買収後に個人情報の漏えいが判明した場合の対応と売主への責任追及

買収の実行を終え、対象会社の経営を引き継いで数か月が経った頃に、個人情報の漏えいが表面化することがあります。取引先から「御社から届いたはずのない案内が届いた」と連絡が入る、従業員が顧客名簿を保存した記録媒体を紛失したと申し出る、外部の調査機関から「御社の顧客と思われる情報が公開されている」と指摘される、といった形で発覚します。中には、買収前から続いていた不正なアクセスが、システムの統合作業の過程で初めて見つかるという例もあります。

この場面で買主が直面する問いは、二つの層に分かれます。第一に、法令に基づく対応をどこまで、どの順序で行うかという、期限のある実務上の問いです。第二に、その事案が買収の前から存在していたのか、売主が知りながら開示しなかったのか、そして表明保証に基づいて売主に責任を問い得るのかという、契約上の問いです。本稿では、中小企業を買収した買主を念頭に、この二つを取り違えないための順序と、それぞれの場面で確認すべき資料を整理します。

漏えいが判明した直後に行うこと

最初の数日の行動は、後に売主へ請求する場面でも、監督官庁への説明の場面でも、繰り返し参照されます。ここで押さえるべき原則は一つで、責任の所在を確定させる作業よりも、被害の拡大を止める作業と記録を残す作業を先に行うということです。誰の責任かという議論は、事実が固まってからでも遅くありません。

拡大の防止を最優先する

不正なアクセスが疑われる場合は、当該の機器を通信から切り離します。ここで安易に電源を落とすと、機器の内部に一時的に保持されていた記録が消えてしまい、後の調査で侵入の時期を特定できなくなることがあります。切り離しの方法については、外部の調査専門業者に電話で確認してから実行することが望まれます。併せて、共有されている認証情報を変更し、退職者の権限が残っていないかを点検します。記録媒体の紛失であれば、遠隔での消去が可能かを確認し、貸与している機器の一覧と照合します。

事実の記録を最初から残す

いつ、誰が、何を発見し、誰に報告し、どのような判断で何を実行したかを、時刻とともに記録します。この記録は、後に監督官庁へ提出する報告の下敷きになるだけでなく、買収の前から存在していた事案かどうかを裏付ける資料にもなります。関係者から事情を聴取する際は、聴取した日時、聴取した者、話した内容を書面に残し、本人に確認を求めます。特に、買収前から在籍している従業員が「以前にも似たことがあった」と述べた場合、その発言は極めて重要な意味を持ちますので、正確に記録します。

取引先及び委託元への連絡を検討する

対象会社が他社から個人情報の取扱いを委託されていた場合には、その委託元にも速やかに連絡します。委託元は自らの立場で報告や通知を行う必要が生じることがあり、連絡が遅れると、取引そのものを失う事態にもつながります。委託契約書には、事故が生じた際の報告の義務と期限が定められていることが多いため、契約書の該当箇所を先に確認します。買収に伴って担当者が交代している場合、委託元の連絡先が引き継がれていないこともありますので、契約書に記載された宛先を頼りに連絡を取ります。

対応の体制を決める

中小企業では、情報を扱う担当者が一人しかいないという例が珍しくありません。その担当者に調査と報告と顧客対応を同時に担わせると、いずれも中途半端になります。買主側の人員を投入し、社内の指揮を執る責任者、外部との窓口となる者、調査を担当する者を分けます。併せて、弁護士及び調査専門業者への依頼を早い段階で検討します。この段階で発生する費用は、後に売主へ請求し得る損害の一部を構成しますので、依頼の経緯と見積りを残しておきます。

個人情報保護委員会への報告と本人への通知

個人情報の保護に関する法律は、個人データの漏えい、滅失又は毀損その他の個人データの安全の確保に係る事態のうち、一定の要件に該当するものが生じた場合に、個人情報取扱事業者に対し、個人情報保護委員会への報告と、本人への通知を義務付けています。これは努力目標ではなく法令上の義務ですので、売主との責任分担の議論が片付いていないことを理由に先送りすることはできません。

報告が義務付けられる場合を確認する

要件に該当するかどうかは、漏えいした情報の性質と、事案の態様によって判断されます。病歴や信条などの取扱いに特に配慮を要する情報が含まれる場合、財産的な被害が生じるおそれのある情報が含まれる場合、不正な目的をもって行われた行為による場合、そして相当数の本人に係る事態である場合などが、報告を要する類型として定められています。買主としては、漏えいの疑いがある情報の項目を一覧にし、どの類型に当たり得るかを弁護士とともに検討します。該当するかどうかが微妙な事案でも、監督官庁の相談窓口に照会したうえで判断した経緯を残しておくことが望まれます。

