完全子会社の個人情報流出と持株会社の取締役の内部統制の責任―広島高等裁判所岡山支部令和元年10月18日判決

▶　株主代表訴訟・提訴請求への対応に関する御相談

上場している純粋持株会社の株主が、完全子会社の業務の委託先の従業員による顧客の個人情報の流出事故について、持株会社の取締役6名に対し、企業集団の内部統制システムの構築・運用を怠ったとして、持株会社に260億円を賠償するよう求めた株主代表訴訟の判例です。第一審の岡山地方裁判所平成30年9月12日判決は、親会社の取締役にどのような義務があり、どう違反したのかを株主が具体的に主張していないとして請求を棄却し、控訴審の広島高等裁判所岡山支部令和元年10月18日判決も、控訴を棄却しました。

控訴審は、持株会社の内部統制の規程や子会社の情報セキュリティ対策の状況を認定したうえで、完全親会社の取締役は、特段の事情がない限り、完全子会社の業務執行そのものについて子会社の取締役と同じ内容の善管注意義務を負うものではないこと、企業集団としての内部統制システムが「ひととおり構築され、その運用がされていた」こと、事故後の調査で示された再発防止策から事故前の体制の不備を直ちに推認することはできないことを示しました。

本記事では、2つの審級の判断を順に整理し、株主から代表訴訟を起こされた親会社の取締役・会社の側が、どのような主張立証の構造で責任を否定されたのかを確認します。

裁判例の基本情報

審級	裁判所	裁判日	事件番号	裁判の形式	結論
第一審	岡山地方裁判所第2民事部	平成30年9月12日	平成27年（ワ）第1087号（損害賠償請求事件）	判決	株主の請求をいずれも棄却。訴訟費用は株主の負担
控訴審	広島高等裁判所岡山支部第1部	令和元年10月18日	平成30年（ネ）第201号（損害賠償請求控訴事件）	判決	株主の控訴を棄却。控訴費用は株主の負担

訴訟の種類	株主代表訴訟（平成26年法律第90号による改正前の会社法第847条第3項、第423条第1項）
上訴の状況	控訴審判決に対する上告・上告受理申立ての有無及び確定は、判決本文からは確認できていません

この表は、各判決の本文の冒頭及び主文の記載に基づいて当事務所が作成したものです。第一審判決に対して株主が控訴したことは、控訴審判決の本文から確認できます。

当事者の表記

判決に出てくる会社名・氏名は、本記事独自のイニシャルに置き換えています。判決が用いた「原告」「被告」「控訴人」「被控訴人」及び英字の符号も、そのままでは使わず、次の表記に置き換えています。判決本文を引用する部分でも同じ表記に置き換え、その旨を示しています。2つの審級を通じて同じ表記を用います。

本記事の表記	立場
株主NRS氏	第一審の原告、控訴審の控訴人。平成25年9月に証券取引所で持株会社KGHの株式200株を取得し、保有を続けている株主です
持株会社KGH	通信教育その他の事業を営む会社の株式を保有して事業活動を支配・管理する純粋持株会社。株主代表訴訟で損害賠償金の支払先とされた会社です
通信教育事業会社TSK	持株会社KGHの完全子会社。通信教育や模擬試験等を業務とし、流出した個人情報を保有していた会社です
情報処理子会社JSV	持株会社KGHの完全子会社。情報処理サービスを業務とし、通信教育事業会社TSKからシステムの開発・運用（顧客等の個人情報の管理を含みます）の委託を受け、これを更に外部に委託していました
取締役KTR氏	被告・被控訴人。平成25年6月に持株会社KGHの取締役、平成26年6月に代表取締役に就任。同年10月に通信教育事業会社TSKの代表取締役にも就任しました
取締役MNS氏	被告・被控訴人。平成21年10月に持株会社KGH及び通信教育事業会社TSKの代表取締役に就任。平成25年3月にTSKの代表取締役を、平成26年7月にKGHの代表取締役を退任しました
取締役TGW氏	被告・被控訴人。平成21年10月には持株会社KGHの代表取締役の地位にあり、少なくとも平成27年6月までその地位にありました
取締役SKB氏	被告・被控訴人。平成24年6月に持株会社KGHの取締役に就任。平成26年6月から同年9月まで通信教育事業会社TSKの代表取締役でした
取締役NGS氏	被告・被控訴人。通信教育事業会社TSK及び情報処理子会社JSVの代表取締役を務め、平成25年6月には持株会社KGHの取締役の地位にあり、平成26年7月に退任しました
取締役OHR氏	被告・被控訴人。平成19年4月には持株会社KGHの代表取締役の地位にあり、平成21年10月に代表権のない取締役となり、平成26年6月に退任しました

