個人情報が漏洩した場合、どれくらいの損害賠償が認められる？
弁護士 赤木 誠治
個人情報保護法はたびたび改正され、企業に求められる管理体制は厳しくなっているため、漏洩に関して不安をお持ちの方もいらっしゃると思います。本コラムでは、個人情報が漏洩した場合の損害賠償の相場や、企業が負うリスクなどについて解説します。
第１ 個人情報保護法に関する基礎知識
１ 個人情報保護法とは
個人情報保護法（正式名称：個人情報の保護に関する法律）は、平成１５年に成立した法律です。
この法律は、個人情報の適切な取り扱いに関し、個人情報の有用性に配慮しつつ、個人の権利利益の保護を図ることを目的としています。
平成２８年には、国の機関として個人情報保護委員会が設立され、個人情報保護法のガイドラインの策定・公表や、事業者に対する監督などを行っています。
２ 個人情報とは（概要）
個人情報保護法では、「個人情報」とは、生きている個人に関する情報であることを前提に、①特定の個人であると分かるもの（氏名、住所、生年月日等）及び他の情報と紐づけることで容易に特定の個人であると分かるもの、または、②個人識別符号が含まれるものと定義されています（個人情報保護法第２条第１項）。
したがって、亡くなった方の情報は、個人情報保護法における「個人情報」にはあたりません。
また、法人（企業や団体など）は生きている個人ではないため、法人情報も「個人情報」に含まれません（もっとも、法人の情報であっても、法人の役員の氏名といった情報は、「個人情報」に含まれることになります。）。
第２ 個人情報が漏洩した場合に企業が負う責任
企業から個人情報が漏洩した場合、企業は「民事上の責任（賠償金）」と「刑事上の責任」という、２つの大きな法的責任を負う可能性があります。
１ 民事上の責任
個人情報が漏洩すると、民事上の法的責任（損害賠償義務）が発生します。
賠償金額は事案によって異なりますが、１人あたり数千円から数万円となることが多いです。漏洩の件数が多い場合、総額では数千万円以上の損害になる可能性もあります。
後ほど、裁判所で認定された具体例について紹介します。
２ 刑事上の責任
個人情報の漏洩が発生した場合、以下の規定に抵触すると、刑事上の責任を負うことになります。
⑴ 個人情報保護委員会からの命令等に対する違反
個人情報保護法では、個人情報取扱事業者に一定の個人情報保護法違反があった場合、個人情報保護委員会は、当該事業者に対し、当該違反行為の中止その他違反を是正するために必要な措置をとるべき旨を「勧告」することができます（個人情報保護法第１４８条第１項）。
上記の勧告を受けたにもかかわらず、個人情報取扱事業者が正当な理由がなく、その勧告に係る措置をとらなかった場合において、個人情報保護委員会が、個人の重大な権利利益の侵害が切迫していると認めるときは、当該事業者に対し、その勧告に係る措置をとるべきことを「命ずる」ことができます（個人情報保護法第１４８条第２項）。
さらに、上記の勧告がなされていない場合でも、一定の場合において、個人情報保護委員会が、個人の重大な権利利益を害する事実があるため「緊急に」措置をとる必要があると認めるときは、当該個人情報取扱事業者に対し、当該違反行為の中止その他違反を是正するために必要な措置をとるべきことを「命ずる」ことができます（個人情報保護法第１４８条第３項）。
令和２年の個人情報保護法の改正後は、法人の従業者等が、その業務に関して命令や緊急命令に違反したときは、法人等に対しても、１億円以下の罰金刑が科される旨規定されました（個人情報保護法第１８４条第１項第１号）。
⑵ 個人情報データベース等の不正提供等
個人情報取扱事業者やその従業者、またはかつてこれらであった者が、その業務に関して取り扱った個人情報データベース等（その全部又は一部を複製し、又は加工したものも含まれます。）を、自己もしくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、刑事罰が科されます（個人情報保護法第１７９条）。
令和２年の個人情報保護法の改正後は、法人の従業者等が、その業務に関して個人情報データベース等の不正提供等をしたときは、法人等に対して、１億円以下の罰金刑が科される旨規定されました（個人情報保護法第１８４条第１項第１号）。
第３ 個人情報の漏洩によって損害賠償が認められた裁判例
実際に、個人情報の漏洩によって企業に損害賠償が課された裁判例を紹介します。
