執筆：弁護士・社会保険労務士 中野秀俊（一般社団法人SES事業適正化協会 代表理事）
常駐しているエンジニアが、顧客データの入ったPCを電車に置き忘れた。本番環境で誤ったコマンドを実行し、客先のサービスが半日止まった―ある日突然、客先からこうした連絡が入り、「損害はすべて御社に請求します」と告げられる。SES事業を続けていれば、どの会社にも起こり得る場面です。
多重の委託構造の中で働く外部エンジニアによる情報漏えいは、決して珍しい話ではありません。2014年に発覚した大手通信教育会社の顧客情報流出事件では、システムの開発・運用を委託されたグループ会社のさらに再委託先の会社に所属するエンジニアが、顧客情報を持ち出して名簿業者に売却していました。
流出は名寄せ後の推定で約3,504万件にのぼり、委託元の会社は事件に関連して260億円の特別損失を計上しています。
事故が起きたとき、経営者の頭に浮かぶのは「会社はどこまで払うのか」「本人に払わせることはできないのか」という2つの問いです。本記事では、SES事業者の契約と労務を支援してきた弁護士・社労士の立場から、事故直後の対応、SES会社が負う責任、エンジニア本人に請求できる範囲の限界、そして契約と保険での備えを、判例をもとに解説します。
| この記事の結論 ・常駐エンジニアのミスや不正による損害は、雇用主であるSES会社が、客先との契約上の責任として原則として賠償責任を負います。 ・賠償額は、基本契約書に損害賠償の上限があるかどうかで大きく変わります。上限がなければ、委託料の何十倍もの請求を受けることがあります。 ・会社からエンジニア本人への請求は、最高裁により「信義則上相当と認められる限度」に制限されています。単なるミスで全額を払わせることはできません（茨城石炭商事事件では損害の4分の1が限度とされました）。 ・「漏えいしたら〇万円を支払う」という誓約書は無効になり得ます。給与からの一方的な天引きも原則として違法です。 ・本当の備えは、契約の責任制限条項、情報管理の仕組み、保険の3つです。本人への請求は、最後の手段にすぎません。 |
1．事故が起きた直後にやること
情報漏えいや重大障害が起きた直後の対応は、その後の賠償額と取引の継続に大きく影響します。最初の数日で、次のことを進めてください。
- 事実の把握と証拠の保全：いつ、誰が、何を、どのように起こしたのかを確認します。PCやログ、チャットの記録を保全し、本人からの聞き取りは記録に残します。
- 客先への報告：契約上の報告義務がある場合が多く、報告の遅れは信頼を大きく損ないます。分かっている事実と、調査中の事項を分けて伝えます。
- 被害の拡大防止：該当するアカウントやアクセス権の停止、端末の遠隔ロックなど、被害が広がらない措置を取ります。
- 個人情報が含まれる場合の報告対応：後述する個人情報保護委員会への報告の要否を、客先と一緒に確認します。
- 保険会社と弁護士への連絡：保険に入っている場合は早めに連絡します。客先への説明の範囲や、本人への対応も弁護士と相談しながら進めます。
個人情報の漏えいと報告義務
個人データの漏えいなどが、次のいずれかに当たる場合、事業者には個人情報保護委員会への報告と本人への通知が義務づけられています。
| 報告対象となる事態 | 報告の期限 |
| ①要配慮個人情報（病歴など）が含まれる ②不正に利用されると財産的な被害が生じるおそれがある（クレジットカード番号など） ③不正の目的で行われたおそれがある（不正アクセス、従業員による持ち出しなど） ④1,000人を超える漏えいなど | 速報：知った時点からおおむね3〜5日以内 確報：30日以内（③の場合は60日以内） |
SES会社が客先から個人データの取扱いを委託されている場合、委託元（客先）に漏えいの事実を通知すれば、SES会社自身の報告・通知義務は免除されます（個人情報保護法26条1項ただし書）。ただし、何もしなくてよいわけではありません。速やかに客先に通知し、客先が期限内に報告できるよう、調査に協力することが必要です。
2．SES会社が客先に負う責任
責任の根拠
| 相手 | 責任の根拠 | 内容 |
