Q：　当社では、業務の効率化を図るためにいわゆるグループウェア（情報共有等を行うシステム）を利用しています。各従業員に対して当該グループウェアのID及びパスワードを付与していますが、ある従業員が他の従業員のI Dとパスワードを許可なく利用してサイトにアクセスしていました。
この場合、当社が行う処分として適切なものを教えてください。

A：　この場合、以下のような措置をとることが考えられます。
（1）	不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）による刑事手続き
（2）	就業規則等に基づく懲戒処分
<h3>1．	不正アクセス行為とは</h3>
まず、不正アクセス禁止法における不正アクセス行為について説明します。不正アクセス行為のうち、不正ログインといわれる類型について定めた以下の条文を確認しましょう。
〈第２条第４項１号〉
この法律（不正アクセス禁止法）において「不正アクセス行為」とは、次の各号のいずれかに該当する行為をいう。
アクセス制御機能を有する特定電子計算機に電気通信回線を通じて当該アクセス制御機能に係る他人の識別符号を入力して当該特定電子計算機を作動させ、当該アクセス制御機能により制限されている特定利用をし得る状態にさせる行為（当該アクセス制御機能を付加したアクセス管理者がするもの及び当該アクセス管理者又は当該識別符号に係る利用権者の承諾を得てするものを除く。）（下線部は筆者）
すなわち、当該条文において定められている不正アクセス行為とはつまり、①パソコン等のシステムに対してIDやパスワードのような識別符号を入力し、②当該システムを利用できる状態にすること（ただし、承諾がある場合を除く。）であるといえます。
なお、不正アクセス行為を行った場合について同法は3年以下の懲役または100万円以下の罰金という刑罰を定めています（同法第11条）。
<h3>2．	不正ログインに該当する行為について（不正アクセス禁止法の観点から）</h3>
上記の通り、不正アクセス行為（不正ログイン類型）の内容は上記の通りですが、事例におけるような同じ会社の他の従業員のI Dやパスワードを利用してグループウェアにログインすることは不正アクセス行為に該当するか検討します。
上記では省略した部分も含めて、条文との関係を押さえていきます。
まず、「特定電子計算機」とは、「電気通信回線に接続している電子計算機」（同法2条1項）をいうとされているところ、会社におけるパソコンはこれに該当すると考えられます。
次に、「識別符号」（同条2項）とは、以下のとおり定められています。
〈第２条第２項〉
特定電子計算機の特定利用をすることについて当該特定利用に係るアクセス管理者の許諾を得た者（以下「利用権者」という。）及び当該アクセス管理者（以下この項において「利用権者等」という。）に、当該アクセス管理者において当該利用権者等を他の利用権者等と区別して識別することができるように付される符号であって、次のいずれかに該当するもの又は次のいずれかに該当する符号とその他の符号を組み合わせたものをいう。
一　当該アクセス管理者によってその内容をみだりに第三者に知らせてはならないものとされている符号
二　当該利用権者等の身体の全部若しくは一部の影像又は音声を用いて当該アクセス管理者が定める方法により作成される符号
三　当該利用権者等の署名を用いて当該アクセス管理者が定める方法により作成される符号
グループウェアのIDおよびパスワードは、同項第１号に定める符号に該当しますので、「識別符号」に該当するといえます。
また、「特定利用」とは特定電子計算機を利用することをいい、「他人」とは利用権者以外のものをいうと解されているところ、他の従業員のI Dとパスワードを許可なく利用してサイトにアクセスする行為は当然特定利用に該当します。
これらから、本件の事例における従業員の行為は、不正アクセス行為に該当することになるといえるでしょう。
そのため、事例のような場合の一つの対応としては不正アクセス禁止法への違反を理由として掲示手続きを求めることが考えられます。

<img src="https://legal-online-prd-image-uploader.s3-ap-northeast-1.amazonaws.com/1599138094613.png" alt="undefined" style="height: auto;width: 60%"/>

<h3>3．	不正アクセスにかかる就業規則等による処分</h3>
<h4>（1）	不正アクセス行為が判明した場合の懲戒処分等</h4>
上記は、不正アクセス禁止法上の刑事手続きについて触れてきました。しかし、必ずしも刑事手続きを取ることが適切であるといえる場合ばかりではありません。すなわち、刑事手続きを取る場合には、警察の要望による捜査への協力を行う必要があるなど、過度な負担になる可能性があります。
そこで、あくまでも社内における懲戒処分に留めるという判断を行うことも考えられます。
<h4>（2）	懲戒処分の要件</h4>
違反行為があれば、すぐに懲戒処分をすることができるというわけではありません。具体的には、懲戒処分に関する就業規則の定めが必要になります。すなわち、不正アクセス行為を行った場合には、会社は懲戒処分を行うことができることを示すものが必要です。それが、例えば①I Tに関する特別規程にI Dやパスワードの取り扱いに関する規定がおかれ、それに違反した場合には懲戒処分を行うことができるとするものであったり、②刑罰法規その他法令に違反した行為を行ったとき、などと一般的な内容であっても不正アクセス禁止法違反が観念できる場合には当該懲戒規定に該当するといえますので、懲戒処分をとることができると考えられます。
<h4>（3）	懲戒処分内容の決定</h4>
懲戒処分に関する規定があり、懲戒事由があるとしても、処分の内容を自由に決めることができるわけではありません。
つまり、当該従業員の非違行為が軽微な場合にまで懲戒免職処分を行えるわけではなく、その程度等を考慮した上で相当と認められる処分を取ることが必要になります。その際に過去の裁判例が参考になりますので、一つ似たような事例を紹介します。
例えば、従業員が上司である理事長らのメールファイルに、権限なくアクセ嘘をこない、機密文書を閲覧・印刷をするという不正アクセス禁止法違反の事例では会社によって行われた懲戒解雇処分を有効と判断した事例があります。
この事例では、①会社が金融機関でその信用性が問題になるような業種であったこと、②アクセス対象が金融庁による検査に関するものや不祥事に関するものなどの高度の機密性を有するものであったこと、③当該アクセスが反復継続して行われていたこと、④外部への持ち出しが確認されたことなど、行為の性質は重大であり、悪質であるという事情をもとに、懲戒解雇の処分の有効性を肯定したと考えられます。
この裁判例から、上記の事例においては、業種やアクセスの対象、アクセスの態様、持ち出しの有無などの事情を考慮の上、どの程度の懲戒処分が認められるかを検討する必要があると考えられます。
すなわち、懲戒処分を行う場合には、社内にてこれらの事情を詳細に調査することが必要になりますので、留意を要します。

