2025年は危機管理上の重要法案が審議される年！今からでも準備を！～通報者保護、情報セキュリティ、ハラスメント防止（カスハラ、就活等セクハラ）に関する重要ポイントを解説～

総合研究部 上級研究員　安藤未生

０．はじめに：2025年の通常国会は重要法案の審議ラッシュ！

皆さんは、「内部通報規程、情報管理規程（個人情報保護規程、生成AI利用規程を含む）、就業規則（ハラスメント防止規程、懲戒規程を含む）を一気に改正しないといけないかも…」と言われたら、どう思われますか。

規程の改正だけでなく、それに付随するマニュアルの改訂（場合によっては新設）、社員教育、体制整備にも取り組む必要があるとしたら…。

自社が置かれている現状を把握しなければ、必要なルール作りや体制整備もできない場合、まずはアンケートなどの調査をするところから始めないといけないとしたら…。

近い将来、このような状況が現実になるかもしれません。

今年の通常国会が1月24日に召集され、会期は6月22日までの150日間[1]の予定です。この通常国会において、企業の危機管理に関する以下の重要法案について審議される予定です。

これらの法案は、これから審議されるため、会期内に成立するのか、成立したとしたら、いつ施行されるのか等は不透明ですが、ほぼ同時期に成立した場合、施行のタイミングもほぼ同時期になる可能性も否定できません。所管する府省庁が異なりますから、「他の法律の施行と重なってしまうから」などと、他所の事情まで考慮の上で、施行のタイミングが設定されるでしょうか。それは期待しない方が無難だと思います。今から、少しずつ準備を始められることをお勧めします。

本稿では、以下の流れで、これらの法案の内容を解説しつつ、企業危機管理の実務にどのように影響を及ぼすかを考察します。

１．通報者保護（公益通報制度）

1） 公益通報者保護法の改正案[2]

公益通報者保護法は、2004年6月に成立した法律です。2000年頃から、事業者による食品偽装やリコール隠しなど、国民生活の安心・安全を損なう事業者の不祥事が相次ぎましたが、これらの不祥事の多くは、労働者等による外部への通報をきっかけに明らかになりました。労働者は、事業者内部の不正行為を最も早く知り得る立場にありますが、その事実を通報すると、上司などから報復行為（解雇、懲戒、降格、減給、不利益な配置転換、嫌がらせ等の不利益な取扱い）を受けるおそれがあります。そこで、どのような内容の通報をどこへ行えば、労働者が不利益な取扱いから保護されるのかを明確化するために生まれたのが、公益通報者保護法です。

その後、2020年の改正によって、事業者がとるべき措置については、その自主的な取組みに委ねるのではなく、常時使用する労働者の数が300人超の事業者に対して体制整備義務が課され、従事者（内部公益通報受付窓口において受け付ける内部公益通報の受付、調査、是正に必要な措置の全て又はいずれかを主体的に行う業務及び当該業務の重要部分について関与する者であり、かつ、当該業務に関して公益通報者を特定させる事項を伝達される者[13][14]）の守秘義務違反には30万円以下の罰金が規定されたことは、皆さんのご記憶に新しいと思います。

ところが、2023年に消費者庁が実施した「内部通報制度に関する就労者1万人アンケート調査」[15]では、「誰に相談・通報したら良いか分からない」、「人事異動などで不利益な取扱いを受けるおそれがある」、「勤務先の窓口が信頼できたとしても、それ以外の関係者から自分が通報したことが上司等に漏れるおそれがある」といった回答が多くを占め、事業者内で重大な法令違反行為を目撃した場合、労働者が公益通報を躊躇・断念してしまうおそれがあることが確認されました。

さらに、日本は、国連ビジネスと人権の作業部会（The UN Working Group on Business and Human Rights）から、「通報者に報復する事業者に対する制裁措置を設けること等、通報者保護を更に強化すること」を勧告されるなど、グローバルな視点に立つと、日本の公益通報者の保護は、依然として弱い状況だと言えます。

そこで、消費者庁は、有識者によって構成する「公益通報者保護制度検討会」を開催し、2024年5月から公益通報者保護制度の見直しについて検討を進めてきました。以下は、公益通報者保護制度検討会が2024年12月27日に取りまとめた「公益通報者保護制度検討会 報告書 －制度の実効性向上による国民生活の安心と安全の確保に向けて－」[2]から見えてきた、公益通報者保護法の改正案の概要です。刑事罰の量刑については、公益通報者保護制度検討会の報告書には記載されていないため、読売新聞の記事[16]を参照しています。

※上記の順番は「公益通報者保護制度検討会 報告書 －制度の実効性向上による国民生活の安心と安全の確保に向けて－」[2]の掲載順です。

2） 今から企業が対応しておくべきこと

① 従事者の指定状況を点検

特に、現行法（公益通報者保護法第11条第1項）でも従事者の指定が義務付けられている、常時使用する労働者の数が300人超の事業者では、まず、従事者が指定されているかどうかを点検いただくことをお勧めします。従事者とは、「内部公益通報受付窓口において受け付ける内部公益通報に関して公益通報対応業務（内部公益通報の受付、調査、是正に必要な措置の全て又はいずれかを主体的に行う業務及び当該業務の重要部分について関与する業務[14]）を行う者であり、かつ、当該業務に関して公益通報者を特定させる事項を伝達される者」[13]を指します。「公益通報者を特定させる事項」とは、「公益通報をした人物が誰であるか『認識』することができる事項」[14]を指し、公益通報者の氏名、社員番号等のように当該人物に固有の事項を伝達される場合に限らず、例えば、部署名と性別の情報を組み合わせれば自ずと誰かが分かってしまう場合、部署名と性別の情報だけでも「公益通報者を特定させる事項」に該当します。

「従事者を事業者外部に委託する際においても、同様に、従事者の地位に就くことが従事者となる者自身に明らかとなる方法により定める必要がある」[14]とされていますので、社外窓口（弁護士、社会保険労務士、専門企業など）を設置している場合は、社外窓口に対しても従事者を指定する必要がありますので、社外の人も漏れなく従事者に指定しているかどうかを点検してみてください。