| 客先（契約の相手方） | 準委任契約の善管注意義務違反（債務不履行） | エンジニアは会社の契約を履行する「手足」として扱われるため、エンジニアの過失は会社の過失と同じに評価される。通常生じる損害と、予見できた特別な損害の賠償 |
| 被害を受けた個人など（第三者） | 使用者責任（民法715条） | 社員が業務の中で他人に損害を与えた場合、会社も賠償責任を負う。情報が漏えいした本人からの慰謝料請求などが典型 |
| 再委託先のエンジニアの場合 | 債務不履行（履行を任せた者の行為） | 協力会社やフリーランスのエンジニアのミスでも、上位に対しては自社が責任を負う。協力会社への請求はその後の話 |
請求されやすい損害
| 事故の種類 | 請求されやすい損害の例 |
| 情報漏えい | 原因調査の費用（フォレンジック調査など）、本人へのお詫びの費用（金券など）、問い合わせ窓口の設置・運営費用、再発防止策の費用、本人からの損害賠償請求への対応費用 |
| システム障害 | 復旧作業の費用、障害期間中の売上の損失、客先が顧客に支払った補償、代替要員の手配費用 |
結論を左右するのは「損害賠償の上限条項」
SES会社の負担がどこまで膨らむかは、客先との基本契約書に損害賠償の上限があるかどうかで大きく変わります。「賠償額は、損害の原因となった個別契約の委託料の総額を上限とする」といった条項があれば、負担は委託料の範囲にとどまります。上限がなければ、月額数十万円の案件で、数千万円、数億円の請求を受けることもあり得ます。
もっとも、上限条項があっても、多くの契約では「故意または重大な過失がある場合」は上限の対象外とされています。エンジニアが意図的にデータを持ち出したケースや、明らかなルール違反があったケースでは、上限が適用されるかどうかが争いになることがあります。
契約書の確認方法は、関連記事「SES基本契約書で必ず確認すべき10条項」で詳しく解説しています。
3．エンジニア本人に請求できる範囲の限界
最高裁は「全額の請求」を認めていない
会社が客先に賠償した後、「原因を作ったエンジニア本人に払ってもらいたい」と考えるのは自然な感情です。しかし最高裁は、茨城石炭商事事件（1976年7月8日）で、会社は、事業の性格や規模、社員の業務内容や労働条件、勤務態度、加害行為の態様、事故の予防や損失の分散についての会社の配慮の程度などの事情に照らし、損害の公平な分担という見地から信義則上相当と認められる限度でしか、社員に賠償や求償を請求できないと判断しました。この事件では、請求できるのは損害の4分の1が限度とされています。
理由は、会社は社員を使って利益を上げている以上、事業に伴うリスクも負うべきだ、という考え方にあります。さらに最高裁は、福山通運事件（2020年2月28日）で、社員が被害者に賠償した場合には、逆に社員から会社に対して負担を求められる（逆求償）とも判断しています。
ケース別の目安
| ケース | 本人に請求できる範囲の目安 | 考え方 |
| 通常の業務上のミス（誤送信、設定ミス、操作ミスなど） | ごく一部か、まったく認められないことも多い | 業務に伴って通常起こり得るリスクは、会社が負担すべきと考えられる |
| 重大なルール違反（禁止されている私物端末への保存、データの持ち帰りなど） | 一部は認められる余地がある | 会社がルールを定め、教育し、守られているかを確認していたかが問われる |
| 故意の不正（データの持ち出し・売却など） | 大きな割合、場合によっては全額 | ただし本人に支払い能力がないことが多く、回収は現実には困難。刑事告訴もあわせて検討する |
会社がどれだけ事故を防ぐ努力をしていたかも、請求できる範囲に影響します。セキュリティ対策や教育が不十分なまま、事故の責任だけを社員に負わせることは認められにくいと考えてください。
| 注意：やってはいけない「本人への請求」 ・誓約書で賠償額を決めておく：「情報を漏えいした場合は100万円を支払う」といった約束は、労働契約の不履行について賠償額をあらかじめ定めることを禁じる労働基準法16条に違反し、無効になり得ます。 ・給与から一方的に天引きする：賃金は全額を支払うのが原則です（労働基準法24条）。本人の自由な意思による同意がない限り、損害賠償と給与を相殺することはできません。 ・退職を認めない・退職金を全額不支給にする：損害を理由に退職を拒むことはできません。退職金の不支給・減額も、就業規則の根拠と相当性が必要です。 ・家族に支払いを求める：家族には法的な支払義務はありません。身元保証人がいる場合でも、責任の範囲には法律上の制限があります。 |