従業員によるI Dの不正利用

Q：　当社は顧客の個人情報を扱う業務を行なっていますが、扱っている個人情報の漏洩が生じてしまいました。
このような場合、当社はどのように対応する必要があるでしょうか。また、当社に生じる責任について教えてください。

A：
＜当局等への対応＞
まず、個人情報の漏洩が生じた場合の会社における対応として、個人情報保護委員会等に以下の事項を報告する必要があります。
・	個人情報の漏洩に関する事実関係
・	漏洩に関する再発防止策
＜顧客との関係＞
顧客との間では、顧客から損害賠償請求がなされる可能性があり、個別に損害を賠償する必要が生じ得ます。しかし、従前の裁判例において認められた損害賠償の額は大きいとは言い難く、その意味で個人との関係において損害賠償が過度な負担になる可能性は高くないと考えられます。しかし、漏洩した個人情報にかかる顧客数が膨大であるなどの理由により、多数の損害賠償請求がなされた場合においては総額で考えれば多額の損害賠償となりえます。そのため、まずは自主的に漏洩した個人情報の本人に対して賠償することを検討する必要があると考えられます。

<h3>１.	個人情報と個人情報保護法の来歴</h3>
少し前までは、個人情報に対する意識が薄かった時代であったと評することができるでしょう。具体的には、名簿業者と呼ばれる業者が学校の児童や生徒の名簿、事業者の顧客名簿などが形態を問わず売買の対象となっていました。個人情報が持つ意味とその価値は認識されていたものの、それが保護されるべき対象であると認識されていなかったと評価することができるかもしれません。
現代においては、IT技術の発展により、情報の収集・交換がかつてないほどに容易に行われていますし、個々の情報を分析して統計を取るなど、単なる情報ではなくそれを利用することが世間でも認識されてきているといえます。そしてその情報を単に集めるだけにとどまらず、SNSやインターネットを通じて瞬く間に世界中に拡散することが可能になっています。
そのような背景もあり、企業が保有する情報はいわゆるビッグデータとして蓄積される場合もあり、経済活動において個人に関する情報に価値が見出されたことを示していると考えられます。
そして個人情報が拡散された場合に詐欺に利用される等、その不都合性も認められるようになりました。
情報を収集・分析することが可能になったことに伴って、個人情報の保護の必要性が認識されてきたこともあり、個人情報保護法は平成27年に大幅に改正され、平成29年5月30日から全面的に施行されました。この改正において、個人情報の取扱いルールが大幅に変更され、企業は改正法に基づく対応が必要になりますので留意を要します。

<img src="https://legal-online-prd-image-uploader.s3-ap-northeast-1.amazonaws.com/1598951951515.png" alt="undefined" style="height: auto;width: 60%"/>

<h3>2.平成27年改正の要点</h3>
上記の通り、平成27年に個人情報保護法が改正されました。改正内容として主要なものは、以下の通りです。
(1)	「個人情報」の定義の明確化
(2)	個人情報の管理と活用方法の規定
(3)	個人情報保護を強化
(4)	個人情報保護委員会の設置
(5)	個人情報取扱いのグローバル化
具体的には、以下のような内容が盛り込まれました。
<ol>
<li>事業者が5000件以下の個人情報を扱う場合であっても、個人情報データベースを利用する場合個人情報保護法の規制が及ぶとしたこと</li>
<li>個人情報取得時に利用目的を本人に明示する必要があること</li>
<li>個人情報の第三者提供を行う場合、あらかじめ本人に同意を得る必要があること</li>
<li>本人の同意を得ずに第三者提供を行うことができるオプトアウト手続きの新設（個人情報保護委員会への届け出を要する。）</li>
<li>要配慮個人情報（いわゆる機微情報）に関する事項</li>
</ol>
<h3>3.漏洩時における対応</h3>
上記の通り5000件以下の個人情報を扱う場合であっても、個人情報取扱事業者に該当することになり、広い範囲の事業者が個人情報保護法の適用を受けることになりました。法律の適用を受けることにより、漏洩事件が生じた場合、事業者は個人情報保護委員会等に対して、(i)漏洩に関する事実関係、(ii)再発防止策等について速やかに報告しなければならないとされています。
その場合の連絡先は以下の通りです（2020年6月●日現在。変更されている可能性がありますので連絡する際にはご確認ください。）。
【個人情報漏洩時の報告先に関する情報】
［個人情報保護員会ホームページ］
<a href="https://www.ppc.go.jp/personalinfo/legal/leakAction/" target="_blank">https://www.ppc.go.jp/personalinfo/legal/leakAction/</a>&nbsp;
<h3>4.個人情報が漏洩した場合の、個人に対する責任</h3>
上記の通り、個人情報を第三者に提供する場合には本人の同意を要するとされています。つまり、同意を得ずに第三者に情報が漏洩された場合には本人の法的権利が侵害されたということになります。
そのため、個人情報の漏洩が生じた場合、民法における不法行為（709条）に該当し、損害賠償責任が生じることになります。
[損害賠償請求をされた場合の賠償額]
損害賠償請求がされた場合であっても、生命や身体を侵害した場合と比べて、賠償額は少額となっています、具体的には、
①	大阪高裁平成13年12月25日
地方公共団体から「住民基本台帳データ(氏名、生年月日、性別、住所などが記載された住民票を編成したデータ)」約22万件分が漏洩した事件
→1人あたり慰謝料として1万円、弁護士費用相当分として5000円
②	大阪高裁平成19年6月21日
通信事業者から、「会員の氏名、住所、電話番号」が漏洩した事件
→1人あたり慰謝料として5000円、弁護士費用相当分として1000円
③	東京高裁平成19年8月28日
エステサロンから、「会員の氏名、住所、メールアドレス、いわゆるスリーサイズ、エステサロンで受けた施術コース」が漏洩した事件
→二次被害が発生した1人あたり慰謝料として3万円、弁護士費用相当分として5000円
このように、情報が漏洩した場合には、本人に損害賠償請求が認められることがありますが、その金額はいずれも数万円の限度にとどまっています。しかし、情報の漏洩数が多数にのぼる場合には、少額の損害賠償が積み重なり大きな負担となり得まし、また、情報漏洩を起こした企業という形でレピュテーションの低下が生じることが懸念されます。
以上から、個人情報が漏洩した場合には、当該漏洩した個人情報の種類や性質等を踏まえて、事業者自らがあくまでも自主的に、個人情報の主体に対して賠償を検討することが肝要になります。