そして、単に、通報窓口の担当者を従事者に指定するだけでは不十分です。消費者庁のQ＆A集によると、「取締役や監査役について、公益通報者を特定させる事項を含む形で内部公益通報に関する報告を受けるのであれば、原則として従事者に指定する必要がある」[17]とされていますので、通報に関する報告ルート上にある役員も従事者に指定しておく必要があります。

さらに、通報窓口の担当部門以外に属している労働者も、事案によって、調査担当者となる場合は、その都度、従事者に指定する必要があります[14]ので、事案ごとに都度指定をしているかどうかも点検いただくことをお勧めします。

なお、通報窓口の担当者でない上長等に対して通報（報告）がされた場合は、「内部公益通報受付窓口において受け付ける内部公益通報」ではないため、当該上長等を従事者として定める必要はありません[17]。

② 従事者に対する教育

上記②のとおり、漏れなく従事者を指定したら、今度は従事者に対して、通報制度に関する知識や対応のノウハウについて教育をしましょう。消費者庁の指針の解説[14]では「従事者に対する教育については、例えば、定期的な実施や実施状況の管理を行う等して、通常の労働者等及び役員と比較して、特に実効的に行うことが求められる。法第12条の守秘義務の内容のほか、例えば、通報の受付、調査、是正に必要な措置等の各局面における実践的なスキルについても教育すること等が考えられる」とされていますから、対応ノウハウについても、しっかりと教育することが必要です。

従事者は、公益通報者保護法第21条により、守秘義務違反をすると刑事罰（30万円以下の罰金）が科されますから、それを恐れて「従事者をやりたくない」と指定を拒否される可能性もあります。「会社がしっかりと研修をするから」と説得する場面も出てくると考えられます。（もちろん、教育だけでなく、「従事者個人に責任を押し付けることはない」ようフォローすることも必要です。）

なお、従事者の中には、受付から再発防止まで担う人もいれば、調査だけ担う人もいると思います。消費者庁の指針の解説[14]でも「従事者に対する教育については、公益通報対応業務に従事する頻度等の実態に応じて内容が異なり得る」とあるように、業務内容に応じてメリハリをつけることも考えられます。

③ 周知状況（社外も含め、何を周知しているか、周知が行き届いているか）を点検

すでに現行の内閣府の指針[13]において、「法及び内部公益通報対応体制について、労働者等及び役員並びに退職者に対して教育・周知を行う」とされていますから、周知すべき項目が充足しているか、周知が行き届いているかを点検することをお勧めします。事業者が周知活動をしていても、実際に役員・労働者（派遣労働者も含む）・退職者・請負契約の相手先等に届いていなければ意味がありません。アンケート等で定期的に周知度合いを測定しておかれることをお勧めします。

特に、現行法（公益通報者保護法第2条第1項）では、退職者（通報の日前1年以内に雇用元・勤務先で働いていた者）、取引先事業者の役員・労働者、退職者も通報の主体に含まれています。「取引先事業者」は、請負契約の相手方事業者のほか、卸売業者などとの継続的な物品納入契約、清掃業者などとの継続的な役務提供契約、コンサルティング会社などとの継続的な顧問契約などの相手方事業者も該当します[18]。社内には周知が行き届いていたとしても、社外には周知できていない可能性がないかを点検してみてください。

④ 社内規程で禁止規定が設けられているかを点検

すでに現行法（公益通報者保護法第5条）に不利益取扱いの禁止規定がありますし、現行の内閣府の指針[13]に「通報者の探索を行うことを防ぐための措置をとる」、消費者庁の指針の解説[14]に「調査に誠実に協力しなければならないこと、調査を妨害する行為はしてはならないこと等を、内部規程に明記することが望ましい」とされていますが、これはあくまで、行政府から事業者に対するものであって、行政府が直接的に役員や労働者個人の行動を制限するものではありません。現行法では「事業者は～不利益な取扱いをしてはならない」とされ、主語が事業者ですし、内閣府の指針は「事業者がとるべき措置」を定めたものだからです。

したがって、法律や指針に定めがあるからといって、それだけで役員や労働者個人による不利益取扱い、通報者の探索、調査妨害を止めることはできません。事業者と役員や労働者個人との関係は、契約関係ですから、事業者が役員や労働者個人の行動を制限したい（不利益取扱い、通報者の探索、調査妨害をしないようにしたい）のなら、契約の中に盛り込まなければなりません。

私が複数の企業の規程を見ていた中では、多くの事業者は、不利益取扱いの禁止については社内規程（内部通報規程など）で規定していますが、通報者の探索禁止、調査妨害の禁止については、規定していないケースが散見されましたので、現行の規程ではこれらが規定されているかどうかを点検してみてください。

⑤ 被通報者・周辺者（調査協力者）に対して念押ししているかを点検

社内規程において、不利益取扱いの禁止、通報者の探索禁止、調査妨害の禁止について規定していたとしても、それが被通報者や周辺者（調査協力者）に認識されていなければ、実際に不利益取扱い、通報者の探索、調査妨害を止めることはできません。したがって、例えば、ヒアリング調査を行う際に、調査担当者からヒアリング対象者に念押しで話しておくことが必要です。誓約書などの書面にサインをさせる企業もあります。誓約書ではヒアリング対象者が萎縮してしまうようなら、調査担当者との「お互いの約束事」のように「私も約束を守るから、あなたも守ってほしい」などという言い回しにすることも考えられます。

⑥ 懲罰委員会等の会議体における意思決定の状況を点検

公益通報者保護法の改正案で罰則が追加される予定の、公益通報をしたことを理由とした、労働者に対する解雇・懲戒については、多くの事業者では合議制（懲罰委員会等の会議体で決定すること）になっていると考えられます。そうすると、個人だけの意思決定で解雇や懲戒が行われるとは考えにくく、通報者から「通報した報復として懲戒処分を受けた」などと訴えられた場合、懲罰委員会等の会議体でどのような議論がされたのかを証明することが重要になります。したがって、どのような情報を基に意思決定をしたのか、会議体のメンバーがどのような発言をしたのかといった議事録の作成が必須になりますし、「解雇や懲戒の対象者は通報者である」という情報が会議体のメンバーに伝わっているかも焦点が当たるはずです。

