１　個人情報の漏えいインシデント対応終了後における経営層の対応ポイント

　前回は、自社が保有する個人情報がサイバー攻撃や従業員による不正な持ち出しといった個人情報の漏えいインシデントが発生した場合の対応のうち、インシデント発生直後及びインシデント対応中における経営層の対応を概観した（インシデントが発生してから被害者への通知や当局への対応といった対外的な一次対応が概ね終了した時点を「インシデント対応終了」と呼び、それ以後の対応を「インシデント対応終了後の対応」と本稿では呼ぶこととする）。

１　個人情報の漏えいインシデント発生時における経営層の対応ポイント

　自社が保有するユーザーや顧客、従業者の個人情報が外部からの不正アクセスやマルウェアといったサイバー攻撃により外部に流出したり、メールの誤送信などにより従業者が誤って個人情報を漏えいしたりしてしまうことは、どのような企業でも起こり得る事態である。

１．プライバシーリスクへの対応

　プライバシー問題に起因するリスクには様々なものがある。企業がそれらのプライバシーリスクに対して十分に対処することなく、そのリスクが顕在化した場合、インシデントや炎上事案等が発生しうる。今回は、そのようなプライバシーリスクへの対応を概観する。

２．プライバシーリスクの類型

　プライバシーリスクをどのように類型化するかについては正解があるわけではないが、わかりやすさの観点から、以下のような責任に分類して見ていくこととする。

行政上の責任を問われるリスク
　個人情報保護委員会や関係省庁といった行政機関から、行政指導や行政処分といった形でペナルティを課されるリスクのことである。例えば、民間企業が個人情報保護法に違反した不適正な個人情報の取扱いを行った場合や個人データの安全管理措置が不十分であったことに起因して大規模漏えい事故が発生したような場合、個人情報保護法が定める義務に違反したということで、同法を所管する個人情報保護委員会や関係省庁から行政指導や行政処分を受けるような場合が典型例である。行政指導が行われた場合、行政機関から企業に対する指導文が公表されることが通例であり、それによって対象企業による法律違反の内容も公となり、また報道などによって、それが拡散されることにより企業のレピュテーションの低下や株価下落、サービス停止などにつながるほか、行政指導に対応するために本来は事業などに向けられるはずであったリソースやコストを費やすことになる。

　また、行政指導より重いペナルティとして業務改善命令がある。これは強制力をもって企業に対して業務の改善を命じられるものであり、行政指導と比較して、よりレピュテーションが低下する可能性が高く、加えて、業務改善命令に対応するためのリソースやコストも、行政指導と比較して大きなものとなりかねない。

民事上の責任を問われるリスク
　企業の法律違反等に起因してサービスを利用するユーザーに被害が生じた場合、ユーザーから企業に対して損害賠償等の民事上の責任追及をされるリスクのことである。例えば、企業におけるデータ管理に関するセキュリティ対策の不備によって個人情報の漏えい事故が発生した場合、それに起因してユーザーに金銭的被害が生じたときには、当該ユーザーから企業に対して、ユーザーが被った金銭的被害の相当額について、契約責任や不法行為責任といった法的責任を根拠として、損害賠償請求や慰謝料請求等がなされる可能性がある。

刑事上の責任を問われるリスク
　個人情報保護法に違反する行為によって、刑事責任を問われる可能性もある。例えば、従業者が、所属企業が管理する個人情報データベースを不正な利益を図る目的で、外部提供・盗用した場合、当該従業者に対して懲役刑又は罰金刑が科される可能性があるほか、雇い主である企業も最大1億円の罰金刑を科される可能性がある。

社会的責任を問われるリスク
　以上のような法的責任を問われるリスクの有無に関わらず、それとは別に、企業が提供するサービス・システム等がプライバシーに十分配慮していないことを理由として、いわゆる炎上事案が起こることがある。これは法律に違反しているかどうかと必ずしも一致するわけではなく、法的に違法性がない場合であっても起こりうる。炎上が発生した場合、本来提供しようとしていたサービス・システムが停止・終了する事態に至る可能性やレピュテーションの低下、株価下落といった事態を引き起こす可能性もある。