4．協力会社・フリーランスのエンジニアが起こした場合
多重下請けの中で、協力会社から受け入れたエンジニアが事故を起こした場合、責任は次のように流れます。
| 関係 | 責任の流れ | 注意点 |
| エンドユーザー → 上位SIer | 上位SIerが、エンドとの契約にもとづいて責任を負う | エンドとの契約の上限条項が基準になる |
| 上位SIer → 自社 | 自社が、上位との契約にもとづいて責任を負う | 協力会社のエンジニアのミスでも、上位に対しては自社の責任 |
| 自社 → 協力会社 | 協力会社との契約にもとづいて請求する | 会社どうしの請求には、茨城石炭商事事件のような制限は直接は及ばない。ただし契約の上限条項と、協力会社の支払い能力が問題になる |
| 自社 → フリーランス | 業務委託契約にもとづいて請求する | 実態が雇用に近い場合は、労働者として請求が制限される可能性がある |
ここで気をつけたいのが、上位との契約には上限がないのに、協力会社との契約には上限がある、あるいはその逆、という「責任のねじれ」です。小規模な協力会社には支払い能力がないことも多く、結局は自社が負担を抱えることになりかねません。上位と下位の契約の責任条項を、あわせて点検しておくことが大切です。
5．懲戒処分と刑事責任
事故を起こしたエンジニアへの懲戒処分は、就業規則の定めにもとづき、行為の内容に見合ったものでなければなりません。
| ケース | 懲戒の考え方 |
| 通常の業務上のミス | 注意・指導が中心。懲戒をするとしても軽いものにとどめる。ミスを理由とする解雇は無効になりやすい |
| 重大なルール違反 | ルールの周知や過去の指導の有無を踏まえて、けん責・減給などを検討する |
| 故意の持ち出し・売却 | 懲戒解雇が有効とされる可能性が高い。手続き（弁明の機会など）は省略しない |
故意にデータを持ち出した場合は、刑事責任も問題になります。前述の顧客情報流出事件でも、エンジニアは不正競争防止法違反（営業秘密の複製）で逮捕・起訴されました。また、個人情報保護法には、従業者が不正な利益を図る目的で個人情報データベースを提供した場合の罰則があり、本人だけでなく会社にも罰金が科される規定があります。
6．契約・仕組み・保険で備える
事故が起きてから本人に請求しても、回収できる額はわずかです。SES会社を守るのは、事前の備えです。
| 備え | 具体的な内容 |
| 契約 | 客先との基本契約に損害賠償の上限を設け、間接損害・逸失利益を除外する。協力会社との契約の責任条項と整合させる |
| 技術的な対策 | 私物端末の持ち込み・接続の制限、USBなどへの書き出しの制御、アクセス権限の最小化、操作ログの記録。前述の流出事件でも、私物スマートフォンの接続や書き出し制御の不備が問題とされた |
| ルールと教育 | 情報管理規程と就業規則で禁止事項を明確にし、配属時と定期的に教育する。教育の記録を残す（本人への請求の可否にも影響する） |
| 本番環境での作業ルール | 本番環境での作業は手順書とダブルチェックを必須にする。重大な操作は客先の承認を得る |
| 保険 | IT業務賠償責任保険やサイバー保険で、賠償金、原因調査の費用、お詫びの費用などに備える。補償範囲と免責事由（故意など）を確認する |
7．事故への備えのチェックリスト
☐ 客先との基本契約に、損害賠償の上限と間接損害の除外がある
☐ 協力会社・フリーランスとの契約の責任条項が、上位との契約と整合している
☐ 情報漏えいや障害が起きたときの報告手順（社内・客先・保険会社・弁護士）が決まっている
☐ 私物端末の持ち込み・接続や、外部記録媒体への書き出しを制限している
☐ 情報管理規程・就業規則で禁止事項を定め、教育の記録を残している
☐ 誓約書に、賠償額をあらかじめ定める条項を入れていない
☐ 本番環境での作業手順とダブルチェックのルールがある
