機密情報の漏えいの損害賠償は？取引先との契約で確かめる責任の範囲

機密情報の漏えいの賠償額に決まった相場はなく、金額は取引先との契約の条文と、実際に生じた損害で変わります。ですから、相場の金額を探すより、自社が結んでいる秘密保持契約を読むほうが先です。

今日やることは、図面や仕様書を預かっている取引先を3社選び、契約書の秘密保持と損害賠償の条文に印を付けることです。上限の定めがあるか、誰の違反まで負うかを、1枚⁠の表に書き写します。

相場が言えないのはなぜ？

賠償の範囲を決める考え方が、金額ではなく損害の性質で書かれているからです。民法の第416条は、通常生ずべき損害の賠償を基本とし、特別の事情による損害でも、予見すべきであった場合は請求できるとしています。

機密情報では、同じ1枚⁠の図面でも結果が大きく違います。すでに市場に出た部品の図面と、発売前の製品の図面では、失われるものが別物です。

参考になる数字はあります。日本損害保険協会は、JNSAの資料からの抜粋として、従業員50名⁠の製造業で顧客情報約1万件⁠が委託先から流出した場合の想定損害額を1,050万円⁠と紹介しています。内訳はお客様対応の費用などです。ただし、これは個人情報の想定で、実際の被害額を保証するものでもありません。取引先の機密情報の相場として読むことはできません。

秘密保持契約で確かめるのはどこ？

次の6か所です。経済産業省の各種契約書等の参考例⁠に出てくる条文を手がかりに、私たちが読む順に並べました。

情報の範囲は「明示したもの」⁠か「一切」⁠か

参考例の業務提携の秘密保持契約は「一切の情報」⁠を対象にした書き方で、注記では、特定できる場合はできる限り具体的に定めることが重要としています。金型の製造請負の参考例では、相手方が秘密である旨を明示したものを秘密情報としています。

範囲が広いほど、何が漏えいにあたるかの争いが増えます。別紙で一覧にして更新する方法も、同じ注記に例があります。

誰の違反まで会社が負うか

業務提携の秘密保持契約の参考例の第4条は、当事者だけでなく、従業員、元従業員、開示を認めた第三者が違反した場合も、当事者が賠償する形です。退職した社員や、図面を渡した外注先の行為まで、自社の責任になる書き方と読めます。

外注先に図面を渡している会社は、取引先と結んだ条件と同じ義務を外注先にも負わせているかを確かめます。参考例の第2条も、第三者に開示する時は事前の書面の承諾を得て、同等の義務を負わせる形です。

上限の定めはあるか

参考例の第4条⁠に金額の定めはなく、損害を賠償する形です。上限がない契約では、取引の金額より賠償が大きくなることがあり得ます。民法の第420条は、賠償額をあらかじめ決めることを認めていて、違約金は賠償額の予定と推定されます。違約金の条文を見つけたら、金額と、それ以上の請求ができるかの書き方を読みます。

取引金額を上限にする、間接的な損害を除く、といった定めを入れられるかは相手との交渉です。契約の更新は話を出す機会になります。弁護士に見てもらう場合は、この表の6か所を先に渡すと話が早く進みます。

製造業の図面ではどう確かめる？

たとえば、金型メーカーが完成品メーカーから図面を預かり、一部の工程を外注している場合で考えます。確かめる順番は次のとおりです。

1. 預かった図面の一覧を作る。保管場所は共有フォルダ、担当者のPC、外注先の3か所を見る
2. 取引基本契約と秘密保持契約の両方を読む。図面の管理が別の条文に分かれていることがある
3. 外注先へ渡す時の承諾が書面で必要かを確かめ、承諾の記録を探す
4. 取引が終わった図面を返したか、消して報告したかを確かめる

経済産業省の製造請負の参考例は、貸与された図面の承諾のない開示を禁じ、不要になった図面の返還と、消去した旨の書面での報告を定めています。この形の契約では、消したつもりのバックアップが残っていること自体が問題になり得ます。

逆に、自社が取引先に渡した設計情報は、営業秘密管理指針⁠の3要件（秘密として管理されている、事業活動に有用、公然と知られていない⁠）⁠を満たせば、不正競争防止法の保護の対象になります。同法は差止めの請求（第3条）⁠と損害賠償（第4条）⁠を定めていて、第5条には損害額の推定の規定もあります。契約とは別の道があることになりますが、秘密として管理していなければ使えません。

事故が起きたら契約上いつ連絡する？

個人情報の場合と違い、取引先への連絡の期限は契約が決めます。経済産業省の参考例では、漏えいのおそれを知った場合は「直ちに」書面で通知する形です。「おそれ」⁠の段階から義務が始まる書き方である点に注意します。

事故が起きてから契約書を探すと遅れるので、預かった情報ごとの連絡先と連絡の条件を、事故対応の手順書に一緒に書いておきます。個人情報が含まれていれば、本人への通知も別に必要です。

委託元の立場でも、責任は残ります。IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版は、委託先で起きた事故についても、影響を受ける相手から委託元としての管理責任を問われると書いています。

サイバー保険でどこまで備えられる？

保険は、契約で負う可能性のある金額に備える手段の1つですが、対象は商品で違います。日本損害保険協会は、サイバー保険が一般的に補償する事故と費用を次のように説明し、補償内容は保険会社とプランで異なるとしています。

契約の前に、保険会社か代理店へ次の質問を書面で出します。これは私たちが、この記事の契約の話に合わせて整理した質問です。

• 預かった他社の図面や仕様書など、個人情報以外の情報の漏えいは対象か
• 秘密保持契約で引き受けた責任のうち、法律上の責任を超える部分は対象か
• 違約金の定めがある場合、その支払いは対象か
• 社員の持ち出しなど、内部不正による漏えいは対象か
• 外注先や委託先で起きた事故は対象か
• 紙の図面や、USBメモリの紛失は対象か
• 海外の取引先から請求された場合は対象か

回答を見て、サイバー保険の比較で支払限度額と免責の条件を比べます。契約で上限を決められなかった取引先があれば、その金額を限度額の検討の材料にします。

賠償の前に、漏えいを減らす手当ては？

契約の責任が分かると、守る順番が決まります。上限のない契約の図面、取引が続いている試作の図面から手を付けます。次の2つ⁠が手がかりになります。

• 持ち出しの経路を絞る。メール、クラウド、USBメモリの動きを制御する製品はDLPの製品比較で種類を確かめる
• 誰が触ったかの記録を残す。社内の人の操作の記録は内部不正対策・操作ログ監視の比較で見る

事故の時に「どの図面が、誰の操作で出たか」⁠を示せないと、取引先に範囲を説明できません。効果は会社の使い方によるので、製品の導入と同時に、預かった情報の一覧の更新を担当の仕事に入れます。

原因が社員だった場合に、会社から社員へ請求できるかは別の問題です。社員への損害賠償の考え方⁠にまとめました。漏えい対策の全体は情報漏えいのカテゴリから確かめられます。