個人情報の漏洩が起きた場合の対応および責任

Q：　当社では、防犯を目的として店内に防犯カメラを設置しています。防犯カメラの映像が個人情報に含まれことはありますか。また、個人情報に該当する場合、防犯カメラ設置上の注意点や、映像の管理の方法等を教えてください。
A：　結論として、防犯カメラの映像も個人情報として保護対象になる場合がありますので、①情報の取得目的及び利用方法の周知、②当該情報管理に関する措置を定めておく必要があります。
具体的には、①取得目的及び利用方法を通知したり、店舗入り口に貼りだしたりすることで顧客に認識させることや、②情報アクセスにはパスワードが必要にしたうえで、一定期間経過後には削除するなどという方針を決定しておくことが必要になります。
<h3>1	個人情報とは</h3>
そもそも、法的に保護される個人情報とは、生存する個人に関する情報であって、氏名や生年月日等により特定の個人を識別することができるものをいい、他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものも含むとされています。
すなわち、例えば防犯カメラに顔が映っていれば、（個人を識別できるため）原則として個人情報に該当すると考えられますし、顔が映っていないとしても、情報を照合することで個人を識別できるようなものが含まれればそれも個人情報に該当しうるということになります。映像は、視覚的情報を大量に含みますので、個人情報を含むことが必然的に多くなると考えられます。
個人情報に該当する場合、個人情報保護法上の規制が及ぶことになりますので、取得の方法や情報の管理について留意が必要です。
<h3>2	①個人情報の取得と利用目的の明示</h3>
個人情報保護法上、個人情報の取得時には、当該個人情報の利用目的を明示することが必要になります。これは、個人情報を提供する側が、意図しない目的に個人情報を利用させることを防ぐことを目的としています。
例えば、Webサービスに入会する際、個人情報を入力した後に個人情報の使用について同意したことがある人は多いでしょう。特定のページを通過するなどが想定される場合、利用者に情報の取得を認識してもらい、同意を得ることは比較的容易です。他方で、防犯カメラの場合には、利用者が個人情報を取得されているという意識が希薄であることや、防犯カメラ自体に個人情報取得の目的を書いておくことは現実的でないのは明らかです。
そこで、防犯カメラにおける利用目的の明示は、通知・公表することで行うことが個人情報保護法において認められています。個別の顧客に対して通知を行うことはせずとも、例えばインターネット上でプライバシーポリシーとして掲載しておく方法でも代替することができます。
しかし、ホームページで掲載をしていたとしても、実店舗を営んでいる場合には店舗に来ている顧客がプライバシーポリシーを確認しているかはわかりません。そこで、実店舗を営んでいる場合には、例えば店舗の入り口に同様の内容を記載したポスターを掲示しておくなど、実店舗を訪れた顧客が確認する機会を提供することが望ましいと考えられます。事実、防犯カメラは対象とはされていないものの、「カメラ画像利活用ガイドブックver.2.0」（経済産業省）においても、可能な限り事前告知に配慮することが求められており、情報を取得される者が利用目的に関する情報を得る機会を確保するようにすることを求めています。
また、近年では情報分析手法の多様化などに伴い、カメラでの撮影は防犯のみではなく顧客の行動分析・マーケティングなどにも利用されることがあります。これは、上記の利用目的に含まれるものですので、防犯目的に加えて、行動分析等が目的に含まれることを明示する必要があります。
なお、利用目的が追加される場合、その旨を明示する前に取得した過去の映像については、追加された利用目的との関係で使用することはできませんので留意を要します。

<img src="https://legal-online-prd-image-uploader.s3-ap-northeast-1.amazonaws.com/1598856676817.jpg" alt="undefined" style="height: auto;width: 60%"/>

<h3>3	②取得した映像・画像の管理</h3>
個人情報保護法において、取得した個人情報について必要かつ適正な措置を講じることで、第三者への漏洩などが生じないように組織的、人的、物理的および技術的な措置をとる必要があるとされています。
組織的・人的な措置としては、例えば、当然当該情報を処理する人員の数が多ければ多いほど情報漏洩の危険性が高まるのは明らかですので、パスワードやアクセス制限等を貸すことが考えられます。
また、物理的・技術的な措置としては、管理する必要のある情報が多ければ多いだけ管理のコストはかかります。そのため、一定期間が経過した場合（例えば1ヶ月など）に、当該映像データは破棄するなどと定めておくことが考えられます。
<h3>4	個人情報とプライバシー</h3>
個人情報保護法が保護の対象としているのは、上記の通り「個人情報」であり、その規制は個人情報の取得方法と管理方法にあります。
プライバシーという言葉は、個人情報と混同して使用されることがありますが、個人情報保護法はプライバシーを直接的に保護しているわけではありません。
プライバシーという言葉には法的には定義がありませんので、文脈により細かな意味は異なりますが、一般的に個人情報よりも広い意味で使用されます。すなわち、個人を特定することに関連しない、個人情報に該当しないような情報であっても、人によっては他人に知られたくない情報であると感じる情報がプライバシーという言葉に包含されることが多いのです。
言葉の意味が異なることもあり、企業としては個人情報を適切に管理していたとしても、上記の個人情報に含まれない「プライバシー」という情報によって顧客と紛争になることがあります。
そういった意味で、必ずしも個人情報に含まれない情報であっても、顧客の意思等を尊重しつつ、プライバシーにも配慮をして情報の管理を行うことが肝要です。

