株式会社ベネッセコーポレーションに対する損害賠償請求事件
最高裁判決及び４つの高裁判決
文責：齋藤

弘樹

監修：泉

篤志

［事案の概要］１

株式会社ベネッセコーポレーション（以下「ベネッセ」という。）は、顧客の氏名、性別、生年月日、郵便番号、住所及び電話番号並びに顧客の保護者の氏名といった個人情報を管理していたが、これらの個人情報は、遅くとも平成２６年６月下旬頃までに外部に漏えいした（以下、かかる漏えいを「本件漏えい」という。）。
本件漏えいは、ベネッセのシステムの開発、運用を行っていた株式会社シンフォーム（以下「シンフォーム」という。）の業務委託先の従業員であった甲が、ベネッセのデー
タベースからベネッセの顧客等に係る大量の個人情報を不正に持ち出したことによって生じたものであり（以下、甲のかかる持ち出しを「本件持ち出し」という。）、甲は、持ち出したこれらの個人情報の全部又は一部を複数の名簿業者に売却した。

２

本件持ち出しは、ＭＴＰ[1]に対応したスマートフォンを業務用パソコンのＵＳＢポートにＵＳＢケーブルを用いて接続してＭＴＰ通信でデータを転送する方法により行われた。上記の業務用パソコンは、セキュリティソフトにより、ＭＳＣ[2]通信によりデータを転送できないよう制御されていたが、ＭＴＰ通信によりデータを転送できないようにする制御はなされていなかった。

３

なお、同年７月１５日、ベネッセは警視庁に対して甲の刑事告訴を行い、同月１７日、警視庁は不正競争防止法違反の容疑で甲を逮捕した。
甲は不正競争防止法違反で起訴された後、有罪判決が言い渡され、懲役２年６月及び罰金３００万円に処された（東京高判平成２９年３月２１日・判例タイムズ１４４３号
８０頁）。

1

Ｍｅｄｉａ

ＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌの略。パソコンと他のデバイス（スマー

トフォンやデジタルオーディオプレーヤー）をＵＳＢ接続してファイルを転送するプロトコ
ル（規格）の一つである。後記のＭＳＣではパソコン側のＯＳがデバイス側のファイルシス
テムを直接操作するようになっているが、デバイス側が自律的に動作して内容を書き換える可能性が考慮されていないため、デバイス側がスマートフォンのようにそれ自体が一つのコンピュータである場合、パソコン側の操作とデバイス側の操作が抵触して不具合が生じる可能性があった。一方、ＭＴＰではデバイス側のファイルシステムを管理するのはデバイス側のＯＳであり、このような問題は生じない。
2

Ｍａｓｓ

ＳｔｒａｇｅＣｌａｓｓの略。パソコンと他のデバイス（ＵＳＢメモリや外付

けハードディスク）をＵＳＢ接続してファイルを転送するプロトコル（規格）の一つである。
当時、スマートフォンの中にはＭＳＣ対応のものとＭＴＰ対応のものが存在していた。

1［ベネッセに対する損害賠償請求事件］
ベネッセに対する損害賠償請求事件の判決として、下記のものが公表されている。
◆が付いている判決は、ベネッセに対する損害賠償請求事件であり、●が付いている判
決はシンフォーム及びベネッセに対する損害賠償請求事件である。判決日が同日のものは区別のために事件番号も記載した。
記◆Ａ－１：神戸地姫路支部判平成２７年１２月２日・判例タイムズ１４４２号５０頁◆Ａ－２：大阪高判平成２８年６月２９日・判例タイムズ１４４２号４８頁【Ａ－１の高裁判決】◆Ａ－３：最判平成２９年１０月２３日・判例タイムズ１４４２号４６頁【Ａ－２の上告審判決】◆Ａ－４：大阪高判令和元年１１月２０日・Ｗｅｓｔｌａｗ掲載【Ａ－３の差戻し後の高裁判決】●Ｂ－１：東京地判平成３０年６月２０日・Ｗｅｓｔｌａｗ掲載【平成２６年（ワ）３
１４７６号】●Ｂ－２：東京高判令和元年６月２７日・Ｗｅｓｔｌａｗ掲載【平成３０年（ネ）３５
９７号、Ｂ－１の高裁判決】◆Ｃ－１：横浜地判平成２９年２月１６日・Ｗｅｓｔｌａｗ掲載◆Ｃ－２：東京高判令和元年６月２７日・Ｗｅｓｔｌａｗ掲載【平成３０年（ネ）１２
９６号、Ｃ－１の高裁判決】◆Ｄ：千葉地判平成３０年６月２０日・判例タイムズ１４５９号１８６頁●Ｅ①：東京地判令和元年９月６日・Ｄ１Ｌａｗ掲載【集団訴訟１次】●Ｅ②：東京地判平成３０年１２月２７日・判例タイムズ１４６０号２０９頁【集団訴訟２次・５次】●Ｅ③：東京地判平成３１年４月２５日・Ｗｅｓｔｌａｗ掲載【集団訴訟３次】●Ｅ④：東京地判平成平成３０年６月２０日・Ｄ１Ｌａｗ掲載【集団訴訟４次・６次、
平成２７年（ワ）１３４５２号／平成２９年（ワ）３２０４１号】●Ｅ⑤：東京高判令和２年３月２５日・Ｄ１Ｌａｗ掲載【Ｅ②及びＥ④の高裁判決】
なお、Ｅ①ないし⑤は「ベネッセ個人情報漏えい被害対策弁護団[3]」が原告を募集した集団訴訟であるが、これらの集団訴訟とは別に、「ベネッセ個人情報漏洩事件

