情報漏えいで会社から社員へ損害賠償を請求することはできますが、全額が当然に認められるわけではありません。厚生労働省の裁判例の解説は、労働者のミスは企業の運営に付随するもので、責任は損害の公平な分担の見地から相当な限度に限られると説明しています。
今日やることは、就業規則と入社時の誓約書を出して、秘密保持の条文に「金額」が書かれていないかを確かめることです。金額を決めた書き方は、法律に触れるおそれがあります。
ここでは一般的な考え方を整理します。実際に請求するか決める時は、弁護士や社会保険労務士に相談してください。
全額を請求できないのはなぜ？
事業で利益を得ているのは会社で、失敗の危険を分散する手段も会社のほうが持っているからです。大阪府の労働相談の資料（令和8年3月更新）は、労働者の責任が制限される理由として、次の点を挙げています。
- 会社は労働者の労働で利益を得ているのに、損害をすべて負わせるのは公平を欠く
- 会社と労働者には大きな経済力の差がある
- 会社は保険などで損失を分散できる
基準になる裁判例は、茨城石炭商事事件（最高裁 昭和51年7月8日）です。事業の性格、規模、労働条件、勤務態度、加害行為の態様、予防や損失の分散についての会社の配慮などを見て、請求できる範囲を決めるとしました。
実際の結論は次のように分かれています。いずれも情報漏えいの事件ではないので、数字をそのまま当てはめることはできません。
| 裁判例 |
事案 |
結論 |
| 茨城石炭商事事件（昭和51年） |
運転中の追突事故 |
損害の4分の1が限度 |
| 大隈鉄工所事件（昭和62年） |
居眠りで機械を破損 |
4分の1が限度 |
| K興業事件（平成13年） |
トラックの衝突事故 |
5パーセント相当 |
| エーディーディー事件（平成24年） |
業務の不適切を理由に取引の減少分を請求 |
請求を認めず |
裁判所が見ているものの中に、会社の保険の加入や事故防止の措置が入っている点は、情報漏えいでも意識しておきます。パスワードや持ち出しの決まりがなく、教育もしていない会社が、社員だけに責任を求めるのは難しくなると考えられます。
取引先へ賠償した場合も同じです。民法の第715条は、使用者の責任と、社員への求償を定めています。取引先に払った額をそのまま社員へ回せるわけではありません。取引先に対する会社の責任は、機密情報の漏えいの損害賠償と契約で確かめます。
うっかりのミスと故意の持ち出しはどう違う？
過失の場合と、故意に持ち出した場合は分けて考えます。製造業で説明します。
たとえば、営業担当が見積書と図面を別の取引先へ誤って送った場合は、業務の中で起きた過失です。送信前の確認の仕組みがあったか、繁忙の状況はどうだったかが問われます。請求より、手順の見直しを先に考えるのが現実的です。
たとえば、設計担当が転職先で使う目的で図面を持ち出した場合は、話が別です。図面が営業秘密にあたるなら、不正競争防止法の第4条の損害賠償や第3条の差止めの対象になり得ます。第21条には十年以下の拘禁刑や二千万円以下の罰金の定めもあります。ただし、秘密として管理していることが保護の条件の1つです（営業秘密管理指針）。
事故の直後に確かめること
- 業務の手順の中で起きたか、手順の外で起きたか
- 決まりを周知し、教育をしていた記録があるか
- いつ、誰が、どの情報を動かしたかの記録が残っているか
- 本人から話を聞いた内容を、日付を入れて残しているか
誓約書で決めておくことは？
秘密保持の義務と、違反した場合に実際の損害を賠償する旨を書きます。金額は書きません。労働基準法の第16条は、違約金や損害賠償額を予定する契約を禁じています。大阪府の資料は、現実に生じた損害の賠償請求を禁じる趣旨ではないと説明しています。
| 書いてよい例 |
避ける例 |
| 違反で会社が受けた損害を賠償する |
漏えいしたら一律100万円を支払う |
