個人情報漏洩時に企業に求められる対応とは？報告義務や罰則などについて弁護士が解説

Contents

1. 個人情報漏洩が企業経営に与える影響やリスクとは
2. 個人情報漏洩が発生する主な原因とは
3. 漏洩事案が発生した際の適切な対応手順と報告義務とは
- (1) 個人情報漏洩時に求められる適切な対応
- (2) 個人情報漏洩時の報告義務
4. 情報漏洩を未然に防ぐために社内でできる対策とは
5. 社内の危機管理に不安を抱えていらっしゃる経営者様は弁護士法人森大輔法律事務所へご相談を
- （１）顧問弁護士ができること
- （２）弁護士法人森大輔法律事務所へご相談ください

1. 個人情報漏洩が企業経営に与える影響やリスクとは

個人情報の漏えいは、企業経営に対して「行政」「民事」「経営・信頼」という３つの側面から甚大なリスクを与えます。

（1）行政上のリスク

個人情報保護法に基づき、個人情報保護委員会から指導、勧告、命令などの行政処分を受ける可能性があります。
特に措置命令に違反した場合や不正流用があった場合には、企業に対して最大1億円の罰金が科されるという非常に重い罰則のリスクがあります。

（2）民事上の損害賠償

個人情報漏えいの被害者から、不法行為や債務不履行に基づく損害賠償を請求されるリスクがあります。
裁判例における1人あたりの慰謝料額は数千円から数万円程度ですが、個人情報が大量に漏えいして被害者が多数に及ぶ場合には巨額の金銭的損失につながります。
また、情報の管理を怠ったとして、企業の役員個人が会社や第三者から損害賠償責任を追及されるリスクも存在します。

（3）経営・ブランドへの影響

法的な損害以上に深刻なのが、目に見えにくい「経営上のダメージ」です。社会的信用の失墜、ブランドイメージの毀損による顧客離れ、優秀な人材の採用困難や離職などが生じてしまうリスクがあります。
アメリカでの研究によると、情報漏えいによる損害全体の70％以上は、こうした顧客離れによる機会損失や調査・対応コストなど「法的損害以外の損害」が占めるとされています。

2. 個人情報漏洩が発生する主な原因とは

個人情報の漏えいが発生する主な原因は、大きく分けて（1）日常業務上のミス、（2）関係者による不正な持ち出し、（3）外部からのサイバー攻撃の3つに集約されます。

（1）日常業務上のミス（ヒューマンエラー）

意外に思われるかもしれませんが、漏えい原因の多くは「うっかりミス」です。具体的には、メールやFAXの誤送信、パソコンやUSBメモリ・書類の紛失、システムの管理・設定ミスなどが挙げられます。こうした日常業務上でのミスが原因全体の8割を超えているとする経済産業省の調査結果もあります。

（2）関係者による不正な持ち出し

従業員や元従業員などが、不正な利益を得る目的で故意に情報を持ち出すケースです。これらは企業の信頼を大きく損なうため、法改正によって罰則が強化されるなどの対策が取られています。

（3）外部からのサイバー攻撃

ウイルス感染や不正アクセス、サイバー攻撃によって外部から情報を盗み取られるケースです。近年における大規模な情報漏えい事件では、この不正アクセスやサイバー攻撃が原因として最も多く見られるようになっております。

3. 漏洩事案が発生した際の適切な対応手順と報告義務とは

(1) 個人情報漏洩時に求められる適切な対応

個人情報の漏えい事案が発生した際は、混乱を最小限に抑え、企業が法的・社会的な責任を果たすために、以下の手順にしたがって誠実に対応することが重要です。

①初期対応と被害拡大の防止

漏えいが発覚したら直ちに社内で報告体制を整え、情報のさらなる流出を止めるための措置を講じます。あわせて「いつ、どこで、誰の情報が、なぜ漏れたのか」という事実関係を調査し、被害の影響範囲を特定します。

②行政への報告と本人への通知

個人の権利や利益を害するおそれがある場合には、個人情報保護法２６条に基づいて、国の機関である個人情報保護委員会への報告と、被害を受けた本人への連絡を行う義務が生じます。これによって、被害者本人が二次被害を防ぐための準備を整えられるようにします。

③公表と再発防止の徹底

事実関係や二度と同じ事故を起こさないための再発防止策を整理し、公式ホームページ等で公表します。原因を究明し、安全管理体制を立て直すことが企業の信頼回復につながります。

④アフターフォローの実施

専用の相談窓口を設置して被害者からの問い合わせに対応するほか、事案に応じて、金銭的な補償（お詫び）の実施や、警察など捜査機関との連携、関係者の処分を検討します。

(2) 個人情報漏洩時の報告義務

企業で個人データの漏えいが発生し、個人の権利や利益を害するおそれが大きい場合には、個人情報保護法に基づいて、個人情報保護委員会への報告と、被害を受けた本人への通知が義務づけられています。

①報告が必要なケース

病歴などのデリケートな情報（要配慮個人情報）が含まれる場合、不正アクセスなど悪意ある攻撃を受けた場合、クレジットカード情報などの流出で金銭的被害のおそれがある場合、または1,000人を超える大規模な漏えいが発生した場合などに報告が必要となります。

②報告のタイミング

漏えいを知ったら速やかに（おおむね3～5日以内）事態の概要を報告（速報）し、その後（漏えい発生を知ってから原則３０日以内）詳しい内容をあらためて報告（確報）する必要があります。

③本人への通知

個人情報保護委員会へ報告すべき事態が起きたときは、原則として被害を受けた本人に対しても、その事実を知らせなければなりません。これは、本人が二次被害を防ぐための対策を取れるようにするためです。
義務に違反すると行政指導や罰則の対象となる可能性があるため、企業には迅速な対応が求められます。

