[비즈한국] 企業は時として、お金だけでは説明しにくい決定を下すことがある。その裏側に隠された法や制度を知れば、その内幕をより詳細に理解できる。「知っておくと役立つビジネス法律（アルスルビボプ）」は、ビジネスの流れを理解するヒントを紹介する。
退職した従業員が会社の資料を持ち出した事実を後から知った場合、会社は何ができるだろうか。結論から言えば、その時点でできることは多くない。裁判所は、会社が従業員を相手に起こす訴訟を概して否定的に見る。セキュリティ誓約書や秘密保持覚書を受け取っていたとしても、その効力自体を否定するケースは少なくなく、その文書に基づいた損害賠償請求や違約罰請求を退けることも一般的だ。最近でも、退職直前に会社の資料をカカオトークで大量転送した事実が証拠として確認されたにもかかわらず、「業務上の必要性があり、普段から業務のためにカカオトークを使用していた」という理由で会社の請求を棄却した事例があった。
したがって、情報保護は事後対応の問題ではなく、事前設計の問題である。ただし、その設計は、一般的に考えるよりも具体的でなければならない。情報漏洩事件で混乱を招くポイントは情報の「価値」だ。人々は流出した情報に莫大な価値があるため、損害賠償を受け取るべきだと考え、情報の価値を立証しようとする。
しかし、これは反論されやすい主張だ。高度な技術情報ではない一般的な営業情報は、時間をかければ誰でも作成できると主張できるからだ。そして、会社の命運を左右するほど重要な情報であることを証明するのは事実上不可能に近い。つまり、情報の価値を客観的に評価させて損害額を算定するというアプローチは、概して非現実的である。
そのため最近の実務では、情報の価値よりも「どのように管理してきたか」にアプローチしている。ソウル北部地方裁判所2023カダン100497判決は、退職者を相手取った損害賠償請求を認め、1500万ウォンの賠償を命じた。この事件において、従業員は労働契約を締結する際、在職中はもとより退職後も会社で知り得た営業秘密や機密資料を無断で流出または利用しないと誓約していた。それにもかかわらず、誓約対象である顧客情報やイシュー情報を流出し、その事実は客観的な証拠として確認された。
会社は重要情報の流出を防ぐために従業員に業務用ノートPCを支給していたが、この従業員は個人ノートPCを使用すると一方的に通告した後、顧客情報をそのノートPCにダウンロードした。裁判所は、損害の発生は認められるものの具体的な金額を証明することが困難な場合、相当な金額を賠償額として定めることができるという法理に基づき、流出の経緯と態様、競合他社への入社や起業の有無、既存の取引先の離脱有無などを総合して賠償額を決定した。
この判決が残した示唆は3つだ。第一に、秘密保持誓約書を明確に作成しなければならないこと。最も重要なのは情報の客観的価値ではなく、物理的・法的な管理を行っていたかどうかだ。第二に、流出事実は客観的な方法で立証しなければならない。日常的に技術的な方法で情報の流出を記録・管理しなければならないという意味だ。第三に、流出によってどのような結果が発生したかは、損害額算定の考慮要素に過ぎないということだ。
同じ方向の流れは他の場所でも確認できる。最近の下請法改正や公正取引委員会の執行実務を見ると、その情報が客観的にどれほどの価値があるかを問うよりも、「秘密として管理され、営業上の価値があると評価されれば保護するのが当然である」という解釈が主流となっている。その情報でどれほどの経済的価値を創出したかは、重要な争点ではない。
整理すると、会社が証明すべきことは「この情報がいかに優れているか」ではなく「我々がこの情報を秘密として扱ってきたか」である。「管理の痕跡」を残すことこそが法的な対応力となる。その痕跡を残す方法は以下の6つだ。
第一に、誓約書は「受け取る」ものではなく「設計する」ものである。多くの会社が入社時に誓約書を一枚受け取って安心する。しかし、誓約書は文書を備えている事実よりも、その内容をどう構成したかが重要だ。まず保護対象情報を再定義すべきだ。範囲を過度に広く設定すると不公平性への疑義が呈される可能性があり、狭すぎれば文書を受け取った実益がなくなる。違約罰も同様だ。金額が過大であれば条項自体が無効と判断され、いざという時に使えないため、実際に支払われる給与に比例するように再設計する方が安全だ。ここに、流出が疑われる際に電子機器に対するフォレンジック調査を受けるという事前の同意を併せて確保しておかなければならない。この同意がなければ、後々証拠を確保する段階で詰まってしまう。
第二に、技術的な統制なしに法的な統制はない。情報資産の保護は法律文書だけで完結しない。会社資料をクラウドに移管して個人機器にコピーが残らないようにし、業務用PCにセキュリティ管理プログラムを導入してファイル使用と持ち出し履歴を中央で確認できるようにする措置を並行すべきだ。こうした技術的措置は、流出を防ぐと同時に、いつ誰が何をいつ持ち出したかを客観的証拠として残すという点でより大きな意味を持つ。前述の判決で、会社が業務用機器を支給していた事実が判断に影響を与えたのも同じ文脈だ。ただし、技術導入はそれ自体が目的ではないため、法的な統制・管理体制に適合するようセキュリティ業者と事前に協議する必要がある。
第三に、規定は制定にとどまらず実行しなければならない。セキュリティ規定は就業規則の一部として制定し、理事会の議決を経て社内イントラネットに掲示する。規定には、業務上の目的や受信者を問わず、公式のコミュニケーションチャンネルではない個人のカカオトークやテレグラムで会社資料を転送する行為そのものを社内規定違反とみなすことを明記する。前述の「業務上の必要性があった」という言い訳が受け入れられた事例を思い出せば、その理由は明確だ。さらに、一定期間、従業員のPCをモニタリングしてセキュリティ監査報告書を作成し、その結果を共有する。規定が宣言にとどまらず、実際に執行されていることを客観的に示せる必要があるからだ。
第四に、規定に先立って教育も必要だ。誓約書を徴収し、セキュリティ規定を施行する前に、その趣旨を説明する教育を実施しなければならない。突然の統制は反発を招き、反発は後々、取り決めの効力を争う材料となる。教育を行ったという記録自体が、会社が情報管理を真剣に扱ってきたという証拠でもある。
第五に、最後の関門は退職手続きだ。退職時の対応プロセスを標準化しなければならない。退職者面談、電子機器の回収、必要な場合のフォレンジック実施、返却確認書と資料廃棄確認書の作成まで、個々の段階を文書で定めておき、例外なく適用することだ。ほとんどの紛争は、この短い区間で証拠が作られるか、消え去るかのいずれかである。
第六に、統制するなら対価を支払うべきだ。業務用PCを会社が個別に支給し個人ノートPCの使用を禁止する政策、個人メッセンジャーの使用を制限する政策は、それ自体が従業員にとって不便な制度だ。したがって、情報保護手当を別途支給する案を併せて検討する必要がある。従業員の受容度を高めるだけでなく、統制に見合う補償があったという事実は、後々取り決めの効力が争われる際に会社にとって有利に働く可能性がある。
以上の内容を総合すると次の通りだ。第一に、裁判所を説得するのは情報の価値ではなく「管理の痕跡」である。第二に、誓約書とセキュリティ規定、技術的統制と退職手続きは、別々に動くのではなく一つのセットとして機能する。第三に、これら全ての措置にかかる費用は、情報漏洩訴訟一件にかかる費用と時間に比べれば遥かに安い。会社の情報資産は、長い時間をかけて蓄積した信頼と努力の結晶だ。それを守ることは、事件が起きた後ではなく、何も起きていない今、始めなければならない。