第１ 本記事の対象と結論
１ 対象と基準日
本記事は，従業員が会社の承認を得ないまま，私用のLINE等のメッセージアプリ，私物のUSBメモリやハードディスク，個人のメールアドレスへの転送，私用のクラウドストレージ等で業務上の情報を扱う場面について，会社側の法的な問題と対応を整理する。
生成AIを使う場面（いわゆるシャドーAI）はシャドーAIの問題点で扱っているので，本記事では生成AI以外の道具を対象にする。
法令は令和８年９月２８日現在の条文をe-Gov法令検索で確認し，裁判例は裁判所ウェブサイトの裁判例検索で判決・決定の本文を確認したものに限って紹介する。
「シャドーIT」は法令上の用語ではなく，本記事で確認した公的資料にも定義は見当たらなかった。
本記事では，会社の承認を得ずに業務に用いられる私物の機器や個人のサービスを指す言葉として用いる。
２ 結論
①私物の機器への持出しが常態化し，持出しの禁止や許可に関する明確なルールもなかった事案では，営業秘密の秘密管理性が否定されている（大阪地方裁判所令和６年７月３０日判決）。
他方，私用のクラウドアカウントへの接続を技術的に遮断していなかった事案でも，体制面で相応の秘密管理措置が採られていたとして秘密管理性を肯定した裁判例がある（東京地方裁判所令和４年１２月９日判決・令和３年特（わ）第１２９号）。
②退職して同業他社へ転職する直前に営業秘密を私物のハードディスクに複製した従業員について，最高裁判所は，業務遂行の目的によるものではなく，その他の正当な目的もうかがわれないことなどから，刑事罰の要件である「不正の利益を得る目的」を認めた（最高裁判所平成３０年１２月３日決定）。
③民事でも，最終出社日の直前に社内サーバーから会社の情報を取得した元本部長について，使用・開示の差止め，電子データ等の廃棄及び損害賠償が認められている（東京地方裁判所令和６年４月２５日判決）。
④個人データについては，内部規程に違反して外部記録媒体が繰り返し持ち出されていたのを放置した結果漏えいした場合が，個人情報保護委員会のガイドラインで，従業者の監督を怠った例として挙げられている。
⑤就業規則に違反する持出しであっても，違法行為を捜査機関に告発する目的で行われた場合は，違法性が阻却されるとした裁判例がある（東京地方裁判所令和７年１２月１９日判決）。
懲戒処分や損害賠償請求の前に，持出しの目的を確かめる必要がある。
⑥私用LINEでの業務連絡や個人のメールアドレスへの転送を理由とする懲戒処分の有効性を正面から判断した裁判例は，裁判所ウェブサイトの全文検索の範囲では見当たらなかった。
⑦会社の対応としては，「秘密を守る」という規定だけでなく持出禁止や返還・消去まで定めること，私物の機器の業務利用を認めるなら範囲と遵守事項を定めて承諾を得ること，個人のメールアドレスへの転送設定がないかを確認すること等を組み合わせる。
第２ 典型的な場面と問題になる法律関係
１ 典型的な場面
①私用のLINE等で，顧客の氏名や写真，案件の資料をやり取りする。
②業務データを私物のＵＳＢメモリやハードディスクにコピーし，自宅で作業する。
③業務用のメールを個人のメールアドレスへ自動転送する。
④会社が契約していないクラウドストレージに資料をアップロードする。
⑤私物のスマートフォンで書類や画面を撮影する。
いずれも，本人は仕事を進めるためにしていることが多い。
しかし，会社から見ると，どの情報がどこにあるかを把握できず，退職や紛失のときに回収も確認もできない状態になる。
情報処理推進機構の「情報セキュリティ１０大脅威 ２０２６」（組織編）では，「内部不正による情報漏えい等」が７位に挙げられている。
２ 問題になる法律関係
営業秘密としての保護（不正競争防止法），個人データの安全管理と漏えい等の報告（個人情報保護法），就業規則による禁止と懲戒処分（労働契約法・労働基準法），会社の損害の回復（民法）の４つに分けて考えると整理しやすい。
以下，順に述べる。
第３ 営業秘密としての保護
１ 秘密管理性
不正競争防止法２条６項は，営業秘密を，「秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないもの」と定義している。
私物の機器や個人のサービスへの持出しが放置されていると，この「秘密として管理されている」（秘密管理性）が争われる。
