損害賠償請求控訴事件

【事案の概要】 本件は、通信教育事業を展開する被控訴人株式会社ベネッセコーポレーション(以下「被控訴人ベネッセ」)に氏名・住所・電話番号・生年月日・性別・メールアドレス等の個人情報を提供していた控訴人ら(控訴人A及びその子である控訴人B)が、同情報が漏えいされたことを受け、被控訴人ベネッセ及び情報管理の委託先である被控訴人株式会社シンフォーム(以下「被控訴人シンフォーム」)に対し、共同不法行為に基づく慰謝料(Aにつき3万円、Bにつき10万円)及び遅延損害金の支払を求めた事案である。 被控訴人ベネッセは、収集した顧客情報の管理を被控訴人シンフォームに委託しており、被控訴人シンフォームはこれをさらに外部業者に再委託していた。その再委託先で業務に従事していた従業員Wは、経済的苦境にあり顧客情報を名簿業者に売却しようと考えていたが、USBメモリ等には書き出し制御が設定されていたため断念していた。ところが、自己のスマートフォンを充電目的で業務用パソコンにUSBケーブルで接続したところ、MTP(Media Transfer Protocol)を利用してデータ転送が可能であることを知り、顧客情報を本件スマートフォンに書き出して名簿業者に売却した(本件漏えい)。漏えいした情報は500社を超える名簿業者に流通したとされる。 原審は、被控訴人シンフォームに注意義務違反があり被控訴人ベネッセにも監督上の過失があるとして共同不法行為の成立を認めたものの、慰謝料請求権を発生させるほどの精神的苦痛は認められないとして請求を棄却したため、控訴人らが控訴した。 【争点】 主たる争点は、MTP対応スマートフォンを介した情報漏えいについて被控訴人らに予見可能性及び注意義務違反があったか、漏えいにより控訴人らに慰謝料請求権を基礎づける精神的損害が生じたかである。 【判旨】 東京高裁は、原判決を変更し、控訴人らそれぞれに対し連帯して2000円及び遅延損害金の支払を命じた。 裁判所はまず、被控訴人らが導入していた日立ソリューションズ製のセキュリティソフトは、MTPを用いるデバイス(WPD=Windowsポータブルデバイス)についても使用可否制御により使用禁止に設定することが可能であり、その設定を行っていれば本件漏えいは防止できたと認定した。そして、デバイスやOSはバージョンアップにより高機能化していくものであるから、接続デバイスを適切に制御すべき必要性があり、被控訴人らはセキュリティソフトを導入していた以上この必要性を具体的に認識していたと認められるとして、MTP対応スマートフォンを用いた本件漏えいについて予見可能性を肯定した。 その上で、被控訴人シンフォームには書き出し制御措置を講ずべき注意義務違反が、被控訴人ベネッセにはセキュリティソフトの設定状況について適切な報告を求める等により委託先を監督すべき注意義務違反があり、共同不法行為が成立すると判断した。 損害については、本件個人情報は氏名・連絡先等が中心で思想信条等の機微情報とは性質を異にするものの、自己の知らないところで情報が流通したことによる不快感・不安感という精神的苦痛は免れないとし、また、適切に管理されるとの期待が裏切られた点も考慮すべきであるとした。他方、具体的実害の発生は認められず、被控訴人ベネッセが謝罪文書送付や500円相当金券配布等の事後措置を講じていることも斟酌し、慰謝料額は各2000円が相当であるとした。控訴人Bが未成年であることは慰謝料額を左右しないとされた。 本判決は、委託先・再委託先を含む個人情報管理体制における注意義務の具体的内容と、大量漏えい事案における慰謝料算定の考え方を示したベネッセ個人情報漏えい訴訟における重要判断の一つである。