速報と確報という2段階の枠組み

報告は、事態を知った後、まず判明している範囲で速やかに行い、その後、調査を尽くしたうえで改めて詳細を報告するという、2段階の枠組みが採られています。前者を速報、後者を確報と呼びます。速報の段階で全ての事実が判明している必要はなく、分かっていないことを分かっていないと記載して差し支えありません。むしろ、全容の解明を待って報告を遅らせることのほうが問題となります。確報までの間に判明した事実は、随時、追記できるよう整理しておきます。

本人への通知と代替措置

本人への通知は、対象となる本人が事態を知り、自らを守る行動を取れるようにするためのものです。したがって、何が漏えいしたのか、どのような被害が生じ得るのか、本人としてどう対処すればよいのかを、平易な言葉で伝えます。連絡先が古く通知が届かない場合や、対象者が極めて多数に及ぶ場合など、本人への通知が困難であるときは、事案の公表や問合せ窓口の設置といった、本人の権利利益を保護するための代替の措置を採ることが認められています。中小企業では顧客名簿の住所が更新されていない例が多いため、通知の到達率は早めに見込んでおきます。

いつ発生した事案かを確定させる

売主への請求を考えるうえで、最も重要でありながら最も曖昧になりやすいのが、この事案がいつの出来事なのかという点です。買主は「買収前の問題だ」と考え、売主は「引継ぎ後の管理の甘さだ」と反論します。この対立を感覚で争うと決着しませんので、時期を三つに分けて、それぞれを資料で裏付けます。

侵入の時期と漏えいの時期を分ける

不正なアクセスの事案では、侵入された時期と、情報が外部に持ち出された時期と、それが表面化した時期が、それぞれ異なることがあります。買収の実行日より前に侵入されていたのであれば、その時点で既に会社の安全管理の体制に不備があったことになります。これを裏付けるのは、機器の接続記録、認証の記録、通信の記録といった、機械が自動的に残した記録です。中小企業ではこれらの記録の保存期間が短く設定されていることが多いため、判明した直後に保全を指示することが決定的に重要です。

取得の経緯と管理体制の不備をたどる

漏えいした情報が、そもそもどのように取得され、どのように保管されていたかも確認します。同意を得ずに取得していた情報や、目的外に利用していた情報が含まれていれば、漏えいとは別の違反が重なることになります。委託先に情報を渡していた場合には、委託先を監督する義務を果たしていたかも問われます。買収前に締結された委託契約書、個人情報の取扱いに関する社内の規程、従業員に対する教育の記録、外部の点検の結果を集め、いつからその状態が続いていたかを跡付けます。

買収後の変更点を洗い出す

併せて、買収後に自らが加えた変更も一覧にします。システムの統合、権限の付け替え、外部の業者の入替え、拠点の移転といった作業は、いずれも情報の管理に影響します。これらを時系列で整理しておけば、売主から引継ぎ後の管理の問題だと反論された際に、変更の時期と侵入の時期が重ならないことを示せます。逆に、買主側の作業が引き金となっていたことが判明する場合もありますので、都合の悪い事実も含めて正確に把握しておくことが、結果として交渉を有利に進めることにつながります。

売主が知っていたかどうか

買収前に同種の事案が起きていながら公表も報告もされていなかった、あるいは外部から指摘を受けながら放置されていたという事情は、責任の議論を大きく左右します。古い電子メール、取締役会の議事録、稟議の記録、外部業者からの報告書、従業員の聴取結果を確認します。買収前に作成された脆弱性の指摘書が社内に残っており、それが開示資料に含まれていなかったという場合には、売主の認識を裏付ける有力な資料となり得ます。

表明保証の条項との関係

株式譲渡契約には、通常、法令の遵守に関する表明保証が置かれています。中小企業のM&Aでは、これに加えて、情報管理や個人情報の取扱いに関する条項が独立して設けられていることもあります。まずは自らの契約書の文言を、条項の番号ではなく実際の言葉で読み直すことから始めます。

どの条項に触れるかを特定する

典型的には、法令等の遵守に関する条項、行政機関からの調査や指導を受けていないことに関する条項、係争が存在しないことに関する条項が候補となります。これらの表明保証は、多くの場合、契約の締結日と実行日の両方の時点を基準とすると定められています。したがって、実行日の時点で既に漏えいの事実が存在していたのであれば、その時点における表明が真実でなかったと主張し得る余地があります。表明保証の対象が「重要な点において」と限定されている場合には、重要性の評価が争点となります。