被害者の会

4

[ ]」が原告を募集した集団訴訟が５件存在する（いずれも現時点では、一審判決はなされていないようである。）。
また、ベネッセの親会社である株式会社ベネッセホールディングスについて株主代表訴訟の判決も存在する（岡山地判平成３０年９月１２日・Ｗｅｓｔｌａｗ、ただし主張自体失当として請求棄却となっている。）。
3

https://vsbenesse.exblog.jp/

4

http://www.benesse-saiban.com/pc/index.html

2以下、最高裁判決（Ａ－３）及び同最高裁判決以降の４つの高裁判決（判決日順にＢ－
２、Ｃ－２、Ａ－４、Ｅ⑤）における判断を、責任論と損害論に分けて紹介する。
［責任論］
１

Ａ－３
Ａ－３は、プライバシーの侵害による上告人（一審原告）の精神的損害の有無及びその程度等について十分に審理することなく、不快感等を超える損害の発生についての主張、立証がされていないということのみから直ちに請求を棄却すべきものとしたＡ－２を破棄した上、本件漏えいについてのベネッセの過失の有無並びに上告人の精神的損害の有無及びその程度等について更に審理を尽くさせるため、原審に差し戻した。したがって、責任論について特に述べていない。

２

Ｂ－２、Ｃ－２、Ａ－４、Ｅ⑤
Ｂ－２、Ｃ－２、Ａ－４、Ｅ⑤は責任論に関する各争点につき以下のとおり判断した。

（１）シンフォーム及びベネッセの注意義務違反（不法行為責任）アシンフォーム及びベネッセの、ＭＴＰ対応の本件スマートフォンを使用した本件持ち出しについて予見可能性
・Ｂ－２、Ｃ－２、Ａ－４、Ｅ⑤は両社の予見可能性を肯定。

イシンフォームの、執務室内への私物のスマートフォンの持込み禁止措置を講ずべ
き義務違反
・Ｂ－２、Ｃ－２、Ｅ⑤は義務を否定。Ａ－４は義務違反を肯定。

ウ

シンフォームの、業務用パソコンのＵＳＢ接続の禁止措置を講ずべき義務違反について・Ｂ－２、Ｃ－２、Ｅ⑤は義務を否定。Ａ－４は義務違反を肯定。

エシンフォームの、ＭＴＰ対応スマートフォンを含めた書き出し制御措置を講ずべ
き注意義務違反について
・Ｂ－２、Ｃ－２、Ａ－４、Ｅ⑤は義務違反を肯定。

オ

シンフォームの、アラートシステムの設置義務違反
・Ｂ－２、Ｃ－２、Ｅ⑤は、一審原告の主張するアラートシステムを設置したとしても、本件持ち出しを回避できたとは認められない旨判断。
・Ａ－４は、本件持ち出しはベネッセないしシンフォームから執務室内で個人情報に接することを許されたシンフォームの業務委託先の従業員によって行われた、犯罪者が特定されることを意に介さずになされた情報侵奪とその漏えい事案であったもので、このような者による本件漏えいを防止するためには、そもそも犯罪抑止効果を狙ってのセキュリティシステムである監視カメラやアラートシス
テムの設定といった措置は効果がない旨判断。

カシンフォームの、現に設置されていたものより高精度な監視カメラの設置義務違反・Ｂ－２、Ｃ－２、Ｅ⑤は、現に設置されていたものより高精度な監視カメラの設置をしたとしても、本件持ち出しを回避できたとは認められない旨判断。
・Ａ－４は上記「オ」記載のとおり判断。

3

キ

ベネッセの、業務の全過程における適切な情報管理体制の構築義務違反・Ｂ－２、Ｃ－２、Ａ－４、Ｅ⑤は、適切な情報管理を行う組織が存在したとしても、かかる組織が本件持ち出しまでにどのような具体的対応をすることができたのかは不明であり、本件持ち出しを回避できたとは認められない旨判断。
ク