合議制というのは、個人の暴走を止める牽制機能・相互監視機能を持たせる意味を持つのもので、まさにガバナンス（組織が、顧客・従業員・地域社会等の立場を踏まえた上で、透明・公正かつ迅速・果断な意思決定を行うための仕組み[19]）に資するものです。例えば、懲罰委員会のメンバーの中に、「通報者に対する報復として懲戒処分をしたい」と考えている人がいた場合、それを他のメンバーが牽制できたのかどうか、牽制するための情報を得た上で判断ができていたのかによって、ガバナンスが機能していたかどうかの運命の分かれ目になると考えられます。つまり、ガバナンスを機能させるには、「解雇や懲戒の対象者は通報者である」という情報が会議体のメンバーに伝わっていなければなりません。そうすると、前述の「公益通報者を特定させる事項」を伝えることになりますから、解雇や懲戒が通報窓口で受け付けた事案の是正措置として行われるのなら、会議体のメンバーを従事者に指定しておく必要もあります。

⑦ 上司への報告（職制上のレポーティングライン）も公益通報に該当することを点検

「公益通報」や「内部通報」と言うと、「通報窓口」が受け付けるものだとイメージされている方もいらっしゃるかもしれませんが、消費者庁の指針の解説[14]には「職制上のレポーティングラインにおける報告（いわゆる上司等への報告）やその他の労働者等及び役員に対する報告についても内部公益通報に当たり得る」とされています。通報窓口は、組織の自浄作用を発揮させるバイパスルートです。上司等の職制上のラインやレポーティングラインである通常のルートで解決することがベストですが、通常のルートが機能していない場合に通報窓口がバイパスルートとして機能すれば組織の自浄作用が働きます。よくある誤解なのですが、現場の管理職が部下から相談されたときに「窓口に言って」と窓口に丸投げしてしまうことがあります。繰り返しますが、通報窓口はあくまでバイパスルートなので、通常のルートを機能させずに済むことにはなりません。上司の役割が減るわけではないことにご留意ください。（もちろん、上司が対応に苦慮した場合は、例えば、上司が通報窓口に相談して連携することを否定しているわけではありません。）

⑧ 従事者以外の管理職に対する教育

上記⑦を踏まえ、管理職が「自分も公益通報を受け付ける立場である」と認識しているかどうかも、アンケートや研修等で定期的に点検することをお勧めします。

消費者庁の指針の解説[14]において、「内部公益通報受付窓口の担当者以外の者（いわゆる上司等）も内部公益通報を受けることがある。これら内部公益通報受付窓口の担当者以外の者については、従事者として指定されていないことも想定されるが、その場合であっても、事業者において整備・対応が求められる範囲外共有等を防止する体制の対象とはなるものであり、当該体制も含めて全体として範囲外共有を防止していくことが必要である」や「事業者は、内部公益通報受付窓口の担当者以外の者（いわゆる上司等）が内部公益通報を受ける場合においても、例えば、公益通報者の意向も踏まえつつ当該内部公益通報受付窓口の担当者以外の者が内部公益通報受付窓口に連絡するように教育・周知する等、適正な業務の遂行等に支障がない範囲において何らかの通知がなされるようにすることが求められる」とされています。

したがって、前述の不利益取扱いの禁止、通報者の探索禁止、調査妨害の禁止は、上司に報告された場合も対象にするべきです。社内規程で、これらの禁止規定が上司への報告（職制上のレポーティングライン）でも対象になっているかを点検してみてください。その上で、上司が通報を受け付けた際の対応フローやノウハウなどについて教育することが必要です。

実際に不祥事を起こした企業の調査報告書を見ると、職制上のレポーティングラインと通報制度の両方に問題があったケースがあります。例えば、違法な安定操作取引が行われていたSMBC日興証券株式会社では「取締役会等へのレポーティング態勢の目詰まり」と「内部通報制度の機能不全」が指摘されていました[20]し、車両の認証不正が行われていたダイハツ工業株式会社では「現場と管理職の断絶による通常のレポーティングラインの機能不全」と「補完的なレポーティングラインである内部通報制度の運用の問題」が指摘されていました[21]。したがって、通報制度だけではなく、職制上のレポーティングラインについても、通報者保護の仕組みを強化すべきでしょう。これは、まさに内部統制（基本的に、業務の有効性及び効率性、報告の信頼性、事業活動に関わる法令等の遵守並びに資産の保全の4つの目的が達成されているとの合理的な保証を得るために、業務に組み込まれ、組織内の全ての者によって遂行されるプロセス[19]）に資するものです。

⑨ 懲戒事由を追加する場合等には就業規則の不利益変更の手続きを行う

労働政策審議会会長、中央労働委員会会長等を歴任した、東京大学の菅野和夫名誉教授は、「懲戒処分は、企業秩序違反者に対し使用者が労働契約上行いうる通常の手段（普通解雇、配転、損害賠償請求、一時金・昇給・昇格の低査定など）とは別個の特別の制裁罰であって、契約関係における特別の根拠を必要とすると考えられる。すなわち、使用者はこのような特別の制裁罰を実施したければ、その事由と手段を就業規則において明記し、契約関係の規範として樹立すること（就業規則への明記と周知、労契7条参照）を要する。労基法が、常時10人以上の労働者を使用する使用者に対し、制裁の制度を設ける以上は就業規則に明記すべきことを要求しているのも（労基89条9号）、この趣旨によるものといえる」「使用者は懲戒の事由と手段を就業規則に明記して労働契約の規範とすることによってのみ懲戒処分をなしうるし、また就業規則上のそれらの定めは限定列挙と解すべきこととなる」と述べています[22]。

