問題の事象

当社の社員が、個人情報の記載されている顧客名簿を名簿業者に売り渡していることが判明しました。

当社としては、どのような対応を取るべきでしょうか？

解説（基本的な考え方）

個人データの安全管理（個人情報保護法20条ないし22条）に関する法違反があった場合、会社としてはまず、二次被害の防止や類似事案の発生回避等の見地から、

これらの対応を取ることが望ましいです。

なお、個人情報漏えいの公表を行う場合には、単に発生した事象のみを説明するのではなく、

についても触れる必要があります。

また、本件における社員は故意に顧客情報を売却していることから、

 

個人情報保護法の概要

こちらの項目では、平成15年（2003年）5月に制定され、平成17年（2005年）4月に全面施行されている「個人情報保護法」の概要についてお伝えします。

 

個人情報とは

個人情報とは

と定義されています。

また、氏名を

• 生年月日
• 電話番号

などと組み合わせることによって、氏名単体では特定の個人を識別することができなかったとしても、個人情報として扱える場合があるのです。

そして、メールアドレスについては、

• ユーザー名
• ドメイン名

などから特定の個人を識別することができた場合、それ自体が単体になるため、そのメールアドレス自体が個人情報に該当します。

 

個人情報保護取扱業者とは

個人情報保護取扱業者とは、

と定義されています。

ここでいう個人情報データベースとは、

1. コンピュータを用いて検索できるよう体系的に構成されたもの
2. 目次や索引などを用いて特定の個人情報を簡単に検索できるよう体系的に構成されたもの

等のことです。

そして、昨今では、

必要に応じてすぐに個人情報を取り出せるよう管理されている業者がほとんどのため、個人情報を管理しているほとんどの業者が「個人情報保護取扱業者」にあたります。

また、

と言えるのです。

 

個人情報保護の「ガイドライン」

ガイドラインに関しては、

損害賠償責任

顧客の個人情報〔氏名、年齢、住所、電話番号等〕がインターネット上で閲覧可能な状態に置かれており、実際に第三者がこれを閲覧して情報が流出したTBC顧客情報漏えい事件（東京地判平19・2・8）では、

結果となっています（同種の事件として大阪地判平18・5・19判夕1230号223貢）。

 

「個人情報取扱業者」としての責任

また会社が個人情報取扱業者に該当する場合は、一般的な賠償責任に加えて

社員の処分について

顧客情報は営業秘密である

という事案があります。

上記事案について裁判官は、顧客情報とは、

とし、

等に照らし合わせた結果、顧客情報が不正競争防止法2条6項所定の営業秘密に該当すると判断しました。

社員への損害賠償請求

顧客情報が不正競争防止法における営業秘密（2条6項）に該当する場合、顧客情報を他社に売り渡すといった秘密漏えいは、労働契約の付随義務である

に該当するため、社員に対して損害賠償請求をすることが可能です。

しかし、損害賠償請求を裁判所に提起するとなれば、まず会社側が、

を個別に算出・立証しなければなりません（ダイオーズサービシーズ事件・東京地判平14・8・30労判838号32貢、東京地判平19・1・26判夕1274号193貢）。

事前に就業規則などに違約金が設定できればよいのですが、労基法16条に「使用者は、労働契約の不履行について違約金を定め、又は損害賠償額を予定する契約をしてはならない」と定められているため、やはり個別に算出する必要があります。

 

社員への懲戒解雇が「無効」となったケース

故意に情報を漏洩させた社員へは懲戒解雇を含む懲戒処分を検討することになります。

ただ、会社側の情報管理体制が不十分な場合、懲戒解雇を無効とされるケースもあるので注意が必要です。

事案では、顧客データ送信が懲戒事由に該当することは否定できないものの、

これら等の諸事情に照らし合わせた結果、懲戒解雇は無効と判断されました。

 

個人情報の流出を防ぐために

事業を遂行する上で、個人情報や秘密情報の漏洩を防ぐことは何よりも優先すべき重要な課題です。

流出を防ぐため、また万一流出が発生した場合にも被害を最小限に抑えるために、以下の内容を参考に情報管理システムの運用方法や規定の整備など、再点検しておくとよいでしょう。