Qu'est-ce que la divulgation d'informations qu'une entreprise devrait faire en cas de fuite d'informations ?

En cas de fuite d’informations, il peut être nécessaire de prendre des mesures administratives, telles que des rapports, selon les circonstances. En plus de répondre à l’administration, il est également nécessaire de divulguer les informations de manière appropriée sur “quelles informations”, “quand” et “comment” elles ont fuité.

Dans cet article, nous expliquerons aux membres du département juridique des entreprises comment divulguer les informations en cas de fuite d’informations.

La différence entre la réponse administrative et la divulgation d’informations

En cas de fuite d’informations personnelles, il sera nécessaire de répondre aux régulations administratives telles que la loi japonaise sur la protection des informations personnelles. Cependant, il est insuffisant pour une entreprise de se limiter uniquement à une réponse administrative.

Par exemple, si une entreprise provoque une fuite d’informations, cela peut avoir un impact social.

De plus, pour les entreprises cotées en bourse, il est nécessaire de divulguer rapidement les informations aux actionnaires, clients, fournisseurs et autres parties prenantes.

Alors que la réponse administrative implique une conformité avec la loi, la divulgation d’informations par l’entreprise a un aspect plus fort de remplir sa responsabilité sociale en tant qu’entreprise qui gère des informations.

Sur la divulgation en temps opportun des entreprises cotées

Les entreprises cotées sont tenues de divulguer des informations, car une fuite d’informations peut avoir des conséquences à grande échelle.

Par exemple, le règlement sur la cotation des valeurs mobilières publié par la Bourse de Tokyo (la “Bourse de Tokyo japonaise”) stipule les dispositions relatives à la divulgation en temps opportun comme suit :

(Divulgation des informations de l’entreprise)
Article 402
Une entreprise cotée doit immédiatement divulguer le contenu dans les cas suivants (à l’exception de ceux qui correspondent aux critères définis par le règlement d’exécution et d’autres éléments que cette bourse considère comme ayant un impact mineur sur les décisions d’investissement des investisseurs) conformément au règlement d’exécution.
(Omission)
x En plus des faits énumérés de a à w, des faits importants concernant la gestion, les opérations ou les biens de l’entreprise cotée ou les actions cotées, etc., qui ont un impact significatif sur les décisions d’investissement des investisseurs

Bourse de Tokyo japonaise | Règlement sur la cotation des valeurs mobilières

On peut penser que la survenue d’une fuite d’informations correspond à “des faits importants concernant la gestion, les opérations ou les biens de l’entreprise cotée ou les actions cotées, etc., qui ont un impact significatif sur les décisions d’investissement des investisseurs”, il est donc nécessaire de procéder à une divulgation en temps opportun.

Plus précisément, il peut être envisagé de divulguer un résumé de la fuite d’informations qui s’est produite, les circonstances de la fuite d’informations, et les perspectives futures concernant la réponse à la fuite d’informations qui s’est produite.

Sur la divulgation volontaire d’informations par les entreprises

Comme mentionné ci-dessus, il peut y avoir des cas où les entreprises divulguent des informations conformément aux règlements sur les valeurs mobilières cotées, etc. Cependant, en tant qu’entreprise, il peut être envisageable de divulguer volontairement des informations dans le but de couvrir les risques.

Dans quels cas faut-il divulguer des informations ?

En ce qui concerne la divulgation volontaire d’informations, étant donné qu’elle est volontaire, l’entreprise peut choisir, en théorie, de ne pas divulguer d’informations ou de divulguer des informations.

Il est donc important pour l’entreprise de définir clairement les critères pour choisir de divulguer ou non des informations.

Le premier critère pourrait être de savoir s’il est réellement possible que les dommages causés par la fuite d’informations s’étendent.

Si une fuite d’informations s’est effectivement produite, mais qu’on estime qu’elle n’a pas d’impact réel, il n’est pas nécessaire de procéder à une divulgation volontaire d’informations.

Si vous choisissez de divulguer volontairement des informations alors qu’il n’est pas réellement possible que les dommages causés par la fuite d’informations s’étendent, cela pourrait au contraire créer de la confusion et aggraver la situation.

Le deuxième critère pourrait être de savoir si la divulgation d’informations pourrait réellement entraîner une extension des dommages causés par la fuite d’informations.

Si vous révélez qu’une fuite d’informations s’est produite alors que vous n’avez pas été en mesure de répondre correctement à la fuite, cela pourrait attirer l’attention de ceux qui cherchent à obtenir illégalement des informations, ce qui pourrait entraîner d’autres fuites d’informations.

En conséquence, la divulgation volontaire d’informations pourrait entraîner une extension des dommages causés par la fuite d’informations, et donc une extension des violations des droits.

Cependant, ces critères ne sont pas nécessairement généralisables, et il est nécessaire d’examiner soigneusement les critères pour décider de divulguer ou non des informations dans chaque cas, et de juger de l’opportunité de divulguer des informations.

Sur les points à divulguer lors de la divulgation d’informations

Lors de la divulgation d’informations, il est nécessaire d’examiner soigneusement les points à divulguer.

Les points à divulguer lors de la divulgation d’informations pourraient être, par exemple, les suivants :

• Le type de fuite d’informations qui s’est produite
• La date à laquelle l’entreprise a pris conscience de la fuite d’informations
• La date à laquelle la fuite d’informations s’est produite
• Les circonstances dans lesquelles il a été découvert qu’une fuite d’informations s’était produite
• La cause de la fuite d’informations
• Le contenu des dommages qui pourraient être causés par la fuite d’informations
• La présence ou l’absence d’un risque d’extension des dommages ou de survenue de dommages secondaires à l’avenir
• Les mesures prises par l’entreprise contre la fuite d’informations
• Le contenu de l’enquête sur la cause de la fuite d’informations
• La présence ou l’absence d’un rapport à la police, etc.

