1. はじめに
ランサムウェアや不正アクセスなどによる情報漏洩のニュースを目にすることが多くなりました。漏洩した情報に個人情報が含まれていると、本人から損害賠償を請求されたり、個人情報保護委員会へ報告する義務が発生するなど、さまざまな対応が必要になります。
今回は、①個人情報が漏洩した場合に民事上どの程度の損害賠償責任を負うのか、②約款の「不可抗力条項」などによってどこまで手当てできるのか、の2点について、文献をもとに整理してみました。
2. 個人情報の漏洩による民事上の責任
2-1. 何が「損害」になるのか ― プライバシーの侵害
個人情報が漏洩しても、そのこと自体が損害になるわけではありません。それにより、どのような損害が発生したのかが問題になります。一般にはプライバシー侵害の慰謝料を請求するのですが、以前は不快感等を超える損害の主張・立証がされていないとして、訴えが退けられた例もありました（ベネッセ個人情報漏洩事件原審（大阪高判平成28年6月29日））[1]。
もっとも、同事件の最高裁判決（最判平成29年10月23日）は、漏洩した氏名・住所等の情報はプライバシーに係る情報として法的保護の対象となり、漏洩によってプライバシーが侵害されたとしました。そして、不快感等を超える損害の発生について主張・立証がないからといって、不法行為責任が否定されるわけではないとして、原判決を破棄し差し戻しています[1][2]。
プライバシー侵害が問題となる通常の事件では、公表されない利益と公表される利益を比較衡量して違法かどうかを判断します。しかし、最高裁は、上記のベネッセ事件や、同判決が引用する早稲田大学江沢民事件（最判平成15年9月12日）では、そのような比較衡量をしていません。そこで、個人情報保護法に違反する事実を基礎として、いわば形式的に違法性を捉えているとみる見解があります[1]。このように考えると、個人情報の漏洩があった場合には、ある程度形式的に一定額の損害が認められることになりそうです。
2-2. 損害額の目安
では、損害額はどの程度になるのでしょうか。
氏名、住所、電話番号、メールアドレス、性別、生年月日といった、いわゆる単純な個人情報が過失によって漏洩した事案では、1人あたり1,000円～1万円程度といった額にとどまるものが多いとされています[3][2][4]。
例えば、少し古い事案になりますが、ヤフーBBの顧客情報（451万人以上）が不正アクセスで漏洩した事件では、事前にヤフーBBから配付された500円の金券とは別に、最終的に1人あたり5,500円の賠償が命じられています（最決平成19年12月14日）[5]。1人あたりの額は小さいようにみえますが、被害者の数が多ければ、事業者にとって大きな金銭的負担となります[2]。もっとも、日本では、本人が自ら訴えを起こさなければならず、個人情報に関する訴訟の数は限られているとの指摘もあります（ベネッセ事件では集団での請求もみられ、1人あたり数千円の賠償が認められています）[6]。
2-3. 損害賠償だけではない問題
本人への損害賠償の額だけではない問題もあります。事業者としては、原因調査、問い合わせ窓口の設置、お詫びの通知などの対応費用が発生します。また、取引先や顧客からの信用の低下（レピュテーション）という問題も発生します。
さらに、個人情報保護法上、個人の権利利益を害するおそれが大きい一定の漏洩等が生じたときは、個人情報保護委員会への報告と本人への通知が義務付けられています。対象となるのは、次のような事態です（個人情報保護法26条1項及び2項、同法施行規則7条）。不正アクセスにより個人データが漏えいした場合は、以下の「不正の目的をもって行われたおそれがある漏えい等」に該当するとされていますので、個人情報保護委員会に報告するとともに、本人にも通知しなければなりません[7][8]。
このように、個人情報等の漏洩が起こるとさまざまな問題が起こりますので、事業者が被るダメージは相当なものと思われます。
単純な個人情報なら1人あたり1,000円～1万円程度が多い
× 被害者の人数
原因調査、問い合わせ窓口の設置、お詫びの通知など
取引先や顧客からの信用の低下（レピュテーション）
個人情報保護法26条（一定の漏えい等の場合は義務）
3. 不可抗力条項などによる手当て
3-1. 民法の考え方
個人情報保護法などの行政規制に関する点は別として、民事上の損害賠償請求などには何らかの事前の対応はできるのでしょうか。近時のサイバー攻撃をみるに事前に予防するのが難しいのではないかと思われるケースもあるようにみえます。
民法の債務不履行に基づく損害賠償について考えてみます。本人との何らかの契約関係があって、その本人の個人情報を適切に管理すべきだったとすると、個人情報の漏洩は適切な管理を怠ったということにもなりそうです。ただ、民法では債務不履行があっても、それが「契約その他の債務の発生原因及び取引上の社会通念に照らして債務者の責めに帰することができない事由」によるものであれば、損害賠償責任は負わないとされます（民法415条1項ただし書）。これを過失責任と考えるかどうかは議論があるようですが、判断の過程はそれほど変わらないはずです。
