【個人情報の持出し】企業が直面する本当のリスクと実務的な守り方

「個人情報の持出しが起こると、どのようなリスクがあるのだろうか」
「個人情報の持出しで、企業はどのような責任を問われてしまうのだろうか」
と気になりませんか。
社員による個人情報の持出しは、ある日突然発覚する傾向にあります。
USB、メール、クラウド、在宅勤務など、便利になった働き方の裏側で、企業が気づかないうちに情報が外へ流れていくリスクが存在するのです。
本記事では、社員による個人情報の持出しのその手口や、リスク、対応策について解説します。

社員による個人情報の持出しの手口

弁護士
野俣 智裕

ここでは、社員による個人情報の持出方法について解説します。

USB等による持出し

業務用パソコンからUSBメモリや外付けハードディスクにデータをコピーし、社外へ持ち出す方法です。特別な技術を必要とせず、短時間で大量の情報を移せる点が特徴です。業務の引継ぎや自宅作業を理由に使用されることもありますが、管理ルールが曖昧な場合、結果として不正な持出しと評価される可能性のある行為です。
特に、退職前後の使用については注意が必要です。

メール転送による持ち出し

業務用メールから、個人のメールアドレス宛にファイルを送信するケースです。本人は「一時的な保存」や「後で作業するため」と考えていても、社外への送信自体が問題となることがあります。送信履歴が残るため発覚するケースもありますが、業務上のやり取りに紛れて見過ごされることもあり、企業側としては把握が難しい傾向にある手口です。

クラウドツール

個人で利用しているクラウドストレージに、業務データをアップロードする方法です。スマートフォンや自宅PCから簡単にアクセスできるため、利便性が高い一方で、会社の管理が及ばない領域にデータが移動してしまう点が問題となります。社内で利用を許可していないクラウドサービスを使っていた場合、情報管理体制そのものが問われる可能性もあります。

在宅勤務時に持ち出す

在宅勤務やテレワークの際に、業務データを自宅環境へ持ち出すケースです。業務効率を優先するあまり、個人端末への保存や印刷物の持ち帰りが行われることがあります。会社として明確なルールを定めていない場合、本人に不正の意識がなくても、結果的に個人情報の持出しと評価される可能性があります。在宅勤務制度の運用と情報管理は切り離して考えられない問題です。

会社が本当に困ること

弁護士
野俣 智裕

ここでは、個人情報の持出しが起きたときに、会社が直面する現実的なダメージを解説します。

顧客からのクレームや信用の失墜

個人情報の持出しが判明した場合、顧客から問合せやクレームが寄せられる可能性があります。たとえ実際に被害が発生していなかったとしても、「情報が社外に出たかもしれない」という事実そのものが不安を与えることがあります。その結果、説明対応や謝罪対応に時間と労力を割かれるだけでなく、企業としての信頼性に疑問を持たれるおそれもあります。一度低下した信用を回復するには、相応の時間と対応が必要になる点は無視できません。

競合への流出で売上げが落ちるリスク

持ち出された情報の中に、顧客リストや取引条件、購買履歴などが含まれていた場合、それらが競合他社に渡る可能性も否定できません。直接的な営業活動への影響がないように見えても、顧客へのアプローチが重なることで、取引の継続に影響が出ることがあります。また、将来的な受注機会を失う要因になる可能性もあり、長期的に見ると売上げや事業計画に影響を及ぼすおそれがあります。

取引先から契約停止・見直しが入るリスク

個人情報を取り扱う企業として、情報管理体制は取引先からも注視されるポイントです。情報の持出しが発覚した場合、取引先から管理体制について説明を求められることや、契約内容の見直しを求められる可能性があります。場合によっては、新規取引の停止や契約更新を見送られるといった判断がなされることも考えられます。こうした影響は、単発の問題にとどまらず、今後の取引関係全体に影響を及ぼす可能性があります。