３．プライバシーリスクへの対応時期と手段

　プライバシーリスクに対しては、「事前」と「事後」の2つのタイミングで対処することが望ましい。

　「事前」の対処とは、サービス・システム等を外部にリリースする前のタイミングで、プライバシーリスクを評価・対処するものである。

　「事後」の対処とは、サービス・システム等がリリースした後、定期的に潜在するプライバシーリスクを評価・対処するものである。

　事前の対処が最も効果的である。リリースした後ではすでにプライバシーリスクが顕在化している可能性が高く、事後的な対処しかできないからである。事前にプライバシーリスクに対応しておけば、リリースのタイミングでは、そのリスクが除去・低減されており、企業に与えるネガティブな影響が小さくなる。

　事前の対処方法としては、PIA（プライバシーインパクトアセスメント）の手法が用いられることが少なくない。PIAとは、サービスやシステムがリリースする前の段階で、当該サービス・システムがプライバシーに与える影響を評価した上、その評価結果としてプライバシーリスクがあることが確認できた場合には、そのリスクを除去・低減する対処法のことをいう。

　PIAについては日本の法令では、マイナンバー法において行政機関や地方公共団体等に実施を義務付ける制度はあるものの、民間事業者に対して義務付ける制度は存在しない。

　法制度以外では、個人情報保護法を所管する個人情報保護委員会は、「個人情報の保護に関する基本方針_*１ 」においてデータガバナンスの構築に当たり、PIAが有効であると述べるとともに、PIAの意義や実施手順の参考となるドキュメントとして「PIA の取組の促進について―PIA の意義と実施⼿順に沿った留意点―_*２ 」を公表しており、実務上参考になる。また、規格としては「ISO/IEC 29134: 2023」が存在する。PIAの具体的な手法は企業ごとにカスタマイズする必要があるため、前述したドキュメントや他社の事例を参考にして、自社に最適な手法を導入・検討していくことになると思われる。

　次に、事前のPIAのほか、事後のリスクアセスメントも重要である。それは、リリースするサービス・システム等に対して、全件PIAを行うことはリソースとの関係で現実的ではないケースがあり、そのような場合、一定の案件についてはPIAが実施されず、リスクが潜在している可能性がある。PIAを実施していたとしても、評価は人間が行うものであるから、十分な評価がなされなかったケースもあるかもしれない。また、PIAを実施した当時はリスクの評価結果としてハイリスクではなかったとしても、プライバシーリスクというものは法令の制定・改定や時代の移り変わりによって変化する。数年前までは企業側では気にもとめていなかった事柄が、現時点ではプライバシー問題となるケースはあり得る。

　そのため、リリース後のサービスやシステムついても定期的にリスクアセスメントを行い、リスクを除去・低減する活動が必要となる。

　このような場合にリスクアセスメントの手法としては、「リスクの発生可能性×リスクが発生した場合の重大性」をもとにリスクを洗い出して、ハイリスクのものから対処する手法や、社内の関係者で議論して、トップリスクを洗い出し、それらに一定期間で対処する手法等が考えられる。

*１ https://www.ppc.go.jp/files/pdf/20220401_personal_basicpolicy.pdf
*２ https://www.ppc.go.jp/files/pdf/pia_promotion.pdf

１　インシデントのリスク

　昨今、大規模な個人情報の漏えい、従業者による不正利用目的での個人情報の持ち出し、サイバー攻撃による不正アクセスなど、個人情報にまつわるインシデントが紙面をにぎわしている。そして、それらのインシデントが発生した場合には、現実的な被害が発生している場合はもちろん、そのような被害が発生していない場合であっても社会的にインパクトがあれば、いわゆる炎上が起こって企業のレピュテーションが低下したり、当局から報告徴収命令や行政指導がなされることがある（これら当局の動きを起因としてレピュテーションの低下などにつながることもある）。