ベネッセがもともとシンフォームの親会社であったものの株式会社ベネッセホー
ルディングスを持株会社とするグループ企業に再編されたことやシンフォームの役員にベネッセの役員が就任していたことに照らして、個人情報の管理・運用において、事業としての一体性が見られ、不法行為における責任主体としての一体性が認められる旨の一審原告の主張について
・Ｂ－２、Ｃ－２、Ｅ⑤は、持株会社内の企業間等のいわゆるグループ企業間においてはそのような状況は往々にして見られることであり、これらの事実が認められたからといって直ちに、ある法人の過失が他の法人の過失と同視されるものではない旨判断。
・Ａ－４は、本件持ち出し当時、シンフォームがベネッセの１００％子会社であったというだけでは、シンフォームの過失をベネッセの過失と同視することはできない旨判断。

ケ

ベネッセがシンフォームを委託先として選任したことについて、委託先選任に関する注意義務違反
・Ｂ－２、Ｃ－２、Ｅ⑤は委託先選任に関する義務違反を否定。
・Ａ－４は委託先選任に関する義務違反につき判断せず。

コ

ベネッセの、委託先であるシンフォームに対する監督義務違反
・Ｂ－２、Ｃ－２、Ｅ⑤はベネッセの、個人情報の管理の委託先であるシンフォー
ムに対する監督義務を肯定。その上で、①ベネッセもシンフォームと同様に当時
本件持ち出しの方法による個人情報の持ち出しの危険性を予見し得たこと、②ベ
ネッセがシンフォームに対しセキュリティソフトのスマートフォンに対する書き出しないし接続制御機能への対応状況について適切に報告を求めていれば、ＭＴＰによる通信方法に対応したスマートフォンに対する接続制御機能に対応した設定・変更を指示することができたこと、③このような監督を行うことについてベネッセに過度の負担が生ずることもなかったことを挙げ、ベネッセのシンフ
ォームに対する監督義務違反を肯定。
・Ａ－４は、①ベネッセもシンフォームと同様に当時本件漏えいの方法による個人情報の持ち出しの危険性を予見し得たこと、②ベネッセがシンフォームに対しセキュリティソフトのスマートフォンに対する書き出しないし接続制御機能への対応状況について適切に報告を求めていれば、シンフォームに対して（ⅰ）ＭＴＰによる通信方法に対応したスマートフォンに対する接続制御機能に対応した
設定・変更を指示するか、（ⅱ）ＭＴＰによる通信方法に対応したスマートフォン
に対する使用制御措置を採るように指示するか、（ⅲ）業務委託先の従業員が大量の個人情報に接することができる執務室内に個人のスマートフォンを持ち込むことを禁止するよう指示することができたこと、③このような監督を行うことについてベネッセに過度の負担が生ずることもなかったことを挙げ、ベネッセのシ4

ンフォームに対する監督義務違反を肯定。
（２）業務委託先の従業員であった甲の不法行為を理由とするシンフォームの使用者責任（民法７１５条）
・Ｂ－２、Ｃ－２、Ｅ⑤は、シンフォームと甲との間の指揮命令関係を否定。
・Ａ－４は、甲の不法行為を理由とするシンフォームの使用者責任について判断せず。
（３）甲の不法行為を理由とするベネッセの使用者責任（民法７１５条）
・Ｅ⑤はベネッセと甲との間の指揮命令関係を否定。
・Ｂ－２、Ｃ－２、Ａ－４は、甲の不法行為を理由とするシンフォームの使用者責任について判断せず。
（４）シンフォームの不法行為を理由とするベネッセの使用者責任（民法７１５条）
・Ｂ－２、Ｃ－２、Ｅ⑤は、ベネッセとシンフォームとの間の指揮命令関係を否定。
個人情報保護法上の委託先の監督と使用者責任における指揮監督とは異なるものであるから、個人情報保護法上の委託先の監督を基礎付ける事実から直ちに使用者責任における実質的な指揮命令関係があったということにはならない旨判断。
・Ａ－４はシンフォームの不法行為を理由とするベネッセの使用者責任について判断せず。
（５）シンフォームとベネッセの共同不法行為責任（民法７１９条１項前段）
・Ｂ－２、Ｃ－２、Ａ－４、Ｅ⑤いずれも共同不法行為の成立を肯定。
［損害論］
１