☐ IT業務賠償責任保険・サイバー保険の加入状況と補償範囲を確認している
8．よくある質問
Q. 常駐エンジニアが客先で情報漏えいを起こした場合、SES会社は賠償責任を負いますか？
A. 原則として負います。エンジニアは会社の契約を履行する立場にあるため、そのミスは会社の債務不履行として扱われます。賠償額は、客先との基本契約書の損害賠償の上限条項によって大きく変わります。
Q. 事故を起こしたエンジニア本人に、損害の全額を請求できますか？
A. 通常のミスであれば、全額の請求は認められません。最高裁は、会社から社員への請求を「損害の公平な分担という見地から信義則上相当と認められる限度」に制限しており、茨城石炭商事事件では損害の4分の1が限度とされました。故意の不正の場合は、大きな割合の請求が認められる余地があります。
Q. 誓約書で「情報漏えいの場合は〇万円を支払う」と定めておけば有効ですか？
A. 無効になり得ます。労働基準法16条は、労働契約の不履行について違約金や損害賠償額をあらかじめ定めることを禁じています。実際に生じた損害を、事故の後に請求することとは区別されます。
Q. 損害額を給与から天引きしてもよいですか？
A. 原則として違法です。賃金は全額を支払うのが原則で（労働基準法24条）、本人の自由な意思による同意がない限り、損害賠償と給与を相殺することはできません。
Q. 個人情報が漏えいした場合、個人情報保護委員会への報告は誰がしますか？
A. 客先から個人データの取扱いを委託されている場合、SES会社が客先（委託元）に通知すれば、SES会社自身の報告義務は免除されます。その場合は客先が報告と本人への通知を行います。速報はおおむね3〜5日以内、確報は30日以内（不正目的の場合は60日以内）です。
Q. 協力会社から受け入れたエンジニアが事故を起こした場合は？
A. 上位の客先に対しては、自社が責任を負うのが原則です。そのうえで、協力会社との契約にもとづいて協力会社に請求します。上位との契約と協力会社との契約の責任条項が食い違っていると、自社が負担を抱えることになります。
Q. 保険で備えることはできますか？
A. IT業務賠償責任保険やサイバー保険で、賠償金、原因調査の費用、お詫びの費用などに備えられる場合があります。ただし、故意による行為が免責になるなど補償範囲には限りがあるため、加入時に内容を確認してください。
| 中野弁護士の視点（元IT企業経営者として） 社員のミスで客先に頭を下げることになれば、「本人に責任を取らせたい」と感じるのは、経営者として自然な感情です。私自身、IT企業を経営していた立場として、その気持ちはよく分かります。 しかし、社員に損害を負わせても、会社が失った信頼は戻りません。むしろ、ミスを報告した社員が責められる会社では、次のミスは隠されるようになり、もっと大きな事故につながります。事故が起きたときに会社を守るのは、本人への請求ではなく、事前に整えた契約・仕組み・保険です。そして、ミスをすぐに報告できる職場であることが、被害を最小限に抑える一番の対策だと考えています。 |
まとめ
- 常駐エンジニアのミスや不正による損害は、SES会社が客先との契約上の責任として原則として賠償責任を負います。
- 賠償額は、基本契約書の損害賠償の上限条項で大きく変わります。故意・重大な過失の場合は上限の対象外とされることが多い点に注意が必要です。
- エンジニア本人への請求は、最高裁により信義則上相当と認められる限度に制限されています。通常のミスで全額を負担させることはできません。
- 賠償額を定めた誓約書、給与からの一方的な天引きは違法・無効になり得ます。
- 個人データの漏えいでは、客先（委託元）への通知と、客先による期限内の報告への協力が必要です。
- 本当の備えは、契約の責任制限条項、情報管理の技術的対策とルール、保険の3つです。
弁護士・社労士への相談はこちら
当協会の代表理事・中野秀俊は、弁護士・社会保険労務士として、グローウィル国際法律事務所とグローウィル社会保険労務士事務所の代表を務めています。事故発生直後の客先への対応や賠償額の交渉といった弁護士の領域と、エンジニアへの処分や就業規則の整備といった社労士の領域を、ワンストップでサポートします。