取締役6名の役職の経歴は、控訴審判決の前提事実によるものです。取締役NGS氏の兼任の時期について、第一審判決は「同年４月までは情報処理子会社JSVの代表取締役を、同月からは通信教育事業会社TSKの代表取締役を、それぞれ兼任していた」（「同年」は平成25年。引用中の当事者の表記は本記事の表記に置き換えています）と記載し、控訴審判決は、平成22年6月にTSKの代表取締役、平成23年6月にJSVの代表取締役にも就任し、平成25年3月にJSVの代表取締役を、平成26年6月にTSKの代表取締役を退任したと記載しており、両判決の記載は一致していません。本記事では、より詳しい控訴審判決の記載によっています。流出事故を起こした業務委託先の従業員は、判決の呼び方に合わせて「本件従業員」といいます。

事案の概要

純粋持株会社の下に、事業会社と情報処理会社が置かれていた

控訴審判決の認定によれば、持株会社KGHは、通信教育その他の事業を営む会社等の株式等を保有することにより、その事業活動を支配・管理することを目的の一つとする純粋持株会社で、自らは具体的な事業を遂行していませんでした。平成21年10月に商号を変更し、同じ月に通信教育事業会社TSKが設立されています。通信教育事業会社TSKと情報処理子会社JSVは、いずれも持株会社KGHの完全子会社でした。

通信教育事業会社TSKは、システムの開発・運用を情報処理子会社JSVに委託し、JSVはこれを更に外部に委託していました。顧客等の個人情報が記録されたデータベース（以下「本件データベース」といいます。）は、データセンターに設置され、専用回線でJSVの事業所と接続されていました。

委託先の従業員が個人情報を持ち出し、名簿業者に売却した

JSVの業務委託先の従業員であった本件従業員は、平成25年夏頃から平成26年6月頃までの間（以下「本件流出期間」といいます。）、本件データベースから通信教育事業会社TSKの顧客等の個人情報を抽出し、業務で使用していたパソコン（判決の呼び方で「クライアントＰＣ」）に保存したうえ、自身のスマートフォンに転送するなどして不正に取得し、その全部又は一部を名簿業者に売却しました（以下「本件情報流出事故」といいます。）。控訴審判決は、こうした転送が可能であった原因について、本件従業員が所有する新機種のスマートフォンに、JSVがクライアントＰＣに設定していた書出し制御システムが対応していなかったことにあったと認定しています。

持株会社KGHは、本件情報流出事故に伴い、謝罪文書の発送、問合せへの対応費用、調査・情報セキュリティ対策費等の費用として、260億円を計上しました。

提訴請求と不提訴の通知を経て、株主が代表訴訟を起こした

株主NRS氏は、平成26年12月17日、持株会社KGHに対し、取締役6名を被告として、グループ全体の情報管理体制を組織的に構築・運営すべき注意義務を怠り、本件情報流出事故によってKGHに260億円の損害を生じさせたことを原因とする訴えを提起するよう請求しました。持株会社KGHは、平成27年2月12日頃、取締役6名に監視・監督義務及び内部統制システム構築義務のいずれの観点からも善管注意義務違反はなく、法的責任はないなどとして、訴えを提起しない旨を株主NRS氏に通知しました。

そこで株主NRS氏は、岡山地方裁判所に株主代表訴訟を提起し、取締役6名に対し、持株会社KGHへ連帯して260億円と遅延損害金を支払うよう求めました。

事案の経緯の時系列

時期	出来事（判決本文の前提事実及び認定事実による）
平成11年以降	通信教育事業会社TSKについて、個人情報保護推進のための専門組織が設置され、規程・方針の制定と従業員研修が続けられる（控訴審判決の認定）
平成15年3月以降	情報処理子会社JSVが、情報セキュリティマネジメントシステムに関する第三者機関の認証（ＩＳＭＳ認証）を取得
平成18年以降	通信教育事業会社TSKについて、個人情報の保護措置に関する第三者機関の認証（プライバシーマーク）が取得されている
平成21年10月	持株会社KGHが商号を変更し、通信教育事業会社TSKが設立される。取締役MNS氏がKGH及びTSKの代表取締役に就任し、取締役OHR氏が代表権のない取締役となる
平成24年6月	取締役SKB氏が持株会社KGHの取締役に就任
平成25年3月	取締役MNS氏が通信教育事業会社TSKの代表取締役を、取締役NGS氏が情報処理子会社JSVの代表取締役を退任
平成25年6月	取締役KTR氏が持株会社KGHの取締役に就任。取締役NGS氏がKGHの取締役の地位にある
平成25年夏頃から平成26年6月頃まで	本件流出期間。本件従業員が個人情報を不正に取得し、名簿業者に売却
平成25年9月	株主NRS氏が証券取引所で持株会社KGHの株式200株を取得
平成26年6月	取締役KTR氏が持株会社KGHの代表取締役に、取締役SKB氏が通信教育事業会社TSKの代表取締役に就任。取締役NGS氏がTSKの代表取締役を、取締役OHR氏がKGHの取締役を退任
平成26年7月	取締役MNS氏が持株会社KGHの代表取締役を、取締役NGS氏がKGHの取締役を退任
平成26年9月	取締役SKB氏が通信教育事業会社TSKの代表取締役を退任
平成26年10月	取締役KTR氏が通信教育事業会社TSKの代表取締役にも就任
平成26年12月17日	株主NRS氏が持株会社KGHに提訴請求
平成27年2月12日頃	持株会社KGHが、取締役6名に善管注意義務違反はないなどとして、訴えを提起しない旨を通知
平成27年	株主NRS氏が岡山地方裁判所に株主代表訴訟を提起（平成27年（ワ）第1087号）
平成28年2月3日から5日	請求された遅延損害金の起算日（各取締役への訴状送達日の翌日）
第一審の審理中	株主NRS氏が文書提出命令を申し立てるが、却下される
平成30年9月12日	岡山地方裁判所が請求をいずれも棄却する判決
控訴審の審理中	株主NRS氏が同じ文書を対象とする文書提出命令を申し立てるが、却下される
令和元年10月18日	広島高等裁判所岡山支部が控訴を棄却する判決