Ａ－３
Ａ－３においては、未成年者である乙の保護者が上告人（一審原告）となっていると
ころ、乙の氏名、性別、生年月日、郵便番号、住所及び電話番号並びに乙の保護者としての上告人の氏名といった上告人に係る個人情報（以下「本件個人情報」と総称する。）
は、上告人のプライバシーに係る情報として法的保護の対象となるとした上で（最高裁
平成１４年（受）第１６５６号同１５年９月１２日第二小法廷判決・民集５７巻８号９７３頁参照）、本件では本件漏えいによって上告人はそのプライバシーを侵害された旨、判断した。
その上で、Ａ－３は、プライバシーの侵害による上告人の精神的損害の有無及びその程度等について十分に審理することなく、不快感等を超える損害の発生についての主張、立証がされていないということのみから直ちに請求を棄却すべきものとしたＡ－２を破棄した上、本件漏えいについてのベネッセの過失の有無並びに上告人の精神的損害の有無及びその程度等について更に審理を尽くさせるため、原審に差し戻した。

２

Ｂ－２
Ｂ－２は損害論につき以下のとおり判断した（判決文を抜粋して紹介する。）。なお（１）ないし（７）の見出しは執筆者によるものである。

（１）個人情報の性質や価値
本件個人情報は、被控訴人ベネッセが集積した顧客情報の一部を構成するものであるが、氏名、郵便番号、住所、電話番号及びメールアドレスは、いずれも控訴人らの個人識別情報と連絡先であり、生年月日と性別も、日常的に契約等の際に開示するこ5

とが多く、思想信条や性的指向等の情報に比べると、一般的に「自己が欲しない他者にはみだりに開示されたくない」私的領域の情報という性質を強く帯びているとはいえない情報である。したがって、クレジットカード情報などの重要な情報と関連づけられて漏えいしていない本件のような場合、情報それ自体に重要な価値が認められるというより、顧客名簿として大量に集積されているところに価値が認められるのが通常であり、実際、本件においても、名簿業者に顧客名簿として売却され、被控訴人ベネッセの同業者に渡りダイレクトメール等に利用されたことが認められる（なお、控訴人らは、本件個人情報が、被控訴人ベネッセという教育事業を行う企業の保有していた情報として漏えいしたことから、教育に熱心であるなど一定の評価が含まれる情報である旨を主張するが、本件個人情報の流出元が被控訴人ベネッセであることから、控訴人らの教育に関する何らかの思想や信条が推知されるとは考え難い。）。
（２）個人情報の漏えい範囲
もっとも、本件個人情報は、これらを取得した者において、これらを取得された者に対する連絡が可能となるものであるから、その使用方法いかんによっては、取得された者の私生活の平穏等に何らかの影響を及ぼすおそれがある。また、本件個人情報については、本件漏えいにより５００社を超える名簿業者に漏えいしたとの発表もあるところ、実際にどこまでの範囲に広がっているか確定は不能であり、回収も不可能といわざるを得ない。したがって、本件漏えいにより自己の個人情報を取得された者に対し、自己の了知しないところで個人情報が漏えいしたことに対する不快感及び生活の平穏等に対する不安感を生じさせることになるから、かかる不安感が具体的なものでなく抽象的なものであったとしても、何らかの精神的苦痛を生じさせることは避けられないことというべきである。
（３）個人情報を自己の欲しない他者にみだりにこれが開示されることはないという期待
さらに、控訴人らが被控訴人ベネッセに提供した本件個人情報について、自己の欲しない他者にみだりにこれが開示されることはないという控訴人らの期待は保護されるべきであり、控訴人らは、被控訴人ベネッセにおいて本件個人情報がみだりに流出することがないよう適切に管理されると信じて提供したのであるから、本件漏えいにより、このような期待が裏切られる結果となったことは明らかである。しかも、本件漏えいは、Ｗ（注：甲を指す。）において、高度な知識を応用したり、特殊な技術を駆使して行われたものではなく、単に、充電のため本件スマートフォンを市販のＵＳＢ
ケーブルで業務用パソコンに接続したところ、データの転送が可能であったことから、思いつかれ実行されたものである。これまで述べてきたとおり、被控訴人らにおいて、自らが導入していた本件セキュリティソフトが適切に設定されているか否かを確認さえしていれば、煩雑な事務処理や多額の費用の支出を余儀なくされることもなく、比較的容易に本件漏えいを防ぐことができたのであるから、その意味においても、控訴人らの期待を裏切った度合いは小さくないというべきである。
（４）慰謝料の支払によって慰謝されるべき精神的損害の発生
したがって、前記６⑵のとおり、本件漏えいにより控訴人らはそのプライバシーを侵害されたものであるところ、上記認定に照らせば、控訴人らには、慰謝料の支払によって慰謝されるべき精神的損害が発生したと認めるのが相当である。

