livedoor2004年08月29日
個人情報漏洩時の企業の責任
１．個人情報保護法の規定
個人情報保護法には、企業が個人情報を漏洩したときに、企業に罰則を課す規定はあります。
しかし、同法には、情報を漏洩した個人に対する企業の損害賠償については、何も規定していません。
個人情報保護法には、企業が個人情報を漏洩したときに、企業に罰則を課す規定はあります。
しかし、同法には、情報を漏洩した個人に対する企業の損害賠償については、何も規定していません。
２．企業の不法行為責任
だからといって、個人情報を漏洩した企業が個人に対して何らの損害賠償を支払わなくてもよい、という訳ではありません。
企業は、個人情報を漏洩した場合には、個人に対して、不法行為にもとづく損害賠償責任を負います。
特に、個人情報保護法は、企業に対して、個人情報保護義務を課しています（20条）。そのため、個人情報漏洩についての企業の責任は認められやすくなっています。
３．支払うべき損害額
個人情報が漏洩した場合に、企業が負担すべき賠償額がどのくらいになるかは、従来の判例が参考になります
参考となる代表的な判例は、次の３つです。
（１）宇治市住民基本台帳漏洩事件（最高裁H14.7.11）
これは、宇治市が住民基本台帳を利用したシステムの開発を民間業者に委託したところ、再々委託先のアルバイト従業員が住民21万人分の台帳（氏名、性別、生年月日、住所、転入日、転出日、世帯主名、続柄）をコピーして名簿業者に漏洩した、というケースです。
このケースにおいて、最高裁判所は、住民に具体的な不利益は発生していないが、住民１人あたり１万円の慰謝料を認めました。
（２）早稲田大学江沢民名簿提出事件（最高裁H15.9.12）
これは、早稲田大学が江沢民の講演会の出席者名簿を警視庁に提出した、というケースです。
このケースにおいて、最高裁判所は、出席者に具体的な不利益は発生しておらず、かつ目的の正当性、開示の有用性、必要性があるとしながらも、１人あたり１万円の損害賠償を認めました。
（３）大洲市情報公開条例事件（松山地判H15.10.3）
これは、愛媛県大洲市が情報公開条例にもとづき、住民投票条例の制定を求めて署名を提出した市民の名簿（氏名、住所、生年月日）を公開した、というケースです。
このケースにおいて、裁判所は、公益性を否定して、１人あたり５万円の賠償額を認めました。
これらの３つの裁判例を見る限り、会社は、顧客情報が漏洩した場合には、顧客１人あたり１万円から５万円の賠償金を支払うと覚悟しておかなければなりません
特に、日本版クラスアクションが導入されている今日においては、ネット上で原告を募集するなどの方法によって企業に対して集団訴訟を提起することが考えられます。この場合、企業は莫大な損害賠償を負担する危険性があります。たとえば、４０万人の個人情報が漏洩した場合には、極端にいえば、５万円×４０万人の損害賠償を支払わなければいけないのです。
なお、最近の顧客名簿流出による個人情報漏洩事例では、顧客１人あたり５００円の商品券を配布したりするケースが散見されます。
この場合、顧客が５００円の商品券で納得して受け取ってくれた場合には、個人情報の漏洩に関して５００円で和解が成立したと考えられます。しかし、顧客が５００円の商品券では納得せず、受け取りを拒んだ場合には、和解が成立しておらず、上記のような訴訟が提起される可能性が潜在的に残っていると考えておくべきです。
５．個人情報保護法と不正競争防止法
企業から個人情報が漏洩した場合、企業は個人情報保護法だけでなく、不正競争防止法についても配慮しなければなりません。
個人情報が何者かの手によって、漏洩した場合、企業は、個人情報を漏洩した者に対して、不正競争防止法２条４号営業機密の不正漏洩の問題として損害賠償請求ができます。
しかし、不正競争防止法の「営業機密」というためには、
（�顱鉾鷂�知性
（�髻忙唆半緲�価値性
（�鵝亡浜�性
の３つの要件をみたしていることが必要です。
この３つの要件の中でもっともポイントになるのが、（�鵝砲隆浜�性です。
たとえば、顧客名簿を誰もが見られるような状態で机の上や社内ＬＡＮに置いていた場合、その名簿が流出しても、（�鵝砲隆浜�性が認められない可能性があります。それゆえ、顧客名簿が流出しても、企業は漏洩した者に対して損害賠償を請求できなくなってしまいます。
こういった事態を防ぐためには、顧客名簿は特定の者しかアクセスできないように、鍵の掛かった棚にしまっておくか、社内ＬＡＮでもパスワードをかけておくことが必要です。
このように管理をしっかりしておくことは、不正競争防止法の問題だけでなく、結果的には個人情報の保護にもつながるので、顧客のためでもあるのです。
（この記事は2003年に掲載したものを加筆修正し、再upしたものです）
