系統運營業者的數據遺失風險與法律責任

企業在數據庫中儲存的重要企業信息，有時會因為意外情況而丟失，這種問題有時會在系統部門的現場發生。在這種情況下，如果將系統的運營業務外包給外部供應商，那麼是否可以在法律上追究外部供應商的責任呢？

本文將解釋在企業中發生的信息丟失事故，其法律責任應歸屬於誰。

在IT系統中「運營」的含義

在IT系統中「運營」，簡單來說，就是指「持續使用現有系統的工作」。IT工程師或程式設計師新建立（＝開發）的系統並非一旦建立就結束。例如，如果想要執行無法從螢幕端執行的操作，可能需要將電腦連接到資料庫，並直接輸入電腦語言（如SQL）（例如，無法從螢幕端執行的資料提取或更改等）。

這種運營工作，與新實施程式的工作相比，通常更容易透過編寫操作手冊等方式來標準化，並且更容易外包給外部供應商。

然而，即使是容易標準化的工作，由於它涉及到直接操作企業管理的資料庫，因此也應該注意到它往往與大規模事件相伴。企業的資訊洩漏或丟失等風險，可能由於對業務責任重大性的忽視，而輕易地推進外包，導致風險在不知不覺中大幅增加。

資訊的遺失風險其實就在本所身邊

企業使用的資料庫有許多種類，但其實質是一種軟體。在這裡，資料的提取、修改、新增和刪除等處理基本上都使用SQL這種電腦語言。

法務的重要性

涉及IT系統的技術人員的工作包括開發、運營、維護等多種類型，共同的特點是處理「資料」和「電腦語言」等抽象事物。因此，即使只是按錯一個按鈕或稍微輸入錯誤，這些錯誤的影響範圍可能遠超出本所的預期。這種基本前提，無論是IT專家還是非專家，所有涉及系統工作的人都應該意識到。由於系統相關工作的性質，一旦出現問題，其影響範圍往往會超出相關部門，甚至超出公司內部，迅速擴散。系統為何需要法務的重要性，無論是從訂購方還是承包方的角度，都可以從這些觀點統一解釋。

企業資料的遺失風險

讓本所舉一個簡單的例子。在SQL中，刪除一個表的所有資料的查詢（指令）只需要寫一行「TRUNCATE」。在考慮企業資料遺失風險時，熟悉SQL語法或資料庫軟體的操作方法可能並不那麼重要。然而，本所應該認識到，即使是刪除企業存儲的所有資料，只要談到方法，也可能就是這麼簡單。這種現實認識可能是本所考慮企業資料遺失風險的出發點。

確實，運營工作容易標準化，只要按照程序進行，往往不會有任何問題。但同時，如果考慮到不按照程序進行，引發異常情況的可能性，法務的重要性就顯而易見了。

資訊遺失在法律上誰該負責

運營商的工作的法律性質

那麼，當意外事件導致數據遺失，且無法恢復時，其法律責任該歸屬於誰呢？以下，本所將從法律的角度分析這種情況。

追究基於寄存合約的保管義務是困難的

在追究代理數據運營業務的業者的責任時，一種可能的理論構成是追究基於有償寄存合約的善管注意義務。簡單來說，就像在付費的儲物櫃等地方接受物品寄存的業者如果失去了那些物品，原則上需要承擔損害賠償責任一樣，本所是否可以追究「數據」的遺失責任呢？然而，就像「物品的保管義務」一樣，認為「數據的保管義務」自然產生是在現行法上並不現實的。

取決於個別的合約內容

結論來說，「誰該負擔數據的保管義務」這個問題，基於民法的規定來導出一個統一的解答是困難的。因此，答案應該是「取決於個別的合約內容如何規定」。

而「合約的內容是什麼」這一點，並不僅僅是合約書，還包括議事錄等，這些都將一起被判斷。關於議事錄的重要性，本所在下面的文章中有詳細的解釋。

https://monolith-law.jp/corporate/the-minutes-in-system-development[ja]

追究非合約方的第三方的侵權行為責任是困難的

另外，從沒有合約關係的第三方追究侵權行為責任是不可能的，這在判例上已經明確。在判例中，租賃伺服器服務中的數據遺失事故中，用戶是否可以基於侵權行為提出損害賠償請求成為了問題。

侵權行為的典型例子包括交通事故。例如，如果由於駕駛人的過失在車禍中傷害了他人，那麼（不僅是刑事上，而且在民事上）也需要承擔責任。即使在陌生人之間，本所並沒有簽訂「不會用車撞人」的合約，但是在私人之間也可能產生損害賠償責任。基於這種侵權行為責任的框架，即使是直接沒有合約關係的對象，也可能對數據遺失的責任進行追究。

