個人情報が漏洩した場合、「会社に1億円の罰金が科される」「1人あたり○万円の損害賠償が必要」といった説明を見かけることがありますが、個人情報漏洩には一律の罰金額や損害賠償額が定められているわけではありません。
個人情報保護法上の義務・行政上の監督、刑事罰、被害者からの民事上の損害賠償請求は、それぞれ別の仕組みです。
特に「法人に1億円以下の罰金」という規定は、個人データが漏洩しただけで自動的に適用されるものではありません。個人情報保護委員会の命令への違反や、個人情報データベース等の不正提供など、法律で定められた違反行為について両罰規定が適用される場合の上限です。
企業担当者は、漏洩の事実、法令上の報告・本人通知、行政対応、刑事罰、民事責任を分けて確認する必要があります。
個人情報漏洩で企業が負う責任
個人情報漏洩が発生した場合、企業に生じ得る責任は大きく次のように整理できます。
| 区分 | 内容 |
|---|---|
| 個人情報保護法上の対応 | 安全管理措置、漏えい等報告、本人通知など |
| 行政上の監督 | 報告徴収、立入検査、指導・助言、勧告、命令等 |
| 刑事罰 | 命令違反、個人情報データベース等の不正提供、虚偽報告等 |
| 民事責任 | プライバシー侵害、不法行為、契約上の責任等に基づく損害賠償 |
| 契約上の責任 | 取引先との契約に基づく報告・補償等 |
| 事業上の負担 | 調査、通知、コールセンター、システム改修、事業停止等 |
漏洩件数だけで法的責任が決まるわけではありません。
何が漏洩したのか、どのような安全管理措置を講じていたのか、不正利用のおそれがあるか、発覚後にどのように対応したかなどを個別に確認します。
個人情報漏洩そのものに「自動的な1億円罰金」はない
個人情報保護法は、個人情報取扱事業者に対して個人データの安全管理措置を定めています。
漏洩が発生し、法令違反が疑われる場合、個人情報保護委員会は必要に応じて報告徴収や立入検査、指導・助言、勧告、命令などを行います。
主な罰則は次のとおりです。
| 違反行為 | 行為者 | 法人に対する両罰規定 |
|---|---|---|
| 個人情報保護委員会の命令への違反 | 1年以下の拘禁刑または100万円以下の罰金 | 1億円以下の罰金 |
| 個人情報データベース等の不正提供等 | 1年以下の拘禁刑または50万円以下の罰金 | 1億円以下の罰金 |
| 個人情報保護委員会への虚偽報告等 | 50万円以下の罰金 | 50万円以下の罰金 |
ここで区別したいのは、「事故として漏洩した」ことと「罰則の対象となる違反行為」が同じではない点です。
例えば、安全管理措置上の問題が認められ、委員会から是正命令を受け、その命令に違反した場合には罰則が問題になります。一方、情報漏洩件数が多いという理由だけで直ちに法人へ1億円の罰金が科される仕組みではありません。
漏洩時には個人情報保護委員会への報告が必要になる場合がある
個人情報保護法では、個人データの漏えい等のうち、個人の権利利益を害するおそれが大きい一定の事態について、個人情報保護委員会への報告と本人への通知が義務化されています。
個人情報保護委員会は、報告対象となる場合の期限について次のように案内しています。
- 速報：発覚から概ね3～5日以内
- 確報：原則として発覚から30日以内
- 不正な目的で行われたおそれがある場合の確報：発覚から60日以内
報告対象かどうかは、漏洩した情報の内容や件数、暗号化の状態、不正利用のおそれなどにより判断します。
「外部流出を確認していないが、流出のおそれがある」という場合も報告対象となり得るため、流出確定まで報告しないと決めつけないようにします。
個人情報漏洩の損害賠償は一律ではない
被害者が企業へ損害賠償を請求する場合、民法上の不法行為責任などが問題になります。
民法第709条は、故意または過失によって他人の権利または法律上保護される利益を侵害した者に損害賠償責任を定めています。また、第710条は財産以外の損害についても賠償の対象となり得ることを定めています。
契約関係がある場合は、民法第415条の債務不履行による損害賠償などが問題になる場合もあります。
損害賠償額は法律で「個人情報1件につき○円」と固定されていません。