だからといって、個人情報を漏洩した企業が個人に対して何らの損害賠償を支払わなくてもよい、という訳ではありません。
企業は、個人情報を漏洩した場合には、個人に対して、不法行為にもとづく損害賠償責任を負います。
特に、個人情報保護法は、企業に対して、個人情報保護義務を課しています（20条）。そのため、個人情報漏洩についての企業の責任は認められやすくなっています。
３．支払うべき損害額
個人情報が漏洩した場合に、企業が負担すべき賠償額がどのくらいになるかは、従来の判例が参考になります
参考となる代表的な判例は、次の３つです。
（１）宇治市住民基本台帳漏洩事件（最高裁H14.7.11）
これは、宇治市が住民基本台帳を利用したシステムの開発を民間業者に委託したところ、再々委託先のアルバイト従業員が住民21万人分の台帳（氏名、性別、生年月日、住所、転入日、転出日、世帯主名、続柄）をコピーして名簿業者に漏洩した、というケースです。
このケースにおいて、最高裁判所は、住民に具体的な不利益は発生していないが、住民１人あたり１万円の慰謝料を認めました。
（２）早稲田大学江沢民名簿提出事件（最高裁H15.9.12）
これは、早稲田大学が江沢民の講演会の出席者名簿を警視庁に提出した、というケースです。
このケースにおいて、最高裁判所は、出席者に具体的な不利益は発生しておらず、かつ目的の正当性、開示の有用性、必要性があるとしながらも、１人あたり１万円の損害賠償を認めました。
（３）大洲市情報公開条例事件（松山地判H15.10.3）
これは、愛媛県大洲市が情報公開条例にもとづき、住民投票条例の制定を求めて署名を提出した市民の名簿（氏名、住所、生年月日）を公開した、というケースです。
このケースにおいて、裁判所は、公益性を否定して、１人あたり５万円の賠償額を認めました。
これらの３つの裁判例を見る限り、会社は、顧客情報が漏洩した場合には、顧客１人あたり１万円から５万円の賠償金を支払うと覚悟しておかなければなりません
特に、日本版クラスアクションが導入されている今日においては、ネット上で原告を募集するなどの方法によって企業に対して集団訴訟を提起することが考えられます。この場合、企業は莫大な損害賠償を負担する危険性があります。たとえば、４０万人の個人情報が漏洩した場合には、極端にいえば、５万円×４０万人の損害賠償を支払わなければいけないのです。
なお、最近の顧客名簿流出による個人情報漏洩事例では、顧客１人あたり５００円の商品券を配布したりするケースが散見されます。
この場合、顧客が５００円の商品券で納得して受け取ってくれた場合には、個人情報の漏洩に関して５００円で和解が成立したと考えられます。しかし、顧客が５００円の商品券では納得せず、受け取りを拒んだ場合には、和解が成立しておらず、上記のような訴訟が提起される可能性が潜在的に残っていると考えておくべきです。
５．個人情報保護法と不正競争防止法
企業から個人情報が漏洩した場合、企業は個人情報保護法だけでなく、不正競争防止法についても配慮しなければなりません。
個人情報が何者かの手によって、漏洩した場合、企業は、個人情報を漏洩した者に対して、不正競争防止法２条４号営業機密の不正漏洩の問題として損害賠償請求ができます。
しかし、不正競争防止法の「営業機密」というためには、
（�顱鉾鷂�知性
（�髻忙唆半緲�価値性
（�鵝亡浜�性
の３つの要件をみたしていることが必要です。
この３つの要件の中でもっともポイントになるのが、（�鵝砲隆浜�性です。
たとえば、顧客名簿を誰もが見られるような状態で机の上や社内ＬＡＮに置いていた場合、その名簿が流出しても、（�鵝砲隆浜�性が認められない可能性があります。それゆえ、顧客名簿が流出しても、企業は漏洩した者に対して損害賠償を請求できなくなってしまいます。
こういった事態を防ぐためには、顧客名簿は特定の者しかアクセスできないように、鍵の掛かった棚にしまっておくか、社内ＬＡＮでもパスワードをかけておくことが必要です。
このように管理をしっかりしておくことは、不正競争防止法の問題だけでなく、結果的には個人情報の保護にもつながるので、顧客のためでもあるのです。
（この記事は2003年に掲載したものを加筆修正し、再upしたものです）
トラックバックURL
トラックバック一覧
1. 人集め、個人情報 [ 眠る開発屋blog ] 2004年11月04日 02:06
100万人人間を集められたら、広告代理店とか話を聞きに集まってくるよ、とこの間、人から聞いた。
ネットで人が沢山集まってるなぁ、と感じる感覚は何人くらいなんだろう。
mixi.jp は確か8万だか10万人、はてなは16万人だっけか。
テレビの視聴率だと 1% = 100万人ぐらい？
