内部者による情報持ち出しにどう対応すべき？ケーススタディで解説 – 初動調査、ヒアリング、法的措置、着地点など

内部不正に起因する営業秘密の漏えい

　IPA（独立行政法人情報処理推進機構）セキュリティセンターによる「企業における営業秘密管理に関する実態調査2024」¹ によると、内部不正に起因する情報漏えいルートとして最も多いのは「現職従業員等（派遣社員含む）」であり、次いで「中途退職者（役員・正規社員）」という結果でした。

　実際、弁護士である筆者に寄せられる情報漏えい事案の相談の多くが、退職予定の従業員や、直近で退職した元従業員による情報の持ち出しに関するものです。ただ、情報漏えい事案といっても、その態様や程度はさまざまです。どうやって・どこまで対応すればよいのか、頭を悩ませる企業担当者も多いのではないでしょうか。

　そこで本稿では、従業員や退職者による秘密情報の持ち出しに企業としてどのように対応すべきかについて、一般的な考え方や実務ポイントを概説します。

一般的な対応フローと想定事例

情報持ち出しが発覚した後の対応フロー

　従業員や退職者といった内部者による秘密情報の持ち出しの事実（あるいはその疑い）が発覚した場合、企業は以下のようなフローで対応を進めることとなります。

　秘密情報の持ち出しは、残念ながらどの会社でも起こり得ることです。その程度はそれぞれですが、いずれの事案でも秘密情報の拡散防止が重要となるため、迅速な対応が求められます。また、実効性を持たせるためには、有事に備えた平時の対応も重要です。

想定事例

　本稿では、具体的なイメージがわきやすいように2つの事例を想定します。

情報漏えいへの対応方針の検討

　事例①と事例②は、どちらも秘密情報の持ち出し事案ですが、情報を持ち出した行為者（以下「対象者」といいます）が在職中か退職後か、秘密情報の持ち出しや使用の事実が明白かどうかといった違いがあります。
　このように、営業秘密の持ち出し事案は千差万別であり、その対応に際しては、事案ごとに緊急性や悪質さを見極める必要があります。

　対応方針の検討に際しては、以下のような要素を考慮する必要があるでしょう。

　秘密情報は、その情報が秘密であることに価値があるため、その秘密情報に価値を見出す第三者（競合など）に開示され使用されてしまうことで、その価値が大きく減殺されることになります。したがって、事案の重要性および緊急性を評価するためには、まずは持ち出された情報の重要性と第三者への開示・使用の蓋然性が特に重要な要素となります。

• 事例①②の場合

　想定事例については、今のところ以下のように整理できます。

情報漏えいの初動調査

　情報漏えい事案では、秘密情報の拡散防止が最も重要です。そのためには、まずどのような情報が持ち出され、どこに保存され、誰に開示されたのかをできる限り特定する必要があります。

関係者へのヒアリングの要否の検討

　情報を持ち出した行為者である対象者に直接話を聞くのがいちばん簡単ではありますが、客観的な証拠がなければ対象者が事実関係を認めない可能性があります。また、対象者の関係者（上司、部下、同僚など）へのヒアリングは、調査を行っていることが対象者に知られ証拠隠滅につながるおそれもあるので、注意が必要です。

ログ解析

　そこで、多くの場合、情報漏えいの調査は、メールの送受信履歴（特に外部アドレス宛メールへの送信）や貸与端末のログ（特に外部メディアへの接続）、社内イントラ等へのアクセス履歴、ファイルのダウンロード履歴や印刷履歴の解析など、対象者に知られることなく、対象者が関与せずにできる調査から行います。
　この段階で十分な客観的な証拠が確認できるかどうかが、その後の対応に大きく影響します。

法的措置の整理

　初期的な事実と証拠の確認ができた段階で、立証可能な事実からどのような法的措置が可能かを検討します。
　対象者が協力を拒絶し争った場合を想定し、立証可能な事実が何かを把握し、その範囲で可能な法的措置を整理しておきます。法的措置が可能な程度に証拠が収集できている場合には、対象者には事実関係を争う理由がなくなるため、かえって対象者の協力が得られやすくなります。客観的証拠が少ないのであれば、対象者に事実関係を認めてもらい、調査への協力を取りつけることが最優先となります。