6

（５）実害の有無
他方、控訴人らは、社会に拡散された本件個人情報が控訴人らの他の情報と関連付けられて重大なプライバシー情報が引き出される可能性を指摘するが、抽象的な可能性を指摘するものにすぎず、本件個人情報が個別に着目されて何らかの重大なプライ
バシー情報が引き出されることは想定しにくい。したがって、現時点においては、本件個人情報の漏えいは、控訴人らにおいて望まないダイレクトメールが増えるかもしれないという危惧を抱かせるにとどまるものであり、控訴人らに何らかの実害が発生したとは認められない。
（６）本件漏えい発覚後の対応や慰謝の措置
また、被控訴人ベネッセ及びその持株会社であるベネッセホールディングスは、本件漏えいの発覚後、直ちに対応を開始し、情報漏えいの被害拡大を防止する手段を講じ、監督官庁に対する報告及び指示に基づく調査報告を行った。そして、被控訴人ベ
ネッセは、情報が漏えいしたと思われる顧客に対しお詫びの文書を送付するとともに、顧客の選択に応じて５００円相当の金券を配布するなどしたことが認められるから、自己の個人情報が適切に取り扱われるであろうとの期待が侵害されたことについては、
事後的に慰謝の措置が講じられていることが認められる。
（７）慰謝料の額
以上のとおり、本件漏えいは、控訴人らに対し、不快感及び抽象的なものであるとはいえ不安感を生じさせるものであり、かつ、自己の個人情報が適切に管理されるであろうとの期待を裏切るものであるから、控訴人らには、慰謝料の支払によって慰謝すべき精神的損害が発生したといわざるを得ないところ、本件漏えいにより控訴人らに実害が発生したとは認められないこと、本件漏えいの発覚後、被控訴人ベネッセ及びベネッセホールディングスにおいて、直ちに被害の拡大防止措置が講じられていること、自己の個人情報が適切に扱われるであろうとの期待の侵害に対し、被控訴人ベ
ネッセにおいて事後的に慰謝の措置が講じられていること、その他本件にあらわれた一切の事情を総合すると、控訴人らの精神的損害に対する慰謝料の額は２０００円と認めるのが相当である。
・なお、控訴人らは、本件個人情報のうち、控訴人Ｂの情報は、未成年者の情報であり、成年以上に保護の必要性が高いと主張するが、控訴人Ｂの情報が未成年者の情報であるか否かは、慰謝料の額を左右するものとはいえない。
３

Ｃ－２
Ｃ－２の損害論についての判断はＢ－２と同様である。

４Ａ－４
Ａ－４はまず、「個人情報が外部に漏えいしてプライバシーが侵害された場合に、当該被漏えい者が精神的苦痛を被ったか否か及び被った精神的損害を慰藉するに相当な額を検討するに当たっては、流出した個人情報の内容、流出した範囲、実害の有無、個人情報を管理していた者による対応措置の内容等、本件において顕れた事情を総合的に考慮して判断すべきである。」との一般論を述べた。その他のＡ－４の損害論についての判断は以下のとおりである（判決文を抜粋して紹介する。）。なお（１）ないし（５）の見出しは執筆者によるものである。

7

（１）個人情報の性質や価値
本件で流出した個人情報の内容は、Ｃの氏名、性別、生年月日、郵便番号、住所、
電話番号、保護者名（控訴人の氏名）及び控訴人とＣとの続柄であるところ、まず、Ｃの郵便番号、住所、電話番号は、Ｃが本件漏えい当時１０歳に満たない未成年者であったことからすると、控訴人自身の郵便番号、住所、電話番号でもあると推認できること、また、Ｃの氏名、性別、生年月日は、控訴人の個人情報そのものではないとしても、控訴人の家族関係を表す情報といえることから、本件個人情報は、控訴人の氏名はもちろんのこと、その他の情報も控訴人の個人情報であると認められることは
前記２で判断したとおりである。
次に、これらの情報のうち、控訴人の氏名、郵便番号、住所及び電話番号は、いずれも控訴人の個人識別情報と連絡先であり、自らが生活する領域においては、必要に応じて第三者に開示される性質の情報であって、こうした情報だけでは、個人の職業等の社会的地位、資産等の経済的な情報や思想信条等の情報と一体となっている情報に比べると、一般的に「自己が欲しない他者にはみだりに開示されたくない」私的領域の情報としての性質は低いといえる（実際に、証拠《乙８９及び９０》によれば、控訴人の住所・氏名及び電話番号はホームページ上に開示されており、その住所及び氏名は不動産登記情報にも記載されている。）。もっとも、こうした情報も、今日のよ
うに、情報ネットワークが多様化、高度化し、容易に入手可能なさまざまな情報を組み合わせることによって趣味嗜好や思想等まで把握されかねない危険性のあることが危惧されていることにも鑑みると、本件個人情報は、個人特定の基本となるベース情報として機能し、それを基に情報集積がされかねないものとしては重要な価値を持つものと評価すべきである。また、子の氏名、性別、生年月日及び控訴人との続柄については、これらも日常的に開示されることが多いものであるとはいえ、家族関係が一定程度明らかになる情報や教育に関心が高いという属性が含まれており、前者に比してより私的領域性の高い情報ということができる。
（２）実害の有無
ところで、本件個人情報は、情報流出元が被控訴人という教育関係の会社であった
ことや控訴人の年齢等から今後の学業生活等に関する支出が見込まれる顧客情報として、それらに関係する業者からは価値のある情報として有望視されることは避けられないものといえ、控訴人にとって、それら業者等からの広告、販売活動を受け、それに煩わしさや不快を感じる機会が増大することが予想される。もっとも、控訴人においても、現時点では、個人情報を利用した詐欺などの具体的な金銭被害は生じていな
いとし、ダイレクトメールや勧誘の電話が増加することは顕著な事実であると主張するだけで（控訴人第４準備書面）、現実にそれらが増えたという主張はなく、したがって、ダイレクトメールが増大するなどして、控訴人に何らかの実害が生じたことはうかがわれない（なお、もともと、本件個人情報は、Ｃの個人情報として被控訴人に提供されたものであり、本件漏えいによってＣ個人に生ずる精神的苦痛による損害も想定されるところ、Ｃと控訴人が同居していることを踏まえても、これを控訴人の損害として考慮することは相当ではない。）。