１　プライバシーガバナンスとセキュリティとの関係

　現在、外部向けにサービスを提供する企業の多くは、自社の従業員の氏名、住所といった個人情報はもちろん、自社が提供するto C、to Bサービスにおける顧客の様々な個人情報を保有していることが通常である。そのように企業が保有する個人情報が、マルウェア（コンピュータやその利用者に被害をもたらすことを目的とした悪意あるソフトウェア）や不正アクセスといったサイバー攻撃により、漏えい、滅失、毀損した場合、攻撃の対象となった個人情報の対象者である本人に対し、漏えいした情報を不正利用した財産的被害や他者に知られたくない情報の閲覧・流出といった被害が発生するおそれがあり、それらはプライバシー侵害につながり得るものである。また、経営者の立場では、事前の対策やインシデント対応の不備、個人情報の不正流出の責任をとり、退任せざるを得ない事態にもなりかねない。

１　データマッピングとは

　テクノロジーが進歩し、企業が取扱う個人情報の質・量が飛躍的に増大するとともに、データの取扱い態様も複雑化する中で、「データマッピング」によってデータの管理を行う企業が増えている。

１　個人情報の委託とプライバシーガバナンス

　プライバシーガバナンス体制を構築する上で、委託先管理は重要である。プライバシーの観点からは、特にサービス利用者の氏名・住所といった「個人情報」を閲覧、アクセスすることが可能な外部委託先を、どのように管理するかがポイントとなる。その理由は、自社の個人情報を取り扱う委託先を通じて、情報が外部に漏えいする可能性や想定外の利用が行われるリスクがあるためである。そのため、委託先を十分に管理して想定外の漏えい・利用がなされないようコントロールする必要がある。しかしながら、委託先管理は簡単なものではない。それは日本の法律上「委託」と評価されるものは一般に想像されるものよりも幅広く、それに伴う社内の関連部署も多数に上るためである。

１　プライバシー保護組織の役割

　プライバシーガバナンス構築のために、プライバシー保護責任者を指名して活動を行わせることは重要であるが、当該責任者が一人でリスク管理の活動全般を行うことができるわけではない。プライバシー保護責任者の下で、実質的なプライバシー保護活動を担うプライバシー保護組織を設ける必要がある。

１　責任者の必要性

　プライバシーガバナンスを構築するためには、本連載第３回で述べたとおり、経営者が明文化した「プライバシーガバナンスに係る姿勢」を組織全体の取組みに落とし込むための人・組織が必要である。

１　はじめに

　プライバシーガバナンスを構築するためには、以下の３つが重要である。

１　プライバシーガバナンスの構築に向けた経営者の取組み

　テクノロジーの進化や社会におけるプライバシーへの意識の高まり、世界各国における様々なプライバシーに関する法制度の制定・改定に伴い、企業がプライバシーの観点で対処すべき範囲は日々拡大している。そのため、パーソナルデータを自社サービスのために取り扱う企業の経営者は、プライバシーへの対処を自社の経営課題として十分に認識した上、適切に対処するためのプライバシーガバナンスの構築に取り組む必要がある。

はじめに

　テクノロジーが進化し、国境の境目なくインターネットによって世界中がつながっている現在、スマートフォンをはじめとする様々な機器を媒介として消費者のパーソナルデータを企業が取得した上、当該企業の商品やサービスに利活用することが日常的に行われている。

六　結語

１、本連載のまとめ

　この連載も約１年半におよび、いよいよ締めくくりをする段となった。本連載はCLOの概念を考えるにあたって、それがプラグマティズムの中で生成されてきたことを指摘し、形式論理ではなくその内実を検討する必要があることを指摘することから筆を起こし、それを受けてGC/CLOの先進国である米国における沿革をデッサンし、かの国においてもその地位が消長をみたことを確認した。

五　CLOのあり方（承前）

２．CLOの陥穽－二足のわらじ（Multiple Hatting）

　前回は、CLOのあり方として、「パートナー」と「ガーディアン」の二面があること、そこには単なる対立ではなく、循環関係があることを議論した。今回はそこに潜むCLOのジレンマ、そして陥穽について検討する。

