Q. 当社は、お客様から頂いた住所等をもとに顧客リストを作成し、それを外部業者に委託して、そのリストの顧客にダイレクトメールを送付していました。

ところが、先日、その業務委託先のパソコンから、当社の顧客リストの住所等の情報が漏洩してしまったという連絡がありました。

当社は、外部委託業者に任せていたのですが、責任を負うのでしょうか?

A. 責任を負う場合があります。情報漏洩の直接の原因が外部委託業者にあったとしても、貴社がその業者に対して必要かつ適切な監督をしていなかった場合には、責任を負う可能性があります。

このような事態が生じないようにするために事前に対策をたてておくことが有用です。

1. 個人情報保護法及びその改正

個人情報保護法は、高度情報通信社会の進展に伴い個人情報を保護するために、個人情報データベース等(例えば、個人情報をリスト等にしたもの等をさします)を扱う事業者を個人情報取扱事業者として、様々な義務を規定しています。

法改正前は、小規模事業者の負担を軽減する趣旨から、個人情報取扱事業者となるのは、保有する個人情報が5000人を超えない小規模事業者については、個人情報取扱事業者にはあたらないと規定されていました。

しかし、個人情報保護を重要視する現在の流れから、平成27年9月に法改正がなされ、原則として5000人を超えない小規模事業者についても、個人情報取扱事業者にあたることとなり、様々な規制を受けることとなりました。

具体的には、顧客から個人情報を収集する際には、その使用目的をあらかじめ本人に通知又は公表して取得する義務があります。また、取得後は、原則として、本人の同意なく、目的外で使用することや第三者に提供することは禁止されています。

また、データの安全管理を図る義務もあります。顧客データを外部の委託業者に渡して委託している場合には、その委託先に対して必要かつ適切な監督を行う必要があります。

2. 情報漏洩・滅失・棄損等の場合の責任

本件のように、委託先から情報が漏洩してしまった場合でも、委託した会社が必要かつ適切な監督をしていなかった場合は、責任を負う可能性があります。

必要かつ適切な監督をしていたかどうかについては、業者の選定において安全管理面を十分検討して行ったかどうか、安全管理の意識徹底のためのマニュアル策定や教育研修等が十分行われているかどうか、外部業者との契約書において個人情報の安全管理措置を取る義務を明記しているかどうか等を総合的に考慮して判断されることとなります。

では、上記義務やその他の法律上の義務に違反した場合はどうなるのでしょうか。

漏洩等の対象となった個人本人に対して、個人情報取扱事業者は、慰謝料等の損害の賠償義務を負わなければならない可能性があります。そして、漏洩したデータの数が多ければ多いほど、多額の費用となります。

また、違反行為がなされている場合は、主務大臣により、違反行為の中止、是正措置をとるべき勧告や命令が出され、命令に従わない場合は、6カ月以下の懲役または30万円以下の罰金が科せられる可能性もあります。

それ以外にも、メディア等で企業のイメージや信用が大幅に下がってしまうおそれもあります。

3. 対策・対処法

平成29年5月30日に改正法がほぼ全面施行されることとなり、個人情報が5000人を超えないような事業者についても同法の適用があることになりました。

今回のような情報漏洩が実際起こってしまうと、企業は責任を負う可能性が高くなり、企業のイメージも下がってしまうおそれがあります。

そのような事態を防ぐためにも、顧客リスト等を外部の業者に委託する場合は委託先の選定の際に安全管理がしっかりできているかどうか確認するだけでなく、委託後も定期的に確認しておくことが重要です。

また、情報漏洩等の事故が起こった後の対処も大事です。現在の情報化社会においては、漏洩等の事故を100%防ぐことは不可能に近いことですので、何か起こったときの危機管理体制を事前に構築しておくことも必要です。

過去、実際に情報漏洩等の事故が生じた場合でも、危機管理体制がしっかり構築できており、適切な対応をとることができた場合は、かえって会社の評判が高まったという例もあります。

4. まとめ

まずは、会社内で個人情報のリスト等があるかどうか確認しましょう。

その上で、それが目的外使用されていないかどうか、また、個人情報へのアクセス制限等漏洩等の事故が生じないようにきちんと管理されているかどうか確認しましょう。

安全管理措置がなされていない場合は、それに合わせた取扱マニュアルを作り、そのルールを社内で研修等を行うことで周知することを徹底するようにしましょう。

そして、更に一歩進んで、情報漏洩が起こったときの危機管理体制や対応策についても議論や策定しておくことが有用だと思います。

(文責:よつば総合法律事務所 弁護士 小林義和

内容をPDFで見る

よつば総合法律事務所では、柏法人会の会員の皆様を対象とした無料相談を行っております。ご相談の際は柏法人会又は当事務所まで直接ご連絡ください(当事務所に直接のご連絡の際は、柏法人会会員である旨をお伝えください)。

よつば総合法律事務所(柏市柏1-5-10 水戸屋壱番館ビル4階)代表社員弁護士 大澤一郎
Tel: 04-7168-2300(電話受付時間平日9時から18時)