然而，法院在指出數字信息的特性後，表示導出這種義務的存在是困難的。

伺服器並非完全無瑕，可能會出現故障，導致儲存的程式等消失，但程式等是數字信息，可以輕易地複製，如果用戶記錄並儲存了這些信息，即使它們消失了，也可以重新啟動程式等，這是眾所周知的（全體辯論的主旨），因此，原告等人本可以輕易地採取防止本案程式和本案數據消失的措施。考慮到原告和被告雙方的利益狀況，對於設置和管理本案伺服器的被告，沒有理由也不需要讓他承擔保護原告等人上述記錄的消失防止義務。（中略）原告等人認為，租賃伺服器合約具有第三方的程式或數據的寄存合約的性質，並以此為根據，認為被告作為租賃伺服器業者，對於在本案伺服器上儲存記錄的所有人都有善管注意義務，具體來說，有義務不讓本案伺服器的記錄消失，並以此為前提，主張被告讓在本案伺服器上儲存的原告等人的記錄消失是違反上述消失防止義務的。

然而，被告只是與用戶A簽訂了共享伺服器託管服務的使用合約，與原告等人之間並無合約關係，對於在本案伺服器上儲存的本案程式或本案數據的保管，也不能說有寄存合約的性質，因此，難以找到被告對於與其無合約關係的原告等人，對於在本案伺服器上儲存的記錄承擔侵權行為法上的善管注意義務的根據。因此，僅僅因為被告是租賃伺服器業者，就不能說在與無合約關係的第三方的關係中，自然地對於在本案伺服器上儲存的記錄承擔善管注意義務，或者承擔記錄的消失防止義務。

東京地判平成21年5月20日（2009年）

這個判決指出，對於與合約關係無直接關係的第三方（原告），認為存在「不刪除數據的義務」是不合理的。這個判決可能成為以後同類案件的領先案例，引起了一定的關注。

結論是，追究責任往往「困難」

另外，如果從實務上常用的合約來說，將數據的保管或備份等責任歸給運營商的合約並不多，相反，規定這是用戶（即客戶公司）的責任的合約遠遠超過前者。

因此，除非有特殊的協議，否則認為系統運營商有責任採取措施防止數據遺失在法律上是非常困難的。

應對資訊遺失風險的措施

畢竟，對於企業所面臨的資訊遺失風險，首先需要討論的就是企業本身如何儲存這些資訊。因此，如何考慮這種遺失風險，以及如何建立儲存體系，這些都是企業本身需要決定的問題，很可能就是這樣的情況。

另外，即使業者的責任被認定，也可能會因為過失抵銷而無法獲得全額賠償。在過去的判例中，有一個案例是，被告在伺服器上保管原告的數據，但卻將數據消滅，由於原告沒有進行備份，被認定為「過失」，因此認定了過失抵銷。

原告可以輕易地進行備份等措施，從而防止（中略）的損害發生，或者將損害的發生降至極低，但在本案消滅事故發生時，原告並未保留任何數據內容。

因此，在本案中，決定被告損害賠償責任的負擔金額時，應該考慮到這一點，並應用過失抵銷的規定，這符合損害賠償法上的公平原則。（中略）

對此，原告主張，原告無法預見由於被告這個網路服務提供商將本案文件從伺服器中消滅，因此無法認定有法律義務進行備份，也無法將其不作為視為法律意義上的過失，因此應否定過失抵銷的適用。

然而，在適用過失抵銷時，只要認定原告對於本案文件消滅的結果有預見可能性就足夠了，並不需要預見到由於被告違反注意義務，導致本案文件消滅的因果過程。

在本案中，（中略），明確認識到網頁可能被黑客等侵入的風險，而且，原告承認，網路通信存在資訊被修改、破壞的風險，這種風險是可以預見的，因此，原告預見到由於網路通信固有的原因，本案文件可能消滅的風險，對於本案文件消滅的結果有足夠的預見可能性，因此在確定過失抵銷的適用時，不會有任何障礙。

東京地方裁判所平成13年（2001年）9月28日

在這個案例中，「由於沒有進行備份，因此可以預見到由於黑客等的侵入等原因，文件可能會消失，因此應該適用過失抵銷」，因此，損害賠償金額被判定為原來的一半。

總結

雖然並非僅限於數據丟失風險，但在將系統工作外包時，使用者往往只關注螢幕操作的感覺，而忽視了背後儲存的數據庫區域，組織的治理往往無法涵蓋到這些區域。

然而，過去的法院判例提示本所，這些問題絕不是可以視為「他人之事」的。換句話說，本所應該認識到，建立如備份等考慮到信息丟失風險的管理體系，終究是使用者端（即公司內部）的問題。

過去的法院判例也暗示，如果不對這些風險做好準備，可能會引發無法挽回的情況。本所應該理解這些判例是在警告本所需要預防這些風險。