　このように、対象者への聞き取り調査を行う前に、本人の協力がなくても取り得る法的措置の内容を整理することで、対象者への聞き取り調査での獲得目標を明確にすることができます。

• 事例①の場合
  　事例①では客観的な事実は把握できており、しかも情報を持ち出したXは在職中ですので、就業規則違反を主張できそうです。とはいえ、持ち出された情報の使用・開示の事実が認められないため、現段階では、民事上、不正競争防止法に基づく営業秘密侵害を主張することは困難です。


• 事例②の場合
  　一方で、事例②では、情報を持ち出したYは退職者なので就業規則違反は主張できませんが、退職後にも秘密保持義務を負っているのであれば、秘密保持義務違反が主張できそうです。また、持ち出された情報の転職先における使用・開示も認められそうなので、営業秘密侵害も主張できる可能性があります。ただし、卸価格情報の持ち出しが立証できないため、主張できるのは顧客連絡先の情報の持ち出しに限られそうです。

対象者への聞き取り調査

　内部不正による情報漏えい事件の調査においては、情報を持ち出した者への聞き取り調査が最も重要です。秘密情報の拡散防止の観点からは、対象者が情報持ち出しの事実を認め、情報の拡散防止への協力を取りつけることが獲得目標となります。

対象者が事実を認めた場合

　対象者が情報持ち出しを認めた場合には、その場で、さらなる調査への協力を書面で確認する必要があります。具体的には、個人保管の携帯端末やPC、USB等の提出や、個人のメールアカウントへのID・パスワードの取得などについて、対象者の任意の同意を得る必要があります。
　そのため、事前にこのような同意書を用意しておき、対象者が事実関係を認めた後で速やかにその場で書面に署名をしてもらうのが有効です。

対象者が事実を認めない場合

　一方で、対象者が事実を頑なに認めない場合や、非協力的な場合もあり得ます。この場合にも、対象者が負う秘密保持義務の内容を告知しておきます。これは、秘密保持契約に基づく法的措置や営業秘密侵害の主張においては、秘密情報に関する認識可能性が問題となり得るためです。
　対象者が非協力的であったとしても、少なくとも対象情報が営業秘密であって対象者は秘密保持義務を負っていることを、明確に認識しておいてもらうことが有効です。

事案への対応

着地点

　事案の対応方針を検討するにあたっては、完全な解決は困難な前提で、着地点をどこに設けるかが重要といえます。昨今の情報漏えい事案のほとんどは電子データの持ち出しですが、電子データは複製が容易であり、一次的な記録媒体からデータを削除しても、別の複製が作成されている可能性は払拭できません。
　多くの場合には、以下の措置が終了した段階を着地点としていることが多いように見受けられます。

　これに加えて、対象者に対して損害賠償請求をする場合もあります。ただし、持ち出された情報の不正使用が立証できない場合や、使用開始後間もない時点では、営業秘密侵害による多額の損害の発生が認められず、調査費用相当の費用補償を求めるにとどまり、優先順位は高くないように思います。

対象者への対応

　対象者への対応は、刑事事件化が相当な悪質な事案と、そこまで悪質ではない事案とで明確に分かれます。前者は警察と相談しながら立件に向けて捜査を進めることになりますので、ここでは詳しくは扱いません。

　刑事事件化するに至らない事案では、情報の削除と「誓約書」の提出（加えて、対象者が在職中の場合には懲戒処分）が主な対応となります。対象者の協力が得られる場合には、情報の記録媒体やアカウントを直接確認してデータを削除し、さらに対象者から誓約書の提出を受けて、対象情報の削除および非開示について法的に明確に義務付けておくことになります。

　誓約書に記載する事項としては、対象情報の持ち出しの事実を認め、情報を削除したこと、情報を第三者に開示しておらず今後も開示しないこと、今後の調査への協力、などが考えられます。

