情報処理学会研究報告
IPSJ SIG Technical Report

Vol.2013-EIP-60 No.8
2013/5/16

企業・組織における個人情報漏えい事故の補償について―お詫び金に着目した考察―
菅原尚志†

原田要之助†

個人情報を漏えいした企業・組織は数々の対応をしなければならないが、そのひとつに補償が挙げられる。近年の個人情報漏えい事故を見ると、漏えいした個人情報の人数が事故 1 件で 1,000 万人にのぼることもある。したがって、
たとえ 1 人あたりの補償額が少ないとしても、総補償額は巨額になり得る。
訴訟に発展する前に、被害者に対してお詫び金を支払う場合がある。特に日本では事故を起こした際にお詫び金を送る習慣がある。個人情報漏えい事故を起こした企業・組織は少額のお詫び金を送る場合があり、訴訟を避ける目的と考えられるが、お詫び金の支払いに関する規定やガイドラインはなく、企業・組織毎に支払いの判断がされているのが現状である。
本研究では、過去の事例を挙げて、どのようにしてお詫び金が送付されたかを検証する。また、アンケートを用いてお詫び金について分析し、個人情報漏えいのリスクマネジメントについて考察する。

A study on the compensation by company/organization
when privacy and personal information are compromised- Focusing on the money compensation TAKASHI SUGAWARA†YONOSUKE HARADA†

The companies and organizations which leaked privacy information of customers need to take necessary actions, andcompensate loss of privacy protection. Among many privacy information leakage incident cases, even an incident with victim
over 10 million will happen. The total amount of compensation can be big, even if each amount of personal compensation issmall.
Before developing to a lawsuit, the companies and organizations pay compensation to potential victims. In Japan, people givea gift for reconciliation when they encounter troubles. In cases, companies and organizations have paid small moneycompensation than actual court trials. This conduct may reduce the actual court trials. However, companies and organizations do
not develop any rules and procedures for compensation, and they decide case by case.
In this study, the past privacy information leakage incidents are analyzed how the money compensation are paid. And, by using
a questionnaire, the tendency of the money compensation in Japanese companies and organizations make clear, and aspects ofrisk management for privacy information incident are considered.

また、損害賠償以外にも、謝罪広告やお詫び状の郵送に

1. はじめによる費用の支出が必要な場合がある。さらに、適切な対応

企業や組織において個人情報漏えい事故が起きた場合、がとられない場合、顧客を軽視し、コンプライアンス意識

企業・組織には損害賠償責任が発生する場合がある。NPOが低い会社であるという印象を社会に植え付けてしまう可日本ネットワークセキュリティ協会（JNSA）と情報セキュ能性がある。その結果、企業への信用が大きく悪化するた

リティ大学院大学の「2011 年情報セキュリティインシデン

め、顧客の離反や新規採用への悪影響、株価、格付けの低トに関する調査報告書」[1]によると、個人情報漏えい事故

下、ブランドイメージの毀損、資金調達コストの増加など、は年間で 1,551 件発生しており、1 件あたりの平均想定損

事業者の経営にも広く悪影響を及ぼす風評リスクが発生す

害賠償額は 1 億 2,810 万円とされ、企業や組織にとって事る可能性がある[2]。

業継続上の重大なリスクと捉えるべきである（表 1 参照）。
表 1

2011 年個人情報漏えいインシデント概要データ[1]

近時の傾向として、企業が大量の個人情報漏えい事件を起こした場合、お詫びに加えて 1 人当たり 500 円の金券を配布する例が見受けられる。宇治市住民基本台帳データ漏

漏えい人数

628 万 4,363 人

えい事件判決で認定された慰謝料 1 人当たり 1 万円というインシデント件数

1,551 件基準や TBC 事件で認定された 3 万円に比べれば、それぞれ想定損害賠償額

1,899 億 7,379 万円

20 分の 1、60 分の 1 という額ではあるものの、数十万人、1 件あたりの漏えい人数

4,238 人

数百万人という被害者がいる場合にはそれでも巨額のコス1 件あたり平均想定損害賠償額

1 億 2,810 万円

トがかかることになる。被害者人数が多く、プライバシー

1 人あたり平均想定損害賠償額

4 万 8,533 円

侵害の程度が大きい場合には、謝罪に巨額のコストをかけても、それによって損害賠償請求を行ってくる被害者の数† 情報セキュリティ大学院大学
Institute of Information Security