平成11年以降と平成18年以降の項目は、控訴審判決が通信教育事業会社TSKについての事実として記載したものです。同判決は、TSKの設立を平成21年10月としており、それ以前の期間の取組みとの関係については説明していません。本記事では判決本文の記載のまま掲げています。

判断の前提となった会社法の定め

第一審判決は、判断の冒頭で、企業集団の内部統制に関する会社法の定めを次のように整理しました。

• 取締役会は、取締役の職務の執行が法令及び定款に適合することを確保するための体制その他株式会社の業務並びに当該株式会社及びその子会社から成る企業集団の業務の適正を確保するために必要なものとして法務省令で定める体制の整備について決定するものとされていること（会社法第362条第4項第6号）
• これを受けて、親会社の取締役会においては、親会社の損失の危険の管理に関する規程その他の体制の整備（会社法施行規則第100条第1項第2号）にとどまらず、子会社の損失の危険の管理に関する規程その他の体制の整備（同項第5号ロ）についても決定するものとされていること
• 取締役は、その善管注意義務として、この内部統制システム構築義務を負うと解されていること

本件で適用された会社法は、第一審判決の記載のとおり、平成26年法律第90号による改正前のものです。また、判決が引用する個人情報保護法の条文番号（個人データの安全管理措置についての第20条、委託先の監督についての第22条）は、当時の条文番号です。

当事者の請求と主要な主張

株主NRS氏の請求

株主NRS氏は、取締役6名に対し、平成26年法律第90号による改正前の会社法第847条第3項、第423条第1項に基づき、持株会社KGHへ連帯して260億円及びこれに対する各訴状送達の日の翌日から支払済みまで民法所定の年5分の割合による遅延損害金を支払うよう求めました。260億円は、持株会社KGHが本件情報流出事故に伴う費用として計上した額です。控訴審では、原判決を取り消し、事件を岡山地方裁判所に差し戻すことを求めました。

主な主張の対立

論点	株主NRS氏の主張	取締役6名の主張
子会社の代表取締役を兼任していた取締役（MNS氏・NGS氏）の義務	子会社に損害が生じれば純粋持株会社にも損害が生じるのだから、持株会社KGHの取締役としても、子会社の取締役としての個人情報保護に関する内部統制システムの構築・運用義務と同様の注意義務（子会社に法令を遵守させ、企業コンプライアンスを確立・維持すべき義務等）を負っていた	子会社の取締役として負うのと同様の義務を親会社の取締役としても負うという主張は、法律上の論拠が明らかでない
取締役6名に共通する義務	純粋持株会社は子会社を支配しているのだから、その取締役は、完全子会社を含むグループ全体について、個人情報保護法及び経済産業分野を対象とするガイドラインを遵守するための内部統制システムを構築・管理し、適正に運用すべき善管注意義務及び監視義務を負っていた	個人情報保護法とガイドラインは、個人情報取扱事業者である子会社を名宛人とするもので、親会社の取締役が負う内部統制システム構築運用義務の内容や水準を規律しない。義務の具体的な発生根拠が明らかでなく、主張自体失当である。控訴審では、あわせて、持株会社KGHの企業集団内部統制システムの規程に問題はなく、規程に従って構築・運用していたと主張
義務違反の内容	（控訴審）事故後の調査で指摘された事故の原因や再発防止策を、事故当時に取締役が行うべきであった作為義務の内容として主張	否認ないし争う
損害	本件情報流出事故により持株会社KGHに260億円の損害が生じた	損害の発生を否認し、計上した260億円が賠償すべき損害に当たることを争う
審理の手続（控訴審）	義務違反の具体的内容を主張できない状況にあるからこそ文書提出命令が必要であったのに、原審がこれを却下したのは審理不尽の違法である	（判決本文に、この点についての取締役6名の主張の記載はありません）

上の表は、判決本文に記載された当事者の主張を当事務所が要約したものであり、裁判所が認めた事実ではありません。

結論を左右した争点

本件で一貫して問題となったのは、完全子会社で起きた個人情報の流出事故について、完全親会社である持株会社KGHの取締役が、持株会社KGHの取締役としてどのような内容の善管注意義務を負い、それにどう違反したのかという点です。第一審判決は、子会社の取締役を兼任していた者についても、問われるべきは親会社の取締役としての義務違反であると指摘しています。