店内の防犯カメラと個人情報の保護

Q：　マネーロンダリングの防止（アンチ・マネーロンダリング、以下「AML」）のために、本人確認を行う必要があるとのことですが、どのような場合に、どのような対応を行う必要があるか教えてください。
A：　金融機関を含む一定の事業者は、取引を行う場合に顧客の性質に応じて以下の類型により本人確認を行う必要があります。
<ol>
<li>顧客が個人の場合 顧客の氏名や住所、生年月日等</li>
<li>顧客が法人の場合 法人の名称及び本店または主たる事務所の所在地等 ※類型に限らず、顧客の実在性と特定性を確認することが必要であるといえます。</li>
</ol>
<h3>１.	犯罪収益移転防止法（以下「法」といいます。）</h3>
犯罪収益移転防止法は、概要、犯罪による収益が犯罪を助長することや健全な経済活動に悪影響を与えるため、犯罪による収益の移転を防止することが重要であるため、本人確認を行うことにより収益の移転を防止し、上記のような弊害を防止するということを目的としています。
マネーロンダリングとは、「違法な起源を偽装する目的で犯罪収益を処理すること」をいうとされ、具体的には、「犯罪行為で得た資金を正当な取引で得た資金のように見せかける行為や、口座を転々とさせたり金融商品や不動産、宝石などに形態を変えてその出所を隠したりすること」とされています（下記、「犯罪収益移転防止法の概要」参照。）。
同法の解説は、警察庁が以下の通りまとめており、改正も折り込まれているため、参照する必要があります。リンクも合わせて記載します。
【犯罪収益移転防止法の概要】
<a href="https://www.npa.go.jp/sosikihanzai/jafic/hourei/data/hougaiyou20200401.pdf" target="_blank">https://www.npa.go.jp/sosikihanzai/jafic/hourei/data/hougaiyou20200401.pdf</a>&nbsp;

<img src="https://legal-online-prd-image-uploader.s3-ap-northeast-1.amazonaws.com/1593744480832.png" alt="undefined" style="height: auto;width: 60%"/>

<h3>２.	確認の内容</h3>
では、どのような場合に、何を確認する必要があるのでしょうか。
<h4>①	確認を要する場合</h4>
特定事業者が、顧客と一定の取引を行う場合に、本人確認等の義務がかされます。 ここで、「特定事業者」とは、法第2条第２項において定義されており、法律上47の類型に分けられています。しかし、前半のほとんどはいわゆる金融機関を指しておりますので、以下では犯罪収益移転防止法の概要に倣い、類型を限定して列挙します。 【特定事業者】
<ul>
<li>金融機関等</li>
<li>ファイナンスリース事業者</li>
<li>クレジットカード事業者</li>
<li>宅地建物取引業者</li>
<li>宝石・貴金属取扱事業者</li>
<li>郵便物受取サービス業者</li>
<li>電話受付代行業者</li>
<li>電話転送サービス事業者</li>
<li>司法書士、行政書士、公認会計士、税理士及び弁護士等の士業等</li>
</ul>
特定事業者に該当する場合であっても、全ての行為が義務の対象となるわけではありません。すなわち、義務の対象となる業務「特定業務」が定められています。そして、特定事業者が顧客との間で取引時確認を行う必要があるのは、全ての取引ではなく、特定業務のうち一定の取引「特定取引等」に限定されています。
そのため、本人確認の対象となる「特定取引等」の範囲を把握しておくことが重要です。
「特定取引等」とは、「特定取引」と「ハイリスク取引」に分けられます。
「特定取引」とは、①犯罪収益移転防止法施行令第7条に列挙されている取引であり、事業者の業態に応じて取引時確認を行うべき取引が規定されているものと、②マネーロンダリングの疑いがあると認められるなど、特別の注意を要する取引をいうとされています。①については、列挙されているものが非常に多いため、自社の業態に応じて確認を要します。日常的に取引時確認を行う必要があるのは①の類型になると考えられます。
<h4>②	確認を要する事項</h4>
確認を要する事項は、大別して(i)本人特定事項と(ii)取引を行う目的及び職業（事業の内容）になります。以下それぞれについて確認します。
<h5>A	顧客が個人の場合</h5>
(i)	本人特定事項
顧客が個人である場合、本人特定事項として当該顧客の氏名、住居、生年月日を確認しなければなりません。そして、その確認方法は、犯罪収益防止法施行規則第7条１号に列挙されています。
同号のイ及びロに規定されている書面は、当該書面単体で本人確認を行うことが可能です。イ及びロ以外の書面については、転送不要郵便等を用いて取引関係文書を送付するなどの方法による本人確認が別途必要になりますので留意が必要です（規則6条１項１号）。
(ii)	取引を行う目的及び職業
取引を行う目的及び職業は、顧客による申告により確認することになります。
<h5></h5>
<img src="https://legal-online-prd-image-uploader.s3-ap-northeast-1.amazonaws.com/1593746182632.png" alt="undefined" style="height: auto;width: 60%"/>