情報セキュリティ研究科ⓒ 2013 Information Processing Society of Japanをできる限り減らすことができ、最終的には少ないコスト

1

情報処理学会研究報告
IPSJ SIG Technical Report

Vol.2013-EIP-60 No.8
2013/5/16で済むことも起こり得る。なかには、500 円の金券を配布

以上のような判決が出たものの、現実的には多数の被害するのではなく、500 円の金券への引換券を配布し、実際者が提訴することは現在の日本では考えにくい。1 人当たに引換所に現れた被害者に対してだけ金券を渡す方法をとり 1 万 5,000 円の損害賠償額では、たとえ勝訴しても弁護り、コストを抑えた企業もあった。しかしながら、このよ

士費用やその他の裁判費用の方が高額となり、費用超過にうな金券の配布は、被害者への損害賠償請求権自体がすべなる可能性が高い。したがって、多数の被害者が損害を覚て消滅するものではない。

悟して訴訟に踏み切る可能性は低いと考えられる。これまでに起きた日本での個人情報漏えい事件を見ても、一度に

2. 個人情報漏えい事故における損害賠償
個人情報保護法には、個人情報漏えいの結果発生した損多数の被害者が同時に訴訟に踏み切った事例はない。これは、日本にアメリカのような集団訴訟制度aが存在しないことも影響していると考えられる。

害の賠償に関する規定は存在しない。しかし、漏えい事故を発生させた企業は、被害者から訴訟を起こされ、損害賠償請求を受けるケースもある。この場合、精神的損害を被3. 個人情報漏えい事故におけるお詫び金ったとして、慰謝料を請求されることになる。また、訴訟

個人情報漏えい事故が起き、被害者側から損害賠償に関を起こされたとしても、和解によって解決するということする訴訟へ発展する前に、被害者に対してお詫び金を支払もあるようだ[4]。近年の漏えい事故を見ると、漏えいした

うケースがある。お詫び金として商品券等を送付する時に個人情報の人数が事故 1 件あたり 1,000 万人にのぼることは直接的なコストに加え、郵送料金やダイレクトメール作もある。したがって、たとえ 1 人あたりの支払額が少ない

成、人件費といった間接的なコストも発生する。なお、おとしても、訴えた被害者の人数によっては、企業・組織の詫び金の支払いに関する規定やガイドラインは定められて総支払額は理論上巨額になり得る。

おらず、企業・組織に支払いの判断が委ねられている。

過去に損害賠償金が支払われた事例を以下に挙げる。

個人情報漏えい事故を起こした際に被害者から訴訟を起こされた場合、事故を起こしてしまったことによる信用

宇治市住民基本台帳データ大量漏えい事件[3]の低下だけでなく、さらに、企業・組織のブランドイメー

1998 年 4 月、宇治市の乳幼児健診システムの開発を担当ジの毀損が懸念される。たとえば、株式会社ローソン（以していた民間のシステム会社のアルバイト従業員が、住民

下、ローソンとする）では、個人情報流出発覚後に約 115

基本台帳データ 21 万 7,617 件分のデータを不正にコピーし万人の会員全員にお詫び状と 500 円分の商品券を送付した。

て持ち出し、名簿業者に売却した事件である。漏えいした送付コストなどを含めて 5 億円以上の経費がかかったとさデータは、個人の住民番号・住所・氏名・性別・生年月日・れている。また、株式会社アプラス（以下、アプラスとす

