休職中の無断アクセス、懲戒処分できる？

「休職中の社員が、こっそり社内システムにアクセスしていた——」。そう気づいた瞬間、怒りと困惑が入り混じる感覚を覚えた方は多いはずです。「これは懲戒処分にできるのか」「でも下手に動いて逆に訴えられたら…」。感情はあるのに、次の一手が見えない。この記事では、休職中の無断アクセスが懲戒処分の対象になりうる条件、発覚後すぐに取るべき対応手順、そして再発を防ぐための整備ポイントを、実務の流れに沿って解説します。

休職中の無断アクセスは懲戒処分の対象になるか

結論から言えば、「なりうる」が「必ずなれるわけではない」というのが正確な答えです。処分の可否は、就業規則の内容・アクセス権限の状態・行為の態様という3つの要素によって大きく変わります。

就業規則に懲戒事由の根拠があるか

懲戒処分を有効に行うためには、原則として就業規則に懲戒事由として明記されている必要があります（労働契約法第15条）。「会社の許可なく社内情報にアクセスすること」「会社の情報システムを目的外に使用すること」といった条項が存在するかどうかが出発点です。これらの規定がない場合、懲戒処分を行うことは著しく困難になります。まずは就業規則を確認し、該当条項の有無をチェックしてください。

不正アクセス禁止法の適用可能性

「不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）」は、アクセス制御機能を持つシステムに対して、権限のない者がアクセスした場合に適用されます。ただし、重要な前提があります。休職前と同じIDやパスワードのまま、権限が生きている状態でアクセスした場合は「権限の範囲内のアクセス」と見なされる可能性が高く、「不正アクセス」とは認定されにくいのです。会社側がアクセス権限の制限・無効化を怠っていた場合、法的な主張が難しくなる点に注意が必要です。

行為の動機・態様で処分の重さが変わる

仮に懲戒処分が可能であるとしても、その重さは行為の態様によって変わります。裁判所は懲戒処分の有効性を審査する際に、就業規則上の根拠、手続きの適正、処分の均衡（他の類似事案との比較）、行為の動機・結果という要素を総合的に考慮します。「自分の評価資料を見たかった」という動機は、情報漏洩や競合他社への転職目的と比べると、違法性の評価が低くなる傾向があります。実態を把握した上で、処分の重さを慎重に判断することが必要です。

発覚直後にすべき対応手順

休職中の無断アクセスが発覚したら、感情的な対応より先に、証拠の保全とアクセスの遮断を最優先にしてください。この順番を誤ると、後の対応が大きく狂います。

証拠保全とアクセス権限の無効化

まず最初にすべきことは、アクセスログの保全です。ITシステムの担当者またはベンダーに即時連絡し、「いつ・どのシステムに・何の情報へアクセスしたか」が確認できるログデータを取得・保存してください。ログは時間の経過とともに上書き・削除されるシステムもあるため、発覚後できるだけ早い段階での対応が必要です。中小企業ではログ管理が担当者任せになっているケースも多く、まずは「ログが残っているかどうか」の確認から始まることになるかもしれません。

次に、対象者のアクセス権限を即時に無効化・制限します。これは再発防止の観点からも、また「会社が扉を開けっ放しにしていた」と評価されないためにも、必ず実施してください。

事実関係の整理と規程の照合

ログや関係者からの情報をもとに、アクセスの事実関係を社内で整理します。その上で、就業規則・情報管理規程・システム利用規程などを確認し、今回の行為が懲戒事由に該当するかを見極めます。規程の確認なしに処分に進むことは、後に処分無効と判断されるリスクがあるため、必ず行ってください。

本人への弁明機会の付与

事実関係が整ったら、本人に対して事実確認と弁明の機会を与えます。これは懲戒処分の有効性に直結する手続きであり、省略または形式的な実施は処分無効のリスクを高めます。休職中のメンタルヘルス不調者に対して連絡することへの不安を感じる方も多いですが、弁明機会の付与は法的に必要なプロセスです。書面（郵便・メール）での通知を基本とし、主治医の意見も踏まえながら、本人への配慮と手続きの適正を両立させてください。処分の最終判断は、人事・法務、必要に応じて弁護士と協議した上で行います。