控訴審判決は、争点を「任務懈怠の有無」と「損害の有無」に整理したうえで、任務懈怠の有無について次の3つの角度から検討し、損害については判断するまでもないとしました。

• 子会社の代表取締役を兼任していた取締役が、親会社の取締役としても子会社の業務執行について同じ内容の義務を負うか
• 親会社の取締役として、企業集団の内部統制システムの構築・運用の義務に違反したといえるか
• 企業集団の内部統制システムの枠組みを超えて、子会社の職務執行を直接個人情報保護法に適合させる義務や、個別の監視義務があったか

第一審の判断

子会社の安全管理措置は、第1次的には子会社の取締役会が決定実行すべき事柄

岡山地方裁判所は、本件で問題となるのは、子会社が個人データの安全管理措置や委託先の監督を怠ったことについて、完全親会社の取締役であった6名に具体的にどのような内容の善管注意義務違反があるといえるかであると整理しました。そのうえで、次のように述べています（引用中の当事者の表記は本記事の表記に置き換えています）。

「通信教育事業会社TSKや情報処理子会社JSVにおいて、個人データの安全管理のために必要かつ適切な措置を講じること等は、第１次的には、通信教育事業会社TSKや情報処理子会社JSVの取締役会において決定実行されるべき事柄であり、株主NRS氏においては、通信教育事業会社TSKや情報処理子会社JSVの完全親会社である持株会社KGHの取締役であった取締役6名にどのような義務があり、これに違反したと具体的に主張すべき責任がある。」

主張責任が果たされていないとして、主張自体失当とした

第一審判決は、株主NRS氏の各準備書面等を精査しても、この主張責任が果たされているとは認められないとしました。株主NRS氏は、具体的に主張するために必要であるとして文書提出命令を申し立てましたが、裁判所は、現時点では主張責任を果たしていないとしてこれを却下し、株主NRS氏は現時点での主張立証は終了したとしたと記載されています。

そのうえで、内部統制システムの構築・管理・運用に関する善管注意義務及び監視義務違反の主張は「その主張自体からして失当といわざるを得ず」、持株会社KGHに対する会社法第423条第1項に基づく損害賠償責任は認められないとして、請求をいずれも棄却しました。子会社の代表取締役を兼任していた取締役についても、親会社の取締役としての義務違反が問われなければならないとされています。

第一審判決は、持株会社KGHやその子会社の内部統制の実際の状況について事実を認定して評価する段階には進まず、主張の段階で請求を退けた判決です。

控訴審の判断

結論は維持し、理由は事実を認定したうえで実質的に検討した

広島高等裁判所岡山支部は、第一審判決の結論を維持して控訴を棄却しました。もっとも、控訴審判決は、第一審判決を引用して補正する形式をとっておらず、独自に前提事実と認定事実を示し、持株会社KGHの内部統制システムの内容や子会社の情報セキュリティ対策の状況まで認定したうえで、株主NRS氏の主張を実質的に検討しています。第一審判決が「主張自体失当」としたのに対し、控訴審判決は、各主張について、主張立証が欠けていること、又は認定事実に照らして理由がないことを具体的に示した点に違いがあります。

兼任取締役も、親会社の取締役として子会社と同じ義務を負うわけではない

控訴審判決は、完全親会社の取締役が完全子会社の取締役を兼任していても、兼任取締役は各会社に対してそれぞれの職務に見合った善管注意義務を負うものであり、完全親会社はあくまでも完全子会社の株主であって、所有と経営が分離された会社制度の下では、純粋持株会社や完全親会社であるがゆえに本来的に子会社の業務執行に直接関与する地位や権限を持つものではないと指摘しました。そのうえで、子会社の取締役の任務懈怠による損害が子会社株式の評価損等の形で親会社の損害として顕在化する可能性を念頭に置いても、次のとおりであるとしました（引用中の当事者の表記は本記事の表記に置き換えています）。

「完全子会社から完全親会社に対して経営の委任がされていたり、これと同視できる定款の定めがあったり経営体制が敷かれていたりするなどの特段の事情がない限り、完全子会社の業務執行そのものに関して、完全子会社取締役として負う善管注意義務と同内容の善管注意義務を完全親会社の取締役としても負うものと解することはできない」

判決は、完全親会社が純粋持株会社であるというだけでは特段の事情とはいえず、他に特段の事情の主張立証もないとしました。また、持株会社KGHのグループで構築されていた内部統制システムは子会社による自律的な経営の執行を前提とするものと解され、特段の事情があるとは想定し難いとも述べています。

