私用スマホ紛失の責任は会社と従業員どちらにある？

「うちは私用スマホで業務連絡させているけど、特にルールは決めていない」——そう話す中小企業の経営者は少なくありません。ところがある日、社員から「スマホをなくしてしまいました。顧客リストが入っていたかもしれません」という報告が届いたとき、あなたはどう動きますか。責任はどちらにある？今すぐ何をすべき？こうした問いに答えられる準備が、多くの企業でまだできていません。この記事では、BYOD（私用端末の業務利用）のリスクから法的な責任の所在、今日の初期対応、再発防止策まで順を追って解説します。

「会社か従業員か」どちらの責任かは状況で変わる

結論から言えば、BYOD環境での私用スマホ紛失における責任は「会社か従業員かどちらか一方」ではなく、両者が重なる形で問われます。ルールを整備していなかった会社の責任が重くなりやすい一方、従業員にも労働契約上の情報管理義務は存在します。

会社が問われる責任の根拠

個人情報保護法（令和4年改正施行）第23条は、個人情報取扱事業者に「安全管理措置」を義務づけています。BYODのルールを何も定めずに私用端末での業務を黙認していた場合、この安全管理措置が不十分だったとして会社の責任が問われやすくなります。

また、民法第715条（使用者責任）では、従業員が「事業の執行」に際して第三者に損害を与えた場合、使用者（会社）も損害賠償責任を負うと定めています。業務目的で使っていた私用端末の紛失は「事業の執行」に含まれると解釈される可能性が高く、顧客から損害賠償を求められた場合に会社が矢面に立つリスクがあります。

従業員が問われる責任の根拠

一方、従業員側にも責任がないわけではありません。明文のBYODルールや秘密保持誓約書がなくても、労働契約の付随義務として情報管理義務は存在すると解釈されています。故意や重大な過失があれば、会社から従業員への損害賠償請求（求償）は法律上可能です。

ただし、最高裁昭和51年7月8日判決（いわゆる茨石事件）以降の裁判例では、従業員への求償は「信義則上相当な限度」に制限されることが多いとされています。会社が業務上のリスクを従業員に転嫁することには限界があり、ルールを整備しないまま黙認していた場合は特に、全額回収は難しいと考えておくべきです。

「ルールなし＝会社の不利」と覚えておく

実務上のポイントをまとめると、BYODのルールがなかった状況では、会社が「安全管理措置を怠った」として一次的な責任を負いやすい構図になります。従業員への責任追及が完全に否定されるわけではありませんが、「なぜルールを作らなかったのか」という問いを会社は免れません。このことを念頭に置いたうえで、次の対応と整備を進めてください。

紛失が発覚したらすぐ動く初期対応の手順

スマホ紛失が発覚したとき、最初の数時間の行動が被害の拡大を左右します。情報漏洩が確定していなくても「リスクがある」段階から動くことが原則です。

端末の保護と事実確認を同時に進める

まず最初に取り組むのは、端末の遠隔ロックとデータ消去の試みです。iPhoneであれば「探す」機能、Androidであれば「デバイスを探す」から遠隔でロックや初期化を実行できます。この操作を実施した日時と結果を必ず記録に残してください。後の報告義務の判断や、対応の誠実さを示す証拠になります。

同時に、端末にどのような情報が保存・アクセス可能だったかを確認します。具体的には、顧客の氏名・連絡先・メールのやりとり、会社のクラウドサービスへのログイン状態、業務アプリへのアクセス権限などです。情報の種類と件数によって、次に説明する報告義務の有無が変わります。

個人情報保護委員会への報告義務を確認する

令和4年4月施行の改正個人情報保護法第26条により、一定の漏えい等が発生した場合、個人情報保護委員会への報告と本人への通知が義務化されました。以下の表を参考に、自社のケースが報告対象に当たるかを確認してください。

「スマホを紛失した＝漏洩が確定した」ではありませんが、リスクが認められる場合は報告要件への該当性を速やかに確認し、弁護士や社会保険労務士などの専門家に相談することをお勧めします。

顧客・取引先への連絡は「事実確認後、速やかに」

情報が漏えいした可能性が否定できない段階では、顧客や取引先への説明が必要になる場合があります。連絡が遅れるほど「隠していた」と受け取られるリスクが高まります。現時点でわかっていること・わかっていないこと・会社として講じた対応を明確に伝えることが信頼回復の基本です。

従業員への対応と責任の整理の仕方

ルールがなかった状況で社員を責めることには限界があります。感情的に対処するのではなく、「会社の整備不足」と「従業員の注意義務」を切り分けて冷静に整理することが重要です。

