケースが典型例です。
このような場合、当該情報が不正競争防止法上の「営業秘密」に該当するかどうか、また就業規則や誓約書に競業避止義務・秘密保持義務がどこまで具体的に定められているかによって、会社として取り得る法的手段（差止請求、損害賠償請求、刑事告訴等）の内容が大きく変わってきます。
（３）発覚後の初動対応の誤りによるトラブル
- 情報漏洩が疑われる事態が生じた際、会社側の初動対応が不適切であったために、かえってトラブルが拡大するケースも目立ちます。
たとえば、証拠保全を行わないまま従業員のパソコンを初期化してしまい、後日の調査や訴訟で必要な証拠を失ってしまう、あるいは、十分な調査を経ずに従業員を問い詰めたり懲戒処分を先行させたりすることで、名誉毀損やパワーハラスメントを理由に従業員側から逆に責任を追及されるといった事態も起こり得るところです。
３．会社として講じるべき実務上の対策
このような情報漏洩に関するトラブルを防ぐため、会社としては以下の３つの対策を整えておくことが重要です。
（１）秘密保持誓約書・就業規則を整備する
- まずは、自社の就業規則や入社時・退職時の誓約書に、秘密保持に関する規定が整備されているか確認しましょう。特に以下の項目を具体的に定めておくことが有効です。
① 秘密情報の定義・範囲（顧客情報、技術情報、営業情報等を具体的に例示する）
② 在職中及び退職後の秘密保持義務
③ 情報の複製・持ち出しの禁止、退職時の返還・消去義務
④ 反した場合の懲戒処分及び損害賠償に関する定め
（２）アクセス権限・ログ管理を徹底する
- また、社内システムへのアクセス権限を職務上必要な範囲に限定し、重要な情報については、誰が・いつ・どの情報にアクセスしたかを記録できるログ管理の仕組みを整えておくことが有用です。
特に、退職予定者については、退職が決まった時点でアクセス権限を必要最小限に見直す、外部記録媒体の使用を制限する等の対応を講じることで、情報持ち出しのリスクを大きく低減させることができます。ログが整備されていれば、万一情報漏洩が発覚した際にも、迅速な事実確認や証拠収集につなげることが可能です。
（３）発覚時の初動対応をあらかじめ定めておく
- その他にも、実際に情報漏洩が疑われる事態が生じた場合に備え、あらかじめ社内の対応フロー（初動対応マニュアル）を整備しておくことも重要です。
具体的には、①証拠保全（対象端末やアカウントのログを確保し、安易に初期化・削除をしない）、②事実関係の調査（本人への事情聴取は調査の進捗を踏まえて慎重に行う）、③被害の範囲・内容に応じた社内外への報告や公表の要否の検討、④懲戒処分や損害賠償請求等の法的対応の検討、という順序を意識し、初動の段階で顧問弁護士に相談できる体制を整えておくと安心です。
４．おわりに
今回は「従業員による情報漏洩」に関する基礎知識と会社の対策についてお伝えしました。情報漏洩は、一度発生すると会社の信用に大きな影響を及ぼしかねない一方で、日頃からの規定整備とアクセス管理、そして発覚時に慌てず対応できる体制づくりによって、そのリスクを大きく減らすことができます。自社の秘密保持体制に不安がある場合や、現に情報漏洩が疑われる事態が発生している場合は、お早めにご相談ください。
弁護士 髙塚 慎一郎