さらに、事故後の調査で示された再発防止策を事故当時に遡らせて兼任取締役の義務内容とする主張については、事故の原因や防止策は、業態や職場環境、事故当時の情報技術の進展等に応じた個別的検討がされるべきものであるのに、その検討に関する主張立証が欠けているとしました。取締役MNS氏と取締役NGS氏は、本件情報流出事故の約半年前の平成25年3月にそれぞれ子会社の代表取締役を退任しており、事故の直接の原因が新機種のスマートフォンへの書出し制限の対応の遅れにあったとみられることからすると、兼任を根拠とする主張は兼任期間との関係で前提を欠くきらいがあるとも指摘しています。

企業集団の内部統制システムは「ひととおり構築」され運用されていた

取締役6名に共通する内部統制システムの構築・運用義務の主張について、控訴審判決は、持株会社KGHのグループでは事業会社経営管理規程等の各種規程が整備され、人事や事業計画への関与、グループ全体のリスク評価と検討、各種報告の聴取等を通じた一定の経営管理をして法令遵守を期していたと認定し、次のように述べました。

「企業集団としての内部統制システムがひととおり構築され、その運用がされていたといえる。」

そして、内部統制システムのあるべき水準について、次の考え方を示しました。

「会社法は内部統制システムの在り方に関して一義的な内容を定めているものではなく、あるべき内部統制の水準は実務慣行により定まると解され、その具体的内容については当該会社ないし企業グループの事業内容や規模、経営状態等を踏まえつつ取締役がその裁量に基づいて判断すべきものと解される」

判決は、当時の国内上場企業における実務慣行に照らして、持株会社KGHの内部統制システムの構築運用が水準を下回るものとみるべき事情の主張立証はないとしました。

事故後の再発防止策から、事故前の体制の不備は直ちに推認できない

株主NRS氏は、事故後の調査結果で示された原因や再発防止策を事故当時に遡らせ、ガイドラインの内容を加えて取締役6名の作為義務の内容とする主張もしました。控訴審判決は、調査結果は事故の原因についての事後的な検討・評価や将来に向けた再発防止策を明らかにしたものであるという内容・性質に照らし、次のように述べています（引用中の当事者の表記は本記事の表記に置き換えています）。

「再発防止策として組織体制の改善が指摘されたからといって、本件情報流出事故までに構築・運用されていた持株会社KGHないしKGHグループにおける内部統制システムに不備があったことが直ちに推認できるものではなく」

判決は、続けて、再発防止策をもって本件流出期間やそれ以前に取締役6名が採るべき措置であったと直ちに認めることもできないとしました。

子会社の職務執行の適法性の確保は、子会社の取締役等の職責

控訴審判決は、株主NRS氏の主張が、企業集団の内部統制システムの枠組みを超えて、親会社の取締役が直接、子会社の取締役等や使用人の職務の執行を個人情報保護法に適合させるべき義務を負っていたという趣旨とも解されるとして、この点も検討しました。判決は、次のように述べています。

「子会社における職務執行に係る適法性の確保は子会社の取締役等の職責であると一般に解される。」

そのうえで判決は、持株会社KGHのグループでは、個人情報の漏えいリスクが主要なリスクの一つとして認識され、リスク・コンプライアンス委員会がグループ全体のリスク評価と対応策の検討を行い、子会社各社がそれぞれの業態等に応じた規程を定めてコンプライアンスの徹底を行うものとされていたことから、持株会社KGHが直接子会社の職務執行を法令に適合させる体制にはなっていなかったとみられるものの、そのような体制が企業集団における内部統制の在り方として法的にみて特に問題があるとはいえないとしました。持株会社KGHの取締役会に子会社の情報セキュリティ体制について特段の問題があるとの報告はされていなかったこと、同様の対策の遅れによって他社で情報漏えいが起きて知れ渡っていたなどの事情の主張立証もないことも挙げています。

こうして判決は、子会社への個別的な対応として個人情報保護法への適合性を直接確保することが取締役6名に義務付けられていたとはいえず、本件情報流出事故について個別に監視義務違反を問うべき具体的事情の主張立証もないとしました。

文書提出命令の却下は審理不尽に当たらない

株主NRS氏は、義務違反の具体的内容を主張できないからこそ文書提出命令が必要であったのに、原審がこれを却下したのは審理不尽の違法であると主張しました。控訴審判決は、申立ての対象文書は、証明しようとする事実と株主NRS氏の主張内容との関連性が定かでないもの、又は取調済みの書証に加えて更に取り調べる具体的必要がうかがえないものであるとして、この主張を採用しませんでした。控訴審でも同じ文書を対象とする文書提出命令の申立てがされましたが、同じ見地から必要性がないとして却下されています。

