◇SH1471◇最二小判、個人情報漏えい訴訟における損害に関する原審の判断に審理不尽の違法があるとされた事例　臼井幸治（2017/11/01）

最二小判、個人情報漏えい訴訟における損害に関する原審の判断に
審理不尽の違法があるとされた事例

岩田合同法律事務所

弁護士　臼　井　幸　治

　株式会社ベネッセコーポレーション（以下「ベネッセ」という）の顧客情報流出事件で、自分や家族の個人情報が漏えいして精神的苦痛を被ったとして、個人が同社に10万円の損害賠償を求めた訴訟の上告審判決が23日、最高裁判所第2小法廷で言い渡された（以下「本件判決」という）。

　原審の判決文が公表されていないため、当該判決文の内容を直接確認することができていないものの、本件判決によれば、2審の大阪高等裁判所判決は、「本件漏えいによって，上告人が迷惑行為を受けているとか，財産的な損害を被ったなど，不快感や不安を超える損害を被ったことについての主張，立証がされていない」として上告人（原告）の控訴を棄却したことが認められる。これに対し、本件判決は、漏洩された個人情報が上告人のプライバシーに係る情報として法的保護の対象となるというべきであることを前提として、原審は、上記のプライバシーの侵害による上告人の精神的損害の有無及びその程度等について十分に審理することなく、不快感等を超える損害の発生についての主張、立証がされていないということのみから直ちに上告人の請求を棄却すべきものとしたものであり、被上告人の過失の有無並びに上告人の精神的損害の有無及びその程度について審理を尽くさせるため、原判決を破棄し原審に差し戻したものである。

　ベネッセの過去のリリースによれば、本件での個人情報漏洩は、ベネッセのグループ会社である株式会社シンフォームの業務委託先の元社員が、担当業務のために付与されていたアクセス権限により、ベネッセの顧客情報が保存されたデータベースにアクセスし、不正に顧客情報を社外に持ち出し、名簿事業者に売却していたとの態様によるものである。このように、本件は再々委託先の従業員による漏洩であり、かつ当該従業員の過失ではなく故意行為により漏洩がなされたという点で、ベネッセの過失が否定される可能性は否定できない。

　もっとも、ベネッセと個人情報を流出させた者との間に実質的な指揮監督関係があることが認められた場合等には、ベネッセが使用者責任（民法715条）等の法律構成に基づき損害賠償責任を負う可能性は十分にあり得るところである。

　そして、ベネッセの過失（使用者責任）が認められる場合には、原審のように損害の発生を否定することは困難であり、精神的苦痛に係る損害としての慰謝料が認められる可能性が高い。

　本件判決で問題とされている個人情報の厳密な内容は不明であるものの、過去のベネッセのリリースによれば、ベネッセから漏洩した情報は、顧客である保護者及びその子の氏名、住所、電話番号、子の生年月日、性別等の他、一部の顧客についてはメールアドレスまで流出している可能性があるとのことであり、一定程度センシティブな情報が漏洩したことが窺われる。

　個人情報がプライバシーに係る情報として法的保護の対象となることは、最高裁判所平成15年9月12日判決で明確に認められているところ[1]、本件判決で問題とされている個人情報が上記リリースの内容であると仮定すると、当該法的保護の対象外ということは考え難いところである。そうすると、原審は上記最高裁判例と矛盾するともいえる判断を行った可能性があり、その判断には無理があったものと言わざるを得ず、控訴を棄却するのであれば、ベネッセの過失（使用者責任）の有無を検討の上で過失（使用者責任）を否定すべきものであったといえる。

　個人情報漏洩事案は、少なからず報道されているところであり、今後他社においても起こり得る事象といえることから、漏洩させた企業側の情報管理における過失判断の要素、個人情報の価値の大きさ等、本件判決及び差し戻し後の高裁判決は、今後の企業側の安全管理措置の在り方に影響を与えるものと考えられ、その判断が待たれる。

　なお、個人情報漏洩に関する過去の裁判例においては、顧客1件あたり1万円ほどの慰謝料が認められた事案もあり、主な裁判例において認められた慰謝料額について後掲するので参考にされたい（東京地裁平成19年2月8日判決の事案では1人あたり3万円の慰謝料が認められているが、サイト上に放置された個人情報がファイル交換サービスに掲載され、世界中のパソコンユーザーのハードディスクの中へ分散され、情報をすべて消去することが事実上不可能となり、漏れた個人情報を元にした2次被害が発生したという点で他の裁判例とは事実関係を大きく異にしている）。

以上