自社における個人情報取り扱いルールの見直しを

 

転職先の同業他社に元の会社の名刺情報のデータベースを不正に提供した会社員が個人情報保護法違反容疑で逮捕されました。個人情報データベース等の不正提供容疑での逮捕は、全国初とのことです。

１　「個人情報データベース等」とは

「個人情報データベース等」は、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した、個人情報を含む情報の集合物のことをいいます。コンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則に従って整理・分類し、特定の個人情報を容易に検索することができるように目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも個人情報データベース等に該当します。

個人情報取扱事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、１年以下の懲役又は５０万円以下の罰金に処せられます。

出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」

個人情報保護法違反で逮捕された会社員は、人材派遣会社に在職中に、名刺データ管理システムにログインする権限を有する同僚社員のI Dとパスワードを同業他社の社員とチャットアプリで共有し、その後、この同業他社に転職しました。転職先の企業では数万人分の名刺情報が閲覧できるようになっており、この名刺情報を使って成約した案件もあったようです。逮捕された会社員は容疑を認め、「転職後に営業活動に使えると思った」と供述しているとのことです。

営業情報の不正提供については、不正競争防止法の適用が考えられますが、同法を適用するには、不正提供された情報が「営業秘密」に該当することが要件とされ、秘密管理性、有用性、非公知性の３つの要件を満たすものであることが必要となります。

一方、名刺は、第三者に提供することを前提として作成され、そこに表示されている内容は、会社名、会社の住所、本人の氏名、肩書き、業務連絡用の電話番号やメールアドレスなどであり、秘密管理性や非公知性を満たすとは認められにくいといえます。

2014年に発生したベネッセコーポレーションの個人情報漏洩事件でも、派遣社員によって持ち出され、名簿業者に売られた顧客情報が、営業秘密に該当するか否かが裁判で争われました。個人情報データベース等は、この事件を契機として2015年の法改正で新設されました。これにより、営業秘密に該当しない個人情報データベース等の漏えいについても、個人情報保護法違反として罰則を課すことが可能となりました。

今回の事件は、名刺情報の不正提供について、全国で初めて個人情報保護法違反容疑で逮捕が行われた事案ですが、今後、このようなケースは増えていくものと思われます。

２　従業員による会社情報の持ち出しに要注意

雇用の流動化が進み、特に若い世代にとって転職は当たり前の時代になりつつありますが、従業員が転職する際、会社は、会社情報を無断で持ち出されないよう、十分に注意する必要があります。

会社の業務に関連して取り扱う情報や収集した情報は、会社にとって大切な情報資産ですが、自分が業務で扱った情報は自分のものだと考える従業員は少なくありません。こうした思考を持つ従業員は、会社情報を私的目的で使用したり、退職時にこっそり持ち出そうとしたりするリスクが高いと言えます。特に、名刺のように、日々の業務を行う中で従業員が自ら受け取るものについては、自分に権利が帰属していると誤解する可能性が高いと言えます。

最近では、名刺をデータ化して管理するクラウドシステムを利用する会社が増えていますが、従業員が登録した名刺データを部単位や事業所単位で閲覧できるようにし、情報を共有しているところも少なくないと思われます。今回のような事件を自社において発生させないためには、従業員の個人情報管理に対する意識を高めることが重要となります。

ひとたび個人情報の持ち出しや不正提供が発生すれば、会社が損害を被るだけなく、従業員本人も罪に問われることになります。会社の大切な情報資産と社会的信用を守るため、そして従業員を犯罪者にしないためにも、自社における個人情報の取り扱いルールを明確に定め、個人情報管理に関する研修を入社時及び定期的に実施して、従業員のコンプライアンス意識を高めることが大事です。また、雇入れ時及び退職時に、個人情報の取り扱いにかかる誓約書を提出させることも、従業員の意識を高め、個人情報の漏えいを予防する上で、有効であると言えます。