　これまで論じてきたように、CLOの根源的な価値は、企業における企業の意思決定のメカニズムの中にあって、これに影響を与え、これにより法務リスクの軽減と法務機会の促進という結果を現出し、もって、企業の生存および発展に寄与することにある。その価値を実現するためには、ビジネス活動に積極的・能動的に関わっていく必要があり、そして、そこでは、常にリスクと機会、そして実現可能性のバランスが要求される。その結果として、CLOは極めてしばしば「客観的な分析」にとどまるものではなく、「主観的な判断」を行う必要がある。

　ここに、CLOの究極的にして深刻なジレンマがある。

　一方において、CLOは法律専門家としての「客観的」な意見がある。他方において、CLOは企業そのものの一部である。CLOは意思決定過程の一部を構成しており、企業を動かしていく一翼を担っている。

　クレジットカード会社においてシステム障害によって正確な引き落とし額計算ができなくなったとしよう。ここでは、正確な計算をしなければならないという明らかな法的「正解」がある。しかし、そのような回答が企業にとって何の意味もないことも、これまた明らかである。各種の非法律要素も考慮し、バランスをとり、実効性のある対応を企業はしなければならない。ここで、CLOが「正確な利息計算を行うことが当社の義務である」とだけ回答することは、問題に対して企業が適切な行動を取ろうとしていることに、なんらの積極的な価値をもたらさない。このような姿勢を取る者の言葉が企業内において説得力をもつことはなく、その言を聞く者はいないし、それは当然のことである。結果として、そのCLOは、企業が適法・適切な行動を行うことについて、なんらの寄与もできないことになる。

　客観的な法律的分析を行う一方で　企業としての妥当な解決策の策定に積極的・能動的に参加した時点において、そのCLOは法律専門家としての活動に加えて、ビジネス活動そのものに参加したことになる。英語において「２つの帽子（Double（あるいはMultiple）Hatting）」と言われるゆえんである。さしずめ、「二足のわらじ」とでも意訳できようか。

　しかし、法律家としての帽子と、ビジネスの帽子が一致するとは限らない。むしろ、それらは互いに抵触することが普通である。法的な「正解」がある場合にすら、法的リスクの認識をしつつ、その「リスクを取る」という判断をしなければならないことがある。その調整に、CLOは悩むことになる。

　さらに分析すると、いくつかの問題を挙げることができる。

（一）単純な二項対立の問題ではないこと

　まず指摘しておくべきことは、「法」と「ビジネス」といっても、それぞれが別個のものとして独立して存在しているものでもなければ、両者が単純に対立するという構図でもないということである。これは、前回で述べた、「パートナー」と「ガーディアン」の循環構造の図式と同様である。

（二）CLOの「内面」におけるジレンマであること

　ここでの問題の本質は、ことがCLOの「内面」に関わるということである。

　外部からの圧力あるいは影響を受けるかどうかが問題ではない。仮に外部からの影響を一切遮断できたとしても、客観的な法的判断と、これに対峙する各種の非法律的要素が存在し、往々にしてそれらが抵触しあう中において、現実の方針を決定する必要性とのバランスを衡量しつつ決断しなければならないという、CLOの本質それ自体の中に問題が存するということである。

　真剣に考えれば真剣に考えるほど、問題は深まっていく。極めてしばしば、「正解」自体がそもそも存在せず、「グレー」の程度問題でしかない。一方において、厳しい競争環境の中で、ビジネスが生き残り、さらに成功するために、ビジネスを前に進ませなければならない。それは自動車レースにおいて、山腹に穿たれた崖道を深夜ヘッドライトだけを頼り切り抜けようとするようなものである。どこまでが道路で、どこから崖で、それを踏み越えると谷底にまっさかさまとなるのか、明確に認識することはできない。崖を避けようとして、反対側にハンドルを切れば、今度は絶壁に激突するかもしれない。「安全」をとってブレーキを踏めば、後続車に追い越されるか、下手をするとこれに弾き飛ばされるかもしれない。これはCLOである限り、必然的に付きまとうジレンマである。そして、このジレンマに直面し、その困難さを意識しつつ、いかにバランスの取れた判断を行うか、腐心しているところのものである。

