BeRealなどのSNSで相次ぐ従業員の情報漏えい、法的責任や必要な初動対策を弁護士が解説

SNSからの情報漏えいで企業・従業員・拡散者が負う法的責任

本件のように、従業員個人のSNS投稿から顧客情報（氏名や業績目標など）が流出した場合、企業にはどのような法的責任が発生することが考えられますか。

企業の責任については、3つに分けて考える必要があります。①民事責任、②行政上の責任、③業法上の責任です。

①民事責任については、次の2点が問題となります。

第一に、個人情報保護法上の安全管理措置義務（同法23条）および従業者監督義務（同法24条）の違反を基礎とする債務不履行責任（民法415条）、または不法行為責任（民法709条）が問題となります。

顧客との取引契約には、明示・黙示の個人情報・秘密情報の管理義務が含まれる場合があり、その違反は契約上の付随義務違反となり得ます。

第二に、従業員が業務に関連してSNS投稿を行い情報を流出させた場合、企業は使用者責任（民法715条1項）を負う可能性があります。「事業の執行について」の要件は、いわゆる外形標準説により ⁵ 、行為の外形から客観的に職務執行に関連するものと認められる場合には、「事業の執行について」の要件を満たすと判断され得ます。よって、業務時間中・執務室内での撮影・投稿であれば、客観的に職務執行と関連性を有するものと評価される余地が大きいと考えられます。

②行政上の責任では、個人情報保護委員会への報告義務（個人情報保護法26条1項、同規則7条）および本人通知義務（個人情報保護法26条2項）が課されます。以下の事案類型に該当する場合は、速報は概ね3〜5日以内、確報30日以内（不正の目的をもって行われたおそれがある場合は60日以内）を目安とした対応が必要となります。

これに違反した場合や安全管理措置義務違反が認められた場合、個人情報保護委員会から指導・助言、勧告・命令（同法147条・148条等）が出される可能性があり、命令違反には罰則（同法178条）が科されます。

③業法上の責任では、金融機関、医療機関、学校等の業法規制を受ける業種では、監督官庁による業務改善命令その他の行政処分の対象となり得ます。銀行であれば銀行法26条、医療機関であれば医療法その他の関係法令、教員であれば地方公務員法上の守秘義務（同法34条）違反等が問題となります。

自身のSNSから所属先企業の情報を流出させた従業員はどのような法的責任を問われ得るでしょうか。

従業員の責任は、①民事責任と②刑事責任の側面から考える必要があります。

①民事責任の観点では、故意または過失による個人情報の流出は、顧客に対する不法行為（民法709条）を構成します。また、企業に対しては、雇用契約上の秘密保持義務違反に基づく債務不履行責任（民法415条）を負います。

②刑事責任の観点では、取得経路や情報の性質によって異なりますが、不正競争防止法上の「営業秘密」（同法2条6項）に該当する情報を、不正の利益を得る目的または保有者に損害を加える目的等で開示した場合、営業秘密侵害罪（同法21条1項各号）が成立し得ます。

また、業種・職務によっては、業種固有の守秘義務違反や秘密漏示罪（刑法134条、地方公務員法60条2号等）が問題となります。

なお、個人情報データベース等を自己または第三者の不正な利益を図る目的で提供・盗用した場合は、個人情報保護法179条（個人情報データベース等不正提供罪）に該当し得ます。

企業から流出した情報だと知りながら、SNSで拡散した人も法的責任を問われ得ますか。

拡散者の責任については、次のとおりです。

拡散者についても、流出情報の内容を認識しつつ拡散した場合、その情報主体（企業等）に対する不法行為（民法709条）が成立し得ます。最高裁は、プライバシー侵害について、公表されることによって受ける不利益と公表する理由とを比較衡量する枠組みを示しています ⁶ 。本件のように、私人の氏名・業績目標等を本人の同意なく拡散する行為は、原則として正当化事由を欠くと考えられます。