裁判では次のような事情が個別に検討されます。
- 漏洩した情報の内容
- 情報の秘匿性
- 漏洩した項目数
- 第三者へ実際に渡ったか
- 不特定多数へ公開されたか
- 二次被害が発生したか
- 不正利用の可能性
- 事業者の過失
- 安全管理措置の状況
- 漏洩後の被害拡大防止策
- 本人への通知や対応
- 財産的な実害の有無
氏名・住所等の漏洩と、クレジットカード情報、医療情報、認証情報などの漏洩では、本人に生じるリスクが異なります。
ベネッセ個人情報漏洩事件では1人3,300円を認めた判決もある
個人情報漏洩の損害賠償を考える際に参照される裁判例の一つが、ベネッセの大規模個人情報漏洩事件です。
東京高等裁判所の令和2年3月25日判決では、対象となった原告について3,300円の支払いを命じています。
ただし、この金額を「個人情報漏洩の相場」として他の事件へそのまま適用することはできません。
同じベネッセ事件でも複数の訴訟があり、請求内容や被告、漏洩情報、裁判所の判断が異なります。個人情報の種類や二次被害が異なる別事件では、損害認定も変わります。
社内の損失見積もりで「過去判例の1人あたり金額×対象人数」だけを使うと、実際の法的リスクを正確に捉えられません。
企業の費用は損害賠償だけではない
個人情報漏洩後の企業負担は、被害者への損害賠償より広い範囲に及びます。
フォレンジック調査
不正アクセスやマルウェア感染では、侵入経路、侵害端末、漏洩情報、攻撃者の行動を調査する必要があります。
システム停止・復旧
侵害されたサーバーやアカウントを停止すると、業務停止や売上機会の損失が発生する場合があります。
本人への通知
対象者の特定、郵送、メール配信、FAQ作成などの対応が必要になります。
問い合わせ窓口
大規模事故では、専用電話窓口やコールセンターを設置する場合があります。
セキュリティ対策の追加
MFA、EDR、ログ管理、アクセス権、ネットワーク、委託先管理などの再発防止策に費用が発生します。
取引先対応
委託契約や秘密保持契約にインシデント報告義務や補償条項がある場合、個人情報保護法とは別に対応が必要です。
漏洩発生後に企業が確認する順番
事故発生直後に「損害賠償額はいくらか」から検討を始めるのではなく、まず被害拡大と事実確認を優先します。
- 責任者、法務、情報システム、CSIRTへ報告する
- 不正アクセス、公開設定、アカウント等を封じ込める
- ログや端末などの証拠を保全する
- 漏洩または漏洩のおそれがある情報を特定する
- 対象者・件数を確認する
- 個人情報保護委員会への報告要否を判断する
- 本人通知の要否と方法を決める
- 取引先・所管省庁等への報告義務を確認する
- 原因を調査し再発防止策を実施する
- 損害賠償請求や問い合わせに対応する
個人情報保護委員会も、漏えい等事案が発覚した場合に、内部報告と被害拡大防止、事実関係の調査、影響範囲の特定、再発防止策などを示しています。
経営層・情報システム部門が平時に確認したい項目
- 個人データの保存場所を把握しているか
- 安全管理措置を定期的に点検しているか
- 委託先のセキュリティを確認しているか
- 漏洩時の社内責任者が決まっているか
- 個人情報保護委員会への報告担当が決まっているか
- 法務・広報・顧客対応部門を含む連絡網があるか
- 対象者を短時間で特定できるデータ管理になっているか
- 調査に必要なログを保存しているか
- サイバー保険の補償範囲を把握しているか
- 委託契約のインシデント通知期限を把握しているか
- 本人通知・問い合わせ対応のひな型を準備しているか
まとめ
個人情報漏洩が発生しても、漏洩件数だけで罰則や損害賠償額が決まるわけではありません。
個人情報保護法では、安全管理措置や漏えい等報告などの義務があり、法令違反に対する行政上の監督があります。命令違反や個人情報データベース等の不正提供などについては刑事罰も定められていますが、「漏洩＝法人に1億円の罰金」ではありません。
民事上の損害賠償も、情報の種類、二次被害、企業の過失、事故後の対応などを踏まえて個別に判断されます。
企業側では、賠償額の予測だけでなく、事故発生時に対象情報・対象者・ログを短時間で確認し、報告と本人通知の要否を判断できる体制を整えておきます。
