個人情報漏洩と損害賠償 - ぱふぅ家のホームページ

2007 年 2 月 8 日、東京地裁は、個人情報漏洩事故を起こしたコミー（現・TBC グループ）に対し、原告 13 名に 1 人当たり 3 万 5000 円、1 名に 2 万 2000 円の支払いを命じました。いままでにない高額の損害賠償命令です。
また、日本ネットワークセキュリティ協会（JNSA）が公表した「2006 年度情報セキュリティインシデントに関する調査報告書」によると、2006 年に起きた個人情報漏洩の事故・事件について、被害をすべて金銭で賠償したとすると総額4570 億円に達すると推計しています。公表された事件は 993 件と前年比 4％減ったものの、漏洩したデータは約 2200 万人と、前年に比べ 2.5 倍も増えました。結果的に、事件 1 件につき 4 億 8000 万円の賠償額に達する計算になります。
実際に個人情報漏洩事故を起こしてしまった場合、企業はどの位の損害賠償請求を覚悟しなければならないのでしょうか。

宇治市の住民基本台帳漏洩事件

1998 年 4 月、宇治市から乳幼児健診システム開発を委託された企業のアルバイト男性が、住民基本台帳データをコピーして名簿業者に売却するという事件が起き、約 21 万人分の個人情報が「宇治市住民票」としてネット上で売買される事態になりました。
宇治市は名簿業者を通じて名簿を回収し、6 月 3 日に「完全回収宣言」を市議会総務委員会に報告しました。
しかし、市議会議員と市民は、精神的苦痛を理由に損害賠償請求の民事訴訟を起こした。
2001 年 12 月 25 日、京都地裁は「開発会社の社員を指揮・監督して、データ管理に万全を尽くすことが要請されていた」と宇治市の使用者責任を認め、慰謝料など 1 人当たり 1 万 5000 円（慰謝料 1 万円、弁護士費用5000 円）の支払いを命じました。また、開発会社にも同額の賠償を言い渡しました。（判決文）
宇治市は控訴しますが、大阪高等裁判所は控訴棄却。2002 年 7 月、最高裁においても宇治市の上告は棄却されました。

個人情報保護法^*施行前の事件でしたが、個人情報を漏洩された個人に対する賠償額が確定した判決として、以降の賠償請求のモデルとなっています。

JNSAによる「損害賠償額算出式'03」

宇治市の事件をベースに、日本ネットワークセキュリティ協会（JNSA）は損害賠償として想定される金額の算出式を考案しました。この式は「損害賠償額算出式'03」と呼ばれ、下記のように計算します。

損害賠償額　＝　基礎情報価値 [500]
　　　　　　　　　× 機微情報度 [Max(10^{x - 1} + 5^{y - 1})]
　　　　　　　　　× 本人特定容易度 [6,3,1]
　　　　　　　　　× 情報漏えい元組織の社会的責任度 [2,1]
　　　　　　　　　× 事後対応評価 [2,1]

基礎情報価値は定数で 500 ポイントです。それ以降の項目について、順を追って説明します。
機微情報度は、x の最大値および y の最大値を選び、10 の(x - 1)乗に 5 の(y - 1)乗を加えた結果を指します。

（この項つづく）