１ エステティックサロンの事例
委託先の管理不足により外部からの不正アクセスを受け、顧客のプライベートな情報が流出した事例です。
流出した情報：氏名、住所、電話番号のほか、身体的状況や関心のあるエステコース名など
裁判所の判断：被害者１人あたり３万５０００円の損害賠償を認定
ポイント：一般的な連絡先だけでなく、「他人に知られたくない身体的な情報」が含まれていたため、漏洩事案としては非常に高額な慰謝料が認められたと考えられます。なお、業務を外部委託していた場合であっても、委託元企業（エステサロン）の責任が問われています。
２ 通信教育の企業の事例
再委託先の従業員が不正に顧客データを持ち出し、大量流出した事例です。
流出した情報：親子の氏名・性別・生年月日、住所、電話番号など（最大約３５００万件）
裁判所の判断：請求を棄却する判決もあれば、１人あたり約３,０００円の支払いを命じる判決もありました。
ポイント：企業側は、事前にお詫びとして５００円分の金券を配布していました。もっとも、裁判では、事案によってはそれ以上の賠償が命じられるケースがありました。また、連日の報道によるイメージダウン、赤字転落、役員の引責辞任、株主代表訴訟の発生など、賠償金以上の甚大な経営被害が生じました。
第４ 個人情報の漏洩を防ぐために、企業が準備すべきこと
漏洩事故が起きてからでは取り返しのつかない事態になりかねません。企業は、日頃から以下の対策を進めておくことが不可欠です。
１ 法令遵守の徹底
当然ですが、個人情報が漏洩しないよう、適切な取り扱いをしなければなりません。
いま一度、社内の個人情報の取り扱いに関する規定を見直し、さらに、不正アクセスへの対策や情報セキュリティの整備をすることが必要です。
２ 従業員等に対する教育
これまで見てきたように、一人の社員がおこなったことでも、企業等に対して責任追及がなされることになります。
そのため、従業員や役員に対し、個人情報の保護に関する教育を徹底する必要があります。
３ 判断に迷った場合の相談窓口を確認する
個人情報保護法違反の漏洩が疑われる事態が生じた場合、どのように対処すればよいのかわからないという場合もあると思います。
そのような場合に、遅滞なく対応するために、どの弁護士に相談するか決めておくとよいでしょう。
なお、個人情報保護法の解釈や個人情報保護制度についての一般的な質問については、個人情報保護委員会が設置する「個人情報保護法相談ダイヤル」に問い合わせるという方法もあります。
第５ 最後に
個人情報漏洩に関しては、企業は法的には損害賠償責任を負う可能性があります。
もっとも、さらに大きなデメリットとして、社会的な評価の低下が挙げられます。個人情報の漏洩が発生すると、報道等により、その事実が大きく拡散されてしまう可能性があります。現に、個人情報の漏洩が報道され、大きな社会的反響を呼んだケースもあります。
このような問題が起こると、消費者は当該企業に対し、自らの個人情報を渡すことを躊躇し、結果として事業活動に影響が出かねません。
また、企業のイメージダウンにより、採用活動がうまくいかなくなる、取引先との関係が悪化するなど、思わぬ方面にも影響が出る可能性があります。
この影響は長期化するリスクもあり、場合によっては、企業の存続にも関わってくる可能性すらあります。
個人情報の取り扱いについてのご不安やご相談がある場合は、ぜひ当事務所までお問い合わせください。
グリーンリーフ法律事務所は、設立以来35年の実績があり、18名の弁護士が所属する、埼玉県ではトップクラスの法律事務所です。
企業が直面する様々な法律問題については、各分野を専門に担当する弁護士が対応し、契約書レビューも特定の弁護士が行います。このような専門性により、企業法務において大きな強みを持っています。企業法務を得意とする法律事務所をお探しの場合、ぜひ、当事務所との顧問契約をご検討ください。
※ 本コラムの内容に関するご質問は、顧問会社様、アネット・Ｓネット・Ｊネット・保険ネット・Dネット・介護ネットの各会員様のみ受け付けております。
この記事を書いた弁護士：弁護士 赤木誠治
個人情報保護法
弁護士法人グリーンリーフ法律事務所所属、埼玉弁護士会所属の弁護士。平成30年に弁護士登録をおこない、弁護士法人グリーンリーフ法律事務所に入所。事務所内においては個人情報保護法に関する問題を担当しており、顧問先を中心に多数の相談に対応。個人情報保護に関する顧問向けセミナーの講演実績も有する。
