BYODを解禁する場合、私物端末の設定やインストールされているアプリケーションが、自社のセキュリティポリシーに合致しているかどうかを監視したいと考えるユーザー企業は少なくないだろう。そこで重要になるのが「プライバシー」だ。個人的な写真や連絡先など、業務とは関係がない情報が詰まっている私物端末に関して、どこまで監視をしていいのか、あるいはどこまで監視すべきなのかを見極めるのは難しい。監視の仕方によっては、「プライバシーの侵害」として従業員から訴えられかねないからだ。

　「私生活をみだりに公開されないという法的保証ないし権利」と定義され、憲法に基づいた権利として保護されているプライバシー。その侵害にはどういった要件が求められるのか。プライバシーの裁判では必ず引用されるという、東京地方裁判所1964年9月28日判決（『宴のあと』事件）では、以下の3要件をプライバシー侵害の要件として規定している。

• 公開された内容が、私生活上の事実または私生活上の事実らしく受け取られる恐れのある事柄であること（私事性）
• 公開された内容が、一般人の感受性を基準に公開を欲しないであろうと認められる事柄であること
• 公開された内容が、一般の人々にいまだ知られていない事柄であること（非公開性）

拡大解釈されるプライバシー

　「最近では、プライバシーが拡大解釈されるようになっている」と中山氏は指摘する。最高裁判所2003年9月12日判決（早稲田大学江沢民講演会事件）では、大学が警備のために学籍番号や氏名、住所、電話番号が記載された名簿を警視庁に提出したことがプライバシー侵害ではないかと争われた。

　第一審、第二審では、名簿に記載された学籍番号などの情報は、法的に保護される度合いが相対的に低いことなどから、不法行為との訴えをしりぞけた。だが最高裁は一転、「本人が、自己が欲しない他者にはみだりにこれを開示させたくないと考えることは自然なことであり、そのことへの期待は保護されるべきものである」と判断。名簿情報の開示がプライバシー侵害に当たるとの判決を下した。

　「『他者にみだりに公開されたくない情報がプライバシーになる』というのが、現在の裁判所の立場」だと、中山氏は説明する。

違法性はどう判断される？

　仮に上記要件と照らし合わせてプライバシーの侵害が認められたとしても、すぐに違法となるわけではないと中山氏は説明する。「幾つかの要素を踏まえた上で違法性を判断するのが、日本の裁判所の伝統的な立場」だからだ。私物端末の監視に当てはめた場合、監視される側に生じた不利益の大きさと、監視行為が社会通念上相当な範囲を逸脱しているかどうかを考慮し、違法性の判断が決まる。

　私物端末からLANを利用して送受信した私的なメールの監視について考えてみよう。社内インフラを利用してやりとりしたメールである以上、「そもそもプライバシー性は低く、監視される側に生じる不利益は小さいと考えられる」と中山氏は指摘する。特に、会社のメールシステムを使って私的なメールをやりとりする場合は、「会社はかなり広い範囲でメールを確認可能だといえる」。

　メールの監視におけるプライバシー侵害に関する裁判では、監視した人にそもそも権限があったかどうかが争点となる可能性がある。「誰が監視する権限を持つかを社内で明確にしておくことが必要だ」と中山氏は語る。

　監視の目的や手段も、メール監視の違法性を判断する上で重要な要素となる。合理的な必要性があればよいが、個人的な好奇心に基づいて監視をしたり、恣意的な手法で監視したりすると、違法だと判断される可能性が高まる。

　参考となる判例が、東京地裁2002年2月26日判決（日経クイック情報事件）だ。判決では、企業秩序に違反する行為があった際、違反者を懲戒処分するために事実関係の調査が可能であると指摘。その一方で、調査に合理的な必要性がなく、調査方法や態様が社会的に許容し得る限界を超える場合は、不法行為となり得るという判断を示している。

ケース2：私物端末で情報漏えいを起こした場合は？

　従業員が、私物端末に入れた顧客情報や取引情報といった機密情報を漏えいさせていしまった場合はどうだろう。会社の情報漏えい事件の多くが、端末の誤操作や紛失といった過失や故意による持ち出しなど、従業員の行為に起因する中、従業員を犯罪者にしないための対策が求められる。

　「今でも同じ判決になるかどうかは分からない」と前置きしつつ、中山氏が参考となる判例として紹介するのが、札幌地裁2005年4月28日判決と札幌高裁2005年11月11日判決（いずれも北海道警察捜査情報漏えい事件）である。北海道警察の巡査が、警察署に持ち込んでいた私物のノートPCで捜査関連書類を作成。巡査がそのノートPCを家に持ち帰ってファイル交換ソフト「Winny」を利用したところ、感染していたマルウェア「Antinny.G」によって捜査情報が他のWinny利用者に閲覧される事案が発生した。

　争点となったのは、私物ノートPCの利用が職務行為に当たるかどうかだった。第一審の札幌地裁判決では、警察署で私物のノートPCを使って捜査関係書類を作成し、HDDへ保存した行為は職務行為であると指摘。それに加え、ノートPCを自宅に持ち帰ってインターネットへ接続する行為についても、捜査関係文書の作成という職務行為と関連して一体不可分な行為であり、職務行為に当たると判断。巡査の注意義務違反を認定し、慰謝料40万円の支払いを命じた。

　ところが札幌高裁の控訴審では、この判決が破棄された。私物ノートPCを警察署内で利用する限りは職務行為に当たるが、そのノートPCを家に持ち帰ってインターネットへ接続する行為は、クルマの運転などと同様に誰もがしている行為であり、職務とは無関係であると指摘。ノートPCに捜査関連文書が保存されていても、インターネット接続などの私的行為性に影響を与えるとはいえないと判断した。過失の前提となる予見可能性についても、Antinny.Gに関する情報がマルウェア対策ソフトベンダーなど一部のWebサイトへの掲載にとどまっていたことなどから否定した。

企業は自己防衛として規定を用意すべし

　以上、私物端末の監視に関するプライバシー侵害と、私物端末からの情報漏えいに関する法的リスクについて、判例を参考にしつつ紹介してきた。中山氏は、「BYODに関する社内規定を設けておくことが、自己防衛のために必要だ」と強調する。

　私物端末の監視に関する規定を策定する上で参考になるのが、経済産業省がまとめた「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」。同ガイドラインは、監視によって取得する個人情報の利用目的をあらかじめ特定して規定に定め、従業者に明示することが必要だと指摘する。

　私物端末からの情報漏えいを防ぐには、端末内に業務データを残さない仕組みがあるとよい。リモートデスクトップやデスクトップ仮想化、セキュアブラウザなどは、有力な解決策となるだろう。

　後編は、社会保険労務士事務所であるピー・エム・ピーの代表取締役、鈴木雅一氏の話から、BYOD解禁に伴う就業規則の課題について考察する。