4. 情報漏洩を未然に防ぐために社内でできる対策とは

企業における情報漏えいを未然に防ぐ対策としては、（1）組織的なルール作り、（2）従業員への教育、（3）技術的・物理的な守りの３つがあります。

（１）組織的なルール作り

まず入社時にすべての従業員と「秘密保持の誓約書（守秘義務契約）」を取り交わし、万一の際に備えて就業規則において情報漏えいを懲戒事由として明記しておきます。

（２）従業員への教育

情報漏えいの多くは、従業員の業務上のミスによるものです。それゆえ、個人情報の取扱いに関するマニュアルを作成・配布し定期的に社内研修をおこなうことによって、セキュリティ意識を高めて周知徹底を図ります。

（３）技術的・物理的な守り

社用パソコンの社外持ち出し禁止や私物パソコンの利用制限、出力した個人情報リストや CD‐ROM・USB等にダウンロードした個人データの施錠保管、さらにID・パスワードによるアクセス制限やデータの暗号化といった技術的措置を講じるとよいでしょう。

5. 社内の危機管理に不安を抱えていらっしゃる経営者様は弁護士法人森大輔法律事務所へご相談を

（１）顧問弁護士ができること

「トラブってからでは遅い」――これは企業経営における冷酷な真実です。
ひとたび情報が漏えいすれば、膨大な解決コストがかかるだけでなく、長年築き上げた企業の社会的評価が致命的な傷を負ってしまいます。
この破滅的なリスクを未然に防ぐ「転ばぬ先の杖」こそが、顧問弁護士という存在です。
法的リスクが激増する現代において、企業の実情を熟知した専門家による継続的な「予防改善指導」を受けることは、企業の生き残りをかけた経営者の責務ともいえます。
個人情報の漏えいを防ぐには、システム上のセキュリティ対策はもちろんのこと、従業員への教育や情報の取り扱いルールの徹底といった組織的な管理が不可欠です。
顧問弁護士は、企業の法的リスクを最小限に抑えるため、具体的には以下のように貢献できます。

①防護体制を高める

事業の実情に即した「プライバシーポリシー」や「セキュリティガイドライン」となるよう顧問弁護士がアドバイスし修正することによって、組織の防護体制が高まります。

②社内教育とガバナンスの強化

従業員に向けた「個人情報の取扱いに関するマニュアル」を作成し、顧問弁護士が定期的に社内研修をおこなうことによって、社内におけるセキュリティ意識を高め周知徹底をはかれます。
また、就業規則の改訂を通じて、個人情報はじめ重要情報の適正管理を怠った従業員に対する罰則・処分などのガバナンスを強化できます。

③契約書のリスク低減

「秘密保持契約書」をはじめとする契約書を顧問弁護士がリーガルチェックすることによって、情報漏えいをはじめとする危機管理リスクを低減できます。
さらに、トラブルになった時をも見据えて、顧問弁護士が「法的リスク限定文書」としての契約書を作成することによって、企業の正当性を守る盾を構築できます。

④トラブル時の適切な対応

個人情報の漏洩などトラブルが発生してしまった場合、被害の拡大防止、個人情報保護委員会への報告、被害者への通知、外部へのプレスリリース、アフターフォローなど多くの対応に迫られます。
対応に時間がかかったり誤ったりしてしまうと被害拡大のおそれもありますが、顧問弁護士を利用して日常的に相談や依頼をしているのであれば、このような事態が発生しても顧問弁護士に迅速・適切な対応をしてもらうことができます。

（２）弁護士法人森大輔法律事務所へご相談ください

弁護士法人森大輔法律事務所は、２０１５年に企業法務メインの法律事務所としてスタート以来、業種も規模もさまざまな１００社以上にわたる顧問先のリーガル・コンサルタントとして数多くの企業事例を取り扱ってまいりました。
法律の枠を超えた「経営を守る生きた知恵」をも提供し、情報漏えいトラブルへの事後対応にとどまらず、情報管理の改善アドバイスなどトラブルの事前予防にも力を入れている法律事務所です。
弁護士法人森大輔法律事務所は、「１００年続く企業を共に創る」をパーパス（存在意義）として掲げ、親身かつレスポンス良く貴社をサポートします。経営者様の想いを汲み取り、貴社が１００年続く企業になるための「最良のパートナー」として、共に歩み続けます。
弁護士法人森大輔法律事務所では、複数の弁護士によるチームでご依頼に対応しております。
・社内の危機管理に不安を抱えていらっしゃる方
・情報漏えいのトラブルに不安をお持ちの方
・弁護士に「プライバシーポリシー」「セキュリティガイドライン」「個人情報の取扱いに関するマニュアル」などを作成・チェックしてほしい方
・幅広い法務・労務の相談・社内研修にスピーディーで親身に対応できる顧問弁護士が必要な方
・日常の法律相談や契約書・商標・広告などのリーガルチェックも気軽に頼める顧問弁護士がほしい方
弁護士法人森大輔法律事務所のホームページから24時間いつでも相談できます。
【相談はこちら】
企業法務・情報管理に詳しい弁護士が喜んでスピーディーに対応します。
女性弁護士を含むチームによる対応も可能です。
オンラインWeb会議ツール（ZOOM）を活用して、全国どこでも対応できます。
もちろん、直接オフラインでお会いしてお話を伺い、資料を一緒に見ながらのご相談も大歓迎です。
弁護士法人森大輔法律事務所は、東京・東銀座（歌舞伎座の向かい）にあります。
東京メトロ銀座線・東銀座駅６番出口と直結しておりますので、アクセスが大変便利です。
現にトラブルが起きている、事前の防止策を整えたいなど、お困りのことがございましたら、どうぞお気軽にお問合せください。