まず、「責めに帰することができない事由」に当たるかどうかは、契約の解釈によって、そのリスクを債務者（この場合は事業者）が負担したものとされているかを検討することになります[9]。その例として不可抗力のように、債務者が制御できず、予見可能性も結果回避可能性もない事由が挙げられます。ただ、考え方として「天災地変は不可抗力だから債務者が免責されるというのではなく、免責をもたらす天災地変を不可抗力と呼ぶ」という指摘もあります。つまり、「契約その他の債務の発生原因及び取引上の社会通念に照らして」免責すべき不可抗力なのかを判断すべきということになるのでしょう[9]。
3-2. サイバー攻撃は「不可抗力」にあたるか
それでは、サイバー攻撃が不可抗力にあたるかということになるのですが、社会通念に照らして免責すべきような不可抗力と評価するのには少し抵抗があるように思います。先に述べたヤフーBBの事案では、顧客情報が不正アクセスで漏洩した点に関し、個人情報の管理について、組織の上でもシステム・技術の上でもできる限りの不正取得の防止策を講じる必要があり、その注意義務を怠った過失があるとされました[2]（不可抗力の文脈として考えても同じことだと思います）。
3-3. 不可抗力条項がある場合
ところで、約款の不可抗力条項として「天災地変、戦争、暴動…」と並べて「サイバー攻撃」を書き加えてあることもあるかもしれません。この場合には、債務者がリスクを負わないことが明確になっているので、サイバー攻撃については免責されそうです。
しかし、この場合でも「サイバー攻撃」という約款の文言をどのように解釈するかという契約解釈の問題がでてきます。どのようなサイバー攻撃であっても、そのリスクをユーザーが負担するという趣旨と解釈するのは難しいでしょう。以前のお知らせ「サイバー攻撃と契約条項」でも触れましたが、天災地変などと並んでの「不可抗力」ですから、相当の注意をすれば防止できるサイバー攻撃については、不可抗力条項にある「サイバー攻撃」に含まれないということになりそうです[10][11]。
なお、不可抗力として免責されるサイバーインシデントの範囲を、例えば、「ゼロデイ攻撃」や「未知の脆弱性」（JVN、IPAまたはメーカー等が公表する脆弱性情報に含まれないもの）を利用した攻撃は不可抗力として免責の対象とする、といった条項が採用されることがあるとされています[12]。ここまで明確になっていれば、契約解釈の余地はほとんどありませんので、そのような事案での不可抗力免責が認められるように思います（逆にいえば、既に公表されている脆弱性を放置していた場合などは、明らかに免責の対象外となります）。
小さい
3-4. 免責条項と消費者契約法との関係
この種の免責条項については消費者契約法との関係でも問題になりえます。「事業者の債務不履行により消費者に生じた損害を賠償する責任の全部を免除」するといった条項は無効とされているからです（消契法8条1項1号など）。不可抗力では一切責任を負わないと約款に規定しておくと、事業者の債務不履行による責任を免除するようにも読み取れます。
しかし、不可抗力に該当する場合には、事実としての債務不履行があったとしても、損害賠償責任は発生しないのですから、賠償責任の免責ということにはならないように思います。この点について、消費者庁は、
と書いています[13]。正直なところ分かりにくいのですが、債務の範囲に含まれないと考えることはできるということなのでしょう[14]。
4. まとめ
近時のようなサイバー攻撃による情報漏洩が続いている場合に、これを不可抗力といってよいものかは難しい問題です。一方で、大手の事業者から地方公共団体まで大規模な漏洩が起きており、それを防ぐことはなかなか難しかったように思います。他方で、個人情報漏洩のリスクをすべて消費者の負担としてしまうことにも躊躇を覚えます。一連の事案に関しては法的な争訟になる可能性もあり、今後の動向に注目していく必要があるでしょう。
いずれにしても、個人情報の漏洩による本人への損害賠償額は、1人あたりでみれば大きくないことが多いものの、被害者の数や二次被害の有無によっては大きな負担となり得ます。さらに、対応費用や信用の低下、個人情報保護委員会への報告といった負担もあります。
不可抗力条項で免責される範囲を具体的に定めておくなどの工夫も考えられますが、特に消費者の個人情報となると当該条項がどのように解釈されるのか分かりません。契約などでの対応を図るとともに、取り扱う情報の量や性質に応じて適切なセキュリティ対策を講じておくことが、最も基本的な備えになると思われます。