なお、リポストやスクリーンショット転載であっても、拡散者自身が新たな公表主体として評価され得ます。したがって、公益性・報道目的等の事情がないまま、識別可能な顧客情報や業務上の機密情報を拡散した場合、「単に拡散しただけ」という理由のみで責任を免れるとは限りません。

企業がとるべき対応と賠償額の算定基準

情報漏えいが発生した場合、企業は具体的にどのような実務対応をとるべきでしょうか。

法令上の対応としては、報告対象事態に該当する場合、先のとおり、個人情報保護委員会への報告と本人通知（個人情報保護法26条）が必要です。具体的には、①要配慮個人情報、②不正に利用されることにより財産的被害が生じるおそれ、③不正の目的をもって行われたおそれがある行為による漏えい、④1,000人超の漏えい等のいずれかに該当する場合は、速報・確報の二段階報告が必要となります。

実務上の対応としては、これに加えて以下などが標準的な対応事項といえるでしょう。

漏えいした個人情報の本人への賠償額は、どの程度の水準が一般的でしょうか。

裁判例の傾向としては、氏名・住所等の通常の個人情報の漏えいについて、慰謝料として1人あたり5,000円前後から数万円程度が認められた例があります ⁷ 。もっとも、氏名のみで二次被害が確認されない事案では、慰謝料が否定される、または低額にとどまる可能性もあります。

これに対し、病歴、信条といった要配慮個人情報や、金融取引情報など、漏えいによる精神的苦痛や悪用リスクが大きい類型では、通常の個人情報より高額化し得ます。不正利用による財産的被害などの実損害の発生がある場合は、当然これに加えて当該損害分の賠償義務が生じます。

なお、訴訟外の対応として、お詫びとして500円〜数千円相当の金券を送付する事例も見られますが、これは企業の信用回復のための事実上の措置と整理されます。

セキュリティ担当者がとるべき「初動の3段階」

有事の際にセキュリティ担当者がとるべき手順と優先順位を教えてください。

セキュリティ担当者が最優先で動くべきアクションとして、以下の三段階の手順を推奨します。

証拠保全に際しては、改ざんの疑義を生じさせないよう、撮影日時のタイムスタンプを残す、画面録画・スクリーンショットの原本性を保つ、可能であれば公証役場の事実実験公正証書を活用する等の措置が有効です。

プラットフォーマーへの削除要請については、各社が用意する違反報告フォームを利用することが迅速な対応につながります。任意削除に応じない場合は、情報流通プラットフォーム対処法（旧プロバイダ責任制限法）の枠組みを踏まえ、「侵害情報の通知書 兼 送信防止措置依頼書」などによる送信防止措置の申出を行うことが考えられます。さらに応じない場合は、仮処分の申立て（民事保全法23条）を検討します。

初動のポイントは、①スピード（早期削除によって拡散を最小化できるか）、②正確性（誤った内容の公表は二次被害を招く）、③記録化（後日の説明責任と人事処分の根拠確保）の3点に集約されます。特に「とりあえず削除させる」ことに気を取られ、証拠保全を怠るケースが散見されますので、削除指示と並行して証拠化を行うことが重要です。

従業員の処分と賠償請求の考え方

自身のSNSで所属先企業の情報を流出させた従業員にはどのような処分が妥当でしょうか。

懲戒処分の選択は、以下の点を総合考慮して判断する必要があります。

事案類型ごとの目安として、軽微な事案であれば、注意指導、始末書、戒告またはけん責程度が相当と考えられます。

中程度の事案は、要配慮情報を含まないが対象者多数、または対外公表を要する規模などが該当し、減給、出勤停止、降格等が相当となる場合があります。

重大な事案は、要配慮情報を含む、故意性が認められる、企業が行政処分または重大な信用毀損を受けるなどが該当し、諭旨解雇・懲戒解雇も視野に入ります。

ただし、懲戒処分の有効性については、「客観的に合理的な理由」と「社会通念上の相当性」（労働契約法15条）が審査され、懲戒解雇の場合には解雇権濫用法理（同法16条）も問題となります。私生活上のSNS利用に起因する場合は、職務との関連性、企業秩序への影響、本人の主観的認識（故意か過失か）を慎重に検討する必要があります。業務時間中・執務室内での投稿により業務上の情報を流出させた事案であれば職務関連性は肯定されやすい一方、勤務時間外・私的場面での投稿の場合は、業務への影響の具体的な立証が必要です。

