2024.9.24.Tue
- コンプライアンス
ホテル・旅館業における情報漏洩（ホテル業の法務③）
今回は、前回に引き続き、ホテル業界の法務についてQ＆A形式で解説いたします。
本コラムでは、情報漏洩問題についてご説明します。
Ｑ 情報漏洩が起こるパターンは、どのように分類できますか？
Ａ 情報漏洩は、①情報システムが外部から攻撃を受けて漏洩するパターンと②内部から漏洩するパターンがあります。
Ｑ 情報漏洩時に、ホテルはどのような責任を負いますか？
Ａ 自社のシステムがハッキングされ、情報が漏洩した場合には、被害者から直接損害賠償請求される可能性があります。
他社がハッキング等を受けたことにより、自社の顧客情報が漏洩した場合でも、業務委託先を管理・監督できていなかったこと、そのような会社に個人情報管理を委託したことについて責任を問われる可能性があります。
また、情報漏洩問題が起こると、レピュテーションリスクも避けられません。
Ｑ 情報漏洩事件における損害額はどのくらいですか？
Ａ 情報漏洩事件の裁判例を３つご紹介します。
⑴ 平成１４年７月１１日判決
〇概要：宇治市がシステム開発業務を委託したところ、再々委託先のアルバイトが不正に約２２万件の住民基本台帳データを流出させました。
〇自治体の責任：宇治市は、市民のプライバシーを違法に侵害したとして、不法行為による損害賠償責任として、１人あたり１万５０００円の慰謝料（弁護士費用を含む）を支払う旨の判決が出されました。
⑵平成１９年１２月１４日判決
〇概要：総合電機通信サービスを提供していた会社に業務委託で派遣されていた元従業員が悪意で個人情報を持ち出し、サービスの会員情報（氏名、住所、電話番号及びメールアドレス等）が流出しました。
〇企業の責任：業務委託で派遣されていた元従業員が悪意で個人情報を持ち出した事案であるにもかかわらず、企業の過失が認定され、企業は慰謝料５０００円及び弁護士費用１０００円の賠償責任をおいました。
〇判決のポイント：企業としては、外部からの不正アクセスを防止するための相当な措置を講ずべき注意義務を怠った過失があると判断されました。
⑶平成１９年８月２８日判決
〇概要：TBCとホームページの制作・保守契約を締結していた会社が、ウェブサイトをTBC専用サーバーに移設する際、電子ファイルを公開領域に置いたうえ第三者のアクセス権限を制限する措置を講じなかったため、顧客情報が流出しました。
〇企業の責任：企業は慰謝料３万円及び弁護士費用５０００円の賠償責任を負いました。
〇判決のポイント：ホームページの製作・保守業務を委託した者の過失によるものであるとしても、その者に対する実質的な指揮、監督が認められる場合に、使用者責任を負うと判断されました。
Ｑ 情報漏洩発生の可能性を下げる予防措置はありますか？
Ａ 予防措置には、内部からの情報漏洩に対する対策と、外部からの情報漏洩に対する対策があります。
まず、内部からの情報漏洩に対する対策として、社内規則の制定・研修を行いましょう。規則の制定・研修を行うことで、従業員（アルバイト社員を含む）の意識の向上が期待できます。
２つ目に、社内体制の整備が挙げられます。具体的には、担当部署を設置し、リスクの特定や対応の整備の実施を行います。
３つ目に、外注管理が挙げられます。業務委託先の会社が十分な情報管理体制を有しているかを確認しましょう。「プライバシーマーク」や「ISMS」などを一つの目安として選定することも考えられます。
次に、外部からの情報漏洩に対する対策として、サイバーセキュリティ対策が挙げられます。専門システムの導入や外部委託等により、不正アクセスのリスクを減少させることができます。
必要な措置を講じていたという事実が過失の有無の判断で重要です。
２つ目に、保険の加入が挙げられます。サイバー攻撃に起因する漏洩は補償の範囲内となっています。情報漏洩時の見舞金について上限が定められていることもあるため、保険約款の十分な検討が必要です。
Ｑ 情報漏洩が起きた際に、どのように対応すればいいですか？
Ａ まず、対外的リリースを行い、迅速な謝罪を行いましょう。謝罪対応が遅いと、批判が強まるおそれもあります。リリースの手順、具体的内容についてマニュアルを作成しておくと有用です。
他にも、お詫び金の交付が考えられます。額は、１人あたり５００～１０００円相当の商品券やポイントが多いです。
ただし、お詫び金を交付したとしても、依然として損害賠償請求リスクが残る点には注意が必要です。
また、個人情報保護委員会に漏洩事故の報告をすることも考えられます。漏洩発覚日の３～５日以内に速報を出し、発覚日から３０日以内に確報を出しましょう。
Ｑ お詫び金による対応の具体例はありますか？
Ａ 数社のお詫び金による対応をご紹介します。
⑴ソフトバンクＢＢ
〇概要：インターネット接続サービス等の会員の個人情報が外部に漏洩しました。
〇対応：１人あたり５００円の金券を、４５１万７０３９人に送付しました。
⑵アリコジャパン
〇概要：保険契約の証券番号、クレジットカード番号、有効期限が流出しました。ただし、流出情報に氏名、住所、電話番号、契約内容、健康情報などは含まれていませんでした。
〇対応：実際に流出した１８，１８４人には１０，０００円の金券を、注意喚起の連絡をしたが、結局流出しなかった約１１万人には３，０００円の金券を交付しました。
⑶アミューズ
〇概要：クレジットカード情報及びメールアドレスが流出しました。
〇対応：１４８，６８０人に１人当たり５００円のクオカードを送付しました。
情報漏洩問題への対策として、情報漏洩が生じない体制の構築は勿論重要ですが、必ずしも情報漏洩が防げるわけではありません。そのため、体制の構築に加えて、情報漏洩が生じた場合の対応策について平時から検討しておくことが重要です。
福岡で顧問弁護士を探している、企業法務について相談できる弁護士を探しているという方はこちらもご覧いただけますと幸いです。
