休職中のシステムアクセスが発覚したら確認すべきこと

ある日、ITシステム担当者からこんな報告が届く。「休職中の〇〇さんのアカウントでログインがありました」——。こうした場面に突然直面したとき、「これは問題なのか」「本人に連絡してもいいのか」「就業規則上どう処理すればいいのか」と、判断に迷う経営者・人事担当者は少なくありません。対応を誤ると情報漏洩リスクや労務トラブルに発展する可能性もあります。この記事では、発覚直後から本人対応・規程整備まで、休職中のシステムアクセス問題への実務的な対応手順を順を追って解説します。

「何が起きたのか」を正確に把握する

休職中のシステムアクセスが発覚したら、感情的に動く前に事実を把握することが最優先です。アクセスの内容によって問題の深刻度はまったく異なり、対応方針もそこから決まります。

アクセスログで確認すべき4つの情報

システム管理者と連携し、以下の4点を確認・記録してください。

• 日時・頻度：いつ、何回アクセスがあったか
• アクセス先のシステム・ファイル：顧客情報・財務データ・個人情報など機密性の高いデータか否か
• 操作の種類：閲覧のみか、ダウンロード・複写・変更を伴うか
• 使用デバイス・場所：会社支給端末か私用端末か、社内IPか社外IPか

「閲覧のみ・1回・業務引き継ぎ内容の確認」と「顧客リストを複数回ダウンロード」では、対応の緊急度がまったく異なります。ログは後の対応・証拠保全のためにもスクリーンショットや出力ファイルで保存しておきましょう。

アカウントの停止状況を確認する

休職開始時にアカウントを停止・権限を剥奪していたかどうかも必ず確認してください。アカウントが有効なまま放置されていた場合、後述するとおり会社側にも管理責任が問われる余地があります。発覚した時点でアカウントが有効であれば、まず即時停止を行うことが第一の実務対応です。

法的に「問題か否か」を判断する視点

休職中のシステムアクセスは、状況によって適用される法律・規程が異なります。「違法かどうか」「懲戒できるかどうか」を判断するために、3つの法的観点を整理しておきましょう。

不正アクセス禁止法の適用範囲

不正アクセス行為の禁止等に関する法律（いわゆる不正アクセス禁止法）は、「アクセス権限のない者がシステムに侵入する行為」を禁じています。ただし、休職者本人のアカウントが有効なまま残っており、そのアカウントでログインした場合は、同法の「不正アクセス」に該当しないケースが多いという点に注意が必要です。この場合、会社がアカウント管理を怠ったと判断される余地もあります。

不正競争防止法・情報漏洩リスクの観点

アクセスした情報が「営業秘密」（不正競争防止法第2条第6項に定める要件を満たすもの）に該当し、かつ不正な目的での取得・使用が認められる場合は、不正競争防止法上の問題になり得ます。特にダウンロードや外部送信を伴う場合は、法的リスクが高まるため、早期に弁護士への相談も検討してください。

懲戒処分ができるかどうかの判断基準

懲戒処分を行うには、労働契約法第15条が定める2つの要件を満たす必要があります。

就業規則に「休職中のシステム利用禁止」の明示がなければ、懲戒処分を行うことは困難です。規程が整備されていない場合は、まず注意・指導にとどめ、再発防止策と規程整備を並行して進めることが現実的な対応です。

本人への連絡は「必要最小限・書面で記録」が原則

業務上の重大な必要性がある場合、休職中であっても会社から本人へ連絡することは可能です。ただし、方法を誤ると「ハラスメント」「職場復帰の妨害」と受け取られるリスクがあるため、連絡の目的・方法・内容を慎重に設計する必要があります。

連絡してよいケース・慎重になるべきケース

厚生労働省「心の健康問題により休業した労働者の職場復帰支援の手引き」では、休職中の連絡は必要最小限とすることが原則とされています。一方で、情報漏洩リスクや規程違反など業務上の重大な必要性がある場合は連絡可能です。「単なる気になった行動」と「顧客データへの複数回アクセス」では、連絡の緊急性が異なります。

