元請・下請間の情報漏えいと責任分担｜建設会社が確認したい実務対策

「下請会社から施工図面が流出したら、元請会社にも責任があるのでしょうか」

建設業では、元請会社、下請会社、専門工事会社など、複数の企業が情報を共有しながら工事を進めます。

施工図面、CAD・BIMデータ、工程表、工事写真、見積書、施主に関する情報など、取り扱う資料はさまざまです。

もし共有先の会社で不正アクセスや誤送信が発生した場合、誰が調査を行い、誰が取引先へ説明し、費用を負担するのでしょうか。

ここで注意したいのは、「事故が起きた会社」と「法令上の義務を負う会社」と「契約上の費用負担を求められる会社」は、必ずしも同じではないということです。

元請・下請という立場だけで、責任の所在を一律に決めることはできません。

この記事では、特定の事故の責任を判定するのではなく、建設会社が事前に確認したい責任分担と、事故発生時の実務を整理します。

1．元請・下請間で情報漏えいが問題になる理由

建設工事では、一つの現場に複数の企業が関わります。

元請会社が保有する施工図面を下請会社へ渡し、さらに専門工事会社へ必要な部分を共有することもあります。

情報共有が進むほど、管理する会社や利用するアカウントが増え、誰が何を閲覧できるか把握しにくくなる場合があります。

例えば、下請会社のメールアカウントが不正利用され、元請から受け取った図面が外部へ送信されたとします。

この場合、事故の発生場所は下請会社のメール環境ですが、図面を預けた元請会社にも、取引先への説明や契約上の対応が必要になる可能性があります。

ただし、元請に説明の必要があることと、元請が損害賠償責任を負うことは同じではありません。

事実関係と契約条件を分けて確認する必要があります。

2．最初に区別したい4種類の責任

情報漏えいが発生した場合、責任を一つの言葉で考えると判断を誤る可能性があります。

少なくとも次の四つを分けて整理しましょう。

例えば、下請会社が調査を担当し、元請会社が施主との連絡を担当することがあります。

しかし、その役割分担だけで、最終的な損害賠償の負担割合が決まるわけではありません。

事故対応と法的責任の判断を混同しないことが重要です。

3．下請会社から漏えいした場合の考え方

下請会社のパソコンやメールから施工情報が流出した場合、まず下請会社の管理状況を確認します。

例えば、アカウントの不正利用、誤送信、端末の紛失、共有設定の誤りなどが考えられます。

その際、確認したいのは次の事項です。

• どの情報が対象になったか
• どのシステム・アカウントで問題が発生したか
• どのような管理措置が取られていたか
• 元請との契約で定められた条件を守っていたか
• 実際に第三者が情報を取得したか
• 損害や業務への影響が確認されているか

下請会社に契約違反や注意義務違反が認められるかどうかは、具体的な事情によります。

「下請会社で発生したから、すべて下請会社が負担する」とは一律に判断できません。

また、情報漏えいの疑いと、実際の情報取得が確認された状態も区別する必要があります。

4．元請会社の管理にも問題があった場合

情報漏えいの原因を考える際、下請会社の管理だけを確認すれば十分とは限りません。

例えば、元請会社が共有リンクを広い範囲に公開していた場合です。

また、必要のない機密資料まで一括して渡していた場合や、共有権限を長期間見直していなかった場合も考えられます。

こうした管理状況は、事故原因や責任を検討するうえで確認対象になる可能性があります。

ただし、元請会社の管理に改善点があるからといって、直ちに法的な損害賠償責任が確定するわけではありません。

契約、実際の義務、事故との因果関係、損害などを確認する必要があります。

5．個人情報と施工図面では確認事項が異なる

漏えいした情報の種類によって、必要な対応は異なります。

例えば、作業員の氏名や連絡先など、個人情報が含まれている場合には、個人情報保護法上の義務を検討する必要があります。

一定の要件に該当する個人データの漏えい等については、個人情報保護委員会への報告や本人への通知が必要になる場合があります。

ただし、すべての個人情報の誤送信で、必ず報告義務が発生するわけではありません。

また、委託先から委託元への通知など、各社の立場によって手続きが異なる場合があります。

一方、施工図面や見積書が中心の場合は、契約上の秘密保持義務、営業秘密の管理状況、取引先への報告条件などが重要になります。

施工図面にも個人情報や機密情報が含まれる場合があるため、ファイル名だけで判断しないことが大切です。

具体的な法令上の義務は、個人情報保護委員会の公式情報や専門家の確認を通じて判断してください。

6．契約書・秘密保持契約で確認したい事項

事故が起きてから責任分担を考えるのではなく、契約前に確認しておくことが重要です。

建設工事の契約書だけでなく、秘密保持契約、情報管理規程、個別の仕様書、覚書などに条件が記載されている場合があります。

確認したい主な項目

• 秘密情報に含まれる資料の範囲
• 共有できる相手と利用目的
• 再委託・再共有の可否と承認手順
• 利用を認める保存先やクラウドサービス
• アクセス権限と安全管理の条件
• 事故を把握した場合の報告先・報告期限
• 原因調査への協力と証拠保全
• 調査・復旧・通知等の費用負担
• 損害賠償や責任制限に関する条件
• 工事終了後の返却・削除・保存条件