対象者が転職していた場合の対応

　対象者が退職・転職し、転職先がすでに秘密情報を取得している場合には、不正競争防止法に基づき、転職先に対して使用中止と情報の削除を求める「通知書」を送付することになります。事案によっては訴訟提起もあり得ます。

　また、転職先での情報の開示・使用の有無が明らかでない場合でも、通知書を送付しておくことがあります。これは、営業秘密の不正取得・使用を抑制するためです。
　不正競争防止法2条1項5号・6号は、取得の前後を問わず、営業秘密侵害を認識した後は、当該営業秘密を使用する行為は不正競争行為を構成することを定めています。したがって、転職先への営業秘密の開示・使用の有無が明らかでない場合であっても、転職先に対して営業秘密侵害の事実を伝え、今後の営業秘密侵害を控えるようにといった要請を行うことは、転職先に対する牽制として有効です。

持ち出された情報に取引先の秘密情報が含まれていた場合の対応

　持ち出された情報に、自社の情報以外にも取引先の情報が含まれる場合があります。この場合には、自社が情報漏えいの被害者という立場に加えて、取引先の秘密情報を漏えいさせた加害者の立場での対応が必要となります。

　具体的には、その取引先との間の秘密保持契約や取引契約上の秘密保持義務条項を重点的に見直し、法的リスクを評価する必要があります。また、秘密保持条項の中には、開示を受けた秘密情報の漏えいの事実やそのおそれを察知した際の通知義務が定められていることがあり、その場合は取引先への通知対応を検討しなければなりません。

　また、漏えいした情報に個人情報が含まれる場合は、個人情報保護法上の対応義務があるため、注意が必要です。

想定事例への対応

• 事例①の場合
  　事例①では、アクセスログの調査によって、Xが新製品に関するデータをダウンロードしたことが明らかです。Xは現在有給休暇で出社していないため、まずはこの間に貸与PCの内容を確認し、必要であればフォレンジックにかけるなどしてデータの持ち出しや複製状況を確認します。
  　確認できた事実関係を踏まえて、悪質な事案であれば警察に相談します。刑事事件化するほどでもない事案であれば、Xを呼び出して、ヒアリングを行います。
  
  　ヒアリングにおいてXが事実を認めた場合には、その場で調査への協力についての合意書を提出させたうえで、オンラインストレージやメール等のXの個人アカウントへのアクセスや、USBメモリなどの提出について同意を得ます。その後、Xの協力の下でできる限りの調査を進めます。調査が終わった段階で、Xについては秘密情報の誓約書の提出を求めます。調査費相当の費用補償を求めることも考えられます。
  
  　Xが協力しないということであれば、就業規則に基づく秘密保持義務の内容を改めて告知し、今後の対応次第ではさらなる法的措置があり得ることを告知しておきます。できる限りXの退職前に調査や対応を完了させ、懲戒処分の対象とすることが重要です。
  
  　加えて、仮に、その後Xの転職が決まった場合には、その転職先に通知書を送付することも考えられます。通知書では、XがA社で情報漏えい事件を起こしており、Xから開示されたA社の秘密情報を使用する場合には、営業秘密侵害が成立するので、そのような行為を控えるように求めることが考えられます。


• 事例②の場合
  　事例②では、Yに貸与していたPCの調査から、顧客情報が持ち出されたことが明らかになっているので、Yにヒアリングを行うことを検討します。しかし、Yはすでに退職していて協力を得ることが難しい可能性があり、さらに持ち出された情報が実際に転職先で使用されているという悪質な事案です。できる限り事実確認を行ったうえで警察に相談をし、今後の対応を相談するのがよさそうです。
  
  　営業秘密の持ち出しの事実が明らかになっていないようですので、その点の確認がポイントとなりそうです。また、すでに情報が競合のC社で使用されている事案ですので、速やかにYおよびC社に連絡をして、顧客情報の不使用を求めていく必要があります。証拠がそろうのであれば、YおよびC社の反応によっては、訴訟提起も視野に入れるべき事案に思えます。