例えば、前述の不利益取扱いの禁止、通報者の探索禁止、調査妨害の禁止を懲戒事由に追加する場合や、現行よりも重い懲戒処分とする場合は、就業規則の改正が必要ですから、労働基準法第90条に基づく過半数労働組合または過半数労働者の意見聴取、同法第89条に基づく労働基準監督署への届け出、同法第106条に基づく労働者への周知が必要です。労働者にとっては不利益な改正になるので、労働契約法第10条に規定された条件（変更後の就業規則を労働者に周知させ、かつ、就業規則の変更が、労働者の受ける不利益の程度、労働条件の変更の必要性、変更後の就業規則の内容の相当性、労働組合等との交渉の状況その他の就業規則の変更に係る事情に照らして合理的なものである）をクリアしなければなりません。

⑩ フリーランスの契約内容を点検

2024年11月1日に施行されたフリーランス・事業者間取引適正化等法（特定受託事業者に係る取引の適正化等に関する法律）により、フリーランスの保護が強化されました。同法では、フリーランスを「特定受託事業者」と定義して、特定受託事業者の給付の内容その他の事項の明示等、発注事業者と特定受託事業者に係る取引について保護を図っています。

同法第14条の規定により、特定業務委託事業者（フリーランスに業務委託をする事業者であって、①個人であって、従業員を使用するもの、②法人であって2以上の役員がいる又は従業員を使用するもののいずれかに該当するもの）が業務を委託する場合、特定業務委託事業者にはハラスメント対策の体制整備義務があり、厚生労働省に指針[23]によって、相談窓口を設置し、フリーランスからハラスメントの相談を受け付け、対応する義務があります。

フリーランスには、発注者の労働者と同じルールが適用されるとは限りません。例えば、調査協力義務です。第三者からの証言を得る必要があり、それが相談者であるフリーランスとは別のフリーランスであった場合、労働者には内部通報規程などによって、調査協力義務が規定されていたとしても、その規定がフリーランスにも及ばない場合、フリーランスとの個別の契約で調査協力義務を規定しておかなければ、フリーランスから調査に必要な情報が提供されないおそれがあります。今後、公益通報者保護法が改正され、フリーランスも公益通報が可能となれば、フリーランスの調査協力はますます重要になるでしょう。

⑪ 個人情報保護法の改正動向（後述）を注視

公益通報者保護法において、「通報対象事実」（公益通報の対象となる法令違反）とは、「対象となる法律（及びこれに基づく命令）に違反する犯罪行為若しくは過料対象行為、又は最終的に刑罰若しくは過料につながる行為のこと」[18]です。この「対象となる法律」には、個人情報保護法も含まれます。詳細は後述しますが、現在、検討が進められている個人情報保護法の見直しでは、刑事罰や行政罰の追加が検討されています[5][6]から、実際に追加されれば、公益通報の対象が拡大します。個人情報保護法と公益通報者保護法がリンクしていることを忘れないでおきましょう。

２．個人情報保護・情報セキュリティ

1） 個人情報保護法の見直しにおける論点[3][4][5][6]

個人情報保護法は、2022年4月1日に全面施行された令和2年改正法の附則において、「政府は、この法律の施行後3年ごとに、個人情報の保護に関する国際的動向、情報通信技術の進展、それに伴う個人情報を活用した新たな産業の創出及び発展の状況等を勘案し、新個人情報保護法の施行の状況について検討を加え、必要があると認めるときは、その結果に基づいて所要の措置を講ずるものとする」と規定されました。

そこで、個人情報保護委員会は、令和2年改正法及び令和3年改正法の施行状況について検討した上で、2023年11月から検討を開始し、2024年6月に中間整理[3]を発表し、同年7月から「個人情報保護法のいわゆる3年ごと見直しに関する検討会」を開催し、同年12月に「個人情報保護法のいわゆる3年ごと見直しに関する検討会報告書」[4]が公表されました。当該報告書では、主に①個人情報保護法違反のペナルティとしての行政罰（課徴金制度）の導入、②適格消費者団体（不特定かつ多数の消費者の利益を擁護するために差止請求権を行使するために必要な適格性を有する消費者団体として内閣総理大臣の認定を受けた法人[24]）による差止請求制度や被害回復制度の導入について、これまでの検討会の議論状況を整理したにとどまっています。特に、課徴金制度の導入については経済界が反対しているため、法改正に向けてはハードルが高いとの報道[25]もあります。

とは言え、前述のとおり、個人情報保護法には3年ごとに見直す規定がありますから、2025年の通常国会に改正法案を提出しないと、規定に違反したことになってしまい、個人情報保護委員会としては、時間的猶予がないはずです。そこで、本稿では、2025年1月22日に開催された第312回個人情報保護委員会で示された論点をご紹介します。

※上記の順番は「『個人情報保護法 いわゆる3年ごと見直しに係る検討』の今後の検討の進め方について（案）」[5]の掲載順です。

2） 能動的サイバー防御の関連法案[7][8][9]

近年、政府や企業の内部システムからの情報窃取、ランサムウェアによるデータの暗号化・身代金要求等が大きな問題となっているほか、重要インフラ等の機能を停止させることを目的とした高度な侵入・潜伏能力を備えたサイバー攻撃に対する懸念が急速に高まっています。特に、重要インフラの機能停止や破壊等を目的とした重大なサイバー攻撃は、国家を背景とした形でも日常的に行われているなど、安全保障上の大きな懸念となっており、官民ともに、サイバーの世界は常に有事であるとの危機意識を持った対応が求められます。

さらに、社会全体でデジタルトランスフォーメーション（※）が進んだ結果、重要インフラ事業者等が自らのサイバーセキュリティを確保しようとすれば、そのサプライチェーン全体のセキュリティを確保することが必要となっています。そうすると、官のみ・民のみでのサイバーセキュリティを確保することは極めて困難ですので、政府機関、重要インフラ事業者、製品ベンダその他サプライチェーンに関与する全ての者が連携してサイバーセキュリティの確保に努めていくことが必要です。