特に、事故報告について「速やかに」とだけ記載されている場合は、誰に、何を、どの連絡手段で伝えるかを運用上明確にしておくと役立ちます。

契約条項の有効性や具体的な解釈は、必要に応じて弁護士などへ確認してください。

7．協力会社への再委託と情報の再共有

建設業では、下請会社がさらに専門工事会社や一人親方と連携することがあります。

その際、元請から預かった施工情報を再共有する場合があります。

情報を再共有する前に、元請との契約で再共有が認められているかを確認しましょう。

また、再共有先にも、情報の利用目的、保存先、第三者への転送制限、事故時の連絡条件などを伝える必要があります。

再共有先が増えるほど、元請から見えない場所に情報が残る可能性があります。

そのため、必要な資料だけを共有し、工事終了後には不要なアクセス権限を整理することが重要です。

クラウドの外部共有や委託先管理については、クラウドサービス・外部事業者のリスクも参考になります。

8．事故発生時の連絡と初動対応

情報漏えいが疑われた場合、法的責任の確定を待ってから対応するのでは遅れる可能性があります。

まず、事実関係の確認と被害拡大防止を優先します。

初動で確認したい手順

1. 事故を把握した日時と状況を記録する
2. 対象となる資料・システム・アカウントを確認する
3. 必要に応じてアクセス権限の停止やアカウント保護を行う
4. ログや通知など、調査に必要な記録を保全する
5. 元請・下請それぞれの社内責任者へ連絡する
6. 契約上の報告条件と法令上の義務を確認する
7. 調査状況と次の連絡予定を共有する

事故の原因が未確認であっても、契約で定められた初報が必要になる場合があります。

一方で、原因や漏えい件数などを推測で断定してはいけません。

「確認済みの事実」「調査中の事項」「実施した対応」を分けて伝えることが重要です。

事故時の連絡体制については、サイバー事故に備える緊急連絡体制の準備も参考になります。

9．調査費用・復旧費用・損害賠償の分担

情報漏えいが疑われると、原因調査、システム復旧、専門家への相談、取引先への説明など、さまざまな対応が必要になる場合があります。

ただし、すべての事故で同じ費用が発生するわけではありません。

例えば、元請会社が施主への説明を担当し、下請会社が自社システムの調査を担当することがあります。

しかし、それぞれが実施した作業の費用を、最終的に誰が負担するかは別の問題です。

費用負担の判断には、契約内容や実際の原因、損害との関係などを確認する必要があります。

また、サイバー保険などの補償は、契約内容と事故状況によって異なります。

元請・下請間の求償や契約上の責任が、必ず保険で補償されるとは限りません。

10．元請・下請がそれぞれ整えたい管理体制

事故時の責任を考える前に、双方が取り組める予防策があります。

元請がすべてを管理する、または下請がすべてを管理するという発想ではなく、各社が実際に管理できる範囲を明確にすることが重要です。

11．取引先への説明と再発防止

情報漏えいが疑われる場合、元請や下請の間だけでなく、施主や取引先への説明が必要になることがあります。

ただし、誰が説明するか、いつ連絡するか、何を伝えるかは、契約条件や事故状況によって異なります。

説明する際は、確認済みの事実と調査中の内容を分けましょう。

説明内容の整理例

• 確認された事象と発生時期
• 対象となる情報の種類
• 現時点で把握している影響
• 実施済みの被害拡大防止策
• 今後の調査と連絡予定

また、事故後の再発防止策は、原因が判明してから具体化する必要があります。

例えば、共有設定の誤りが原因であれば権限管理を見直し、アカウントの不正利用が原因であれば認証管理などを確認します。

原因が未確認の段階で「今後は絶対に起こりません」と約束することは避けましょう。

12．契約前に確認したい責任分担チェック表

新しい工事や協力会社との契約を始める際は、情報管理の責任分担も確認しておきましょう。

すべての項目を同じ契約書に記載する必要があるとは限りません。

ただし、複数の書類に条件が分かれている場合は、内容が矛盾していないか確認することが重要です。

サイバー事故への実務的な備えについては、中小企業のサイバー保険と実務対策も参考になります。

13．経営者向けチェックリストと今日の一歩

最後に、自社の情報共有と責任分担を確認しましょう。

• □ 元請・下請間で共有している資料を把握している
• □ 秘密情報と個人情報の扱いを区別している
• □ 共有できる相手と利用目的が決まっている
• □ 再委託・再共有の条件を確認している
• □ 契約上の情報管理義務を確認している
• □ 事故報告先と初報の手順が決まっている
• □ 原因調査と証拠保全の協力体制がある
• □ 調査・復旧等の費用負担条件を確認している
• □ 損害賠償や責任制限の条項を確認している
• □ 個人データの漏えい等に関する対応を確認している
• □ 工事終了後に共有権限を整理している
• □ 必要に応じて法律・技術の専門家へ相談できる

情報漏えいの責任は、元請か下請かという立場だけで決まるものではありません。

各社が何を管理し、どの義務を負い、事故にどう関与したかを確認する必要があります。

だからこそ、事故が起きる前に、情報共有の範囲と連絡・調査の役割を明確にしておくことが重要です。

責任を押し付け合うのではなく、必要な情報を安全に共有し、問題が起きた場合に協力して対応できる関係を整えましょう。