不祥事を起こした従業員の個人情報が外部に流出した場合、どう対応すべきか

A　事実調査の結果に応じ、個人情報保護委員会への報告や被害者本人への通知等が必要となる。漏えいが別の従業員の不正行為による場合は、会社が損害賠償責任を負う。

１．企業における従業員情報の取り扱い

企業が取り扱う従業員の情報は、氏名、生年月日、住所、家族構成、職歴、人事情報、健康診断結果等多岐に及びますが、これらは、個人情報の保護に関する法律（以下、「個人情報保護法」）上の「個人情報」等に該当し、また、プライバシー性の高いものであることから、その取り扱いについては、同法に則した対応はもちろん、社内で取り扱う際にも情報の取り扱い担当者を適切な範囲に限定するなど、場面に応じたプライバシーへの配慮が必要となります（なお、企業は上記情報を人事管理等のために個人情報データベース等で管理していると思われることから、通常、個人情報保護法の名宛人となる個人情報取扱事業者に該当します）。

２．個人データの漏えいが発覚した場合の対応

［1］従前の考え方
個人データ（個人情報データベース等を構成する個人情報）の漏えい、滅失または毀損（以下、「漏えい等」）の事案が発生した場合の対応について、令和2年の個人情報保護法の改正（令 2. 6.12　法律44。令 4. 4. 1施行）までは、特に法令上の定めはなく、個人情報保護委員会の告示（平29. 6.12　個人情報保護委員会告1）において定められているのみであり、その内容も、必要な措置を講じることが「望ましい」、あるいは、個人情報保護委員会等への報告もするよう「努める」とされるにとどまり、企業によって対応がまちまちとなっていました。

［2］個人情報保護法上の規律
個人情報保護法は、令和2年の改正により、個人データの漏えい等その他の個人データの安全確保に係る事態で一定の類型に該当するものが生じた場合には、個人情報保護委員会への報告および本人への通知をするよう義務づけ（26条）、同法施行規則では、報告対象となる事態（以下、「報告対象事態」）として以下の四つの場合を定め（7条）、報告・通知すべき内容および時期について、大要以下のとおり定めています（8～10条）。

（報告対象事態）
①要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下同じ）の漏えい等が発生し、または発生したおそれがある事態
②不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、または発生したおそれがある事態
③不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ（当該個人情報取扱事業者が取得し、または取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む）の漏えい等が発生し、または発生したおそれがある事態
④個人データに係る本人の数が千人を超える等が発生し、または発生したおそれがある事態

（報告・通知すべき事項および時期）
個人情報取扱事業者は、報告対象事態を知った後速やかに（おおむね3～5日以内）、報告時点において把握している次の報告事項を、原則として個人情報保護委員会のホームページ上の報告フォームに入力する方法により報告しなければならず（速報）、加えて、当該事態を知った日から30日以内（上記③の場合は60日以内）に、下記の報告事項すべてを報告しなければならない（確報。速報時点ですべて把握できた場合は両者を兼ねることも可能）。

本人に対しては、当該事態を知った後、当該事態の状況に応じて速やかに（具体的時期は、個別の事案においてその時点で把握している事態の内容、通知を行うことで本人の権利利益が保護される蓋然(がいぜん)性、本人への通知を行うことで生じる弊害等を勘案して判断）、本人の権利利益を保護するために必要な範囲で、下記の⑴ ⑵ ⑷ ⑸および⑼に定める報告事項を通知しなければならない。

記

⑴概要、⑵漏えい等が発生し、または発生したおそれがある個人データ（上記③の事態については同③に規定する個人情報を含む。以下同じ）の項目、⑶漏えい等が発生し、または発生したおそれがある個人データに係る本人の数、⑷原因、⑸二次被害またはそのおそれの有無およびその内容、⑹本人への対応の実施状況、⑺公表の実施状況、⑻再発防止のための措置、⑼その他参考となる事項

［3］ガイドライン上の要請
上記2.の法改正に伴い、個人情報保護法ガイドライン（通則編）も改正（令 3. 8. 2　個人情報保護委員会告3）され、個人データの漏えい等の事案が発覚した場合の講ずべき措置として、事業者内部における報告および被害の拡大防止、事実関係の調査および原因の究明、影響範囲の特定、再発防止策の検討および実施、ならびに、個人情報保護委員会への報告および本人への通知が定められました（「努める」等の文言は削除）。また、漏えい等事案の内容等に応じ、二次被害の防止等の観点から、事実関係および再発防止策等について速やかに公表することが望ましいとされています。

３．ご質問のケースにおける対応および責任について

まずは、直ちに事実調査および原因究明をする必要がありますが、ご質問では、「勤務態度」という通常は会社しか知り得ない内容も漏えいしているとのことから、従業員が不正に情報を持ち出したおそれがあり、上記2.［2］の③の報告対象事態に該当する可能性があると思われます。調査の結果、報告対象事態に該当する場合には、速報（さらには確報）として個人情報保護委員会への報告および被害者本人への通知が必要となりますが、報告対象事態か否かにかかわらず、二次被害の防止等の観点からは、速やかに被害者への通知（謝罪を含みます）を実施しておくのが相当です。ただし、損害賠償は、調査未了の状態で提案、合意することは避け、最終的な調査結果を踏まえて賠償方針を慎重に検討した上で対応するのがよいでしょう。

仮に従業員による不正な（故意または過失による）漏えいがあった場合は、当該従業員に対する懲戒処分を検討するほか、改めて、従業員全体への教育・啓発やアクセス権限者の制限、アクセス管理などの個人情報保護法上求められる人的・物理的安全管理措置の検討が必要と考えられます（なお、個人情報取扱事業者が同法上の義務に違反し、これに対する個人情報保護委員会からの勧告および命令〔同法148条〕に正当な理由なく従わないときは、罰則の対象となります〔両罰規定。同法178条、184条1項1号〕）。また、その場合において、漏えいにより被害者に損害を与えたときは、会社は、使用者責任として、被害者に対し損害賠償責任を負います（民法715条）。この場合の損害とは、主に精神的損害が考えられますが、どの程度の金額が正当かは、会社から漏えいされた情報の内容・量、性質、実害の有無、会社の漏えい等事案発覚後の対応内容等を総合考慮して決することになろうかと思われます（ベネッセ個人情報流出事件：東京地判平成30年12月27日・判タ1460号209ページ参照）。
漏えい等事案が発覚した場合の上記事態に備えるためにも、日頃から安全管理体制を整え、発覚時には速やかに適切な対応を行えるように準備しておくことが重要といえます。

以上

労務行政研究所「労政時報」第4091号 104頁掲載「相談室Q＆A」（平良亜大）より一部補正のうえ転載