裁判所が認定した重要な事実と判断の枠組み

結論を支えた事実（控訴審判決の認定事実）

控訴審判決が認定した、本件情報流出事故の当時の内部統制と情報セキュリティの状況は、次のとおりです（以下は判決本文の認定事実の要約です）。

区分	認定された内容
持株会社KGHの内部統制の基本方針と規程	内部統制システムの整備に関する取締役会決議（基本方針）に基づき、事業会社経営管理規程、グループリスクマネジメント規程等の各種規程を整備し、子会社の役職員を含めて周知していた
子会社の経営管理	事業会社経営管理規程では、通信教育事業会社TSKと情報処理子会社JSVはいずれも重要な事業会社として、持株会社KGHが直接経営管理を行うものとされ、各種会議体や責任者を設置しつつ、子会社の役員の選任・解任、事業計画・予算編成・業績管理、重要事項の意思決定への関与、内部監査等を通じて経営管理を行うこととされていた
グループのリスク管理	リスク・コンプライアンス委員会がグループ全体のリスク評価と対応策の検討を行い、個人情報の漏えいリスクを含む情報セキュリティのリスクは主要なリスクの一つと認識されていた。グループ各社は毎年リスクを抽出・評価して対応計画を作成し、最高リスク管理責任者に報告し、委員会の検討結果は持株会社KGHの取締役会に報告することとされていた
取締役会への報告	持株会社KGHの取締役会に対し、子会社2社の情報セキュリティ体制について特段の問題があるとの報告はされていなかった
報告聴取と内部監査	重要な子会社について定例的な会議体等を通じて報告を聴取し、内部監査部門を設けて事業会社への監査を実施していた
情報処理子会社JSVの物理的・技術的対策	個人情報の取扱施設への入館制限と入退出管理、監視カメラ、クライアントＰＣのワイヤーロック、認証ＩＤとパスワードの定期更新、操作ログの記録、ソフトウェアのインストール制御と外部サービスへの接続制限、24時間体制のセキュリティ監視、書き出し制御システムの導入、アクセス権限の細分化等
研修と教育	通信教育事業会社TSKでは専門組織と規程の下で従業員研修を継続。情報処理子会社JSVでは従業員教育を定期的に行い、委託業務の従事者にも業務前の研修とテストを行って合格者のみを従事させ、その後も毎年研修を受講させていた
第三者機関の認証	本件流出期間を含め、通信教育事業会社TSKについてプライバシーマーク、情報処理子会社JSVについてＩＳＭＳ認証が取得されていた
事故の直接の原因	本件従業員の新機種のスマートフォンに、書出し制御システムが対応していなかった
事故後の調査	代表取締役の諮問機関である調査委員会が、アラートシステムの対象範囲、書出し制御設定、アクセス権限の管理、データベース内の情報管理の各不備のほか、組織体制や役職員の意識、業務委託先の管理とモニタリングの問題点を指摘し、再発防止策を提言した

判断の枠組み

2つの判決から読み取れる判断の枠組みは、次のとおり整理できます。

• 代表訴訟で問われるのは、あくまで親会社の取締役として親会社に対して負う善管注意義務の違反であり、子会社の取締役を兼任していた者についても同じです（第一審判決・控訴審判決）。
• 子会社での安全管理措置等は、第1次的には子会社の取締役会が決定実行すべき事柄であり、株主の側に、親会社の取締役の義務の内容と違反を具体的に主張する責任があります（第一審判決）。
• 完全親会社の取締役は、経営の委任や、これと同視できる定款の定め・経営体制などの特段の事情がない限り、子会社の業務執行そのものについて子会社の取締役と同内容の義務を負いません。純粋持株会社であるというだけでは特段の事情に当たりません（控訴審判決）。
• 企業集団の内部統制のあるべき水準は実務慣行により定まり、その具体的内容は取締役の裁量に委ねられます。水準を下回ることの主張立証が必要です（控訴審判決）。
• 事故後の調査で示された再発防止策は、事後的な評価と将来に向けた提言であり、そこから事故前の体制の不備や事故前に採るべき措置を直ちに導くことはできません（控訴審判決）。

各主張を採用し又は排斥した理由

株主NRS氏の主張	第一審の扱い	控訴審の扱いと理由
兼任取締役（MNS氏・NGS氏）は、親会社の取締役としても子会社の取締役と同様の義務を負う	親会社の取締役としての具体的な義務と違反の主張がないとして排斥	排斥。特段の事情がない限り同内容の義務は負わない。純粋持株会社であることは特段の事情に当たらない。個別的検討の主張立証がなく、兼任期間との関係でも前提を欠くきらいがある
取締役6名は、グループ全体の個人情報保護のための内部統制システムを構築・運用すべき義務に違反した	同上	排斥。企業集団としての内部統制システムがひととおり構築・運用されており、実務慣行に照らして水準を下回る事情の主張立証がない
個人情報保護法とガイドラインから親会社の取締役の義務が導かれる	（個別の判断はなく、主張自体失当の中で排斥）	排斥。個人情報保護法等から主張の善管注意義務が直ちに導かれるとは解されない
事故後の調査で示された原因・再発防止策を、事故当時の作為義務とすべきである	（同上）	排斥。事後的な検討と将来に向けた提言であり、事故前の体制の不備は直ちに推認されず、事故前に採るべき措置であったとも直ちに認められない
親会社の取締役は、子会社の職務執行を直接個人情報保護法に適合させる義務・個別の監視義務を負っていた	（同上）	排斥。子会社の職務執行の適法性の確保は子会社の取締役等の職責。グループの体制に法的にみて特に問題はなく、取締役会への問題報告もなかった
文書提出命令の却下は審理不尽である	（第一審は申立てを却下）	排斥。対象文書は主張との関連性が定かでないか、更に取り調べる具体的必要がうかがえない

