個人情報漏えいの損害賠償の判決ではいくら認められていますか？
個人情報が漏れた裁判で、一人あたりいくら認められてきたのでしょうか。よく例に出るベネッセの事件を見ると、判決で認められた額は1人あたり数千円です。
ベネッセの顧客情報の漏えい事件では、東京高裁の判決文が、慰謝料3,000円と弁護士費用300円を合わせて1人あたり3,300円の支払いを命じています。
漏えいのお詫びの金券はいくらが目安ですか？
実例として、ベネッセの2014年の漏えいでは、漏えいが確認された顧客へのお詫びとして、500円分の金券（電子マネーギフトまたは全国共通図書カード）が用意されました。
ただ、トラブル発生直後に企業が任意で送る金券は、法律で一律に義務付けられたものではなく、事態の収束や顧客対応の観点から用意される対応策ですね。
Studioの件では、第一報を見ても補償やお詫びの金額は書かれていませんでした。質問や要望は専用の窓口で受け付けているので、金券などの話が出るとすれば、続報で示されることになりそうです。
ところで、法律で事業者に求められていることは別にあります。2022年4月1日からは、個人データが漏れて本人の権利や利益を害するおそれがある場合に、個人情報保護委員会への報告と本人への通知が求められるようになったと、委員会の案内で説明されています。フォームで集めた情報が漏れたサイト運営者がまず向き合うのは、この報告と通知です。実務上のお詫び金券は、こうした公的な報告義務や本人通知とは別に、企業が独自の判断で配るお見舞いの品として扱われます。
賠償額は何によって変わりますか？
氏名や電話番号だけの流出と、病歴やクレジットカード情報が流出した場合とでは、裁判で認められる賠償額が大きく異なります。裁判所が損害賠償の金額を算出する際は、漏れた情報の種類や流出した範囲、そして実際に生じた実害の有無が総合的に判断されます。謝罪すれば一定額が差し引かれるといった決まりはありません。
一般的な連絡先だけでなく、犯罪歴や病歴といった要配慮個人情報、あるいは他人に知られたくないセンシティブな情報が含まれていると、プライバシー侵害の程度が重いとみなされ、賠償額が高くなる傾向があります。Studioのフォームに当てはめると、何を書いて送ったかで変わってきます。名前とメールアドレスだけを送った人と、相談欄に体調や家族の事情を書いた人では、同じ漏えいでも裁判での扱いが変わるかもしれません。
実際にお金の被害が出たかどうかも大きく響きます。クレジットカード情報が漏れて不正に使われた場合は、その使われた額も損害に入ります。番号が漏れただけで、使われていない金額まで上乗せされるわけではありません。漏れた情報を使った嫌がらせメールのような二次被害も、額を押し上げる事情になります。とはいえ、二次被害がなくても慰謝料が認められた裁判例もありますね。不適切な取り扱いに遭遇した際は、事業者の苦情相談窓口や消費者ホットライン188で相談できます。
Studioの件でサイト運営者が請求される可能性はありますか？
外部サービスであるStudioで起きた情報漏えいに関して、フォームを設置していたサイト運営者が利用者から賠償を請求される可能性はあるのでしょうか。訪問者から責任を問われる立場に立つのは、Studioよりも先に各サイトの運営者かもしれません。フォームで情報を集めているのは運営者で、Studioはその情報の取扱いを任されている側にあたるためです。
個人情報保護法において、個人データを外部の事業者に委託して取り扱わせる場合、委託元である個人情報取扱事業者は委託先に対する必要かつ適切な監督義務を負います。もちろん、この義務があるだけで運営者の賠償責任がすぐ決まるわけではありません。それでも、フォームを置いていた運営者に問い合わせや請求が向かう理由にはなります。
本人への連絡の面でも、運営者の役割ははっきりしています。加えて、Studioが用意した連名報告の手続きは、個人情報保護委員会への報告を取りまとめるものであり、エンドユーザーであるサイト利用者への個別通知は含みません。利用者への通知が必要なときは、サイト運営者側が独自に対応を判断する案内になっています。
一方で、サイト運営者とStudioの間の責任関係には契約上の制約が存在します。Studioの利用規約第24条2項では原則として損害賠償責任を免責としており、Studio側に故意または重大な過失がある場合に限って賠償責任を認める形です。さらにその場合でも、賠償額の上限は運営者が支払っている3か月分の月額利用料に限定される条項が置かれています。この条項が今回の件にどこまで当てはまるかは、まだはっきりしていません。少なくとも、運営者が訪問者に払った額をそのまま取り戻せる規約にはなっていませんね。