（※）総務省「令和3年版　情報通信白書」によると、「Digital Transformation（デジタルトランスフォーメーション）」とは、「企業が外部エコシステム（顧客、市場）の劇的な変化に対応しつつ、内部エコシステム（組織、文化、従業員）の変革を牽引しながら、第3のプラットフォーム（クラウド、モビリティ、ビッグデータ/アナリティクス、ソーシャル技術）を利用して、新しい製品やサービス、新しいビジネスモデルを通して、ネットとリアルの両面での顧客エクスペリエンスの変革を図ることで価値を創出し、競争上の優位性を確立すること」を指します[26]。

「能動的サイバー防御」とは、「国が平時から通信を監視し、重要インフラへの攻撃などの兆候を探り、兆候があった段階で相手のシステムに入って無害化する仕組み」[27]です。例えば、警察や自衛隊が攻撃元のサーバーなどにアクセスして無害化するといった、いわば「先制攻撃」のような手法が含まれます。政府は、「国家安全保障戦略」（令和4年12月16日閣議決定）において、「武力攻撃に至らないものの、国、重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃のおそれがある場合、これを未然に排除し、また、このようなサイバー攻撃が発生した場合の被害の拡大を防止するために能動的サイバー防御を導入する」とし、「能動的サイバー防御の実施のための体制を整備する」ことが決定しました[28]。

「重要インフラ」とは、サイバーセキュリティ戦略本部「重要インフラのサイバーセキュリティに係る行動計画」（2024年3月8日改定）[29]によると、①情報通信、②金融、③航空、④空港、⑤鉄道、⑥電力、⑦ガス、⑧政府・行政サービス、⑨医療、⑩水道、⑪物流、⑫化学、⑬クレジット、⑭石油、⑮港湾の15分野です。つまり、この15分野を営む事業者は、能動的サイバー防御のために、サーバーなどが政府から監視されることになります。さらに、このような事業者からサーバーの運営を委託されている事業者やデータの委託をされている事業者、サプライチェーンで繋がっている事業者も政府からの監視対象に含まれると考えられます。

政府は、「国家安全保障戦略」（令和4年12月16日閣議決定）に基づき、サイバー安全保障分野での対応能力を欧米主要国と同等以上に向上させるべく、当該分野における新たな取組の実現のために必要となる法制度の整備等について検討を行うため、「サイバー安全保障分野での対応能力の向上に向けた有識者会議」を開催しました[30]。以下は、サイバー安全保障分野での対応能力の向上に向けた有識者会議が2024年11月29日に取りまとめた「サイバー安全保障分野での対応能力の向上に向けた提言」[7]と、読売新聞の記事[8][9]を参照した能動的サイバー防御の関連法案（重要電子計算機に対する不正行為被害防止法案、警察官職務執行法等の改正案を束ねた整備法案）の概要です。（なお、法律案は2025年2月7日に閣議決定[31]され、法律案の全文は内閣官房のホームページ[32]に掲載されています。）

※上記の順番は読売新聞に掲載されていた法案の要旨[9]の掲載順です。

3） 人工知能（AI）法案[10]

2022 年秋以降、生成AIの性能は飛躍的に向上しました。人間が行ってきたことを代替する等によって、様々な分野において効率性や利便性を大きく向上させることが期待されています。他方で、AIによる偽サイトや合成映像・音声が詐欺等に使用される犯罪の巧妙化、偽・誤情報の作成にAIが使用され、拡散されることによる情報操作等多様なリスクが顕在化しつつあります。また、AIは、デュアルユース技術（民間と軍事の両分野で利用可能な技術）でもあるので、生物化学兵器や核兵器等の開発やサイバー攻撃等にAIが使用される安全保障上のリスクも指摘されています。すでに、イスラエル軍が軍事作戦にAIを利用しています[33]。国連のグテーレス事務総長は、安全保障理事会会合において「自律型致死兵器の禁止に対する呼びかけを改めて繰り返します。私たちは、2026年までに自律型兵器システムの禁止と規制を確立しなければなりません。いかなる国も、国際法、人道法、人権を侵害するような、武力紛争におけるAIの軍事利用を設計、開発、配備、使用すべきではありません。これには、AIが自律的に標的を選択したり、攻撃したりすることも含まれます」[34]と発言しています。

個人情報保護・情報セキュリティの観点では、個人情報保護委員会「個人情報保護法　いわゆる3年ごと見直しに係る検討の中間整理」[3]においても、多数のAIカメラによって本人の同意なしに身体的特徴に係るデータ（顔特徴データ等）が収集されてしまうリスクについて言及されていました。後述のAI制度研究会「中間とりまとめ（案）」[10]においても、本人の同意なしに個人情報を含むデータをAI学習に利用されるなど、AIの開発・利用の過程で個人情報保護法に違反するリスクについて言及されていました。さらに、経済産業省「秘密情報の保護ハンドブック～企業価値向上にむけて～（第6版）」[35]において、労働者が秘密情報保護に関する契約に不備があるAIに自社の営業秘密（不正競争防止法）を学習させてしまう例などが紹介されています。

経済産業省と総務省は、生成AIの普及を始めとする近年の技術の急激な変化等に対応すべく、有識者等と議論を重ね、関連する既存のガイドラインを統合・アップデートし、2024年4月19日に「AI事業者ガイドライン（第1.0版）」[36]を取りまとめました。

2024年7月に、AI戦略会議の下に、AI制度研究会が設置され、法整備の要否を含むAI制度のあり方について検討が行われ、同年12月26日に「中間とりまとめ（案）」[10]が公表され、2025年1月23日までパブリックコメントが募集されました[37]。以下は、当該「中間とりまとめ（案）」と、日本経済新聞[38]やNHK[39][40]の記事を参照した人工知能（AI）法案の概要です。

※上記の順番は「中間とりまとめ（案）」[10]の掲載順です。

4） 今から企業が対応しておくべきこと

① 情報の所在・管理の状況を確認した上で一元管理

まずは、個人情報、営業秘密、秘密情報といった情報をどのサーバーで保有・管理しているのか、外部に委託しているのか、社内の誰が保有・管理しているのか等を確認した上で、一元管理をすることをお勧めします。