大阪地方裁判所令和６年７月３０日判決（令和２年（ワ）第１５３９号）は，従業員が私有のノートパソコンにソースコードをコピーして社外に持ち出すことがあった事案で，「上記ソースコードの社外持ち出しの禁止や許可に関する明確なルールは存在せず、従業員が顧客先から帰社した際に、私有のノートパソコンからソースコードを削除するなどの措置についても、原告として特段の管理を行っていなかった。」と認定し，秘密管理性を否定した。
もっとも，秘密管理性は，私物の機器を技術的に遮断しているかどうかだけで決まるわけではない。
経済産業省の「営業秘密管理指針」（令和７年３月３１日改訂）は，私用メールへの転送制限や，物理的にＵＳＢメモリやスマートフォンを接続できないようにすることは，不正利用・不正取得のリスクが顕在化している場合の追加的な措置であり，通常の状況では秘密管理性を充足するために必須のものではないとしている。
私用のクラウドアカウントへの接続を技術的に遮断していなくても秘密管理性を肯定した裁判例と，一般的な就業規則の規定だけで私物の端末から自由に閲覧できた事案で否定した裁判例は，シャドーAIの問題点で紹介している。
２ 私物の媒体への複製と刑事罰
不正競争防止法２１条２項１号は，営業秘密を営業秘密保有者から示された者が，不正の利益を得る目的又は営業秘密保有者に損害を加える目的で，営業秘密の管理に係る任務に背き，「営業秘密記録媒体等」を横領し，又はその記載若しくは記録について「その複製を作成すること」等の方法で営業秘密を領得したときは，「十年以下の拘禁刑若しくは二千万円以下の罰金」に処し，又はこれを併科すると定めている。
最高裁判所平成３０年１２月３日決定（平成３０年（あ）第５８２号，刑集７２巻６号５６９頁）の裁判要旨は，「勤務先会社のサーバーコンピュータに保存された営業秘密であるデータファイルへのアクセス権限を付与されていた従業員が，同社を退職して同業他社へ転職する直前に，同データファイルを私物のハードディスクに複製したこと，当該複製は勤務先会社の業務遂行の目的によるものではなく，その他の正当な目的をうかがわせる事情もないこと等の本件事実関係（判文参照）の下では，同従業員には，不正競争防止法（平成２７年法律第５４号による改正前のもの）２１条１項３号にいう『不正の利益を得る目的』があったといえる。」というものである。
この事案の勤務先では，「会社の情報を私物のパーソナルコンピュータや外部記録媒体に保存することは禁止されていた。」と認定されている。
名古屋地方裁判所豊橋支部平成３０年５月１１日判決（平成２９年（わ）第２８９号）は，図面等のデータを「情を知らない同僚のパソコンを操作するなどして私物のハードディスクに複製し，領得したもの」について，被告人を懲役２年（執行猶予４年）及び罰金５０万円に処し，ハードディスクを没収した。
３ 民事の差止めと損害賠償
東京地方裁判所令和６年４月２５日判決（令和５年（ワ）第７０４６２号）は，事業開発本部長等であった被告が最終出社日の直前に社内サーバーから情報を取得した事案で，「本件取得行為は、原告における業務遂行の目的により行われたものではなく、原告退職後の利用を目的として行われたものとみられる。」と認定した。
その上で，営業秘密の使用・開示の差止め，電子データ及びその複製物の廃棄並びに３００万円の損害賠償を命じた。
同判決は，原告の規程で本件情報を私的に複製することが禁止されており，被告もこれを認識していたことも認定している。
第４ 個人データの漏えいと従業者の監督
１ 安全管理措置と従業者の監督
個人情報保護法２３条は，個人データの漏えい等の防止その他の安全管理のために必要かつ適切な措置を講じることを求めている。
同法２４条は，「個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。」と定めている。
個人情報保護委員会の個人情報保護法ガイドライン（通則編）３－４－３は，従業者に対して必要かつ適切な監督を行っていない事例として，「内部規程等に違反して個人データが入ったノート型パソコン又は外部記録媒体が繰り返し持ち出されていたにもかかわらず、その行為を放置した結果、当該パソコン又は当該記録媒体が紛失し、個人データが漏えいした場合」を挙げている。
同ガイドラインの別添（講ずべき安全管理措置の内容）は，物理的安全管理措置として，「個人データが記録された電子媒体又は書類等を持ち運ぶ場合、容易に個人データが判明しないよう、安全な方策を講じなければならない。」としている。
規程で禁止しただけで放置している状態は，監督の問題になり得る。
２ 紛失・持出しと漏えい等の報告
