法務情報

１　はじめに

最近、企業が不正アクセスを受け、保有していた個人情報等が漏えいしてしまった、というようなニュースを目にします。

このような不正アクセスに起因する情報漏えいであったとしても、企業側が責任を負わなければならない場合もあることから、本コラムでは、個人情報漏えいに関する企業側の対応について、説明していきたいと思います。

２　個人データの安全管理措置等

企業は、取り扱う個人データ（個人情報を容易に検索することができるように体系的にまとめた「個人情報データベース等」を構成する個人情報）について、漏えい、滅失または毀損の防止その他の個人データ安全管理のために必要な措置を講じなければならないとされており、不正アクセス等による個人データの漏えいを防いだり、被害を低減させたりするうえでも、このような措置を講じておくことが重要といえます。

具体的に講じなければならない措置やそれを実践するための手法の例等については、個人情報保護法のガイドライン（通則編）「１０（別添）講ずべき安全管理措置の内容」にまとめられています。

この「１０（別添）講ずべき安全管理措置の内容」によると、個人データの適切な取扱いの確保について組織として取り組むための基本方針の策定、組織的安全管理措置（個人データ取扱いに関する規律の整備やそれに従った運用等）、人的安全管理措置（従業員の教育等）、技術的安全管理措置（外部からの不正アクセス等の防止等）などを講じなければならないとされています。

また、個人データを保有していなければ漏えいの問題も生じないことから、利用する必要がなくなったものについては、適宜消去していくことも必要と考えられます。

個人情報保護法上も、個人データを利用する必要がなくなったときは、遅滞なく消去するよう努めなければならないとされています。

３　個人情報漏えいがあった場合の企業側の責任

企業側が保有している個人情報の漏えいがあった場合、仮に不正アクセス等の企業外の第三者の行為に起因するものであったとしても、十分な安全管理措置を講じていなかった場合など、企業側で対策を怠っていた等の事情があれば、損害賠償責任を負う可能性があります。

裁判例で認められた損害賠償額としては、一人あたり数千～数万円となることが多く、漏えいした件数が増加するほど企業が負う損害賠償義務も大きくなることから、事前に漏えい等に関する対策を行っておくことが重要といえます。

なお、企業側は、不正アクセスにより個人データが漏えいした場合など、一定の要件に該当する場合には、個人情報保護委員会に報告する必要があります。

この場合、速報（概要、漏えいした個人データの項目、漏えいした個人データに係る本人の数、原因等で報告時点で把握できているものの報告）を発覚日から３～５日以内を目安に、確報（法律に定められたものすべての報告）を３０日以内（不正な目的で行われた恐れがある場合は６０日以内）に行わなければならないとされています。

４　おわりに

ここ数日の情報漏えいについては、不正アクセスにＡＩを利用した可能性もあるとの報道もあり、技術の進歩等の影響で、十分なセキュリティ対策を行うことが難しくなってきているとも考えられます。

もっとも、個人データを取り扱う企業としては、情報漏えいが起こらないように、今一度自社の安全管理措置の状況等を見直すとともに、万が一の事態が生じた場合に適切な対応ができるように体制を整備していくことが重要といえます。

 

【ご注意】

◆記事の内容については、執筆当時の法令及び情報に基づく一般論であり、個別具体的な事情によっては、異なる結論になる可能性もございます。ご相談や法律的な判断については、個別に相談ください。

◆当事務所は、本サイト上で提供している情報に関していかなる保証もするものではありません。本サイトの利用によって何らかの損害が発生した場合でも、当事務所は一切の責任を負いません。

◆本サイト上に記載されている情報やURLは予告なしに変更、削除することがあります。情報の変更および削除によって何らかの損害が発生したとしても、当事務所は一切責任を負いません。