控訴審判決は、株主NRS氏が、同様の対応の遅れによって他社で情報漏えいが起き、それが知れ渡っていたとみるべき事情について何ら主張立証していないことも指摘し、こうした一般情勢に関する主張立証は株主が自らの調査等により相当程度対応可能であると述べています。文書提出命令によらなくても株主の側で用意できる主張立証があったとの評価です。

主文及び結論

第一審判決の主文は、「原告の請求をいずれも棄却する。」「訴訟費用は原告の負担とする。」というものです（「原告」は株主NRS氏を指します）。

控訴審判決の主文は、「本件控訴を棄却する。」「控訴費用は控訴人の負担とする。」というものです（「控訴人」は株主NRS氏を指します）。控訴審判決は、その余の争点（損害の有無）について判断するまでもなく株主NRS氏の請求はいずれも理由がないとして、請求を棄却した原判決は相当であるとしました。

260億円の計上額が取締役の賠償すべき損害に当たるかどうかは、いずれの審級でも判断されていません。控訴審判決に対する上告・上告受理申立ての有無及び確定は、判決本文からは確認できていません。

審級ごとの結論の推移

審級	結論	主な理由	下級審との関係
第一審（岡山地方裁判所平成30年9月12日判決）	請求をいずれも棄却	親会社の取締役としての具体的な義務と違反の主張がなく、主張自体失当	―
控訴審（広島高等裁判所岡山支部令和元年10月18日判決）	控訴を棄却（請求棄却の結論を維持）	兼任取締役も特段の事情がない限り子会社と同内容の義務を負わない。企業集団の内部統制システムはひととおり構築・運用されていた。再発防止策から事故前の不備は推認できない。子会社の職務執行の適法性確保は子会社の取締役等の職責。文書提出命令の却下に違法はない	結論を維持。第一審判決を引用せず、内部統制の状況を認定したうえで実質的な理由を示した

判断の射程

以下は、判決の内容を踏まえた当事務所の評価です。判決が述べた事項と区別してお読みください。最終的な判断である控訴審判決を基準とし、第一審判決の理由とは区別して記載します。

参考となる点

• 親会社の取締役の義務は、子会社の取締役の義務と同じではないこと。控訴審判決は、完全親会社であっても子会社の株主にとどまるという会社制度の構造から、特段の事情がない限り、親会社の取締役は子会社の業務執行そのものについて子会社の取締役と同内容の義務を負わないとしました。子会社で不祥事が起きた場合に、親会社の取締役が直ちに責任を負うわけではないことを示す判断として、グループ経営を行う会社と取締役にとって重要です。
• 企業集団の内部統制は「ひととおり」の構築と運用が問われること。判決は、規程の整備と周知、子会社の経営管理への関与、グループのリスク評価と取締役会への報告、内部監査といった仕組みが整い、運用されていたことを重視しました。代表訴訟を起こされた親会社の取締役の側からみると、内部統制の基本方針、規程、会議体の記録、取締役会への報告の記録を日頃から残しておくことが、責任を否定する主張立証の基礎になります。
• 事故後の再発防止策は、事故前の不備の証拠に直ちにはならないこと。不祥事の後に調査委員会を設けて原因と再発防止策を公表することは、会社として当然の対応ですが、その内容が後に代表訴訟で取締役の義務違反の根拠として使われることがあります。本判決は、再発防止策は事後的な評価と将来に向けた提言であるとして、事故前の体制の不備を直ちに推認することを否定しました。
• あるべき水準は実務慣行で定まり、取締役の裁量が認められること。判決は、内部統制の具体的内容は事業内容や規模、経営状態等を踏まえた取締役の裁量に委ねられるとし、当時の上場企業の実務慣行に照らして水準を下回ることの主張立証を株主の側に求めました。
• 代表訴訟の株主の側に、具体的な主張立証が求められたこと。第一審判決は主張責任の段階で、控訴審判決は主張立証の不足を具体的に指摘して、いずれも請求を退けました。文書提出命令の申立ても、主張との関連性や必要性が示されないとして認められていません。
• 少数の株式でも代表訴訟は起こされ得ること。本件の株主は、証券取引所で取得した200株を保有する株主でした。結論として責任は否定されましたが、請求額は260億円に上り、取締役6名は2つの審級にわたって応訴を余儀なくされています。