Cependant, en ce qui concerne les points à divulguer, les points souhaitables pour la divulgation varient en fonction de l’affaire, il est donc nécessaire de juger individuellement en fonction de l’affaire.

Sur la méthode de divulgation d’informations

La méthode de divulgation d’informations pourrait être, par exemple, la suivante :

• Publier sur le site Web de l’entreprise
• Annoncer lors d’une conférence de presse aux médias
• Contacter individuellement les personnes dont les droits et intérêts pourraient être violés par la fuite d’informations

Les méthodes de divulgation d’informations mentionnées ci-dessus ne sont qu’un exemple, et il est nécessaire de choisir la méthode appropriée en fonction de chaque cas.

Points à noter lors de la tenue d’une conférence de presse aux médias

Lors d’une conférence de presse, le contenu de la divulgation d’informations sera reconnu par un grand nombre de personnes. Par conséquent, il est nécessaire d’examiner soigneusement si la méthode de la conférence de presse est appropriée pour la divulgation d’informations.

Par exemple, si l’entreprise n’a pas d’informations supplémentaires à celles déjà divulguées sur son site Web, etc., même si une conférence de presse est tenue, aucune nouvelle information ne peut être publiée. Si une conférence de presse est tenue sans nouvelles informations, ceux qui ont vu la conférence de presse peuvent avoir l’image d’une entreprise malhonnête qui ne divulgue pas correctement les informations et n’assume pas sa responsabilité d’explication, il faut donc faire attention.

De plus, il peut être pratiquement difficile de retirer ou de corriger le contenu parlé lors d’une conférence de presse.

Par conséquent, il est nécessaire de préparer soigneusement le contenu à parler lors d’une conférence de presse, en incluant des experts tels que des avocats, et de décider à l’avance du contenu à parler.

Points à noter lors de la prise de contact individuel avec les personnes dont les droits et intérêts pourraient être violés par la fuite d’informations

Si l’on sait que les droits et intérêts de certaines personnes pourraient être violés par la fuite d’informations, il est préférable de contacter individuellement ces victimes avant de publier les faits de la fuite d’informations.

Si vous décidez de publier avant de contacter individuellement les victimes, les victimes peuvent se méfier de l’entreprise et renforcer leur conscience hostile.

De plus, même s’il était possible de contacter individuellement les victimes, si vous décidez de publier en premier, la confiance sociale de l’entreprise pourrait être compromise.

Comment les entreprises peuvent-elles prévenir les fuites d’informations ?

Jusqu’à présent, nous avons expliqué ce que les entreprises devraient divulguer en cas de fuite d’informations, mais il est essentiel de prévenir ces fuites en premier lieu.

L’article 23 de la loi japonaise sur la protection des informations personnelles (Loi sur la protection des informations personnelles) stipule les mesures de gestion de la sécurité comme suit :

(Mesures de gestion de la sécurité)
Article 23 : Les opérateurs de traitement des informations personnelles doivent prendre les mesures nécessaires et appropriées pour prévenir les fuites, la perte ou la destruction des données personnelles qu’ils traitent, ainsi que pour assurer la sécurité de ces données.

e-Gov｜Loi japonaise sur la protection des informations personnelles

Les mesures de gestion de la sécurité peuvent inclure, par exemple, les actions suivantes :

• Élaboration d’une politique de base sur le traitement des données personnelles
• Mise en place de règles sur le traitement des données personnelles
• Organisation de la structure organisationnelle
• Mise en œuvre conforme aux règles sur le traitement des données personnelles
• Mise en place de moyens pour vérifier la situation de traitement des données personnelles
• Organisation d’un système pour répondre aux incidents de fuite d’informations
• Compréhension de la situation de traitement des données personnelles et révision des mesures de gestion de la sécurité
• Formation des employés qui traitent les données personnelles
• Mise en œuvre de mesures de sécurité physiques pour prévenir les fuites de données personnelles
• Mise en œuvre de mesures de sécurité techniques pour prévenir les fuites de données personnelles

En mettant en œuvre les mesures de sécurité mentionnées ci-dessus en fonction de la situation de l’entreprise, il est possible de réduire le risque de fuites d’informations.

Conclusion : Consultez un avocat pour la divulgation d’informations concernant les fuites d’informations

Dans cet article, nous avons expliqué aux membres du département juridique des entreprises ce qu’ils devraient divulguer en cas de fuite d’informations.

Il est préférable qu’aucune fuite d’informations ne se produise, mais il est réaliste de penser qu’il est difficile de prévenir les fuites d’informations à 100%.

Par conséquent, si une fuite d’informations se produit, il est important pour l’entreprise de prendre les mesures appropriées.

En ce qui concerne la réponse aux fuites d’informations, une réflexion prudente est requise en fonction de la situation, nous vous recommandons donc de consulter un avocat possédant des connaissances spécialisées.

Présentation des mesures prises par notre cabinet

Le cabinet d’avocats Monolis est un cabinet d’avocats spécialisé dans l’IT, et plus particulièrement dans l’Internet et le droit. Une expertise spécialisée est indispensable pour l’élaboration des règlements internes. Notre cabinet travaille sur la revue de divers cas, allant des entreprises cotées à la bourse de Tokyo aux startups.