転入日・転出先・世帯主名・世帯主との続柄等であった。

る）も約 8 万人の被害者に、お詫び状と 1,000 円分のギフ名簿業者がさらにこのデータを他に販売するなどしたこと

ト券を送付したとされる。このアプラスの事件では、氏名、に関して、宇治市の住民数名が、データの流出によって精住所、電話番号、生年月日などの基本情報に加えて、顧客

神的苦痛を被ったと主張して、宇治市に対し、プライバシの職業区分や年収区分も流出した。送付したギフト券の総ー権侵害を理由とした損害賠償請求（慰謝料及び弁護士費

額は 8,000 万円になったとされる。

用）の支払を求めた。請求額は、１人あたり慰謝料 30 万円、

個人情報流出の被害者に商品券などを送付し謝罪する

弁護士費用 3 万円であった。京都地方裁判所は市役所に 1ことは、企業の信頼性低下を最小限にとどめ、社会の当該人あたり 1 万円の慰謝料と弁護士費用の 5.000 円を科す判

企業に対する信頼の回復を図る、という意味を持つ。さら決を下し、市は控訴した。大阪高等裁判所は京都地裁と同に、ブランドイメージの棄損を防止するといった理由も挙様、個人情報漏えいの責任が使用者である宇治市にあるとげられる。一方で、被害者となった本人に対して謝罪の姿判断し、宇治市に対し提訴者に損害賠償をするよう命じた。

勢をアピールすることにより、個人情報漏えいの被害者にその損害賠償額は 1 人当たり 1 万 5,000 円と認定され、そよる提訴の率を下げ、大量の被害者による集団訴訟に基づの内訳は慰謝料 1 万円、弁護士手数料 5,000 円というもの

く巨額の損害賠償額のリスクを回避するという側面も考えであった。実際に訴訟を起こした提訴者は 3 人であったたられる。事故を起こした企業・組織は、同業他社で同様なめ、賠償額は結果として 4 万 5,000 円と高額ではない。仮個人情報漏えい事故が起きお詫び金を送付していたとしたに漏えいした約 22 万人全員から集団訴訟されたりするとら、同様の、
またはそれ以上の経営判断をすることになる。

賠償額は 30 億円になったと考えられる。なお、個人情報漏

過去の個人情報漏えい事故と公表されているお詫び金など

えい事故に関する損害賠償支払い命令が出た判決としては初めての判例とされ、後述の個人情報漏えい事故の裁判や

a クラスアクションとも呼ばれる。アメリカ民事訴訟において、同等な被お詫び金に大きく影響していると考えられる。

害を被った多くの消費者の権利を一括して行使する権限が認められ、被害救済の目的を持つ。

ⓒ 2013 Information Processing Society of Japan2

情報処理学会研究報告
IPSJ SIG Technical Report

Vol.2013-EIP-60 No.8
2013/5/16の支払いを付録に示す。

その担保範囲としては、法的な賠償責任に関する部分から

なお、お詫び金支払いについて被害者以外に開示されて争訴に応じるための弁護士費用、謝罪広告やお詫び状郵送

いないケースも想定される。そのため、付録に示した事例

に関する費用に至るまでの広範な損害を補償する。補償内は過去の事例全てを網羅できているわけではなく、実際に容は一般に保険会社が定めたいくつかのパターンから選択

はさらに多い事例があると推想される。また、公表されてできる。また、保険料の算定にあたっては、会社の規模、はいないものの、例えばオンラインゲーム分野においては取り扱う個人情報の件数および内容等から一般的な算定式

ゲーム上の仮想的な金銭をお詫び金の代わりにしているこに基づく査定を行った上で、プライバシーマークや ISMS

とも考えられる。すなわち、実際に金券としてのコストと適合性評価制度における認証を受けていることなど、個人するのではなく、自社でのみ使うことができるポイント等

情報保護体制の確立状況に応じて保険料を減額する場合がにすることによって、自社での売上に計上できる。
つまり、

ある。

マーケティングのためのツールとしてお詫び金を用いているとも言える。

現在、多くの損害保険会社から個人情報漏えいに関する損害保険が提供されている。多くの個人情報漏えい保険は

また、日本国内と海外では、お詫びに対する考えが異な

大きく 2 つの補償内容から構成されている。ひとつは賠償るであろう。2011 年 4 月、外部からの不正アクセスを受け、責任担保部分であり、これは個人からプライバシー侵害な