特に、海外に事業を展開している企業においては、2024年12月10日に施行された、EUの新しいサイバーセキュリティに関する規則のサイバーレジリエンス法（CRA）に対応することが急務だと思います。同法では、①デジタルコンポーネントを含む製品やソフトウエアを市場に投入する際のルール、②製品の企画、設計、開発、保守を管理するサイバーセキュリティ要件の枠組みの導入と、バリューチェーンの各段階における義務、③製品のライフサイクル全体に対する注意義務が課されますし、製造業者は2027年までに適合製品をEU市場に投入しなければなりません[41]。前述の個人情報保護法の見直しにおける論点に「悪質な名簿屋への個人データの提供を防止するため、オプトアウト届出事業者には、取得元における取得の経緯や取得元の身元等の確認について、より高度の注意義務を課せないか」があるように、取得の経緯や取得元の身元等の確認に関するルールが厳しくなることが想定されます。

能動的サイバー防御の観点からは、重要インフラ（①情報通信、②金融、③航空、④空港、⑤鉄道、⑥電力、⑦ガス、⑧政府・行政サービス、⑨医療、⑩水道、⑪物流、⑫化学、⑬クレジット、⑭石油、⑮港湾の15分）を営む事業者は、サーバーなどが政府から監視されることになります。さらに、このような事業者からサーバーの運営を委託されている事業者やデータの委託をされている事業者、サプライチェーンで繋がっている事業者も政府からの監視対象に含まれると考えられます。したがって、今後、どのサーバーが政府の監視下に置かれるのかを今から棚卸ししておかれることをお勧めします。利用規約等に「政府の監視下に置かれる」といったことを付記する可能性も想定しておきましょう。AIに関しては、経済産業省「秘密情報の保護ハンドブック～企業価値向上にむけて～（第6版）」[35]において、サプライチェーン（委託先）での情報漏えいリスク（例えば、AIによる情報分析を委託する企業で、分析データの管理不備があり、分析を委託した営業秘密にあたる情報が漏えいするリスク）が紹介されています。

② AIの利用に関するルールを作成・更新

前述のとおり、AIの利活用によって、効率性や利便性を大きく向上することが期待されていますが、情報漏えい等の様々なリスクも指摘されています。例えば、2025年1月20日に中国の新興企業ディープシークがリリースした生成AIに対し、世界で警戒が強まっています。当該AIが生成・発信する内容に不正確さが目立つだけでなく、利用者の個人情報が中国政府に渡るリスクも指摘されています[42][43]。経済産業省「秘密情報の保護ハンドブック～企業価値向上にむけて～（第6版）」[35]においても、生成AI利用における組織のルール不備による情報漏えいリスク（組織における生成AI利用のルール化とその周知が遅れ、労働者が個人で秘密情報保護に関する契約に不備がある生成AIを利用し、営業秘密にあたる情報を学習させてしまうリスク）が紹介されています。

したがって、経済産業省・総務省「AI事業者ガイドライン（第1.0版）」[36][44]などを参考に、AIの利用に関するルールの整備と周知徹底を行うことをお勧めします。

③ 研修等でリスクセンス（リスクに関する想像力）を向上

サイバー攻撃の高度化、AIの悪用によるなりすましの巧妙化など、日々情報漏えいのリスクは高まっていますが、情報漏えいの主な原因は人間が判断を誤ったことです。例えば、社内のルールに反して私用のクラウドサーバやデバイスを利用したり、あまり吟味もせずに不審なサイトにアクセスしたり、AIに個人情報や営業秘密を入力してしまったりするのは、やはり人間です。

したがって、企業としては役員や労働者に判断材料をより多く提供し、リスクセンス（リスクに関する想像力）を向上させることが重要です。経済産業省「秘密情報の保護ハンドブック～企業価値向上にむけて～（第6版）」[35]においても、「AIの利活用が日々の業務により一層密接に関わってくる潮流の中、AIを利用する際は、『こうしたリスクがある』という前提に基づき、自組織における営業秘密に関するAIの処理は何が想定されるのか、そうした処理に関するAI利用ルールやデータ管理ルールはどうなっているのか等の確認が必要です。AIを自社の業務やサービスに導入していない場合でも、個人が生成AIを利用する場合のルールは重要です。自分のPCで営業秘密に関する質問をする、等の使い方は避けるべきでしょう。さらに、AIを直接利用しないにしても、AIを悪用したフェイクコンテンツやなりすましによる営業秘密窃取のリスクが生じています。AIの導入はさらに加速することが予想されますが、そのリスクについて最新の情報を収集し、組織のルールを作りながら効果的にAIを利活用することが望まれます」とされています。AIに関する多様なリスクについては、AI制度研究会「中間とりまとめ（案）」[10]の「図3 AIのもたらし得るリスクの例に関する整理」にまとまっていますので、参考になさってください。

【AIのもたらし得るリスクの例に関する整理】 [10]

リスクセンスを向上しておけば、能動的サイバー防御として政府による監視や警察・自衛隊による対処が行われる前であったとしても、自社の労働者が不審な動きを察知して、情報漏えいを防止することも可能です。現行の個人情報保護法の下においても、利用目的による制限の例外として「人（法人を含む。）の生命、身体又は財産といった具体的な権利利益の保護が必要であり、かつ、本人の同意を得ることが困難である場合は、法第18条第1項又は第2項の適用を受けず、あらかじめ本人の同意を得ることなく、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる」ケースとして、「事業者間において、暴力団等の反社会的勢力情報、振り込め詐欺に利用された口座に関する情報、意図的に業務妨害を行う者の情報について共有する場合」「不正送金等の金融犯罪被害の事実に関する情報を、関連する犯罪被害の防止のために、他の事業者に提供する場合」「暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、振り込め詐欺に利用された口座に関する情報及び業務妨害行為を行う悪質者情報の提供者が逆恨みを買うおそれがある場合」が想定されています[45][46]。