複数の関係者との調整が必要な場面では、人事実務だけで判断することの不安が大きいかもしれません。必要に応じて、外部の専門家のサポートを早めに検討することで、対応の精度が高まります。

「休職前と同じIDで入れた」——会社側の管理責任を見落とさない

休職中の無断アクセスが発覚すると、多くの経営者は「入ってきた側が悪い」と直感します。しかし法的には、会社側の管理責任も同時に問われる可能性があります。これが、この問題を単純に「処分すれば終わり」と考えられない最大の理由です。

会社側の管理責任が懲戒処分の相当性に影響する

休職発令時にアクセス権限を制限・無効化していなかった場合、「会社が扉を開けっ放しにしていた」と評価されるリスクがあります。不正アクセス禁止法の観点でも、権限が有効なまま放置されていれば「不正アクセス」の認定が難しくなります。また、懲戒処分の相当性を判断する際にも、会社側の管理体制の不備は不利な材料として働きます。「やった側が悪い」という感情は当然ですが、処分の有効性を維持するためには、自社の管理責任を冷静に整理しておくことが必要です。

評価資料を閲覧された場合の追加リスク

アクセス先が本人の評価資料だった場合、さらに複雑な問題が生じます。本人がすでに評価内容を把握している状態で、復職判定・等級・配置・処遇を決定しなければならなくなるからです。評価内容を「なかったこと」にして進めるのは現実的ではなく、かといって全てをオープンにすることも慎重な判断が必要です。このような状況では、評価の事実と処遇決定のプロセスを切り分けて整理した上で、必要であれば本人とも正面から向き合う場を設けることを検討してください。

再発防止のために整備すべきこと

今回の問題が浮き彫りにしているのは、「休職発令時のアクセス権限の見直し」が手続きとして組み込まれていなかったという組織的な課題です。処分の対応と並行して、再発防止の整備を進めることが経営上の責任です。

休職発令時のアクセス権限見直しを標準手順に組み込む

最も重要な再発防止策は、「休職発令＝アクセス権限の見直し」を人事手続きの標準フローに組み込むことです。休職の種類（私傷病・メンタルヘルス・育児など）にかかわらず、休職発令と同時にIT部門またはシステム管理者へ通知し、アクセス権限の制限・無効化を実施するルールを作ってください。これをチェックリスト化し、人事手続きの書類と一体で管理することで、属人的な対応のばらつきをなくせます。

就業規則・情報管理規程の整備

就業規則の懲戒事由に「会社の許可なく社内情報システムへアクセスすること」「会社の情報を目的外に閲覧・取得すること」を明記していない場合は、早期に追記を検討してください。また、情報管理規程やシステム利用規程がない場合は、最低限の規定を整備することを推奨します。就業規則の改定は、過半数代表者との手続きが必要なため、社会保険労務士や弁護士に相談しながら進めることが確実です。

ログ管理体制の確認

今回の対応で「ログが残っているかどうかわからなかった」という状況に直面した方は、この機会にシステムのログ管理体制を見直してください。アクセスログの保存期間、取得できる情報の範囲、担当者・連絡先の明確化は、情報セキュリティ対応の基本です。クラウドサービスやSaaSを多用している企業では、サービスごとにログの取得方法が異なるため、ベンダーに確認しておくことをお勧めします。

状況別の判断基準——自社のケースで考える

休職中の無断アクセスへの対応は、自社の状況によって選択肢が変わります。以下を参考に、自社のケースに照らし合わせて判断の入り口を確認してください。

産業医が選任されている企業（常時50名以上の事業場）では、メンタルヘルス不調の休職者への対応について産業医の意見を事前に確認することで、対応の安全性が高まります。専任人事がいない企業では、社会保険労務士や弁護士を早めに巻き込むことが、対応の精度を上げる上で有効です。

規程整備や弁明手続きの進め方に迷ったら、気軽に相談できる専門家の存在が心強いものです。判断に自信が持てない場合は、ウェルセンス株式会社に一度ご相談いただき、自社の状況に合わせた対応方針を確認することをお勧めします。