8

（３）個人情報の漏えい範囲
しかし、その流出範囲については、本件漏えいにより、二次的拡散も発生しており
５００社を超える名簿業者等に情報が漏えいしたとの発表があり（甲４６）、被控訴人においてもそれを確認する術がない状況にあって、流出した情報の全てを回収して抹消させることは不可能な状況となっているといわざるを得ない。被控訴人に個人情報を開示した顧客の一人である控訴人にとって、控訴人の承諾もないままにＢによって
故意かつ営利目的を持って本件個人情報が流出したこと自体が精神的苦痛を生じさせるものである上、その流出した先の外縁が不明であることは控訴人の不安感を増幅させるものであって、このような事態は、一般人の感受性を基準にしても、その私生活
上の平穏を害する態様の侵害行為であるというべきである。
この点、被控訴人は、本件漏えいでは、本件個人情報が流出しただけであって、抽象的な不安感にとどまるから、損害賠償請求の対象となり得る損害に該当しないなどと主張する。しかし、具体的に名簿利用による勧誘や電話により日常生活に支障を及ぼすなどの損害が発生したときには、それが本件漏えいと相当因果関係のある損害であることを立証して損害賠償請求できることはもちろん、それに至らない場合であっても、本件個人情報を利用する他人の範囲を控訴人が自らコントロールできない事態が生じていること自体が具体的な損害であり、控訴人において予め本件個人情報が名簿業者に転々流通することを許容もしていないのであるから、上記のような現状にあること自体をもって損害と認められるべきである。
（４）本件漏えい発覚後の対応や慰謝の措置
他方、被控訴人の持株会社であるベネッセホールディングスは、本件漏えいの発覚後直ちに対応を開始し、情報漏えいの被害拡大を防止する手段を講じ、監督官庁に対する報告及び指示に基づく調査報告を行い、情報が漏えいしたと思われる顧客に対しお詫びの文書を送付するとともに、顧客の選択に応じて５００円相当の金券を配布するなどしていたことが認められる。
（５）慰謝料の額
そうすると、控訴人のプライバシー権の侵害態様、侵害された本件個人情報の内容
及び性質、流出した範囲、実害の有無、個人情報を管理していた者による対応措置の内容のほか、本件個人情報が控訴人の子であるＣの個人情報として被控訴人に対して提供されたもので、控訴人の住所・氏名・電話番号はホームページなどで開示されていたことなど、本件に顕れた一切の事情を考慮すれば、控訴人の被った精神的損害を慰謝するには１０００円を支払うべきものと認めるのが相当である。
４

Ｅ⑤
Ｅ⑤は損害論につき以下のとおり判断した（判決文を抜粋して紹介する。）。なお（１）ないし（４）の見出しは執筆者によるものである。

（１）個人情報の性質や価値
本件漏えいによって、一審原告らの氏名、性別、生年月日、郵便番号、住所、電話番号、ファクシミリ番号、メールアドレス、出産予定日及び保護者の氏名といった情報が漏えいしたものであるところ、このうち、氏名及び郵便番号・住所、電話番号、
ファクシミリ番号及びメールアドレスについては、これらの情報を取得した者におい9