懲戒処分を検討する前に確認すること

懲戒処分は、就業規則に懲戒の根拠規定があり、かつ処分内容が「相当性」の範囲内でなければなりません。BYODに関する規定がなく、かつ会社が私用端末使用を黙認していた場合、懲戒処分の有効性は著しく低下します。まずは就業規則に懲戒規定があるかどうかを確認し、規定がない・不十分な場合は処分を急がず専門家に相談してください。

損害賠償請求の現実的な射程

会社が顧客への賠償などの実害を被った場合、従業員への求償を検討することはあり得ます。ただし、前述の茨石事件判決の流れを受け、裁判所は会社側の「業務の利益を得ている以上、リスクも会社が負うべき」という考え方を重視します。故意や著しい重過失がない限り、全額の求償が認められることは稀です。社内での話し合いで解決を図るにしても、この法的な現実を踏まえた交渉が必要です。

再発防止の観点から「学びの機会」にする

処分よりも重要なのは、この機会を活かして社内の情報管理体制を整えることです。問題が発覚した時点で従業員を孤立させず、「なぜルールがなかったのか」「今後どうするか」を一緒に考える姿勢を示すことが、職場の信頼関係を守ることにもつながります。

BYODルールを整備する具体的な方法

BYODポリシーの整備は、難しく考える必要はありません。最低限決めるべき事項を就業規則または情報セキュリティ規程に盛り込み、従業員に周知するだけで、法的リスクは大きく下がります。

最低限盛り込むべき事項

専任の人事・法務担当者がいない企業でも取り組みやすいよう、優先度の高い項目を以下にまとめます。

• 私用端末を業務に使用する際の申請・承認手続き
• 端末へのパスコード・生体認証の設定義務
• 業務データ・アプリのインストールに関するルール（個人アプリへの顧客情報の保存禁止など）
• 紛失・盗難時の報告義務と初動手順（遠隔ロック・会社への即時連絡）
• 退職・異動時の業務データ消去と会社確認
• 秘密保持義務の範囲（在職中・退職後）

就業規則への反映と周知の方法

就業規則に規定を追加する場合、常時10名以上の労働者を雇用している事業場では労働基準監督署への届出が必要です。10名未満でも、就業規則を整備し従業員に周知することで、懲戒処分や損害賠償請求の根拠が生まれます。既存の就業規則に「情報管理規程」として別途附則を設ける方法が、改定の手間が少なく現実的です。

従業員への周知は「一度きり」ではなく継続的に

ルールを作っただけで安心するのは危険です。入社時の説明、年1回の確認署名、実際の事例を使った社内勉強会など、継続的な周知を組み合わせることで、「知らなかった」「曖昧だった」という状況を防ぐことができます。15〜20名規模の企業でも、30分の社内勉強会を年1回行うだけで意識は大きく変わります。

🔗 こうした判断に迷ったときは、精神科・心療内科医による産業医相談で、リスク対応と従業員ケアの両面からアドバイスを受けることも有効です。 →

再発防止のためのセキュリティ対策

ルール整備と並行して、技術的な対策を講じることで情報漏洩のリスクを実質的に下げることができます。コストをかけずに始められるものから優先的に取り組むのが現実的です。

MDM導入の検討

MDM（Mobile Device Management：モバイルデバイス管理）は、会社が従業員の端末を一元管理するためのツールです。遠隔ロック・データ消去・アプリ管理などが可能になり、紛失時の初動を大幅に速めることができます。BYODに対応したMDMサービスは月額数百円から利用できるものもあり、社員が10名を超えた時点で導入を検討する価値があります。

クラウドサービスのアクセス権限を見直す

Google WorkspaceやMicrosoft 365などのクラウドサービスを使っている場合、退職者・異動者のアカウント管理や、デバイスごとのアクセス権限設定を定期的に見直すことが重要です。端末を紛失しても、クラウド側でセッションを無効化できれば被害を最小化できます。管理者権限を持つ担当者を明確に決め、定期的な棚卸しを習慣化してください。

「会社支給端末への切り替え」も選択肢に入れる

BYODのルール整備に手間がかかると感じる場合や、扱う情報の機密性が高い場合は、思い切って会社支給端末への切り替えを検討することも有効です。中古のスマートフォンやMVNOの格安SIMを活用すれば、1台あたりのコストを抑えることも可能です。「ルールで縛る」より「環境を整える」ほうが、長期的には管理コストが低くなるケースもあります。

🔗 法務や人事の判断だけでなく、従業員の心身への影響も考慮した対応が求められます。専門家へのスポット相談で多角的にサポートします。 →

よくある質問