<h5>B	顧客が法人の場合</h5>
(i)	本人特定事項
法人顧客の場合には、本人特定事項として、当該法人の「名称および本店または主たる事務所の所在地」を確認しなければなりません。
法人の場合にもどのような書面で本人特定事項を確認するか施行規則7条2号において定められています。具体的には、①当該法人の代表者等から登記事項証明書や印鑑証明書など法定の書類の提示を受ける方法や、②登記事項証明書や印鑑証明書など法定の書類の送付を受け、当該書類(またはその写し)を記録に添付し、本人確認書類に記載されている法人の本店等に対して、転送扶養郵便で取引関係文書を送付するなどの方法を取ることができます。
なお、法人顧客の場合、当該法人の取引担当者についても本人確認を行う必要がある点は意識しておく必要があると考えられます(法4条4項)。
(ii)	取引を行う目的及び事業の内容
取引を行う目的については、個人顧客の場合と同様に顧客等から申告を受ける方法により確認することになります。
事業の内容の確認は、当該法人の定款や登記事項証明書などの法人の事業内容が確認できる書類を用いて確認することになります(施行規則10条2号)。 
<h5>C	実質的支配者の本人特定事項の確認</h5>
法において、「実質的支配者」という概念が規定されており、実質的支配者についても本人特定事項を確認する必要があるとされています。具体的には、「当該顧客等の代表者等からの申告を受ける方法」(施行規則11条1項)により確認することになります。しかし、申告のみによると法人を利用したマネーロンダリングに利用される可能性があるため、実質的支配者の本人確認書類の提示を求めることまで行うことが望ましいと思われます。
なお、実質的支配者が誰かは、以下の順序で確認を進めることになります。いずれの場合においても、当該法人の意思決定について支配しているものがいるのか（またはいないのか）ということを基準としています。
<ol>
<li>資本多数決法人の場合 議決権の総数の4分の1を超える議決権を直接または間接に有している者はいるか(施行規則11条2項1号)→上記の者がいない場合、出資、融資、取引その他の関係を通じて当該法人の事業活動に支配的な影響力を有すると認められる者はいるか(同項2号)→上記の者がいない場合、法人の代表者、または法人の業務を執行する者(同項4号)</li>
<li>資本多数決法人以外の場合 法人の事業から生じる収益または当該事業に係る財産の総額の4分の1を超える収益の配当または財産の分配を受ける権利を有していると認められる者はいるか(同項3号イ)→②上記のものがいない場合、出資、融資、取引その他の関係を通じて当該法人の事業活動に支配的な影響力を有すると認められる者はいるか(同項3号ロ)→上記の者がいない場合、法人の代表者、または法人の業務を執行する者(同項4号)</li>
</ol>

マネーロンダリングと本人確認

Q：　マイナンバー制度とはなんなのでしょうか。また、マイナンバーを取り扱うことになった場合の方法、注意点を教えてください。
A：　マイナンバーは、「行政を効率化し国民の利便性を高め公平公正な社会を実現する社会基盤」とされています（マイナンバーカード総合サイトより）。国民一人ひとりに割り当てられた12桁の数字です。
マイナンバーは、個人情報と同様、(i)取得時(ii)保管時、(iii)廃棄時と、場面を設定して整理する必要があります。個人情報と同様、といってもその性質上差異がありますのでその点は留意を要します。
(i)取得時
→取得時には、マイナンバーの利用目的を明示した上で、番号の確認及び本人確認を行う必要があります。なお、本人の同意があっても、利用目的意外に利用することはできませんのでご留意ください。
(ii)保管時
→取得後の保管については、個人情報保護委員会が公表しているガイドラインに準拠した管理を行う必要があります。例えば、取得したマイナンバーを社内にて管理するに際し、マイナンバーにアクセスできる人員を少数に限定した上で、当該情報を共有しないなどの方法により保管することが必要になります。
(iii)廃棄時
→廃棄を行う場合には、個人情報の性質から、復元が不可能な方法で廃棄する必要があります。
<h3>１.	マイナンバー制度</h3>
マイナンバーとは、「行政手続における特定の個人を識別するための番号の利用等に関する法律」(以下「マイナンバー法」といいます。)に基づき、日本に住民票を有する者に付与される12桁の番号をいいます。マイナンバーの呼称が一般的に定着していますが、法律上はマイナンバーと呼ばれることはなく、「個人番号」と呼ばれています。それに関連し、マイナンバーを含む個人情報を「特定個人情報」と呼びます。
マイナンバー制度は、社会保障や税務、災害対策に関する行政手続きに利用することを目的としています。すなわち、形式的に個人を特定するのは困難である一方、行政における作用では、書類のみで個人を特定し、また、行政上の手続きを進める必要がある場面があります。個人を特定するための情報として、例えば、氏名や生年月日、本籍地、住所が挙げられるでしょう。しかし、誕生日以外の情報は普遍的なものであるというわけではなく、結婚や引越し、転籍や引越しによって変わってしまいます。そうなると、年金の支払い等、誤りがあっては困る行政活動が行われるにもかかわらず、個人を特定するというのは非常に困難になってしまいます。
そのため、普遍的な尺度として個人を特定できる制度の必要性が高まりました。そこで、国民が結婚や転籍、引越しをしても変わらない、個人が割り当てられるものとなったのがマイナンバーです。マイナンバーを把握しておけば、当該マイナンバーに紐づけられた個人を特定することは容易になります。
<h3>２.	事業者におけるマイナンバーの取扱い</h3>
上記の通り、マイナンバーは行政における利用を念頭にしている制度ですが、事業者においても、マイナンバーを利用することで個人の特定が容易になり、それを利用することで業務の効率化を図ることが可能になると考えられる方もいるでしょう。
しかし、マイナンバーの取扱いについては、マイナンバー法が多くの規制を設けており、各規制に十分に留意する必要があります。そもそも、マイナンバーは上記のような行政事務に活用することが目的であり、それ以外の目的外利用は禁止されています（マイナンバー法第9条）。そのため、事業者が顧客管理を目的としてマイナンバーを利用することはできませんし、マイナンバーを取得した場合、滅失または既存の防止のために必要な措置を講ずる必要があります（マイナンバー法12条）。
しかし、上記のような制約があるものの、事業者がマイナンバーを取得しなければならない場面があります。具体的には、行政事務の一部を事業者が行なっているもの、すなわち、給与からの源泉徴収や社会保険料の納付等の処理にはマイナンバーの取得が必要になります。これらの処理は従業員を雇用している事業者全てに生じるものですから、一般の事業者においてもマイナンバーを取得しなければならないことになります。
そのため、マイナンバーの取得はほとんどの事業者にとって必須の事項となり、それに合わせてマイナンバーの管理方法等についてもきちんと理解しておく必要があることになります。以下、上記の(i)取得時(ii)保管時、(iii)廃棄時に分類して解説します。

<img src="https://legal-online-prd-image-uploader.s3-ap-northeast-1.amazonaws.com/1593743828846.png" alt="undefined" style="height: auto;width: 60%"/>