| 退職後も秘密保持の義務が続く |
違反したら賠償金を給与から差し引くと決める |
| 秘密にする情報の種類を挙げる |
「会社の情報すべて」とだけ書く |
右の列の3つ目は法律の条文が禁じたものではなく、争いになりやすい書き方として私たちが挙げた例です。
経済産業省の各種契約書等の参考例には、入社時、プロジェクト参加時、退職時の誓約書の例があります。入社時の例には、在職時と退職後の秘密保持、損害賠償の条文が並びます。参考例をそのまま使わず、自社で守りたい情報の種類を書き足します。
誓約書をもらう時期は、入社時だけでは足りません。重要な開発に入る時と、退職する時にも取ります。退職時は、何を秘密として扱うかを具体的に確かめられる最後の機会です。図面、顧客の一覧、原価の表など、担当していたものを書き出して本人と確認します。
派遣社員や社内で働く委託先の人には注意が要ります。同じ参考例の注記は、直接の契約関係がないので、派遣元や委託先と秘密保持契約を結び、その会社を通じて守ってもらう形を示しています。
就業規則で決めておくことは？
処分の種類と、対象になる行為です。労働基準法の第89条は、常時十人以上の労働者がいる会社に就業規則の作成と届出を求め、制裁を定める場合はその種類と程度を書くよう定めています。
決めておく内容は次のとおりです。
- 秘密情報の扱いの決まり。無断での持ち出しや、私物の機器への保存の禁止
- 懲戒の種類と、対象になる行為。「故意または重大な過失」のように程度で分ける
- 会社がメールや端末の記録を確かめることがある旨。事前に社員へ知らせる
- 事故に気づいたら、すぐに報告する義務と報告先
処分は規則があれば何でもできるわけではありません。労働契約法の第15条は、客観的に合理的な理由を欠き、社会通念上相当と認められない懲戒は無効としています。減給にも、労働基準法の第91条に上限があります。
報告の義務と処分の関係は、運用で注意が要ります。すぐに報告すると厳しく処分される会社では、誤送信を黙っておく人が出ます。報告の早さを処分の判断で考慮すると決めておくと、発見が早くなることが期待できます。これは私たちの考えで、法律が求めることではありません。
給与から差し引いてもいい？
会社の判断で差し引くことはできません。労働基準法の第24条は賃金の全額払いを定めていて、大阪府の資料は、賃金と損害賠償請求権の相殺は許されないとする判例（関西精機事件）を紹介しています。
本人の自由な意思で合意したと認められる合理的な理由が客観的にあれば有効とされた例（日新製鋼事件）もありますが、会社と社員の力関係を考えると簡単には言えません。賃金は全額払い、賠償は別に話し合うのが基本の形です。
請求より先に、会社がそろえるものは？
事故の時に事実を示せる記録と、予防の措置です。茨城石炭商事事件の基準には、予防と損失の分散についての会社の配慮が入っています。どちらも、請求するかどうかに関わらず、事故の説明に必要になります。
IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版は、退職時に情報や機器、ID、鍵を回収し、チェックリストや証跡で実行状況を見えるようにすることを求めています。
仕組みを入れるなら、目的別に分けて考えます。
- 誰が何を操作したかの記録は、内部不正対策・操作ログ監視の比較で確かめる
- 外へ出ていく情報を止める仕組みは、DLPの製品比較で種類を見る
- サーバーや機器のログを集めて保管するなら、統合ログ管理ツールの比較で保管期間を見る
監視は社員を疑うためのものとして始めると、現場が反発します。経済産業省の参考例の注記も、実施の前に従業員へ通知し、必要に応じて協議することが望ましいとしています。目的と見る範囲を、先に社内へ示します。
個人情報が漏れていれば、社員への対応とは別に本人への通知が必要です。漏えい対策の全体は情報漏えいのカテゴリにまとめています。