一般化できない点

• 本判決は、持株会社KGHのグループで、規程の整備、リスク評価と報告の仕組み、内部監査、子会社での多層的な情報セキュリティ対策、第三者機関の認証の取得といった体制が認定された事案での判断です。内部統制の仕組みが整っていない会社や、取締役会に問題が報告されていたのに対応しなかった会社に、同じ結論がそのまま当てはまるとは限りません。
• 控訴審判決は、完全子会社から親会社への経営の委任や、これと同視できる定款の定め・経営体制などの特段の事情があれば別であるとしています。親会社が子会社の業務執行に直接関与する体制をとっている場合には、親会社の取締役の義務の内容が異なり得ます。
• 同様の対応の遅れによる他社での情報漏えいが知れ渡っていたなどの事情の主張立証がないことも、判断の理由とされています。そうした事情が立証された場合の評価は、本判決からは分かりません。
• 損害（260億円の計上額が賠償すべき損害に当たるか）については、いずれの審級も判断していません。
• 本件は、平成26年法律第90号による改正前の会社法が適用された事案で、親会社の株主が親会社の取締役の責任を追及したものです。現在の会社法には、一定の要件の下で完全親会社の株主が完全子会社の取締役等の責任を追及する制度（会社法第847条の3）がありますが、本件はその制度による請求ではありません。
• 本判決は上場会社の事案です。株主の数や構成、子会社管理の体制が異なる非上場会社にそのまま当てはまるものではありません。
• 控訴審判決に対する上告・上告受理申立ての有無及び確定は確認できていません。

代表訴訟に備えて会社・取締役が確認しておきたいこと

本判決を踏まえると、グループ経営を行う会社の側では、企業集団の内部統制の基本方針と規程、子会社の経営管理への関与の方法、リスク評価と取締役会への報告の流れを文書で整え、その運用を記録として残しておくことが大切です。子会社で不祥事が起きた後の調査と再発防止策の公表にあたっても、事故前の体制の評価と将来に向けた提言とを区別して整理しておくことが、後の代表訴訟への対応につながります。

よくあるご質問

子会社で個人情報の流出事故が起きた場合、親会社の取締役は株主代表訴訟で責任を負いますか。

直ちに負うわけではありません。本件の控訴審判決は、完全親会社の取締役は、経営の委任などの特段の事情がない限り、子会社の業務執行そのものについて子会社の取締役と同じ内容の善管注意義務を負うものではないとし、企業集団としての内部統制システムがひととおり構築・運用されていたことなどから、親会社の取締役6名の責任を否定しました。

親会社の取締役が子会社の代表取締役を兼任していた場合はどうなりますか。

本判決では、兼任取締役も、各会社に対してそれぞれの職務に見合った善管注意義務を負うにとどまり、親会社の取締役として子会社の取締役と同内容の義務を負うものではないとされました。代表訴訟で問われるのは、あくまで親会社の取締役としての義務違反です。なお、本件の兼任取締役は、事故の約半年前に子会社の代表取締役を退任していました。

事故後に調査委員会が再発防止策を提言すると、事故前の体制に不備があったことになりますか。

本判決は、調査結果は事故の原因の事後的な検討・評価と将来に向けた再発防止策を明らかにしたものであり、組織体制の改善が指摘されたからといって、事故前の内部統制システムに不備があったことが直ちに推認されるものではないとしました。再発防止策を事故当時に遡らせて取締役の義務の内容とする主張も退けられています。

企業集団の内部統制システムは、どの程度整備されていればよいのですか。

本件の控訴審判決は、会社法は内部統制システムの在り方について一義的な内容を定めておらず、あるべき水準は実務慣行により定まり、具体的内容は事業内容や規模、経営状態等を踏まえて取締役が裁量により判断すべきものとしました。本件では、規程の整備と周知、子会社の経営管理への関与、グループのリスク評価と取締役会への報告、内部監査などが認定され、ひととおり構築・運用されていたと評価されています。

株主から提訴請求を受けた場合、会社はどう対応すればよいですか。

本件では、株主からの提訴請求を受けた持株会社が、取締役に監視・監督義務と内部統制システム構築義務のいずれの観点からも善管注意義務違反はないとして、訴えを提起しない旨を通知し、その後、株主が代表訴訟を起こしました。提訴請求を受けた会社は、取締役の責任の有無を検討して判断する必要があり、その判断の根拠となる内部統制の資料を整理しておくことが、その後の代表訴訟への対応にも役立ちます。

関連する記事と御相談のご案内

株主から代表訴訟を起こされた場合や提訴請求を受けた場合は、取締役が親会社と子会社のどちらの立場でどのような義務を負っていたのか、企業集団の内部統制の規程と運用の記録、取締役会への報告の有無、事故後の調査結果の位置付けを整理し、どの点が争点になるかを見極めて対応します。株主代表訴訟の仕組みと会社・取締役の側の対応は株主代表訴訟の解説で、善管注意義務違反を主張された取締役・会社の側の当事務所の対応は取締役の善管注意義務違反に関する御相談で、株主から代表訴訟の提起や提訴請求を受けた場合の対応は株主代表訴訟・提訴請求への対応に関する御相談で御案内しています。少数株主対策・スクイーズアウトに関するほかの裁判例は、少数株主対策・スクイーズアウトの裁判例の解説記事一覧をご覧ください。