④ 報告ルート・報告手段等を明確化し周知徹底

情報漏えいによる被害の拡大防止はもちろんのこと、リスク情報を集約し、ルールの整備やリスクセンスの向上に役立てる意味でも、何かあればすぐに報告する体制を構築することをお勧めします。これには、社内だけでなく、社外（サプライチェーン、委託先）も含めておきましょう。

現行の個人情報保護法の下でも「委託元と委託先の双方が個人データ又は個人情報を取り扱っており、又は取得しようとしていることになる」[45]とされ、個人データの漏えい等について、個人情報保護委員会への報告義務と本人（情報主体）への通知義務は、原則として委託元と委託先の双方が義務を負います。委託先は委託元に事態の発生を通知すると義務を免除されますから、少なくとも委託元は必ず義務を負うことになります。

したがって、委託先からも何かあればすぐに報告をしてもらえるような体制を構築することをお勧めします。

３．ハラスメント防止（カスタマーハラスメント対策・就活等セクシュアルハラスメント対策）

1） 労働施策総合推進法の改正案[11][12]

カスタマーハラスメントについては、現行の厚生労働省の指針[47]において、「事業主は、取引先等の他の事業主が雇用する労働者又は他の事業主（その者が法人である場合にあっては、その役員）からのパワーハラスメントや顧客等からの著しい迷惑行為（暴行、脅迫、ひどい暴言、著しく不当な要求等）により、その雇用する労働者が就業環境を害されることのないよう、雇用管理上の配慮として、例えば、（1）及び（2）の取組を行うことが望ましい」とされ、ここで言う「（1）及び（2）の取組」とは「（1）相談に応じ、適切に対応するために必要な体制の整備」と「（2）被害者への配慮のための取組」のことです。

2022年2月には、厚生労働省は委託事業により、小売業、運輸業、飲食サービス業、宿泊業等、顧客と接することの多い業種に属する企業12社にヒアリング等を行い企業が具体的に取り組むべきカスタマーハラスメント対策等をまとめた「カスタマーハラスメント対策企業マニュアル」[48]を作成し、公表しました。

しかしながら、「令和5年度厚生労働省委託事業　職場のハラスメントに関する実態調査」[49]によると、顧客等からの著しい迷惑行為に対する取組が「特にない」としている企業は、従業員規模1,000人以上の企業において37.2％、300～999人規模企業において48.9％、100～299人規模企業において62.0％、99人以下規模企業において73.8％でした。

そこで、厚生労働省は、労働政策審議会の雇用環境・均等分科会を開催し、2024年9月から法整備について議論が行われ、2025年1月24日に事業主にカスタマーハラスメント対策を義務付ける法律案[11]を取りまとめています。以下は、この法律案の抜粋です。

※太字による強調は、引用者によるものです。

2） 男女雇用機会均等法の改正案[11][12]

厚生労働省の「会社を揺るがす大きなリスク 今すぐ始めるべき就活ハラスメント対策！」[50]によると、就活ハラスメントとは、「採用する企業やその採用担当者等が優越的な立場を利用して就職活動中の学生に行うハラスメント」とされていて、企業に与える以下のリスクを挙げています。

※太字による強調は、引用者によるものです。

就活等セクシュアルハラスメントについては、現行の厚生労働省の指針[51]において、「事業主は、当該事業主が雇用する労働者が、他の労働者（他の事業主が雇用する労働者及び求職者を含む。）のみならず、個人事業主、インターンシップを行っている者等の労働者以外の者に対する言動についても必要な注意を払うよう配慮するとともに、事業主（その者が法人である場合にあっては、その役員）自らと労働者も、労働者以外の者に対する言動について必要な注意を払うよう努めることが望ましい」「職場におけるセクシュアルハラスメントを行ってはならない旨の方針の明確化等を行う際に、当該事業主が雇用する労働者以外の者（他の事業主が雇用する労働者、就職活動中の学生等の求職者及び労働者以外の者)に対する言動についても、同様の方針を併せて示すことが望ましい」とされています。

しかしながら、「令和5年度厚生労働省委託事業　職場のハラスメントに関する実態調査」[49]によると、就活生等からの相談への適切な対応等についての取り組みが「特にない」としている企業は、従業員規模1,000人以上の企業において42.1％、300～999人規模企業において48.0％、100～299人規模企業において55.7％、99人以下規模企業において65.6％です。

そこで、厚生労働省は、前述のカスタマーハラスメント対策と同じく、労働政策審議会の雇用環境・均等分科会を開催し、2024年9月から法整備について議論が行われ、2025年1月24日に事業主に就活等セクシュアルハラスメント対策を義務付ける法律案[11]を取りまとめています。以下は、この法律案の抜粋です。

※太字による強調は、引用者によるものです。

3） 今から企業が対応しておくべきこと

① ハラスメントの発生状況を確認

まずは、自社の労働者がどのようなカスタマーハラスメントを受けたのか、就活生からセクシュアルハラスメントの訴えがあったのかなど、ハラスメントの発生状況を確認することをお勧めします。

カスタマーハラスメントに関しては、一般的に、飲食業や小売業といった最終消費者に接するB to Cの企業なのか、顧客が企業等の組織であるB to Bの企業かによって、発生の頻度や状況が大きく異なります。

就活等セクシュアルハラスメントに関しては、採用選考にあたって、どのような人が接するのか（人事部門だけなのか、それとも広く多様な部門で独自に対応しているのか）によっても、対応策が異なります。例えば、就活等セクシュアルハラスメントの防止策として、「学生と接する際、採用担当者は可能な限り2名以上とし、オンラインも含め面談やオリエンテーションの際は複数名で対応する」[50]がありますが、このオペレーションを徹底する範囲が異なるからです。

② ハラスメント相談窓口の体制を強化

カスタマーハラスメントも就活等セクシュアルハラスメントも、すでに現行の指針[47][51]において、取り組みを行うことが「望ましい」とはされていますので、法改正を待たずに体制を強化しても何ら不自然ではありませんし、これらのハラスメントは、昔から発生していたことでもありますから、むしろ、法改正を待っていては、「遅い」と考えることもできます。