企業が損害を被った場合、当該従業員へ賠償を請求できるのでしょうか。

企業が顧客に賠償した後、当該従業員に対する求償権の行使（民法715条3項）は理論上可能です。雇用契約上の債務不履行責任（民法415条）を根拠とすることも考えられます。

もっとも、過去の判例では ⁸ 、使用者が被用者に対し損害賠償または求償を請求できるのは、「損害の公平な分担という見地から信義則上相当と認められる限度」に限られると判示しています。

実務上、この「信義則上相当と認められる限度」は、故意・過失の程度、企業側の安全管理体制、教育・研修の有無、従業員の地位・賃金、損害発生の予見可能性等を踏まえ、個別具体的に判断されます。軽過失であれば求償が大きく制限される一方、故意またはこれに近い重過失の場合には、より広い範囲で求償が認められる可能性があります。

BeReal等のSNSにおける情報流出事案では、通知から短時間で撮影・投稿を促す機能特性への理解不足が背景にあるケースも想定されます。企業側の研修・教育・撮影禁止ルールの整備状況も評価され得るため、求償可能額は、個別事情に応じて実害額の一部に制限される可能性があります。

そのため、実務上は次の点が重要です。

求償権行使を就業規則・誓約書にあらかじめ明記しておくこと、研修記録を整備しておくこと、SNS利用ガイドラインの周知履歴を残しておくことが、求償の局面で企業側に有利に働きます。

従業員個人SNSからの情報漏えい防止策と判断のポイント

従業員個人のSNSによる情報流出について、現実的な防止策があれば教えてください。

技術的・運用的な防止策としては、下記などが考えられます。

特にBeRealについては、①時間制限による衝動的投稿の誘発、②前後カメラ同時撮影による意図しない情報の映り込み、③若年層を中心とした利用の広がり、という3つの特性から、従来のSNSリテラシー研修では対応しきれない部分があります。「業務時間中・撮影禁止エリアでは起動しない」「業務情報が映り込む場所では撮影しない」という具体的な行動規範レベルまでの落とし込みが必要でしょう。

執務室への私用スマホの持ち込み全面禁止について、法的な観点からはどのようにお考えになりますか。

執務室への私用スマホ持ち込み禁止は、業務上の必要性が認められる限度で適法と解されます。労働契約上、企業は施設管理権を有し、業務遂行上必要な範囲で従業員の行動を制約することができます。許容性の判断要素は、次の4点です。

金融機関・医療機関・コールセンター・研究開発部門等、機密性の高い業務に従事する従業員に対する私用スマホの持ち込み禁止は、業務上の必要性や代替手段が整備されている場合には、合理性が肯定されやすいと考えられます。

ただし、休憩時間中も含めた全時間帯の使用禁止は休憩時間の自由利用原則（労働基準法34条3項）との関係で合理性が問われ得る、緊急連絡手段を確保しない全面禁止は私生活の自由への過度の制約となる、といった限界があります。

誓約書などで、特定アプリの業務時間中の利用を禁止することはできるのでしょうか。

特定アプリの業務時間中の利用禁止を誓約書に盛り込むことは、業務時間中の私的行為を制約するに過ぎず、職務専念義務（労働契約に内在する義務）の確認的規定として、原則として適法と解されます。

労働契約上、労働者は労働時間中、使用者の指揮命令下において職務に専念する義務を負っており ⁹ 、業務に関係のないアプリの使用を禁ずることは、職務専念義務の具体化であって、新たな義務の創設ではありません。その際、以下のような点には留意が必要です。

また、実務上推奨される誓約書条項のポイントとして、下記の5点を押さえておきましょう。

---