債権回収、消費者被害、訪問販売トラブル、ネットワークビジネストラブル、企業トラブルは法律の専門家への相談が解決の近道です

「SNSにアップした写真に顧客リストが写り込んでいた」「来店した有名人の情報を投稿してしまった」など、従業員によるSNSへの投稿がきっかけで情報流出が起こることもあります。

こうした漏えい事件では、個人情報保護法上の義務に沿って対応をしなくてはなりません。時間との勝負でもあるため、あらかじめ対処法についてチェックしておきましょう。

SNSへの投稿は「漏えい等」に該当し得る

法は、個人データの漏えい・滅失・毀損をまとめて「漏えい等」と呼んでおり、このうち「漏えい」は個人データが流出してしまうことを指します。

そして、氏名や連絡先などを検索できる形で整理し、事業に用いている場合は「個人データ」に当たります。その内容をSNSに投稿すれば、悪意の有無にかかわらず、漏えいに該当し得ます。

個人情報保護委員会への報告が義務になるケース

事件発生を個人情報保護委員会に対し報告する義務が生じることもあります。

もし、こういった事案に該当し得る漏えいが起こったときは、たとえ対象が1人分でも報告義務が生じます。漏えい等が発生した確証がなくとも、その時点で判明している事実から漏えい等が疑われるのであれば報告対象かどうかの検討をしなくてはなりません。

報告には2段階の期限がある

報告を行うケースでは期限にも注意しましょう。

まずは、「報告すべき事態を知った後、速やかに速報を行う」必要があります。

※「速やか」の目安は、事態を知った時点からおおむね3日から5日以内。

次に確報（続報）ですが、これは漏えいの事実を知った日から30日以内に行わなければなりません。

※不正目的で実行されたおそれがあるときは60日以内。

報告は委員会のWebサイト上の報告フォームから行うことができますが、金融や医療分野など、事業所管大臣へ権限が委譲されている業種では、報告先が所管省庁になります。

本人への通知も義務

委員会への報告とは別に、漏えいの被害者となった本人への通知も必要で、状況に応じて「速やかに行う」こととされています。

通知すべき内容は、事案の概要や対象となった情報の内容、原因、二次被害の有無と内容等です。

※本人への通知が困難、かつ代替措置を講じる場合、事案の公表や問い合わせ窓口設置での対処も認められている。

被害拡大防止や再発防止への取り組みも必要

漏えい等またはそのおそれのある事案が発覚した場合、事案の内容に応じて次の事項に関する必要な措置も必要です。

• 被害の拡大防止
• 事実関係の調査と原因究明
• 影響範囲の特定
• 再発防止策の検討と実施

対象は「漏えい等またはそのおそれのある事案」全般です。前述の報告義務が生じないケースであっても、これらの措置が別途必要になる可能性に注意しましょう。

発覚直後に優先すべきこと

事実関係が固まらなければ報告や通知の判断ができません。そこで投稿画面のスクリーンショット、URL、投稿日時を保存し、投稿者から経緯を聞き取って流出した情報の範囲と件数を特定します。

このとき、証拠の確保を投稿の削除より先に済ませることが重要です。削除を急ぐと公開範囲を後から立証できず、報告内容や本人への説明に支障が出てしまいます。併せて、転載や引用の有無を確認し、拡散範囲も把握しておきましょう。

個人情報保護法以外の責任問題にも注意

情報を漏らされた顧客に対しては、事業者が損害賠償責任を負う可能性があります。従業員個人の行為であっても、事業の執行に関連して生じたものであれば使用者としての責任が問われるためです。

※投稿した従業員個人に適用される罰則も定められている。

このほか、営業秘密として管理していた情報が含まれていれば不正競争防止法の問題が生じる可能性もあるなど、特定の業種や事業形態で適用されるルールにも注意しなくてはなりません。

再発防止策として何を整えないといけない？

確報では再発防止の措置を報告することが求められます。

多くの事案に共通するのは「規程は存在していても現場にまで周知浸透していない」という問題です。SNSの利用に関する社内ルールを定めるだけでなく、業務上知り得た情報を投稿することが違反に当たるという認識を実際に従業員に持ってもらわないといけません。

私的なアカウントでの投稿も対象になり得ることを明記しておけば、判断に迷う場面を減らせるでしょう。

「閲覧できる情報の範囲を業務上必要な従業員に限定する」「持ち出しの記録を残す」といった対策も、報告時の説明に使える材料になります。対応の判断には専門的な検討を要する場面が多くありますので、事案が発覚した段階で弁護士にもご相談ください。