海外のソニーグループの企業から個人情報が流出した。日

どで損害賠償請求された場合の、法律上の賠償金や訴訟に本国内だけでも被害者数は 740 万人以上となった。この事なった場合の費用（弁護士費用等）を補償する。もうひと

件では氏名、住所、国名、性別、生年月日、電話番号メー

つは費用損害担保部分である。損害賠償請求まで至らない

ルアドレス、オンライン ID、ログインパスワード が漏え場合でも、お詫び状の送付や謝罪広告費用など多くの費用いした。この事件では、ネットワークサービスが止まったが発生することが想定される。賠償責任担保部分では、法ことに対する補償として特定コンテンツの無料ダウンロー

律上の賠償金ではない費用損害については補償の対象となドなどを提供した。これは、文化や訴訟などの仕組みの違らないため、費用損害担保部分でこのようなお詫び状の発

う海外の事例であり、「個人情報漏えいに関するお詫び金」

送費用などを補償する。

といった捉え方をせずに「ネットワークサービス停止に対各社で多少の違いはあるが、補償する対象・費用はほぼする補償」という判断をしたものと考察され、国によって共通している。細かな違いとしては、自社従業員による個お詫びや補償に対する考えが異なると考えられる。アメリ

人情報漏えい時も補償対象か、委託先での情報漏えい時もカでは集団訴訟制度が存在するため、可能な限り訴訟を避補償対象としているか、等が挙げられる。なお、年間保険けるための補償を提供していると考えられる。

料の算出式や、業種・売上高毎の費用の違いについて公表
しているかどうかは各社で異なっている。

4. 個人情報漏えいに関する保険
個人情報漏えいを防ぐために情報セキュリティ対策を実施することは不可欠であるが、いかに対策を実施したと5. 損害賠償金とお詫び金に関する先行研究
5.1 想定損害賠償額算出式

しても、対策に万全はあり得ないため、完全に防ぐことはJNSA では個人情報漏えいにおける損害賠償の定量化に不可能である。個人情報漏えい事故が発生した場合の企関して、過去の情報漏えい事件・事故の分析、プライバシ

業・組織の被害を低減（転嫁）する手段としての保険（リー権や名誉棄損の判例の分析、および専門家の助言に基づ

スクの共有）がリスクマネジメントにおける重要な役割をき、独自に算出式を作成している[5]。各組織が保有する個担うことになる。

人情報が漏えいした場合の想定損害賠償額（情報の価値）

個人情報漏えい事故が発生した場合、加害者である企を独自に算定し、セキュリティ対策費用の目安が得ること

業・組織は、損害賠償金の支払いやお詫び金の送付を余儀を目的としている。損害賠償額を 1 人あたりの個人情報のなくされるだけでなく、長年かけて築いてきた信用や消費

社会的価値と置き換えて考えることにより、組織が保有す者からの信頼、ブランドイメージを失いかねない。個人情る個人情報の件数に基づいて、その組織が個人情報を保有

報漏えい事故が発生した際には、信頼を回復すべく説明責することの潜在的なリスクを定量化できるとしている。

任の遂行や広報宣伝活動を行う必要がある。個人情報漏え

また、JNSA の想定損害賠償額算出式では、個人情報がいに関する保険は、こうした事業者が負担する損害賠償金

漏えいした際に被害者に与える影響を、「経済的損失」と「精や各種費用を補償することにより、事業活動を支援するこ神的苦痛」という 2 種類の尺度で分類する。影響の大きさとを目的としている。この保険は、賠償責任保険bに属し、
b 個人または企業に過失があるとき、場合によっては過失がないときにも、他人に加えた損害について賠償責任を負わされる場合がある。被保険者がⓒ 2013 Information Processing Society of Japan

契約に基づき、第三者に対して一定の財産的給付をなすべき法的責任を負うことによって被る損害を填補することを目的とする損害保険である。企業で所有する施設への損害に対する施設賠償や、業務の遂行上で発生する製造物責任に関する賠償がある、

