従業員のSNS炎上・情報漏えい対策｜実例と裁判例でわかる社内ルールと入退社の教育

2つのリスクを分けて考える

従業員が起こす情報事故は、方向で2つに分かれます。

• 発信のリスク（炎上）：不適切な投稿が外に出て、会社の評判が燃える。バイトの悪ふざけ、会社アカウントの失言など。
• 保有のリスク（漏えい）：預かっている情報が外に流れる。退職者の持ち出し、顧客情報の売却、誤送信など。

守り方が違うので、順に見ていきます。

発信のリスク：SNS炎上の実例と、防ぐルール

実例：会社が潰れることもある

• そば屋「泰尚」：アルバイトが食器洗浄機に入るなどの不衛生な様子を投稿。批判が殺到して約3か月後に閉店・破産し、負債は約3,300万円にのぼりました。店側は学生らに計1,385万円の損害賠償を求めましたが、最終的な和解は4人で合計約200万円。炎上で会社が潰れても、賠償で回収できるのはごく一部、という現実を示しています。
• くら寿司：アルバイトが廃棄した魚をまな板に戻す動画を投稿。運営会社は当該従業員を退職処分とし、法的措置を取ると公表。関係者が書類送検される事態になりました。
• 会社アカウントの失言：炎上はバイトだけではありません。企業の公式アカウントの担当者が、話題のハッシュタグに便乗した投稿で批判を浴び、謝罪に至った例（タカラトミー等）もあります。「中の人」の一投稿が会社の看板を傷つけます。

防ぐルール

• SNSガイドラインを作る：「会社・顧客・同僚に関する投稿は原則しない」「制服・店舗内での撮影投稿の禁止」「会社アカウントの投稿は複数人でチェック」など、やっていいこと・悪いことを1枚にまとめます。
• 私的アカウントと会社の線引きを明示：プライベートの投稿でも、勤務先が特定されれば会社の問題になります。「所属を明かした発信は会社の見解と受け取られ得る」ことを共有します。
• 入社時と年1回の研修：バイトを含め、入ったときに必ず一度、実例を見せて「これをやると会社も本人もこうなる」を伝えます。上の泰尚・くら寿司の事例がそのまま教材になります。

保有のリスク：情報漏えいの実例／裁判例と、防ぐ仕組み

実例・裁判例：主役は「退職者の持ち出し」

外部からのハッキングより、内部者・退職者による持ち出しのほうが、小さな会社には現実的なリスクです。なお以下の判決に出てくる「懲役」は、2025年6月の刑法改正で「拘禁刑」に一本化されました（判決当時の呼称のまま記載します）。

• 元社員による顧客データの持ち出し（実刑寄りの裁判例）：元勤務先の顧客情報を持ち出して転職先で利用した元社員に、懲役1年6月（執行猶予）・罰金50万円（函館地裁 令和5年）。化学メーカーから営業秘密を持ち出した元社員に、懲役2年（執行猶予）・罰金80万円（神戸地裁 令和5年）。「退職者が顧客リストや見積データを持って独立・転職する」という、小さな会社が最も遭遇しやすいパターンです。
• かっぱ寿司（カッパ・クリエイト）事件：競合（はま寿司）の原価・仕入先データを、転職してきた前社長が持ち込んで利用したとして、不正競争防止法違反で前社長に懲役3年（執行猶予）・罰金200万円、受け入れた法人にも罰金3,000万円（両罰規定）。持ち込んだ本人だけでなく、受け入れた会社も処罰される点が重要です。
• ベネッセ個人情報流出：委託先に派遣されていた元システムエンジニアが、貸与パソコンに私物スマホを接続して顧客情報を複製し、名簿業者に売却。刑事では不正競争防止法違反で有罪（東京高裁 懲役2年6月・罰金300万円）、民事でも本人への賠償が命じられました。委託先・派遣を含む内部者が最大のリスク源であることを示しています。

防ぐ仕組み

• アクセスを絞る：全員が全顧客情報を見られる状態をやめ、必要な人だけがアクセスできるようにします。
• 持ち出せなくする：私物端末の業務接続の禁止、USBの使用制限、貸与パソコンの管理。
• 退職時の手当て：貸与機器・データの返却と削除を、退職手続きのチェックリストに入れます。

営業秘密の3要件（秘密管理性・有用性・非公知性）

顧客リストやノウハウを法律（不正競争防止法）で守ってもらうには、その情報が「営業秘密」である必要があります。要件は3つです。

1. 秘密管理性：秘密として管理されていること。
2. 有用性：事業に役立つ情報であること。
3. 非公知性：公然と知られていないこと。

裁判で最も争われ、否定されやすいのが①秘密管理性です。「大事な情報のつもりだった」だけでは足りず、アクセス制限・「マル秘」表示・パスワード・秘密保持の誓約書などで、従業員が「これは秘密だ」と認識できる形にしておく必要があります。就業規則の秘密保持条項と、入社時・退職時の誓約書が、この管理措置の中核になります（→ 秘密保持契約（NDA）の作り方）。

漏えいが起きたときの対応

個人情報の漏えいが起きたときは、個人情報保護委員会への報告と、本人への通知が義務になる場合があります（2022年施行）。とくに、①要配慮情報を含む、②財産的被害のおそれ、③不正の目的による持ち出し、④1,000人超の漏えいのいずれかに当たると報告対象になります。しかも①〜③は1人分でも対象です。持ち出しはまさに③に当たるので、「1人分だから大丈夫」とはいきません。

期限は、速報が発覚から概ね3〜5日以内、確報が30日以内（不正目的は60日以内）です。なお、日本の個人情報保護法に「課徴金」の制度はまだありません（検討段階）。ただし、委員会の命令に従わない場合は罰則があり、法人には1億円以下の罰金が科され得ます。「罰金がないから軽い」ということではない、と理解しておいてください。

入退社の教育と誓約書

最後に、いちばん効くのに見落とされがちなのが、入社時と退職時の手当てです。

• 入社時：秘密保持の誓約書に署名してもらい、SNS・情報の扱いを短く研修します。「入るときに一度きちんと伝える」だけで、事故はかなり減ります。
• 退職時：貸与機器・データの返却と削除を確認し、退職後も守秘義務が続くことを改めて誓約してもらいます。退職者による持ち出しが最大リスクである以上、ここを手続きに組み込むかどうかが分かれ目です。

採用まわりの手続き全体は初めて従業員を雇うときの手続き、就業規則への規定は就業規則の作り方もあわせてどうぞ。

よくある質問（FAQ）

まとめ

従業員のSNS炎上と情報漏えいは、「うちは小さいから大丈夫」がいちばん危険です。防御はルール化・教育・アクセス制限・入退社の手当ての4点。炎上は会社を潰すことがあり、退職者の持ち出しは有罪の裁判例が相次いでいます。

まずは、秘密保持の誓約書とSNSのルールを入社時に配り、退職時の返却・削除を手続きに入れる。ここから始めてください。顧客リストを法律で守れる「営業秘密」にするには、アクセス制限と誓約書で「秘密として管理している」形を作ることが要ります。