個人情報保護委員会のＱ＆Ａ（令和７年７月１日更新）Ｑ６－３は，個人データが記録されたＵＳＢメモリを紛失し，紛失場所が社内か社外か特定できない場合について，漏えい（又は漏えいのおそれ）に該当すると考えられるとしている。
Ａ６－２４は，報告の期限の起算点となる「知った」時点について，「従業者等の不正な持ち出しの事案においては、不正な持ち出しを行った従業者等を除いた上で判断することとなります。」としている。
私物の媒体や個人のサービスに業務データがある場合は，紛失や退職の際にその所在を確認できないこと自体が，報告の要否の判断を難しくする。
漏えい等の報告の流れは，法律事務所のサイバー事故初動チェックリストでも整理している。
第５ 懲戒処分と損害賠償
１ 懲戒の根拠と相当性
労働基準法８９条９号は，常時１０人以上の労働者を使用する使用者が制裁の定めをする場合には，「その種類及び程度に関する事項」を就業規則に記載しなければならないとしている。
労働契約法１５条は，懲戒が，労働者の行為の性質及び態様その他の事情に照らして，客観的に合理的な理由を欠き，社会通念上相当であると認められない場合は，その権利を濫用したものとして無効とすると定めている。
私物の機器や個人のサービスの利用を懲戒処分の対象にするには，禁止が就業規則等のどこに定められ，懲戒規定とどう結び付いているか，周知の方法，注意や警告の履歴，他の従業員との均衡を確認する必要がある。
これらの確認事項と，パソコンの私的利用を理由とする減給処分を無効とした札幌地方裁判所平成１７年５月２６日判決は，シャドーAIの問題点で紹介している。
２ 持出しの目的による違い
東京地方裁判所令和７年１２月１９日判決（令和６年（ワ）第１８７１２号）は，経理課長であった被告が，医師への支払記録等の社内資料を私物のＵＳＢメモリにコピーして持ち出し，弁護士に依頼して捜査機関に告発や情報提供をした事案である。
同判決は，「被告はこれらの社内資料を持ち出す権限を与えられておらず、被告の上記行為は、前記前提事実⑶認定の原告の就業規則の各条項に違反するものであった。」と認定しながら，持ち出した行為については「違法性が阻却され不法行為又は雇用契約上の債務不履行には当たらないというのが相当である（公益通報者保護法７条参照）。」として，会社の損害賠償請求を棄却した。
持出しが就業規則に違反していても，目的が公益通報に当たる場合は，法的責任を問えないことがある。
３ 軽微な持出しと解雇
東京地方裁判所平成１９年３月９日判決（平成１８年（ワ）第６５０号）は，営業日誌の写しを自宅に持ち帰ったこと等を理由とする解雇について，自宅で訪問計画を立てるという目的に正当性が認められること，当時は営業日誌に関する社内の規定がなかったこと等を考慮し，「漏えい行為の態様としてはごく軽微なものであるから」解雇事由に当たらないか，当たるとしても解雇権の濫用として無効であると判断した。
業務のために自宅へ持ち帰った事案と，退職直前に私物の媒体へ複製した事案とでは，評価が大きく異なる。
４ 裁判例の調査範囲
令和８年９月２８日，裁判所ウェブサイトの裁判例検索（全文検索）で，私物のＵＳＢメモリ，私用のメールアドレス，Googleドライブ，LINEと業務連絡等の語を組み合わせて検索したが，私用LINEでの業務連絡や個人のメールアドレスへの転送を理由とする懲戒処分の有効性を正面から判断した民事裁判例は見当たらなかった。
これは裁判例が存在しないことを意味するものではなく，裁判所ウェブサイトに掲載されていない裁判例がある可能性は残る。
第６ 会社が整えておくこと
１ 規程と誓約書
経済産業省の「秘密情報の保護ハンドブック」（令和６年２月改訂）は，契約等に「秘密を守る」という内容のみを規定した場合，「退職時に社内資料を自宅に持ち帰ったまま返還しない、個人メールアドレスにメールを送信する等の行為は該当しないといった言い逃れを許すおそれがあります」とし，「持出禁止（持出が認められる場合はその条件）」，「返還、廃棄・消去（必要があればその確認）」といった取扱いの内容も定めることを挙げている。
２ 私物の機器と個人のサービス
同ハンドブックは，私物のＵＳＢメモリ等の持込みや業務での利用がないかを確認することが重要であるとし，「私物の記録媒体等の業務利用を認める場合には、利用できる業務範囲や利用に当たって遵守すべき事項等のルールを定めることが重要です」としている。
また，企業が許可した以外のオンラインストレージ等の利用を禁止することも挙げている。