3

情報処理学会研究報告
IPSJ SIG Technical Report

Vol.2013-EIP-60 No.8
2013/5/16を定量化するため、縦軸（ｙ軸）に「経済的損失」の度合

この S-EP 図は、EP 図上へ過去の個人情報漏えい事件・いを、横軸（ｘ軸）に「精神的苦痛」の度合いを示すグラ

事故の調査分析で得られた漏えい情報の種類をプロットしフ（EP 図：Economic-Privacy Map）を作成する。ｘ軸の正ている。漏えいした情報がどのような影響を与えるのか、の方向に対して精神的苦痛の大きさが、y 軸の正の方向につまりどの程度の価値を持つのかが図 2 の EP 図上のプロ

対して経済的損失の大きさが対応する（図 1 参照）。

ット位置により求めることができる。さらに、算出式へのまた、個人情報を以下の 3 つの属性に大別する。

値の入力のしやすさ等を考慮し、図 2 の S-EP 図の x 軸と

基本情報：個人情報保護法による個人を特定する基本

ｙ軸を影響度合いに応じてそれぞれ 3 段階に分け、漏えい

四情報

情報の種類を再配置している。

プライバシー情報：漏えいした場合、他人に知られる

さらに、基礎情報価値、機微情報度、本人特定容易度、ことにより個人に対して精神的苦痛を与え得る情報

情報漏えい元組織の社会的責任度、事後対応評価をそれぞ

経済的情報：利用することにより、個人の持つ資産にれ判定し、算出式に当てはめることにより、想定損害賠償

直接的に影響を与え得る情報

算出額を求めることができる。
想定損害賠償額算出式では、算定を簡易化するために、「漏えいした情報の種類」「個人特定の容易さ」「漏えいを起こした組織の社会的責任度」「事後対応の善し悪し」といった限定された要因のみで損害賠償額を求めている。しかし、実際の裁判では上記の要因の他、「事前の保護対策状況」「漏えいした情報の量」「漏えい後の実被害の有無」「事後対応の具体的な内容」など様々な要因や背景が吟味される
ため、より現実に近い答えを得ることは難しいであろう。
5.2 被害者から見た損害賠償金とお詫び金に関する調査
個人情報漏えい事故に対する損害賠償金について、イン

図 1

EP 図[1]

これらの 3 つの属性は互いに重なり合うこともあり得る概念であるが、経済的損失と精神的苦痛の 2 軸の座標でその概念を示し、かつ具体的な個人情報の種別をその座標の中にプロットすると以下の図に示す S-EP 図のようになる。

ターネット利用者がどのように評価するかを定量的に計測したアンケート調査がある[6]。2007 年に Web アンケート
による全国のインターネット利用者 1,386 人から回答が得られている。設問として以下の 3 つのケースを挙げ、設定された損害賠償金としての慰謝料が妥当であるか否かを質問している。
①身体的特徴が漏えいしたケース
精神的被害（不安感が続く）、実被害（重大な被害）、企業対応（ホームページで謝罪）、慰謝料 3 万 5 千円
②メールアドレスが漏えいしたケース
精神的被害（不安感が続く）、実被害（被害あり）、企業対応（500 円の金券）、慰謝料 6 千円
③基本情報（氏名・住所・性別・生年月日）が漏えいした
ケース
精神的被害（心配のみ）、実被害（被害あり）、企業対応（詫び状）、慰謝料 1 万円
この調査結果について、以下の図 3 に示す。

図 2

S－EP 図[1]ⓒ 2013 Information Processing Society of Japan4

情報処理学会研究報告
IPSJ SIG Technical Report

Vol.2013-EIP-60 No.8
2013/5/16

については、比較的低い金額であり、1,000 円以内が半数以上を占めている（図５参照）。これは、被害者に対して金銭的な損害や、精神的な被害を負わせる可能性が低いため、企業・組織としては低い金額を想定していると考えられる。
一方、遺言書や与信ブラックリスト、口座番号、カルテといった個人情報については比較的高い金額が設定されており、5,000 円以上が半数以上を占めている。これは、被害者に対して金銭的な損害や、精神的な被害を負わせる可能性が高く、お詫び金の金額として表れていることがわか
図 3