カスタマーハラスメントと就活等セクシュアルハラスメントは、当事者に外部の人（顧客、就活性など）が含まれるので、調査・是正・再発防止の方法が、当事者が社内のみの場合とは大きく異なる場合がありますし、複数の部門が関わることも多くなるかもしれません。そのような場合も想定して、相談窓口の体制を見直していただくことをお勧めします。

③ 懲戒事由を追加する場合等には就業規則の不利益変更の手続きを行う

前述のとおり、菅野和夫名誉教授は、「懲戒処分は、企業秩序違反者に対し使用者が労働契約上行いうる通常の手段（普通解雇、配転、損害賠償請求、一時金・昇給・昇格の低査定など）とは別個の特別の制裁罰であって、契約関係における特別の根拠を必要とすると考えられる。すなわち、使用者はこのような特別の制裁罰を実施したければ、その事由と手段を就業規則において明記し、契約関係の規範として樹立すること（就業規則への明記と周知、労契7条参照）を要する。労基法が、常時10人以上の労働者を使用する使用者に対し、制裁の制度を設ける以上は就業規則に明記すべきことを要求しているのも（労基89条9号）、この趣旨によるものといえる」「使用者は懲戒の事由と手段を就業規則に明記して労働契約の規範とすることによってのみ懲戒処分をなしうるし、また就業規則上のそれらの定めは限定列挙と解すべきこととなる」と述べています[22]。

例えば、自社の労働者がカスタマーハラスメントや就活等セクシュアルハラスメントを懲戒事由に追加する場合や、現行よりも重い懲戒処分とする場合は、就業規則の改正が必要ですから、労働基準法第90条に基づく過半数労働組合または過半数労働者の意見聴取、同法第89条に基づく労働基準監督署への届け出、同法第106条に基づく労働者への周知が必要です。労働者にとっては不利益な改正になるので、労働契約法第10条に規定された条件（変更後の就業規則を労働者に周知させ、かつ、就業規則の変更が、労働者の受ける不利益の程度、労働条件の変更の必要性、変更後の就業規則の内容の相当性、労働組合等との交渉の状況その他の就業規則の変更に係る事情に照らして合理的なものである）をクリアしなければなりません。

④ 「ハラスメント」だけが独り歩きしないように「やるべきことはやること」を教育

「カスタマーハラスメント」の言葉が独り歩きすると、本当は自社の方が約束を守っていなかったり、落ち度があるにもかかわらず、顧客の怒りの様子だけをとらえて、その顧客を排除しようとしたりする事態が起こるかもしれません。例えば、「本来の代金が1万円のところ、2万円を請求された客が激怒して土下座を要求した」という事例ではどうでしょうか。「なんで1万円を2万円に間違えるのか」と思いませんか。もし、その客が酒に酔っていて、同伴者がいないことをいいことに、従業員による、いわゆるレジの「空打ち」と呼ばれる不正が行われ、店員が代金1万円のところ2万円を受け取って、余った1万円を着服しようとした可能性も否定できません。まずは事実確認をした上で、店員の対応に問題があるなら、謝罪することが先決です。

パワーハラスメントについても、同様のことが言えます。例えば、読売新聞[52]によると、自衛隊の飛行訓練では、1cm、1秒とったわずかなミスが命取りになるそうです。ある訓練で、操縦かんを握った隊員が誤った操作をしようとしたため、指導役がとっさに「危ない。何やってんだ!」と制止したところ、隊員が「威圧的に指導された。パワハラだ」と主張したそうです。もしも、丁寧な口調で指導していたら、最悪、死者が出ていたでしょう。「パワーハラスメント」の言葉が独り歩きすると、指導すべきなのに指導しないという事態が起こるかもしれません。

「心理的安全性」の生みの親、エイミー・C・エドモンドソン教授は、心理的安全性に関するよくある誤解として、「心理的安全性とは常に居心地がよいことであり、誰かを不快にするようなことを言ってはいけないし、それは心理的安全性に反することだと思っている人が非常に多いのです」「何かを達成するためには、その途中に不快感を伴うものです」と述べ、それをオリンピックの体操選手に例えて、「練習では自分と自分の肉体を追い込み、リスクは冒すが、あくまでケガをしない範囲に留める」そうですから、「何かを学んだり、失敗したり、ミスを指摘したりすることは、たいてい不快なこと」ということを、しっかりと教育することが重要です[53]。

⑤ 自治体の動向も注視

カスタマーハラスメントについては、法改正に先行して、各自治体が条例を制定し始めています。東京都[54]、北海道[55]、三重県桑名市[56]では制定済みです。埼玉県[57]、栃木県[58]、群馬県[59]、三重県[60]、愛知県[61]でも条令化の動きがありますので、他の自治体も追随して同様に条令を制定する可能性があります。カスタマーハラスメントは「顧客等からの著しい迷惑行為」であり、どのような客層・迷惑行為が多いのかといったことは、地域差もありますから、地域の状況に応じた条例が制定されていると捉えて、自治体の動向も注視しておかれることをお勧めします。

４． おわりに

本稿では、今後の法改正を中心に言及しましたが、まずは現行法の枠組みの中で、漏れがないかを確認してみてください。例えば、公益通報者保護法の改正案は、すでに現行の法令や指針で謳われていることについて、規制を強化しているに過ぎません。つまり、現行の法令や指針の内容をしっかりと実行していれば、恐れることは何もないのです。

サイバー攻撃、AIによる多様なリスク、カスタマーハラスメント・就活等セクシュアルハラスメントも、今に始まったことではなく、リスク自体は前々からあったのですから、今から初めても早過ぎることはありません。府省庁が発信しているガイドラインなども参考にしながら、今から少しずつ対応していただくことをお勧めします。

特に、外部からの攻撃に関するリスクについては、AI等の進歩とともに攻撃者の技術力が飛躍的に向上していますので、そのスピードに乗り遅れないように、情報と対応力のアップデートが必要です。

以上

• 内部通報
• カスタマーハラスメント（カスハラ）
• ハラスメント防止
• 情報セキュリティ