開示された事項の取扱い

表明保証には、開示書面に記載された事項を除外するという定めが置かれることが一般的です。そこで、デュー・ディリジェンスの過程で提供された資料と、開示書面の記載を突き合わせます。実務でしばしば問題となるのは、資料室に大量の書類の一つとして関係書類が置かれていたにすぎない場合に、それが開示に当たるかという点です。契約書に、開示は特定の書面によることを要すると定められているか、単に情報が提供されていれば足りるとされているかによって、結論は変わり得ます。

買主の認識と補償の制限

買主が実行前に事実を知っていた場合に補償を請求できるかは、契約の定め方によります。買主の認識を問わず補償を請求できると明記されている場合と、知っていた事項は請求できないと定められている場合があり、後者であれば、いつ何を知ったかが争点となります。併せて、補償を請求できる期間の制限、一定額を超えなければ請求できないという下限の定め、補償の総額の上限、そして補償を唯一の救済とする定めの有無を確認します。期間の制限が迫っている場合には、金額が固まっていなくとも先に通知を行う必要があります。なお、デュー・ディリジェンスで具体的な懸念が指摘されていた事項について、表明保証とは別に、売主が全額を負担する旨の特別の補償の条項が置かれていることもあります。その条項の対象に個人情報の取扱いが含まれていれば、期間や上限の制限を受けずに請求し得る余地がありますので、契約書の後半に置かれた補償に関する条項を丁寧に読み直します。

対応に要した費用と損害

個人情報の漏えいへの対応では、支払う先が多岐にわたるため、費用が積み上がっていることに後から気付くことが少なくありません。売主に請求するかどうかにかかわらず、最初から費目ごとに区分して集計する体制を作ります。区分がないまま「対応費用一式」として計上すると、後の交渉で個々の必要性を説明できなくなります。

生じ得る費目を具体的に押さえる

• 調査の費用として、外部の専門業者に支払う侵入経路及び流出範囲の解析の費用、機器の記録の保全と復元の費用
• 通知の費用として、対象者の名簿の整理、通知文書の作成、印刷、封入、郵送に要する費用、返送された通知の再送の費用
• 相談窓口の設置の費用として、電話回線の増設、外部の受託業者への委託料、応対を担う人員の人件費、応対の手引きの作成の費用
• 見舞いの品の費用として、対象者に金券等を送付する場合のその費用及び送付に要する事務の費用
• 再発の防止の費用として、機器や仕組みの改修、規程の整備、従業員に対する教育の実施に要する費用
• 専門家の費用として、弁護士に支払う報酬、監督官庁への報告書の作成に要する費用
• 公表を行った場合の広告の費用、取引の停止や解約によって生じた損失

保険の適用と社内の人件費の扱い

対象会社が加入している損害保険の中に、情報の漏えいに伴う費用を補償する特約が付されていることがあります。保険証券と約款を確認し、補償の対象となる費用の範囲、通知の期限、免責の金額を把握します。買収の際に保険を引き継いでいる場合には、保険会社への連絡が遅れると補償を受けられなくなることもありますので、判明した直後に確認します。また、社内の従業員が通常の業務を止めて対応に当たった時間も、実質的には費用です。誰が何時間その対応に従事したかを日ごとに記録しておけば、後に売主と交渉する際の材料になり得ます。

売主に請求し得る範囲を見極める

これらの全てが当然に売主の負担となるわけではありません。買収後に買主が自らの判断で行った設備の刷新は、事案への対応というより、将来のための投資と評価される余地があります。他方、法令に基づく報告と通知に直接要した費用は、事案そのものへの対応として説明しやすい費目です。集計に当たっては、支出の一つ一つについて、それが漏えいへの対応として必要であったことを示す資料、すなわち発注書、見積書、請求書、社内の決裁の記録を対応させておきます。本人から損害賠償を請求された場合には、その支払額も損害を構成し得ますが、賠償の水準は事案により異なります。

売主への請求

請求を行う場面では、感情を交えず、契約の条項と資料に基づいて組み立てます。中小企業のM&Aでは売主が引き続き役員や顧問として関与していることも多く、日常の関係を壊さずに手続を進める配慮も要します。それでも、契約に定められた期間の制限は待ってくれませんので、手順は淡々と進めます。

まず通知を行う

補償を請求するには、契約に定められた方法と期間内に通知を行うことが前提となります。通知には、事案の概要、違反していると考える表明保証の条項、現時点で判明している損害の見込額、今後の見込みを記載します。損害の額が確定していないことを理由に通知を遅らせてはなりません。額は暫定であることを明記したうえで通知し、後に更新する旨を添えます。通知の方法は、契約に定められた宛先と手段に従い、到達を証明できる形で行います。