アンケート回答結果[6]る。

①の身体的特徴においては、インターネット利用者の多
くは 3 万 5 千円の慰謝料が少ないと感じている。この①～③の 3 つのケースはそれぞれ過去に起きた事例を参考とし、設問を設定している。そのため、実際に支払われた慰謝料を参考に設定されているのだが、①の身体的特徴に関する情報については慰謝料以上の損害を与えられていると感じる一般者は少なくないということになる。なお、この調査は被害者目線での調査となっているため、加害者（企業や組織）目線では異なる結果が得られると予測される。

0円

1～500円

501～1,000円

1,001～5,000円

5,001～10,000円

10,001～20,000円

20,001～50,000円

50,001円以上

0%
電話番号

20%

13%

40%
33%

身体情報 3%12% 13%

11%

20%

保有資産情報… 7% 11% 11%

6. 企業・組織から見たお詫び金
筆者らは企業・組織の立場からのお詫び金に関する認識

19%

18%

カルテ 2%
6% 10% 14%
購入に関する情報

60%

17%

22%

25%

80%

24%

22%

債務情報 3%10% 7% 15%

27%

口座番号 4%8% 11% 13%

23%

5%

13% 4%8%1%
11% 14% 4%

12%
13%

20% 3%
24%

19%

19%

12%3%
3%
0%

10%

14%

100%

20%

6%

23%

6%

を把握するために、アンケートを用いて分析した。2012 年

遺言書 5% 8% 6% 9%

21%

12%

27%

11%

7 月から 8 月に、日本国内のプライバシーマーク取得企業、

与信ブラックリスト 4%8% 5%10%

24%

11%

30%

8%

ISMS 認証取得企業、官公庁、教育機関などから、ランダムに選んだ 4,500 の情報セキュリティシステム担当者を対象とした「情報セキュリティ調査」を実施した[7]。この調
査では、個人情報漏えい事故のお詫び金についてアンケー

図 5（上から N=232、N=231、N=228、N=226、N=228、N=228、
N=230、N=226、N=226、単位：円）

ト形式での調査を行っている。調査結果を以下に示す。
個人情報漏えい事故発生時のお詫び金に関して、事前に基準を定めているのは 4％にとどまっており、ほとんどの企業ではお詫び金に関する規定を定めていない（図 4 参照）。
また、定めていると回答した企業は、過去に事故などの経験がある企業など、一部の企業にとどまっていると考えられる。

想定お詫び金支払額

また、調査では 50,000 円以上と回答した場合については
具体的な金額を記入してもらっているが、遺言書については 100,000 円と記載されている例もあり、最高金額は 1 千万円であった。
すなわち、お詫び金支払い額については、漏えいした個
人情報の種別が影響を与えると考えられる。特に、口座番号などの二次被害に繋がり得る個人情報や、機微なプライ
バシー情報に関わるカルテが漏えいすると、お詫び金額に4%反映される必要があるという結果がアンケート調査より得られた。
また、調査では自由記入欄を設定しており、以下のよう

定めている
定めていない96%

図 4

お詫び金支払額についての基準策定状況（N=325）

電話番号、購入に関する情報といった基本的な個人情報ⓒ 2013 Information Processing Society of Japan

なコメントが得られた。


相場を知らないためわからない

予測できない

お詫び金(小規模)の情報が少ない



ニュースになるのは大企業が多く、小規模事業者の妥

相場感が全く分からないのが不安に感じている

当なお詫び金等の情報が少なく感じる
ここでは、他社で支払われたお詫び金についての情報を

5

情報処理学会研究報告
IPSJ SIG Technical Report

Vol.2013-EIP-60 No.8
2013/5/16

求めている企業・組織が見受けられ、他社の事例を参考に

詫び金等を支払わないとしても、謝罪文をホームページ上

して支払額を決定していると考えられる。もちろん、他社に公開するだけでなく、何かしらの形で被害者である顧客の事故対応等の情報を得ることは重要であるが、自社でのへの補償をすることが重要であると考える。