<h3>３.	(i)取得時</h3>
事業者は、マイナンバーの取得時においては、①番号の確認及び本人確認の２つの事項の確認に加えて、②マイナンバーの利用目的を明示する必要があります（マイナンバー法16条）。
<ol>
<li>番号の確認及び本人確認については、当該マイナンバーが本人のものであるかを確認した上で取得することを意味します。例えば、公的な書類と共にマイナンバーを確認することが必要です。本人がマイナンバーカードを発行していればその提示を受けることで足りますが、マイナンバーカードの発行は一般的とまではいえず、必ずしもマイナンバーカードを発行しているとは限りません。そこでそのような場合には、住民票の写しやマイナンバー通知書等によりマイナンバーを確認し、それ以外の顔写真付きの身分証明書（例えば免許証やパスポート等）の提供を受けることが必要になります。 （参考）代理人からマイナンバーの提供を受ける場合 マイナンバーの提供が必ずしも本人から行われるとは限りません。代理人により提供を受ける場合もあります。そのような場合には、上記の確認に加えて、代理人自身の本人確認も必要になります。すなわち、代理権を示す委任状の提示に加えて、代理人の運転免許証などの本人確認書類が必要です。 </li>
<li>利用目的の明示については、そもそも、マイナンバー法において使用目的が社会保障、税、災害対策に関する特定の事務に限定されていること、加えて利用目的を明示する必要があること、利用目的として明示した範囲をこえてマイナンバーを利用しないことが要求されています。そこで、利用目的に際しては、例えば「源泉徴収票作成事務」や「健康保険・厚生年金保険届出等事務」などを利用目的として明示することになるでしょう。上記の通り、明示した目的を超えて利用してはならないことには留意が必要です。</li>
</ol>
<h3>４.	(ii)保管時</h3>
上述の通り、事業者は取得したマイナンバーについて、適切な管理のために必要なもの措置を講ずる必要があります。この適切な管理に関して、個人情報保護委員会が策定している特定個人情報の適正な取扱いに関するガイドライン(事業者編)」が参考になりますので、管理体制の構築などの際に参照する必要があります。中でも、従業員数が100人以下の中小規模事業者については、例外的に簡易な安全管理措置の方法が定められていますので、その点も参考になります。簡易版の安全管理措置の方法は概ね以下の通りです。
情報のアクセス権限の制限、情報が漏洩しない管理の方法が確保されているかが着眼ポイントになると考えられます。
【管理者について】
<ul>
<li>マイナンバー管理に関する担当者と責任者を定める （上記の担当者と責任者は区別しておくことが望ましい）</li>
<li>マイナンバーの保管状態が分かる記録の作成する。なお、保管中は、担当者のみがアクセスできるようにする(アカウントの制御などによる)ことが望ましい</li>
<li>責任ある立場の者が定期的に点検を行う</li>
</ul>
【マイナンバーの管理体制】
<ul>
<li>情報や媒体を移動する際には、パスワードの設定、封筒へ封入してから鞄で運ぶなど、紛失を防止する措置をとること</li>
<li>漏洩等のトラブル対応時の連絡方法を事前に準備しておく</li>
<li>廃棄する際には、責任ある立場の者が確認すること</li>
</ul>
<h3>５.	(iii)廃棄時</h3>
上記の通り、適切にマイナンバーを保管していても、法定保存期間の経過や従業員の退職などによって必要がなくなった場合には速やかにかかる情報を廃棄する必要があります（マイナンバー法20条）。いつまでも保管の責任を課すことは不合理ですし、マイナンバーを永続的に保持する必要はないからです。
廃棄の方法については、マイナンバー部分を復元不可能な方法で行う必要があるとされています。具体的には、かかる媒体の焼却や溶解などが適切な手段として掲げられています。これらはあくまでも例示のため、これら以外の方法による廃棄が禁止されるわけではありません。あくまでも復元不可能な方法である必要はありますが、適切に廃棄することが重要になります。

マイナンバーの取扱い

Q：　当社は顧客の個人情報を扱う業務を行なっていますが、扱っている個人情報の漏洩が生じてしまいました。
このような場合、当社はどのように対応する必要があるでしょうか。また、当社に生じる責任について教えてください。

A：
＜当局等への対応＞
まず、個人情報の漏洩が生じた場合の会社における対応として、個人情報保護委員会等に以下の事項を報告する必要があります。
・	個人情報の漏洩に関する事実関係
・	漏洩に関する再発防止策
＜顧客との関係＞
顧客との間では、顧客から損害賠償請求がなされる可能性があり、個別に損害を賠償する必要が生じ得ます。しかし、従前の裁判例において認められた損害賠償の額は大きいとは言い難く、その意味で個人との関係において損害賠償が過度な負担になる可能性は高くないと考えられます。しかし、漏洩した個人情報にかかる顧客数が膨大であるなどの理由により、多数の損害賠償請求がなされた場合においては総額で考えれば多額の損害賠償となりえます。そのため、まずは自主的に漏洩した個人情報の本人に対して賠償することを検討する必要があると考えられます。
<h3>１.	個人情報と個人情報保護法の来歴</h3>
少し前までは、個人情報に対する意識が薄かった時代であったと評することができるでしょう。具体的には、名簿業者と呼ばれる業者が学校の児童や生徒の名簿、事業者の顧客名簿などが形態を問わず売買の対象となっていました。個人情報が持つ意味とその価値は認識されていたものの、それが保護されるべき対象であると認識されていなかったと評価することができるかもしれません。
現代においては、IT技術の発展により、情報の収集・交換がかつてないほどに容易に行われていますし、個々の情報を分析して統計を取るなど、単なる情報ではなくそれを利用することが世間でも認識されてきているといえます。そしてその情報を単に集めるだけにとどまらず、SNSやインターネットを通じて瞬く間に世界中に拡散することが可能になっています。
そのような背景もあり、企業が保有する情報はいわゆるビッグデータとして蓄積される場合もあり、経済活動において個人に関する情報に価値が見出されたことを示していると考えられます。
そして個人情報が拡散された場合に詐欺に利用される等、その不都合性も認められるようになりました。
情報を収集・分析することが可能になったことに伴って、個人情報の保護の必要性が認識されてきたこともあり、個人情報保護法は平成27年に大幅に改正され、平成29年5月30日から全面的に施行されました。この改正において、個人情報の取扱いルールが大幅に変更され、企業は改正法に基づく対応が必要になりますので留意を要します。