情報処理推進機構の「組織における内部不正防止ガイドライン」（第５版）は，「個人のノートPCやスマートデバイス等のモバイル機器及び携帯可能なUSBメモリ等の外部記録媒体の業務利用及び持込を適切に制限しなければならない。」とし，私物の端末の業務利用（BYOD）については，「BYODは可能ならば使用せず、会社支給PCとすることが望ましい」としている。
同ガイドラインは，電子メールについて，「業務のメールを個人のメールアドレスに転送する設定になっていないかを確認することが望まれます。」としている。
総務省の「テレワークセキュリティガイドライン」（第５版）は，個人所有端末を使用する場合は，端末にデータを保存できることやマルウェア対策ソフト等のインストールを強制できないことなどから，「十分なセキュリティ統制が取れません」としている。
LINE等のメッセージアプリについては，本記事で確認した公的資料には具体的な記載が見当たらなかった。
本記事では，業務連絡に使うアプリとアカウントを会社として指定し，それ以外のアプリで顧客情報や案件の資料を扱わないことを，私物の機器やクラウドと同じ規程の中で定めておくことを勧める。
３ 実態の把握とモニタリング
禁止を定めても，実際に何が使われているかを把握しなければ監督にならない。
一方で，利用を申告した従業員を処分すると，利用は隠される。
既に使われていた私物の機器や個人のサービスを申告してもらうときは，申告した過去の利用は処分しないことを先に決めておくと，実態を把握しやすくなると考えられる。
モニタリングを行う場合について，個人情報保護委員会のＱ＆Ａ（Ｑ５－７）は，その目的をあらかじめ特定した上で，社内規程等に定め，従業者に明示することを留意点として挙げている。
モニタリングツールを使う場合の注意点は，USB型フォレンジックツールを労務管理で利用する場合の法的注意点で整理している。
４ 退職時の返却と確認
「秘密情報の保護ハンドブック」は，中途退職者については，「退職の申出を受けてから速やかに会社貸与の記録媒体や情報機器を返却させます。」としている。
私物の機器や個人のサービスに業務データが残っていないかは，退職時の誓約書で確認し，必要があれば削除したことの確認を求める。
退職後の競業避止や資料の持出しと退職金の扱いは，退職後の競業避止義務と退職金の減額・不支給で扱っている。
第７ 関連記事
シャドーAIの問題点――営業秘密，個人情報保護法及び懲戒処分をめぐる法的枠組み
USB型フォレンジックツールを労務管理で利用する場合の法的注意点
社内で窃盗・横領が疑われたときの社内調査－初動，証拠保全，事情聴取及び調査の限界
退職後の競業避止義務と退職金の減額・不支給―誓約書・就業規則の有効性と返還請求
法律事務所の生成AI利用ガイドラインの作り方－許可サービス，入力情報，出力確認，委託先及び事故対応
第８ 出典
１ 公的資料
①個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和８年６月一部改正版）３－４－３・別添
②個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するＱ＆Ａ」（令和７年７月１日更新）Ｑ５－７・Ｑ６－３・Ａ６－２４
③経済産業省「秘密情報の保護ハンドブック」（令和６年２月改訂）
④経済産業省「営業秘密管理指針」（令和７年３月３１日改訂）
⑤情報処理推進機構「組織における内部不正防止ガイドライン」（第５版）
⑥情報処理推進機構「情報セキュリティ１０大脅威 ２０２６」
⑦総務省「テレワークセキュリティガイドライン」（第５版）
２ 裁判例
①最高裁判所平成３０年１２月３日決定（平成３０年（あ）第５８２号，不正競争防止法違反被告事件，刑集７２巻６号５６９頁）
②大阪地方裁判所令和６年７月３０日判決（令和２年（ワ）第１５３９号，不正競争防止法違反行為差止等請求事件）
③東京地方裁判所令和６年４月２５日判決（令和５年（ワ）第７０４６２号，不正競争行為差止等請求事件）
④名古屋地方裁判所豊橋支部平成３０年５月１１日判決（平成２９年（わ）第２８９号，不正競争防止法違反被告事件）
⑤東京地方裁判所令和７年１２月１９日判決（令和６年（ワ）第１８７１２号，損害賠償請求事件）
⑥東京地方裁判所平成１９年３月９日判決（平成１８年（ワ）第６５０号，地位確認等請求事件）
⑦東京地方裁判所令和４年１２月９日判決（令和３年特（わ）第１２９号，不正競争防止法違反被告事件）
３ 法令
①不正競争防止法２条６項・２１条２項１号（e-Gov法令検索）
②個人情報の保護に関する法律２３条・２４条（e-Gov法令検索）
③労働契約法１５条（e-Gov法令検索）
④労働基準法８９条９号（e-Gov法令検索）