て、これらを取得された者に対する連絡が可能となり、また、同情報の使用方法によっては、取得された者の私生活の平穏等に一定の影響が及ぶおそれがある。また、一審原告らがこれらの情報を提供した経緯及び情報の内容に照らし、これらの情報がみだりに第三者への開示がされることはないとの期待が存在したものと考えられ、性別、
生年月日、出産予定日及び保護者の氏名も含め、自己の了知しないところで第三者に流出することは欲しないものであったということができるから、これらの情報が不正に漏えいした場合には、自己の了知しないところで自己の個人情報が漏えいしたことへの私生活上の不安、不快感及び失望感を生じさせたものとして、精神的損害が生じたと認めるのが相当である。
もっとも、出産予定日を除くこれらの情報は、人が社会生活を営む上で一定の範囲の他者に開示することが予定されている個人を識別するための情報又は個人に連絡をするために必要な情報でもあるため、思想・信条、病歴、信用情報等とは異なり、個人の内面等に関わるような秘匿されるべき必要性が高い情報とはいえない。また、出産予定日については、予定日にすぎないので、秘匿されるべき必要性の程度が相対的に低い。さらに、一審原告らは、本件漏えいでは、一審原告らについて、子供の教育に熱心な、若しくは関心がある親又は教育に熱心な、若しくは関心がある親に育てられた子という属性も流出していると主張するけれども、Ｅはイベントで集めた情報などとして本件個人情報を売却しており、情報の量や質から一審被告らが保有していた情報として漏えいしたことが推測されていたとしても、これらの属性も、秘匿性が高いものとはいえず、それによって、一審原告らの精神的損害の程度が高まるものということはできない。
また、本件漏えいに係る情報は、一審原告らそれぞれでその範囲を異にし、その内容も異なるところ、自己の提供した個人を識別するための情報や個人に連絡するために必要な情報を漏えいされたこと自体には違いはなく、その範囲や内容によって、自己の了知しないところで自己の個人情報が漏えいしたことへの不安、不快感等につき、精神的損害の程度を区別して考えるほどの違いがあるとまではいえない。
なお、一審原告らは、未成年の一審原告らに関しては、不安、不快感がこれから一生付きまとうなどして、精神的苦痛は成年者とは異なるとも主張するが、本件漏えいによる影響の期間は、成年者であるか未成年者であるかを問わず、個別の事情による
ところが大きい一方、自己の了知しないところで自己の個人情報が漏えいしたことへの不安、不快感の程度は、成年者であるか未成年者であるかは問わず、異なるものとはいえないため、成年原告と未成年原告とで精神的損害の程度を格別に扱う理由までを見いだすのは困難であるので、同主張は採用しない。
（２）個人情報の漏えい範囲、実害の有無
そして、本件漏えいにより、教育関連会社等５００社を超える会社に情報が流出したとの報道がされている上、本件漏えいの発覚経緯が、一審被告ベネッセの顧客から、一審被告ベネッセに対し、一審被告ベネッセと異なる通信教育事業者から一審被告ベ
ネッセに提供していた氏名を名宛人とした書面が送付されているとの指摘が多数寄せられ、しかも、その氏名の中には、一審被告ベネッセだけに提供していた戸籍上の氏名と異なるものがあるとの指摘が含まれていることに鑑みると、本件漏えいに係る情10

報も同通信教育事業者に流出した可能性があるといえるものの、一審原告らもダイレ
クトメールやセールス電話が一審原告ら全員に生じているとまでは主張しておらず、前記の流出の可能性を超えて、現時点で、ダイレクトメール等が増えたような気がするという程度以上に財産的損害その他の実害が一審原告らに生じたことはうかがわれない。
（３）本件漏えい発覚後の対応や慰謝の措置
一方、一審被告シンフォームは、Ｅから、個人情報等を漏えいしない旨記載された同意書を取得していたほか、Ｅに対して、情報セキュリティ研修等を受講させていた。
そして、一審被告ベネッセの持ち株会社である株式会社ベネッセホールディングスは、
本件漏えいの発覚後に直ちに対応を開始し、情報漏えいの被害拡大を防止する手段を講じ、監督官庁に対する報告及び指示に基づく調査報告を行い、情報が漏えいしたと思われる顧客に対し、本件通知書を送付するとともに、顧客の選択に応じて５００円
相当の謝罪品の交付を申し出るなどしている。
（４）慰謝料の額
以上のとおり、本件に現れた一切の事情を総合考慮すると、個人情報の漏えいした
一審原告らにつき本件漏えいに係る不法行為によって生じた精神的損害に対する慰謝料として３０００円を認めるのが相当である。
そして、一審原告らが一審原告ら訴訟代理人弁護士に本件訴訟の提起及び追行を委任したことは当裁判所に顕著であるところ、その弁護士費用としては、本件事案の難易、請求額、損害額その他諸般の事情を考慮すると、一審原告１人当たり３００円の範囲内のものが一審被告らの不法行為と相当因果関係にある損害とみるのが相当であ
る。
［解説］
１