事故を詳細に把握した上で、自社の責任（過失）と被害者

本研究では、アンケート調査を用いることによって企への被害の程度から、被害者への補償方法を考えるべきで業・組織が支払うお詫び金について分析した。漏えいしたあると考える。たとえば、付録に示すように多くの小売業

個人情報に基本的な情報が含まれている場合に比べ、金銭ではお詫び金を受け取りに店へ来店したり、自社の商品や的な損害につながる個人情報やプライバシー侵害に関わるサービスを利用することを期待しているが、卸売業や製造情報が含まれていた場合の方が高いお詫び金を払うという業では異なった対応が取られると考えられるためだ。

傾向が見られた。また、過去の事例等より、金融系の業種や金融に関する情報を取り扱う企業では資産情報や口座番

7. まとめ号などの情報に対して高いお詫び金を想定していることがうかがえる。しかしながら、アンケートに記載されたコメ

個人情報漏えい事故を起こすと、加害者側である企業・ントから読み取れるように、過去の事例を参考とし、500

組織はプライバシー侵害を理由とした損害賠償金の支払い

円から 1,000 円といった同様な金額を支払う企業・組織はをすることがある。氏名、住所、性別、生年月日といった少なからず存在する。お詫び金という概念については重要

個人情報に加え、プライバシーに関する情報が漏えいしたであると考えるが、自社での事故を詳細に把握した上で、場合、高額な賠償金の支払い対象となり得る。また、1 人

被害者への補償方法を適切に判断すべきであると考える。

あたりの賠償額が少額な場合でも、電子的なデータのとき

個人情報漏えい事故を起こした企業や組織は、事故の復は大量に漏えいすることがあるため、さらに多額の賠償に旧に関する対応策だけでなく、被害者への補償方法についなる可能性もある。

ても事前に考えておく必要があるであろう。たとえば、実このため、被害者が訴訟に持ち込む前に企業側の誠意を際には流出していなかった被害者に対してもお詫び金が送示すことで顧客からの信頼を回復し、また、企業のブラン

付されている事例が過去にはある。主な理由としては、漏ドを回復するために、お詫び金を支払うケースは少なくなえいした個人情報全体を把握できていない段階でお詫び金い。この場合、企業独自の判断でお詫び金の額を定めるが、送付を決定してしまった、ということにある。そのため、企業毎にお詫び金に関する基準があいまいである。また、お詫び金送付に至るまでの過程等についても事前に考えて過去の個人情報漏えい事故発生時に支払われた金額を参考

おき、備える必要があるであろう。

とし、同様の金額と設定されることも少なくない。

また、リスクファイナンスとして、保険等に加入するこ

損害賠償額を予測するために、JNSA では独自の算出式

とも有効な策であろう。近年の個人情報漏えいに関する保を提唱している。個人情報の価値等を判断することにより険は従前と異なり、自社に過失があった場合でも補償の対個人情報の重み付けを行っている。しかしながら、損害賠象となる保険プランも用意されている。また、加入方法に償金のみを対象としている。また、櫻井は、一般者に対す

ついてはオプションとして自社に必要な部分にのみ加入する損害賠償金やお詫び金に関するアンケート調査を実施しることも可能となっており、自社への脅威に対して必要最ている。そのため、一般者のみを対象としており、加害者

低限の保険を利用するなど、有効に活用していくことが重側である企業・組織については触れられていない。

要である。

自社特有の経営環境等も考慮する必要があると考えられる。事業体系として、BtoB の場合と BtoC の場合では補償方法が異なる。BtoB の場合は契約等で事前に定められているが、BtoC では定められていないことがほとんどであろう。また、補償の方法としても、金券等を直接送付することに限らず、Web サービス上でポイントを配布するなど、自社の環境を考慮した上でより効果的な補償方法を考える必要がある。しかしながら、一部の企業に見られるようにお詫びをマーケティングと組み合わせているケースがある（付録参照）。あくまでも「お詫び」の形として支払いを考えることが重要であろう。
また、独占的に展開している企業（インフラ業など）においては、顧客離れが起きにくく、お詫び金を支払うとい