<img src="https://legal-online-prd-image-uploader.s3-ap-northeast-1.amazonaws.com/1593743267185.png" alt="undefined" style="height: auto;width: 60%"/>

<h3>２.	平成27年改正の要点</h3>

上記の通り、平成27年に個人情報保護法が改正されました。改正内容として主要なものは、以下の通りです。
(1)	「個人情報」の定義の明確化
(2)	個人情報の管理と活用方法の規定
(3)	個人情報保護を強化
(4)	個人情報保護委員会の設置
(5)	個人情報取扱いのグローバル化

具体的には、以下のような内容が盛り込まれました。
<ol>
<li>事業者が5000件以下の個人情報を扱う場合であっても、個人情報データベースを利用する場合個人情報保護法の規制が及ぶとしたこと</li>
<li>個人情報取得時に利用目的を本人に明示する必要があること</li>
<li>個人情報の第三者提供を行う場合、あらかじめ本人に同意を得る必要があること</li>
<li>本人の同意を得ずに第三者提供を行うことができるオプトアウト手続きの新設（個人情報保護委員会への届け出を要する。）</li>
<li>要配慮個人情報（いわゆる機微情報）に関する事項</li>
</ol>
<h3>３.	漏洩時における対応</h3>
上記の通り5000件以下の個人情報を扱う場合であっても、個人情報取扱事業者に該当することになり、広い範囲の事業者が個人情報保護法の適用を受けることになりました。法律の適用を受けることにより、漏洩事件が生じた場合、事業者は個人情報保護委員会等に対して、(i)漏洩に関する事実関係、(ii)再発防止策等について速やかに報告しなければならないとされています。
その場合の連絡先は以下の通りです（2020年7月3日現在。変更されている可能性がありますので連絡する際にはご確認ください。）。
【個人情報漏洩時の報告先に関する情報】
［個人情報保護員会ホームページ］
<a href="https://www.ppc.go.jp/personalinfo/legal/leakAction/" target="_blank">https://www.ppc.go.jp/personalinfo/legal/leakAction/</a>&nbsp;
<h3>４.	個人情報が漏洩した場合の、個人に対する責任</h3>
上記の通り、個人情報を第三者に提供する場合には本人の同意を要するとされています。つまり、同意を得ずに第三者に情報が漏洩された場合には本人の法的権利が侵害されたということになります。
そのため、個人情報の漏洩が生じた場合、民法における不法行為（709条）に該当し、損害賠償責任が生じることになります。
[損害賠償請求をされた場合の賠償額]
損害賠償請求がされた場合であっても、生命や身体を侵害した場合と比べて、賠償額は少額となっています、具体的には、
<ol>
<li>大阪高裁平成13年12月25日 地方公共団体から「住民基本台帳データ(氏名、生年月日、性別、住所などが記載された住民票を編成したデータ)」約22万件分が漏洩した事件 →1人あたり慰謝料として1万円、弁護士費用相当分として5000円 </li>
<li>大阪高裁平成19年6月21日 通信事業者から、「会員の氏名、住所、電話番号」が漏洩した事件 →1人あたり慰謝料として5000円、弁護士費用相当分として1000円 </li>
<li>東京高裁平成19年8月28日 エステサロンから、「会員の氏名、住所、メールアドレス、いわゆるスリーサイズ、エステサロンで受けた施術コース」が漏洩した事件 →二次被害が発生した1人あたり慰謝料として3万円、弁護士費用相当分として5000円</li>
</ol>
このように、情報が漏洩した場合には、本人に損害賠償請求が認められることがありますが、その金額はいずれも数万円の限度にとどまっています。しかし、情報の漏洩数が多数にのぼる場合には、少額の損害賠償が積み重なり大きな負担となり得まし、また、情報漏洩を起こした企業という形でレピュテーションの低下が生じることが懸念されます。
以上から、個人情報が漏洩した場合には、当該漏洩した個人情報の種類や性質等を踏まえて、事業者自らがあくまでも自主的に、個人情報の主体に対して賠償を検討することが肝要になります。

個人情報の漏洩が起きた場合の対応及び責任

<h3>1　比較広告について</h3>
同業他社を引き合いに出した広告を比較広告といい、日本ではあまり例がありませんが、欧米では、かなり多くの事例があります。
例えば、かつてマクドナルドはドイツで、バーガーキングを貶めるような内容のCMを公開しました。具体的には、男の子がマクドナルドのポテトやハンバーガーを食べていると友達に奪われてしまうのですが、バーガーキングの袋で隠してマクドナルドのポテトやハンバーガーを食べていると奪われず、男の子がしめしめといった表情を浮かべるという内容です。
日本の大々的な比較広告としてよく例に挙げられるのがペプシのコカ・コーラを引き合いに出したCMです。スクリーンに「ペプシNEX ZERO」と「コカ・コーラ ゼロ」が映し出され、檀上の女性がペプシ！と叫び、続けてどちらが美味しいかというアンケート結果として、スクリーンに「61%、39%」というペプシ勝利の円グラフが写し出されます。本CMは結論として法には触れないという見解が優勢ですが、こういった比較広告には、一定の法規制があります。
<h3>2　景品表示法による規制</h3>
景品表示法は、消費者に、実際の商品の品質よりも優良だと誤解させたり、安いと誤解を招かせたりするような広告は、優良誤認表示（景品表示法第5条1項）、有利誤認表示（景品表示法第5条2項）などの「不当表示」として、景品表示法の問題が生じます。
たとえば、野菜ジュースの野菜含有量が業界トップでないにも関わらず、含有量1位と表示した場合、有利誤認表示として景品表示法第5条第2項に違反することになるでしょう。
景品表示法違反があった場合、消費者庁や各都道府県は、広告の表示主体に対し立ち入り検査を行ったり、広告を差し止めたりする権限があります。

<img src="https://legal-online-prd-image-uploader.s3-ap-northeast-1.amazonaws.com/1591762148086.jpg" alt="undefined" style="height: auto;width: 60%"/>

