1

情報漏洩、発生したらどうする？

弁護士 清水陽平
H27.9.10(木)法律事務所アルシエン
copyright 法律事務所アルシエン

自己紹介
2

法律事務所アルシエン
東京都千代田区霞が関３－６－１５
霞ヶ関ＭＨタワーズ２階
電話 ：０３－５５１０－８２５５
ＦＡＸ：０３－６６７４－２５０４
Ｍａｉｌ：shimizu@alcien.jp■ 略歴■ メディア掲載歴等

2004年

早稲田大学法学部 卒業

2015年4月15日 東京新聞

2007年

弁護士登録

2008年

都内コンサル会社 入社

2015年5月21日 日経産業新聞 「ネット中傷 企業どう対応」

2010年

法律事務所アルシエン 開設

2015年5月22日 BSジャパン「日経プラス10」「検索結果削除、これで十分？—「プライバシー侵害」ヤフー基準」「ネット上に自分に不都合な情報が―消したい情報どこまで消せる？」
2015年7月22日 フジテレビ 「ホンマでっか！？TV 」「知らないとヤバい！同じ穴のホンマでっか！？「とんでもない10代」」
copyright 法律事務所アルシエン

その他，他多数

典型例…個人情報の漏洩～個人情報とは？
3

・個人情報保護法２条１項→生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの

・よくある誤解→「氏名，生年月日，連絡先が個人情報である」 … これは間違い・ポイントは→「生存する個人に関する情報であって…特定の個人を識別することができる」

・つまりどういうことか→特定の個人を識別することができ得る情報であれば，匿名化していても「個人情報」に当たるということ。
ex: 匿名化していても，ある特異な行動を取る人物の情報であるということが分かればそれも個人情報に当たる
copyright 法律事務所アルシエン

プライバシーとの違い
4

・宴のあと事件（東京地判昭和39年9月28日）→①私生活上の事実または私生活上の事実らしく受け取られるおそれがあること，②一般人の感受性を基準にして当該私人の立場に立つた場合公開を欲しないであろうと認められること③一般の人々に未だ知られていないことがらであること

・早稲田大学名簿提出事件（最判平成１５年９月１２日）→「学籍番号、氏名、住所および電話番号は、早稲田大学が個人識別等を行うための単純な情報」に関して，「本人が、自己が欲しない他者にはみだりにこれを開示されたくないと考えることは自然なことであり、そのことへの期待は保護されるべき」として，個人識別のための単純な情報についてもプライバシー権侵害を認めた

copyright 法律事務所アルシエン

個人情報とプライバシーは違うもの？
5

・概念としては別のもの
・早稲田大学名簿提出事件以降，内容としてはほとんど重複→学籍番号等の情報もプライバシーに含まれ，また，学籍番号等の情報により個人を特定し得るため。

・効果は異なる→個人情報保護法違反 … 措置命令等の行政処分（さらに違反すれば罰則）
プライバシー侵害… 損害賠償請求，差止（削除）請求

・なぜ異なるか→個人情報保護法 … 公法 （対 国家）
プライバシー… 私法 （対 個人）

copyright 法律事務所アルシエン

情報漏洩の端緒
6・ 顧客からの問い合わせ例） 「他社からの不審なDMが届いたが，この情報はお宅にしか教えていない」「不審な迷惑メールが多数来るようになったが，このアドレスはお宅との取引にしか使っていない」
・ クレジットカード会社からの通報
不正利用を確認したクレジットカード会社が本人に通報して発覚

軽微なクレームや単発の事例と軽率に判断しない
copyright 法律事務所アルシエン

調査するべき事項とポイント
7

調査事項① 漏洩している可能性がどの程度あるのか（漏洩の有無）② 漏洩している情報の内容は何か（内容）③ 何件程度の情報が流出しているのか（規模）④ どの範囲で情報漏洩が拡散しているのか（拡散範囲）⑤ いつごろから漏洩しているのか（漏洩時期）⑥ 漏洩の原因・経路は何か（原因・経路）

ポイント
密行的に，かつ，迅速に。
(理由）・内部犯行の可能性がある場合に，証拠隠滅を防止する必要
copyright 法律事務所アルシエン

初動対応①8

不審者のあぶり出し① データベースやそれに関係するシステム等へのアクセスログの解析② 入退室データ，監視カメラの映像の分析③ アクセス権限を持つ者のスケジュール・行動の分析④ 業務委託先への協力要請