　繰り返すが、そこに客観的、一義的な「正解」はない。

　その中で、どのように解決を見つけていくか。

　様々な意見が披露される。そのどれにも一定の理がある。議論を尽くしたところで一つの結論に収斂するとは限らず、誰もが真剣である。「話し合えば丸く収まる」といった牧歌的な世界ではない。むしろ、「皆が同じように考えるときは、誰も深く考えていない」（ウォルター・リップマン）。

　そのような中で、反対論のあるまま結論を立て、企業を動かさなければならない。そのためには、強固な自恃の精神と責任感、そして正しいことを企業にさせる、会社を守るという熱い思いが必要である。さもなければ他の意見に流されてしまう。時には反対を押し切ってでも、正しいと考えた判断を通すことが必要なこともある。

　しかし、そこに陥穽がある。「自恃」や「責任感」、そして「熱い思い」が「独善」に移行するのは極めて容易である。そこに客観的に認識しうる「境界線」は存在しない。

（三）企業の動態のジレンマ

　例えば法律事務所の弁護士の業務と比較したとき、CLOの業務のあり方との本質的相違の一つは、前者の依頼者へのかかわり方があくまで「案件」ベース、言いかえれば、単発的・偶発的であるのに対して、後者は継続する事業体としての企業そのものを対象とすることである。これがまた、CLOの「二足のわらじ」に関して深刻なジレンマをもたらす。

　留意しなければならないのは、企業の改善は一朝一夕にはできないことである。

　例えば、伝統的にコンプライアンス上の問題を内包した業界慣行があったとして、その中の一企業の経営陣が問題に目覚め、改善を志したとしよう。多くの幹部はその業界の慣行に慣らされており、法律を守れと言っただけで動くわけはない。「トレーニング」といったきれいごとだけで済むわけでもない。さらに深刻なことには、かかる慣行は当該業界のビジネス・モデルに深く見込まれており、経済的には一応の合理性がある。コンプライアンス上の問題といっても、法的には100%クロということもできない。これを変更するには企業の収益構造の大掛かりな変更が必要になるばかりか、究極的には業界全体のビジネス・モデルの改革が必要にすらなるかもしれない。

　ことを実現するためには、駆け引きや妥協といった政治的な動きも必要になろうし、人事的な対応も必要になる。最後には改革への非同調者を異動なり退職させるといった荒療治が必要になるかもしれない。さらには、ビジネスのやり方そのものを改革する必要が生じる。一企業の文化を変えるのは多大の努力と時間、そして経費を要する。それでも経営陣なり企業幹部なりが努力しようとしている場合、CLOはその努力のサポートをするのが責務である。しかし、それが成功するまでの間（しかも成功するという保証が必ずあるわけでもない）、不適正ないし不適切な企業行動は継続することになる。そしてその間、CLOは、問題が継続することを受忍せざるを得ない。

　現状が不適正ないし不適切だからといって、それを指摘して即刻の完全対応を要求し、それができない場合に企業の関係事業を全て停止せよと言い張るようなことではCLOの機能は達せられない。そのような言葉をビジネスが聞き入れることもなく（あるいは聞き入れることは不可能であり）、結局はなにも変わらない。まして、それが受け入れられないことを理由にして辞任するようではただの駄々っ子になってしまう。

　CLOは企業の意思決定過程に関与し、企業が正しく事業に従事するという結果を現出することをもってその意義とする。しかし、CLOの企業に対する影響力は、これもまた一朝一夕に得られるものではなく、試行錯誤、一進一退を繰り返しながら次第に向上していくものである。これはシニアなCLOにとってすら決して容易なことではない。

　CLOが初めから企業に対して多大の影響力を行使することは可能ではない。言い換えれば、CLOの意見が通らないことがあることが一種「生理的」現象として想定されうるということである。これをCLOの側から見れば、適切な影響力を得るまで企業が法的に問題を抱え続けることに手をこまねき続けなければならないことを意味する。

　ここに不都合な真実がある。影響力の拡大・深化という観点からすると、逆に問題が重大・深刻であればあるほど忍従を余儀なくされることになるということである。当然のことながら、ことが重大・深刻であればあるほど、それを正すのに企業内において大きな影響力が必要であるからである。