<h3>3　景品表示法上の比較広告に関するガイドライン </h3>
消費者庁が公開している「比較広告に関する景品表示法上の考え方」において、「競争事業者の商品との比較そのものについて禁止し、制限するものではない」とあり、日本において比較広告が一律に禁止されているわけではないことが窺い知れます。
消費者庁が発表している比較広告に当たらないための要件は以下の通りです。
<ol>
<li>比較広告で主張する内容が客観的に実証されていること </li>
<li>実証されている数値や事実を正確かつ適正に引用すること</li>
<li>比較の方法が公正であること</li>
</ol>
「内容が客観的に実証されている」といえるためには、実証が必要な範囲において、適切な実証の方法で、主張しようとする事実が存在すると認識できる程度まで実証がなされていること求められています。先のペプシの例のように、アンケート結果であっても、①を満たすことは可能です。
②について、引用が求められるのは、調査機関、調査時点、調査場所等のデータと考えられます。
③は、同じ条件で比較することを求めています。例えば、野菜ジュースを販売している会社が、自社のグレードが高い野菜ジュースを他社の通常のタイプの野菜ジュースと比較し、自社の商品の方が優秀であることを強調した場合、③を充足しないことになるものと考えられます。
<h3>4　不正競争防止法による規制 </h3>
比較広告は、不正競争防止法の規制にも服します。
不正競争防止法第2条第1項第21号は、「競争関係にある他人の営業上の信用を害する虚偽の事実を告知し、又は流布する行為」を不正競争としており、このような行為があった場合、損害賠償請求や差止請求の対象となります。 
例えば、野菜含有量が350グラムある野菜ジュースを販売している企業が、同じく野菜含有量が350グラムある野菜ジュースを販売している他社を引き合いに出して、当該他社の2倍の含有量がある旨の広告を出すことは、不正競争防止法上の不正競争となり、かかる広告は差し止めの対象となり得ます。
規制対象としては、景品表示法と重なり合う部分が大きいですが、景品表示法が消費者を保護する法律であるのに対し、不正競争防止法は、事業者を保護しており、それぞれ別の目的をもって比較広告を規制しています。

比較広告の規制

<h3>1	経済活動の自由</h3>
憲法第22条は経済活動の自由を定めており、原則として、商品やサービスにどのような価格を設定しようと自由ですし、どのように商品やサービスを売り込んでいっても自由です。もっとも、価格設定や顧客へのアプローチの方法を完全に自由経済に委ねると、社会全体にとって不利益となってしまいます。
例えば、ある業界の最大手企業が特定の商品を著しく安くした場合、消費者はその商品ばかり購入するので、その業界の零細業者は生き残ることができず倒産します。すると、最大手企業のみが生き残り、競争相手がいなくなったところで値段をつりあげることができてしまいます。また、競争相手がいないのでその業界の技術革新は進まなくなってしまいます。このように、自由経済を無制約とすると諸々の不合理が生じてしまいます。
そこで、各種業法の他、独占禁止法及び景品表示法によって、自由競争に一定の規制がかけられています。
<h3>2	独占禁止法による規制</h3>
<h4>（1）不当廉売に対する規制</h4>
独占禁止法第2条第9項第3号は、正当な理由がないにもかかわらず、商品や役務をその供給に要する費用を著しく下回る対価で継続して供給することであって、他の事業者の事業活動を困難にさせるおそれがある取引方法を禁止しています。これに違反すると、様々な行政指導や課徴金を含む行政処分の対象となります。
どのような場合に「供給に要する費用を著しく下回る」といえるかが問題となりますが、例えば、販売業なら「仕入原価に販売費および一般管理費を加えた額」、製造業なら「製造原価に販売費および一般管理費を加えた額」を下回ると原則として違法となります。

<img src="https://legal-online-prd-image-uploader.s3-ap-northeast-1.amazonaws.com/1591762461611.jpg" alt="undefined" style="height: auto;width: 60%"/>

<h4>（2）不当な顧客誘引に対する規制&nbsp;</h4>
不当な顧客誘引は、正常な商慣習に照らして不当な利益をもって、競争者の顧客を自己と取引するように誘引することをいい、独占禁止法によって規制されています。
公正な競争は、本来商品やサービスの質や価格によってなされるべきもので、不当な利益をもって顧客を誘引しようとする行為は顧客の正当な選択の自由を奪うものであり、不公正な競争手段と考えられています。
どのような場合に「不当」といえるかが問題となりますが、独占禁止法上の正常な商慣習に照らして是認されうるか否かによって決せられるものとされています。
例えば、新規の商品を販売する際、特典を付すことはよく行われています。しかしながら、過剰な特典による誘引することは競争方法として許容される限度を超える場合もあり、そのような場合は独占禁止法による規制を受けます。
たとえば、パソコンを販売するにあたり、購入者に対して黒毛和牛1年分を景品として提供する場合、商品と関連性が低い過剰な特典なので、競争方法として許容される限度を超えた誘引方法であると判断される可能性が高いと言えます。
<h3>3	景品表示法の規制</h3>
消費者と事業者の間には情報格差があり、事業者が悪意をもって事業活動を行えば、消費者による合理的な購買の意思決定を妨げるおそれがあります。そこで、不当な景品類および表示による顧客の誘因を防止するため、景品表示法によっても、自由競争に一定の規制がかけられています。景品表示表の規制は、景品規制と表示規制に分けられています。 
<h4>（1）景品規制 </h4>
景品表示法は、顧客を誘引するための手段として、方法の如何を問わず、事業者が自己の供給する商品または役務の取引に附随して相手方に提供する物品、金銭その他の経済上の利益であって、内閣総理大臣が指定するものを景品としており、景品に該当する場合は、その種類毎に定められた価格上限を守る必要があります。
<h4>（2）表示規制 </h4>
事業者が、自己の供給する商品・サービスの取引において、価格その他の取引条件について、一般消費者に対し、不当に顧客を誘引し、一般消費者による自主的かつ合理的な選択を阻害するおそれがあると認められる表示であって、実際のものよりも取引の相手方に著しく有利であると一般消費者に誤認されるもの及び競争事業者に係るものよりも取引の相手方に著しく有利であると一般消費者に誤認されるものについて、表示規制により禁止されています。 
これに違反すると、事業者は課徴金納付命令等を受けることになるので、事業者が広告内容を検討する際には留意が必要です。