証拠を保全し、交渉の材料を整える

売主に提示する資料は、時系列の一覧表、機器の記録の解析結果、開示資料との突合表、費用の明細の四つが柱となります。特に、実行日より前に事案が存在していたことを示す機械的な記録と、売主が認識していたことをうかがわせる社内の書面は、交渉の帰趨を左右します。これらは早い段階で写しを取得し、原本の所在を記録しておきます。売主が対象会社の書類や電子データを保有していない場合でも、会社側に残された資料で足りることが多く、退職した役員が持ち出した資料の返還を求める必要が生じることもあります。交渉の場では、責任の有無を一般論で争うのではなく、どの資料のどの記載が表明保証のどの文言に反するのかを、一つずつ示す進め方が有効です。

回収の手段を確認する

譲渡代金の一部が第三者に預けられている場合には、その解放の時期と請求の手続を確認します。分割払の残代金がある場合には、契約に相殺の定めがあるかを確認します。いずれもない場合には、売主の資力を踏まえた回収の見込みを検討することになります。交渉が調わない場合の紛争の解決手段は、契約に定められた裁判所又は仲裁の定めに従います。和解による解決を図る場合には、将来同種の事案が判明したときの取扱いを明記しておかなければ、同じ議論を繰り返すことになりかねません。

よくあるご質問

ここでは、買収後に個人情報の漏えいが判明した買主から実際に寄せられることの多い問いを取り上げます。事案の内容によって結論は異なりますので、最終的な判断は資料を確認したうえで行う必要があります。

売主と協議が調わないうちに、監督官庁へ報告してもよいのでしょうか

法令に基づく報告と本人への通知は、現在その会社を保有し経営している買主側の義務として履行すべきものであり、売主との責任分担の協議とは切り離して進めます。売主の同意を待って報告が遅れた場合、その遅れ自体が新たな問題となり得ます。売主には、報告を行う予定であることを事前に伝えたうえで、調査への協力を求めるという進め方が現実的です。

買収前から続いていた漏えいであっても、買主が報告する立場になるのでしょうか

株式を取得する方法による買収では、会社そのものは同一のまま存続しますので、その会社が個人情報取扱事業者として報告と通知を行うことになります。買収の前後で会社の中身が変わったわけではないため、発生の時期が買収前であっても、対応の主体は現在の会社です。発生の時期は、売主との間の責任分担において意味を持つ事情であり、監督官庁への対応を免れる理由にはなりません。

デュー・ディリジェンスで個人情報の管理を十分に調べていませんでした。請求は難しいでしょうか

調査が十分でなかったことが、直ちに請求を妨げるとは限りません。多くの契約では、表明保証は買主の調査とは独立に効力を有すると理解されています。ただし、契約に買主の認識に関する定めが置かれている場合や、資料室に関係書類が置かれていた場合には、争点となり得ます。まずは自らの契約書の文言と、提供を受けた資料の一覧を確認することから始めることが有益です。

漏えいした人数が少数にとどまる場合でも、報告は必要でしょうか

報告を要するかどうかは人数のみで決まるものではなく、漏えいした情報の性質や、不正な目的による行為であるかどうかといった事情も考慮されます。取扱いに特に配慮を要する情報や、財産的な被害が生じるおそれのある情報が含まれる場合には、人数が少数であっても報告を要する類型に当たり得ます。人数だけを理由に報告を見送る判断は、避けることが望まれます。

本人への見舞いの品を送るべきでしょうか。送った費用は売主に請求できますか

見舞いの品の送付は法令上の義務ではありませんが、対象者の理解を得て紛争の拡大を避けるために行われることがあります。送付する場合には、対象の範囲と単価の決め方について社内の決裁を経ておきます。売主への請求が認められるかは、その支出が事案への対応として合理的であったかによって判断されることになりますので、同種の事案における一般的な対応であることを説明できるよう、検討の経緯を記録しておくことが望まれます。

売主が「引継ぎ後の管理の問題だ」と反論しています。どう進めればよいでしょうか

この反論に対しては、議論ではなく記録で応じます。機器の接続記録や認証の記録によって、実行日より前から不正なアクセスが継続していたことを示せるかが要点となります。併せて、買収後に買主が行った管理の措置を時系列で示し、引継ぎ後に体制が悪化したのではないことを明らかにします。記録の保存期間が経過すると立証が困難となりますので、保全を先に行うことが不可欠です。なお、法令に基づく報告及び通知と、売主への責任追及とは、進める速度が異なります。前者を後者の議論のために遅らせてはならず、後者を前者の忙しさのために失念してもなりません。いずれも時間の経過とともに取り返しがつかなくなる事項ですので、判明した直後に、それぞれの担当を分けて着手されることをお勧めします。