発覚時にまずやるべき初動対応

弁護士
野俣 智裕

ここでは、個人情報の持出しが疑われた際に、会社が最初に取るべき行動を解説します。

PC・メール・ログなど証拠の確保

まずは、業務用PCや社用メール、アクセスログなど、事実確認に必要な情報を保全します。先に本人へ確認すると、状況が変わるおそれがあるため注意が必要です。

社内調査で持出範囲と影響を把握

どの情報が、どの程度外部に出た可能性があるのかを整理します。対象となる情報の内容によって、その後の対応が変わります。

社員への事情聴取は証拠確保の後に行う

証拠や事実関係を整理した上で、必要に応じて事情を確認します。感情的な対応は避け、経緯の把握を優先します。

顧問弁護士等に相談して対応方針を決める

法的な判断が関わる可能性があるため、早めに専門家へ相談し、会社としての対応方針を整理します。

必要に応じて社外への公表

事案の内容によっては、顧客や関係機関への説明や報告が必要になる場合があります。範囲やタイミングは慎重に検討します。

再発防止策の決定と実施

対応後は、同様の事態を防ぐため、運用や管理体制の見直しを行います。

関連する法律

弁護士
野俣 智裕

ここでは、社員による個人情報の持出しと関連する法令、責任について解説します。

営業秘密の持出し（不正競争防止法）

顧客名簿や取引条件、価格情報などは、一定の要件を満たせば「営業秘密」と評価されることがあります。
こうした情報を、許可なく持ち出した場合、不正競争防止法違反の可能性が生じる場合があります。

媒体の持去り(窃盗や横領)

USBメモリや紙資料、外付けハードディスクなど、会社の管理下にある記録媒体を無断で持ち出した場合、行為の内容や状況によっては、窃盗罪や業務上横領罪に問われる可能性があります。
この場合は、情報の中身そのものではなく、「会社の物を無断で持ち去った行為」が問題とされます。

個人情報保護法

個人情報の取扱いや管理に問題がある場合、主に会社が個人情報保護法違反に問われる可能性があります。また、主に個人が罰則の対象となる可能性があるケースとして、不正な利益を図る目的で個人情報データベース等を提供・盗用した場合と個人情報保護委員会の命令等に違反した場合とがあります。

損害賠償請求

個人情報の持出しによって、顧客や取引先に不利益が生じたと主張された場合、まずは会社が損害賠償請求を受けることが一般的です。
その上で、行為の内容によっては、会社から当該従業員に対して責任追及が行われる可能性もあります。

刑事告訴

行為の態様や経緯によっては、会社が従業員に対して刑事告訴を検討することも考えられます。
すべてのケースで刑事問題になるわけではありませんが、証拠の保全や社内調査の進め方を誤ると、後から選択できる対応が限られる可能性があります。

再発防止のために最低限やること

弁護士
野俣 智裕

ここでは、最低限取り組むべき再発防止策を解説します。

アクセス権限を管理する

個人情報に誰でも触れられる状態は、持出しの温床になりやすくなります。業務上必要な範囲に限定して権限を設定し、異動や退職のタイミングで確実に見直す運用を整えておくことが重要です。

個人のデバイスを使用制限する

私物端末での業務は、会社の管理が及びにくくなります。私物端末の業務利用を制限し、会社貸与端末の利用を基本とすることで想定外の持出しを防ぎやすくなります。

説明の上、契約書を交わす

口頭の注意だけでは認識のズレが生じやすくなります。誓約書などの書面で、禁止事項や責任の所在を明確にしておくことで、後のトラブルを避けやすくなります。退職時の再確認も有効です。

社員教育の徹底

ルールを作るだけでは不十分です。個人情報の取扱いについて定期的に説明し、会社として何を重視しているのかを共有することで、無自覚な持出しを抑える効果が期待できます。

まとめ

社員による個人情報の持出しは、身近な業務の延長で起こることがあります。発覚後の対応や判断を誤ると、会社への影響が広がるおそれもあります。対応に迷う場合は、当事務所までお気軽に相談ください。

記事の監修者

代表弁護士野俣智裕

弁護士法人 ダーウィン法律事務所 代表弁護士

経歴や実績などはこちら

■東京弁護士会
■日弁連信託センター