証拠類の確保
① 犯人が使用した可能性があるPC，スマホの確保② 確保したデジタル機器のデジタル・フォレンジック

copyright 法律事務所アルシエン

初動対応②9調査を踏まえた対応① 漏洩原因がシステムの障害・脆弱性にあれば，直ちに修復② クレジットカード情報の漏洩があれば，クレジットカード会社に連絡し，不正利用の有無のモニタリングの調査依頼③ 流出先が判明している場合，使用中止を求める警告書の送付④ 不正アクセス禁止法違反，不正競争防止法違反，窃盗罪等が疑われれば，警察への相談・被害届の提出も検討⑤ 監督官庁への早急な報告

copyright 法律事務所アルシエン

公表の要否と方法
10

公表の要否
公表をするか否かは，二次被害の防止 ，類似事案の発生回避の必要性が高いか否かにより判断＊ 被害者本人への通知は必須

公表の方法① プレスリリース，自社サイトへの掲載② 記者会見
(検討ポイント)・漏洩した情報が多く，被害が広範囲に及ぶ場合
・早期の全容解明が困難で，被害者への通知に着手できない場合③（上場企業の場合） 適時開示
copyright 法律事務所アルシエンベネッセ顧客情報流出事件
11

・通信教育事業等を行うベネッセコーポレーションが，「進研ゼミ」などの顧客情報である子供や保護者の氏名、住所、電話番号、性別、生年月日などの情報，最大2070万件を流出した可能性があることを，平成26年7月9日に発表した。
・発覚の経緯は、ベネッセにのみ登録した個人情報であるはずが、別の通信教育を行う会社からのダイレクトメールで利用されていたことから、問い合わせが急増した。
・システム開発・運用を行っているグループ会社の業務委託先の社員が、情報を抜き取り、転売していた。
・個人情報のデータベースにアクセスするには、 IDとパスワードが必要で、情報の機密性や業務内容に応じてアクセス範囲が区分されていた上、他の端末からの接続があっても拒否される仕様であった。しかし、最新の一部スマートフォンについては、そのセキュリティに穴があり、接続できた。
・その穴をついて、情報を抜き取り転売していた。

copyright 法律事務所アルシエン

流出の代償12・経済産業省は、個人情報保護法違反行為を是正するために必要な措置をとり、個人情報の漏えいの再発防止を徹底するよう勧告→・個人情報の安全管理措置義務違反(法第20条)
・委託先の管理監督義務違反（法第22条）

・ベネッセは、お詫びとして1人あたり500円のクオカードを送付
・しかし、それに満足しない人たちは、個別に訴訟提起（集団訴訟）
・業務委託先の社員は、不正競争防止法違反（営業秘密の複製・開示）
で起訴

copyright 法律事務所アルシエン

判例に見る損害賠償額
13■宇治市住民基本台帳データ漏洩事件（大阪高裁平成13年12月 25日判決）
宇治市から再々委託を受けたアルバイト従業員が住民番号、住所、氏名、性別、生年月日、転入日、転出先、世帯主名、世帯主との続柄等の個人情報の記録のコピーを名簿販売業者に販売した事案→1人あたり慰謝料10,000円が認定■早稲田大学名簿提供事件（最高裁第2小法廷平成15年9月12日判決）
早稲田大学が、中国の江沢民国家主席（当時）の講演会に参加を希望した学生・教職員ら1400名の名簿（氏名・住所・電話番号・学籍番号を記載）を警察に提供した事案。
→破棄差し戻され、東京高裁平成16年 3月23日で、1人あたり5,000円が認定■TBC情報漏洩事件（東京地裁平成19年8月28日判決）
インターネット上に保管されていた個人情報（氏名、住所、電話番号、年齢、職業といった情報のほか、身体に関する情報）がネット上から流出した事案。
→迷惑メールなどの二次被害を受けた者…1人あたり30,000円
二次被害を受けていない者…1人あたり17,000円

copyright 法律事務所アルシエン

(参考）個人情報 ≠ 営業秘密
14

・個人情報を漏えいされたから、営業秘密を侵害された？
・営業秘密…秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないもの（不正競争防止法2条6項）
・要件①秘密として管理②事業活動に有用な技術上又は営業上の情報③公然と知られていない・問題は、秘密管理性→秘密情報の明示（秘密，守秘等の表示，分離管理等）
アクセス権者の限定（情報に触れることができる者の限定）
物理的アクセスの限定（施設立ち入りの制限等）
技術的アクセスの限定（ID，パスワード管理、USB接続の禁止等）
これらのルールの周知・実施（規程の作成，研修等）
守秘義務契約等
copyright 法律事務所アルシエン

ベネッセの流出時の対応
15

・ベネッセの初期対応→クレジットカード情報等が流出していないとして，金銭的補償を否定情報の取得先（ジャストシステム社）も悪いと批判

・ベネッセの失敗のポイント→情報が確定的になる前に補償を否定するのは拙速
一般的な補償の対応と異なる基準に違和感を持たれる
仮に社内的に確定していたとしても，責任の否定であると受け取られる
他社への責任転嫁とみられる・その後の対応→500円のクオカードによる補償か，ベネッセこども基金への500円の寄付かを選択

・その後の対応にも批判→「補償」という言葉に違和感
ベネッセこども基金の設立は，平成26年10月31日（事件後）
copyright 法律事務所アルシエン

おわり
16

ご清聴ありがとうございました。
copyright 法律事務所アルシエン法律事務所アルシエン