はじめに：「名前と住所が漏れただけ」でも慰謝料は認められるのか

結論から言うと、最高裁は「氏名や住所などが漏れただけでもプライバシーの侵害になり、損害賠償の対象になり得る」と判断しました。その後、やり直しの裁判では、1人あたり1,000円の慰謝料が認められています。
平成26年に発覚した、通信教育大手ベネッセの顧客情報流出事件について、この事件に関する裁判例（最高裁平成29年10月23日判決ほか）を、法律の知識がない方にもわかるように解説します（最近話題のタイムズカー事件も、同様の問題を含みます。）。

事件の概要：何が起きたのか
ベネッセは、顧客情報を扱うシステムの開発・運用をグループ会社に委託していました。その委託先（さらにその委託先）で働いていたエンジニアが、業務用パソコンに私物のスマートフォンをUSBケーブルでつなぎ、顧客データをコピーして持ち出しました。持ち出されたのは約2,989万件。そのエンジニアは、データを名簿業者に売却していました。
裁判を起こしたのは、子どもがベネッセの通信教育を受講していた親です。漏れた情報は次のとおりでした。
• 子どもの氏名・性別・生年月日
• 郵便番号・住所・電話番号
• 保護者（原告）の氏名と、子どもとの続柄
クレジットカード番号のようなお金に直結する情報は含まれていません。親は「精神的苦痛を受けた」として、慰謝料10万円を請求しました。
なお、ベネッセは発覚後、新聞広告で謝罪し、顧客にお詫びの文書を送り、500円分の金券（または同額の寄付）を用意しました。この親子は金券を受け取っていません。

裁判で何が問題になったのか
大きな争点は2つです。
1. 「不快」「不安」だけで損害といえるか　詐欺被害や迷惑な勧誘など、目に見える実害がない場合でも、慰謝料を請求できるのか。
2. ベネッセ自身に落ち度（過失）があるか　持ち出したのは委託先の従業員です。それでも、ベネッセが責任を負うのか。
裁判は4回にわたって行われ、結論は大きく揺れました。
裁判所 判断 理由（要旨）
神戸地裁姫路支部（平成27年12月） 請求棄却 ベネッセの過失を裏付ける具体的な主張・立証がない
大阪高裁（平成28年6月） 請求棄却 不快感や不安を超える損害が示されていない
最高裁（平成29年10月23日） 高裁判決を取り消し、やり直し プライバシーは侵害されている。損害の有無・程度を十分に審理すべき
大阪高裁・差戻審（令和1年11月20日） 1,000円の支払いを命令 ベネッセに委託先の監督義務違反あり

裁判所はどう判断したのか
最高裁：「漏れたこと自体がプライバシー侵害」
最高裁は、氏名や住所などの情報も、本人のプライバシーに関わる情報として法的に保護されるとしました。そして、それが漏れた以上、プライバシーは侵害されたといえると判断しています。そのうえで、「不快感を超える損害が示されていない」という理由だけで請求を門前払いした大阪高裁の判断を、「審理が不十分」として取り消しました。実害がないことを理由に、入口で請求を切り捨ててはならない、という意味です。

やり直しの裁判：ベネッセの責任を認め、上記差戻審たる大阪高裁では、1,000円
差し戻された大阪高裁は、まずベネッセの責任を認めました。ポイントは次のとおりです。
• 当時すでに、スマートフォン経由の情報持ち出しの危険は予見できた。
• 委託先では、スマートフォンへの書き出し制限や、私物スマホの持ち込み禁止をしていなかった。
• ベネッセは、委託先にそうした対策を指示できたのにしなかった。つまり「委託先をきちんと監督する義務」に違反した。
ただし、賠償額は請求額10万円に対し、1,000円にとどまりました。裁判所は次の事情を両面から考慮しています。
賠償額を上げる方向の事情 賠償額を抑える方向の事情
500社を超える名簿業者に情報が拡散し、回収が不可能 詐欺などの具体的な実害は生じていない
子どもの年齢や教育への関心がわかる情報で、営業に利用されやすい 住所・氏名・電話番号はもともと他人に知られることが多い情報
自分の情報がどこまで広がったかわからない不安 ベネッセが謝罪・被害拡大防止・500円相当の補償などを実施
特に注目すべきは、「自分の個人情報を利用する人の範囲を自分でコントロールできなくなったこと自体が損害だ」と明言した点です。

弁護士から見たポイント
個人の方へ：「実害がないから仕方ない」ではない
この判決により、情報が漏れたこと自体を理由に慰謝料を求める道が開かれました。ただ、慰謝料に関する判断はまちまちで、例えば、同種のベネッセ顧客情報漏洩事件で、東京高裁に係属していたものについては、慰謝料として2,000円が認められていますが、金額は数千円程度にとどまっています。
一方で、病歴や財産状況など、他人に知られたくない度合いが高い情報が漏れたケースでは、より高額の慰謝料が認められる傾向があります。漏れた情報の中身、広がり方、実害の有無、企業の事後対応によって結論は大きく変わります。気になる方は、企業から届いた通知や、その後の勧誘の記録を残しておくとよいでしょう。
企業の方へ：「委託先のしたこと」では済まない
企業にとってより重いのは、委託元の責任が認められた点です。個人情報の扱いを外部に委託する場合、委託先を適切に監督する法律上の義務があります。次のような点を定期的に確認しておくことをおすすめします。
• 委託先の選定基準と、契約上の安全管理条項
• 委託先・再委託先の端末で、外部機器への書き出しが制限されているか
• 個人情報を扱う部屋への私物スマホの持ち込みルール
• 監査や報告で、実際の運用状況を把握できているか
一件あたりの賠償額が小さくても、対象が数千万件になれば、経営への影響は計り知れません。

まとめ
• 氏名・住所などの基本的な情報でも、漏れればプライバシー侵害になり得る（最高裁）。
• 具体的な実害がなくても、慰謝料が認められる可能性がある。ただし大阪高裁に係属した本件では1,000円。
• 委託先の従業員が持ち出した場合でも、監督を怠った委託元企業は責任を負う。
個人情報の漏えいは、誰にとっても身近な問題です。被害を受けた方も、個人情報を扱う企業の方も、お気軽に当事務所までご相談ください。

参考とした裁判例
• 最高裁判所第二小法廷 平成29年10月23日判決（平成28年（受）第1892号）
• 大阪高等裁判所 令和元年11月20日判決（平成29年（ネ）第2612号、差戻審）
• 神作裕之「顧客の個人情報の外部流出とサービス業者の責任」別冊ジュリスト249号（消費者法判例百選〔第2版〕）248頁