責任論に関する、４つの高裁判決の意義
まず、４つの高裁判決における、シンフォーム及びベネッセの注意義務違反（不法行為責任）に関する判断は、事例判断として参考になると思われる。特に、いずれの高裁判決においても、個人情報の管理をシンフォームに委託していたベネッセについて委託
先の監督義務違反が認められた点は、個人情報の管理の委託を行っている会社、これから行おうとしている会社にとって、重要な意義を有すると思われる。
また、ベネッセとシンフォームについて、個人情報の管理・運用において、事業としての一体性が見られ、不法行為における責任主体としての一体性が認められる旨の主張
や、シンフォームの過失をベネッセの過失と同視すべき旨の主張が退けられている点、個人情報保護法上の委託先の監督と使用者責任における指揮監督とは異なるものであるとされた点についても、重要な意義を有すると思われる。

２

損害論に関する、最高裁判決及び４つの高裁判決の意義
まず、Ａ－３は個人情報に関するデジタルデータの漏えいによってプライバシー侵害を認めた初めての最高裁判決として意義がある（ジュリスト臨時増刊 ２０１８年４月
１０日号（１５１８号）「平成２９年度重要判例解説」７７頁参照）。
また、４つの高裁判決において認められた損害額は、以下の裁判例と比べて低額であ11

るが、個人情報の性質や価値、個人情報の漏えいの範囲、個人情報をみだりにこれが開示されない期待、実害の有無、漏えい発覚後の対応や慰謝の措置等といった事情を踏まえて損害額を判断する方法は、以下の裁判例とも整合するものと思われ、事例判断として参考になると思われる。
判決

事案の概要及び損害賠償請求の認容額

東京高判平成１６年３月２３日・判例時報

個人情報（氏名、学籍番号、住所、電話番

１８５５号１０４頁（早稲田大学江沢民事

号及び講演会の参加申込者であること）が件、最判平成１５年９月１２日・民集５７

記載された名簿の写しが無断で警視庁に

巻８号９７３頁の差戻し後の高裁判決）提出された。
１人あたり５０００円の損害賠償請求が認められた。

大阪高判平成１３年１２月２５日・ジュリ

氏名、性別、生年月日及び住所、転入日、

スト１２２４号８頁（宇治市住民基本台帳

世帯主名及び世帯主との続柄も含み、これ事件の高裁判決）

らの情報が世帯ごとに関連付けられ整理された一体としてのデータがコピーされて名簿販売業者に販売され、更には不特定の者への販売の広告がインターネット上に掲載された事案。
１人あたり１万円の慰謝料と５０００円の弁護士費用の損害賠償請求が認められた。

東京高判平成１９年８月２８日・判例タイ

顧客がエステティックサービスを受ける

ムズ１２６４号２９９頁（ＴＢＣ事件の高ために提供した、自らの氏名、住所、電話

裁判決）

番号、年齢、職業といった個人識別情報及びエステティック特有の身体的もしくは美的感性に基づく価値評価をくだすべき
身体状況に係る個人情報が、インターネッ
ト上で公表された特定のＵＲＬを入力することで誰でも自由に閲覧することができる状態に置かれ、実際に、閲覧した第三者によってインターネット上に流出し、その結果、掲示板に掲載されて、性的興味の対象とされたり、興味本位の書込みがされたり、アプリケーションソフトを利用する
ことで検索が可能な情報としてファイル
交換ソフトによって広範囲に流布したりした事案。
１人あたり３万円の慰謝料と５０００円の弁護士費用の損害賠償請求が認められた（ただし１名については１万７０００円

12

の慰謝料と５０００円の弁護士費用）。
大阪高判平成１９年６月２１日・Ｗｅｓｔ

住所、氏名、電話番号、メールアドレス、ｌａｗ掲載（ヤフーＢＢ事件の高裁判決）

ヤフーＩＤ、ヤフーメールアドレス、申込日といった情報が流出し、その一部を記録したＤＶＤ及びＣＤが第三者の手に渡り、ＢＢテクノロジー株式会社及び関連会社
であるソフトバンク株式会社に対する恐喝未遂という犯罪に用いられた事案。
１人あたり５０００円の慰謝料と１０００円の弁護士費用の損害賠償請求が認められた。

３

企業に対する影響・企業の留意点①情報漏えい事案の中には漏洩した個人情報の数が多い事案も存在する上に、情報漏
えいの被害者が原告団を形成して集団訴訟を提起するケースもあること、②委託先の監督義務を怠ったことにより不法行為責任が認められる余地があり今回の４つの高裁判
決で実際に責任が認められたこと、の２点により、企業にとって、個人情報の漏えいによる責任追及のリスクは高まっていると考えられる。
企業としては、これまで以上にセキュリティ対策（仮に情報漏えいが発生した場合の対応を含む）を検討する必要があると思われる。
以13上