　企業におけるある問題が極度に重大・深刻であり、是正のために努力したがそれが功を奏しなかったとして、CLOはやむなく辞任の選択を得ざるを得なかったとして、そのCLOは「最善を尽くした」と満足を得ることができるのだろうか、それとも、もう少し忍耐深くしていたら、やり方を工夫していたらと悔いを引きずることになるのであろうか？

（四）CLOの影響力の増大とそのジレンマ

　それでは、企業の動態の中で、CLOが努力してビジネスの信頼を獲得し、企業の行動に対して強い影響力を得たとしよう。企業の皆がCLOのいうことを聞いて、その言に従う。それで「二足のわらじ」の問題は解決されるのであろうか。

　答えは「否」である。

　CLOがビジネスから強い信頼を得るようになること、あるいは、企業内において、高い地位と権限、なかんづく権威を有するようになることは、「二足のわらじ」のジレンマの解決にはならないばかりか、CLOにとってむしろ問題をより深刻ならしめるのである。

　影響力が増せば増すほど、CLOの判断が企業の最終的な意思決定により直接につながることとなる。CLOは企業の最高法務責任者である。まさに「背後にはもう誰もおらず」自分が決めなければならないという立場に置かれる。その結果として、CLOの肩に重い責任がのしかかる。その責任には、プロフェッショナルとして、企業に正しい行動を取らせ得たことと並んで、企業のビジネスに対する結果も含まれるのは必然である。その結果に対して影響力を有しているからである。自分の意見で「本当に」ことが「動いてしまう」のである。影響力を有している以上、責任を負うことは当然である。「言うべきことは言った。あとは社長が決めること」と達観してはいられない。その重圧は半端ではない。かかる重圧化においてなお、CLOは法律家として客観性を維持しつつ、かつ、企業の一員としてバランスの取れた判断をしなければならない。そこでは正解のない中、微妙な衡量が求められることになるが、その分だけ企業を誤った方向に導くリスクも、また不可避的に大きくならざるを得ない。

　「[企業内法律家]の役割は、[法律家]によって営まれる機能のうち、『最も複雑で、困難な部類に属する』」 (“「[T]he role of corporate counsel is among THE MOST COMPLEX and DIFFICULT of those functions performed by lawyers”)（強調引用者）」_*1という言葉があるが、CLOはまさにそれが究極的に当てはまるといえよう。

参考文献：
*1　ジェフリー・C・ハザード・ジュニア、筆者監訳「企業内弁護士の倫理的ジレンマ」中央ロー・ジャーナル第18巻4号183頁

五　CLOのあり方

１．「パートナー」vs.「ガーディアン」

　前項において、CLOが企業内において多様な役割を果たしていることを見てきた。それでは、それらの役割を果たす中で、CLOは何を目指すのか。ここでは、CLO・企業法務部のあり方としてよく議論されるところの「パートナー」と「ガーディアン」の概念を中心に検討することとしたい。

四　CLOの役割

４、非公式な役割

　CLOが企業内において大きな影響力を有することができる理由の一つは、CLOが正式・公式な職務を果たしていることに加え、しばしば種々の非公式な役割を演じていることによるものであるとされる。それは、表面には現れにくいものであるが、往々にして、正式な職務に基づくものよりも、現実にはむしろより強力な影響力をもたらすものである。

四　CLOの役割

３、マネジメントおよび法務を超えたビジネスの役割

　CLOは法律専門家であるだけでは足りず、これを超えてマネジメントや法務を超えたビジネスの役割を果たさなければならない。

四　CLOの役割

１、伝統的な法律業務（承前）

b）教育者

　企業の抱える法律問題に関して、企業の構成員を教育することは、CLOにとっての枢要な任務である。

３、経営陣の一員（承前）

　なんといっても、CLOの地位を特徴づけるのは、CLOがその企業の経営陣の一員として、企業の経営レベルにおける意思決定とその実行に関して権限を有し、義務を負うということである。

２、「プロフェッショナル」（承前）

　プロフェッショナルであることのアイデンティティの本質が、それが所属している個別企業の外にあるということを前回述べたが、これに対して否定的な見解がある。