参考文献[1] NPO 日本ネットワークセキュリティ協会・情報セキュリティ大
学院大学、2011 年情報セキュリティインシデント調査報告書[2] 東京海上日動リスクコンサルティング、「個人情報保護とリス
クマネジメント」、ソフト・リサーチ・センター、2005 年 6 月[3] 大阪高判 2001・12・25 別冊 NBL79 号 190 頁[4]淵邊善彦・五十嵐敦、「個人情報管理ハンドブック第 2 版」、商事法務、2008 年 4 月[5] 山田英史・大谷尚通・山本匡、「インシデント調査に見る現状と情報漏洩の想定被害額」、信学技報 2004-17、2004 年[6] 櫻井直子、「情報セキュリティの価値と評価」、文眞堂、2011
年 12 月[7]根岸秀忠・菅原尚志・村山厚・平木健士・佐藤栄城・原田要之助「企業・組織における情報セキュリティ調査」、2013 年暗号と情報セキュリティシンポジウム、2013 年 1 月

うことを全く想定していないということも考えられる。おⓒ 2013 Information Processing Society of Japan6

情報処理学会研究報告
IPSJ SIG Technical Report

Vol.2013-EIP-60 No.8
2013/5/16

付録
表 2
対応年月

企業名

2003 年 6 月

ローソン

2003 年 8 月
2003 年 8 月

お詫び金が支払われた事例（著者作成）
対象者数

お詫び金額

送付されたお詫び金

560,000

500 円

商品券

アプラス

79,1101,000 円相当

商品券

ジェーシービー

6,923

1,000 円相当

商品券

2003 年 11 月

ファミリーマート

182,780

1,000 円相当

クオカード、または、ファミマ・ポイントを 100 ポイント

2003 年 12 月

東武鉄道

131,7425,000 円相当

東武動物公園または東武ワー
ルドスクエア招待券 2 枚

2004 年 1 月

ソフトバンク BB

4,517,039

500 円

金券

2004 年 3 月

サントリー

75,000

500 円

郵便為替

2004 年 5 月

ツノダ

16,000500 円相当

金券

2004 年 6 月

コスモ石油

923,239

50 マイル分

ガソリンマイル

2004 年 7 月

DC カード

478,000

500 円

商品券

2005 年 1 月

オリエンタルランド

121,607

500 円

金券

2005 年 3 月

JR 東日本300

1,000 円相当

GALA 湯沢場内利用券

2005 年 10 月

小田急電鉄

6,203

500 円相当

金券

8,640,000

500 円

金券
（43 社の業務委託元毎に対応が異なる。NTT ファイナンスやジャックスカードなどが送付）

2007 年 3 月

大日本印刷

2007 年 12 月

NTT ドコモ関西

339

1,000 円QUO カード2008 年 3 月

インデックス・
コミュニケーションズ

186

500 円相当

金券

2008 年 4 月

サウンドハウス

122.884

1,000 円相当

サウンドハウスで使用できるクレジット2008 年 6 月

相鉄ホテル

1,760

1,000 円相当

商品券（１組分）

2008 年 6 月

アイリスプラザ

28,1051,000 円相当

ポイント2009 年 2 月

NHN Japan

399

500 円

WebMoney

2009 年 5 月

三菱 UFJ 証券

49,15910,000 円相当

ギフト券

2009 年 8 月

アリコジャパン

10,000 円（流出した人）
18,184 、3,000 円（流出しなかった人）2009 年 8 月

アミューズ

2010 年 12 月

東村ジャパン

2012 年 10 月

ジャム・ティービー

ⓒ 2013 Information Processing Society of Japan

148,680

500 円相当

商品券
クオカード

500 円または 1,000 円、 定額小為替証券または電子書
722 300 円（流出したメー 籍製品の割引クーポン、割引ク
ル受信者）
ーポン
169

1000 円相当

Web ポイント7