記事

2022年5月1日

【退職者調査】退職者の情報持ち出しが発覚した際の対処と対策

企業の運営上、懸念すべきリスクのひとつに「情報漏えい」があります。

これまで、情報漏えいの原因でもっとも多かったのは従業員のミスによるものでしたが、最近は退職者の情報持ち出しがとくに増加しており、対策が急務となっています。

では、もし退職者が情報を持ち出した場合、企業としてどのような対応をすべきか、また持ち出しを防ぐための対策について解説いたします。

退職者による情報漏えいが増加

2021年3月、情報処理推進機構（IPA）が「企業における営業秘密管理に関する実態調査2020」を公表しました。

出典元：IPA 独立行政法人情報処理推進機構

この結果によれば、営業秘密の漏えい事故が発生した際のルートについて、これまで最多となっていた「従業員等の誤操作・誤認」によるものは前回結果より減少に転じました。

その代わりに、これまで二番目に多かった「中途退職者の内部不正による漏えい」が増加し、最多となっています。

同調査によれば被害企業の4割が推定損害額1,000万円以上となるなど被害も大きいため、退職者が情報を持ち出せない仕組み、環境づくりが必要といえるでしょう。

退職者によって持ち出される情報

退職者による情報持ち出しの目的の大半は、転職先での悪用やデータ転売などです。そのため、持ち出される情報は売上に直結する以下のようなものが多いです。

●営業秘密
●顧客情報
●取引先の情報
●ノウハウ
●研究開発データ
●経営情報

情報が持ち出された場合のリスク

情報が持ち出された場合に懸念されるリスクについて、どのようなものが考えられるか紹介します。

顧客流出

退職者が同業他社に転職、もしくは競合する新事業を立ち上げる場合に、顧客情報を持ち出して営業活動に使用するケースがあります。

これにより、自社の顧客が他社に流出してしまうおそれがあります。

ノウハウ流出

企業の保有する独自のノウハウが流出すると、競合他社に利用されて経済的な価値も下がり、市場での競争力が低下するおそれがあります。

とくに中小企業だと、特許権を取得するといった技術情報を保護する措置が不十分なことも多く、ノウハウが流出すると致命的な損害に直結する可能性もあるでしょう。

損害賠償

退職者が顧客や取引先、従業員の情報を持ち出して悪用した場合、その被害者はあらゆる不利益、損害を被る可能性があるため、情報を流出させた企業に損害賠償請求ができます。

これにより賠償責任を問われ、漏えいした情報の量が多いほど、金銭的な被害が膨大になってしまいます。

また、対策が不十分であり漏えいさせたということで、企業自体の信用低下、取引の中断や売上の低下につながることもあり、信用面でも打撃を受ける可能性があるでしょう。

刑事罰

個人情報保護法では、従業員が自己もしくは第三者の不正な利益を得る目的で、個人情報を盗用・提供した場合、1年以下の懲役か50万円以下の罰金刑が科されます。

この罰則は情報を持ち出した本人だけでなく企業にも課され、その場合は1億円以下の罰金刑となっています。

これまで同法では取り扱う個人情報の件数が5,000件以下の事業者は除外されていましたが、2017年の法改正により個人情報を扱う事業者すべてに適用されます。

※個人情報の定義
ちなみに個人情報とは、氏名や生年月日など生存する特定の個人を特定できる情報のことです。

単体では個人を特定できない場合でも、ほかの情報と照合することで容易に個人を特定できる場合はこれも個人情報とみなします。

報告義務

改正個人情報保護法が２０２２年４月から施行され、個人情報が漏洩したとき（または漏洩したおそれのあるとき）は、次のことをするよう義務付けられました。

●個人情報保護委員会に報告しなければならない
●本人に対し、当該事態が生じた旨を通知しなければならない

※漏洩した“おそれがある”という場合にも報告しなければならない点に注意が必要です。
※従業員の故意による場合は、漏洩したのが１件だけだったとしても上記義務が生じます。

退職者に情報を持ち出された際の対処

退職者が情報を持ち出した場合に、しかるべき対処を実施すると周知することで、抑止力にもなります。では、具体的にどのような対処を実施すべきか解説します。

刑事的措置の執行

持ち出しにより漏えいした情報が営業秘密による場合、以下の罪に問われる可能性があり、刑事責任を追求できます。

●不正アクセス行為の禁止等に関する法律違反の罪（不正競争防止法11条等）
●不正競争防止法上の営業秘密侵害罪（同法21条等）
●電子計算機使用詐欺罪（刑法246条の2）
●背任罪（同法247条）
●横領罪（同法252条）

なお、刑事責任の追及については警察など捜査機関の協力を求める形になります。

民事的措置の執行

退職者による情報の持ち出しで企業に損害が生じた場合、その退職者に対し民事訴訟を提起できる可能性があります。

民事訴訟では、持ち出した情報の使用差し止めと損害賠償請求、もしくは和解を目指すのが一般的です。

なお、ADR（裁判外紛争解決手続）であれば非公開の手続きで、訴訟手続きによらず解決できる可能性があります。

委員会への報告・本人通知　※法定された義務です

前述したことと重複しますが、故意に個人情報が持ち出されたケースにおいては、情報が１件だけだったとしても報告義務が生じます。（個人情報保護委員会への報告と、本人に対する通知）これは法律で定められていることであり、必ずしなければなりません。

デジタルフォレンジック業者への調査相談

デジタルフォレンジックとは、情報漏えいや不正アクセスがあった際に、パソコンなど電子機器に残る操作ログや痕跡を収集・分析し、誰がなにをしたか明らかにする手段です。

これを実施すれば犯人の特定やどのような情報を持ち出したのか判明するほか、情報漏えいを証明する犯行の証拠としても活用できます。

この調査にはパソコンや各種ツール、プログラムなどの幅広い知識が必要なため、自社で対応が難しい場合は業者に相談してみるとよいでしょう。

また、デジタルフォレンジック業者であればデータがねつ造でないことを証明する証拠保全作業や、中立な立場での適切な調査の実施、レポートの作成も可能です。

中小企業の場合

つぎの２点をお読みください。

●故意に個人情報が持ち出された場合には、個人情報保護委員会への報告が義務である。
●その報告の期限は、６０日である。

改正個人情報保護法（２０２２年４月施行）で上記のとおり定められています。

大企業のように、自社内にCSIRT等の調査チームを構築している企業であれば、自社の調査人員だけでも６０日以内の報告を実現できるかと思います。しかし中小企業の場合ですと６０日以内というのは非常に厳しい、と言いますか現実的には自社の社員だけでどうにかするのは無理があると思われます。
そのため中小企業の場合は外部の専門家（調査会社）に調査を依頼するのが “ほぼ必須である”とお考えいただいた方が良いです。