連絡時の具体的な注意事項

連絡する場合は、以下の点を守ってください。

• 書面（メール含む）で連絡し、記録を残す：口頭のみは後のトラブル時に証拠が残らず不利になります
• 事実確認の問い合わせにとどめる：「○月○日にシステムへのアクセスが確認されました。意図・経緯を教えていただけますか」という形で、詰問・責める表現は避ける
• 回答期限を設ける：「○月○日までにご返信ください」と明示することで、対応が宙に浮くことを防ぐ
• 産業医・主治医の関与がある場合は情報共有を検討する：メンタルヘルス上の影響が懸念される場合は、産業医に相談のうえ対応方針を決める

連絡窓口を一本化する

休職者への連絡は、経営者・直属上司・人事担当者など複数から行うと混乱が生じ、ハラスメントと受け取られるリスクも高まります。必ず「連絡窓口を一人に絞る」ことを徹底してください。産業医や社会保険労務士が関与している場合は、その専門家を通じた連絡も有効な選択肢です。

発覚後に会社が取るべき対応の流れ

発覚直後から本人対応・再発防止まで、対応は大きく三段階に分かれます。順序を誤ると証拠の保全漏れや処分の無効化につながるため、段階を踏んで進めることが重要です。

即時対応：アカウント停止と証拠保全

発覚した時点でまず行うべきことは、アカウントの即時停止とアクセスログの保全です。ログは上書き・自動削除されるシステムもあるため、早期に出力・保存してください。この段階ではまだ本人への連絡は不要で、内部での事実確認を先行させます。

事実確認：就業規則・規程の照合

次に、自社の就業規則・情報セキュリティ規程を確認し、「休職中のシステム利用禁止」「懲戒事由」「モニタリングの権限」に関する条項が存在するかを確認します。規程が整備されていない場合は、この段階で「今回のケースを懲戒処分にできるか否か」が明確になります。

本人対応：説明の機会を設ける

事実確認が整ったうえで、本人に書面で事実確認の通知を行い、説明の機会を設けます。一方的に懲戒処分を通告することは、後の労務紛争で処分の適法性を争われる原因になります。本人から事情を聴取し、その内容も記録に残すことで、対応の適正さを後から示せる状態を作っておきましょう。

🔗 社員のメンタル不調に、精神科・心療内科医によるスポット産業医サービス →

再発防止のために今すぐ整備すべき規程

今回のようなケースが発生した企業の多くに共通するのは、「休職者のアカウント管理ルール」と「情報セキュリティ規程」が整備されていないという点です。対応が一段落したら、再発防止の規程整備を優先して進めてください。

休職開始時のアカウント管理ルール

休職が決定した時点で、以下をルールとして明文化・運用することを推奨します。

• 休職開始日をもってシステムアカウントを停止（または権限を最小化）する
• 停止した事実と日時を記録として保管する
• 復職時の再開手続きについても事前に定めておく

就業規則・情報セキュリティ規程への追記

就業規則および情報セキュリティ規程に、最低でも以下の3点を盛り込んでおくことが必要です。

• 「休職中の社内システムへのアクセス禁止」
• 「会社はシステムの利用状況をモニタリングできる」
• 「情報セキュリティ規程違反を懲戒事由とする」

これらの規定がなければ、今後同様の事案が発生した場合も懲戒処分が困難なままとなります。就業規則の変更には労働者代表の意見聴取と労働基準監督署への届出が必要なため、社会保険労務士に依頼して進めることが現実的です。

産業医・専門家との連携体制の整備

20〜50名規模の企業では産業医の選任が義務化されていないケースもありますが、メンタルヘルス不調で休職中の社員への対応においては、産業医や外部の専門家との連携があると判断の根拠が明確になります。「連絡していいか迷ったが専門家に確認した」という記録が残るだけでも、後のハラスメント申告への対抗力が変わります。

よくある質問