情報漏えいと企業の民事責任

(1)

─　　２５─

情報漏えいと企業の民事責任

牛丸達夫

はじめに

１．当事者構造と訴訟類型　１１．関係する当事者　１２．訴訟の類型

２．プライバシー権と個人情報　２１．学説の状況

　２２．判例の状況

　２３．個人情報の特徴と早稲田大学名簿提供事件判決３．検討対象の裁判例とその位置づけ

　３１．情報漏えいを引き起こした企業の責任が問題となった裁判例　３２．各裁判例の位置づけ

４．企業責任の法的根拠

５．民法７０９条構成による責任追及　５１．概説

　５２．過失概念との関係

　５３．情報漏えい防止義務の認定に当たり参照される規範　５４．漏えいの態様（自発的　内部犯　外部犯）

　５５．技術上の特性

　５６．損害額の算定に影響を与える要素　５６．漏えいした情報の内容と損害額　５６．損害が発生していないと評価される問題６．民法７１５条構成による責任追及

　６１．使用者責任適用に関する判例の態度　６２．使用関係縦の競合に関する問題　６３．不明確な契約の性質から生じる問題　６４．個人情報保護法との関係

　６５．現代的当事者構造と使用者責任適用の限界７．会社法３５０条構成による責任追及

８．おわりに

（参考資料）分析判例の一覧

(2)

はじめに

個人情報を取り扱う企業からの情報流出が多発している。

東京商工リサーチが公表した２０２０年度の「上場企業の個人情報漏えい・

紛失事故」調査によると，紛失事故を公表した会社数は８８社にのぼり，

調査を開始した２０１２年以降最多となった。

同調査が指摘するように，機械的に膨大な情報を抜き取るサイバー犯罪は，紙媒体が中心の「紛失・誤廃棄」などに比べ，事故１件あたりの情報漏えい・紛失件数がケタ違いに大きく，漏えい時の被害もより深刻化する傾向にある。

加えて，情報処理を外部企業にアウトソーシングすることが一般的であることも，責任の所在の不明確化を招いている。

製造委託以外の分野における情報処理関連の外部委託比率（２０１８年度）

は，６５％であるが，データ処理・分析を含む IT 業務委託契約時に，インシデント発生時の対応を記載している委託元の割合は半数に過ぎず，また，膨大なシステム開発業務を下請け業者らに任せている大手金融機関では，こうした実態を全て把握しきれていないとされる。

─　　２６─

東京商工リサーチ「「上場企業の個人情報漏えい・紛失事故」調査（２０２０年）」

（２０２１年１月）（https://www.tsr-net.co.jp/news/analysis/２０２１０１１５_０１.html（最終アクセス（以下同）：２０２１年２月１０日））。

総務省「情報通信業基本調査結果２０１９年情報通信業基本調査（２０１８年度実績）」（https://www.meti.go.jp/statistics/tyo/joho/result-２/r０１/

　２０１９kakugaiyo.pdf（２０２１年２月））。

IPA「IT サプライチェーンにおける情報セキュリティの責任範囲に関する調査」（２０１９年４月）６３頁（https://www.ipa.go.jp/files/００００７３４１２.pdf（２０２１年２月１０日））。

『読売新聞』２０２１年４月１６日朝刊１面。

(3)

情報漏えい事故は，情報が漏えいした被害者たる顧客を原告に対して，

被告となりうる相手方は，顧客が契約した企業のみならず，その企業が情報処理を外部委託していた場合は，その委託先企業も責任の主体となりうるため，当事者関係が複雑化する。

本稿では，我が国における企業が被告とされた情報漏えい事件に関する裁判例の分析を通して，民法７０９条，民法７１５条，会社法３５０条に基づく各責任に関して検討を加え，情報漏えいを起こした企業が負う法的問題を明らかにする。

１．当事者構造と訴訟類型

１１．関係する当事者

企業が直面する情報セキュリティ侵害の典型的な例は，顧客と直接契約関係にある企業が情報漏えい事件を起こし，被害を被ったと主張する顧客

（被害者）が，その企業を訴えるというものである。

この場合，関係する当事者として，（Ⅰ）直接的に侵害行為を行った者と，（Ⅱ）企業が考えられる。

（Ⅰ）直接的に侵害行為を行った者はさらに，従業員など企業の［内部者］と，ハッカーなど企業の［外部者］とに分けることができる。

（Ⅱ）企業についても，［顧客と直接契約関係にある企業］と，その企業の［委託先や下請け企業（以下，この２つをまとめて「関連企業」という場合がある。）および親会社］に分けることができる。

１２．訴訟の類型

これらの関係を前提として，紛争が起こった場合における当事者の組み合わせとして，（）被害にあった顧客と企業との間における争いと，（）

─　　２７─

(4)

企業同士の争いとに大別することができる。

（）被害にあった顧客と企業との間における争いの具体的場面としては，まず〈顧客と直接契約関係にある企業が，顧客（被害者）に対して負う場合〉が考えられる。さらに，〈顧客と直接契約関係にある企業の親会社が，被害者に対して負う場合〉も想定できる。仮に関連企業に業務委託などがなされていた場合は，〈関連企業が，被害者に対して負う場合〉が考えられる。

これらの場合における民事責任の法的根拠は以下のとおりである。

〈顧客と直接契約関係にある企業が，顧客（被害者）に対して負う責任〉

・不法行為責任（民法７０９条，７１０条）

・侵害行為を行った従業員および，関連企業の行為に基づく，使用者責任

（民法７１５条）

　なお，代表者が侵害行為を行った場合については会社法３５０条

・債務不履行責任（民法４１５条）

〈関連企業が，被害者に対して負う責任〉

・侵害行為を行った従業員の行為に基づく，使用者責任（民法７１５条）

なお，代表者が侵害行為を行った場合については会社法３５０条

〈顧客と直接契約関係にある企業の親会社が，被害者に対して負う責任〉

・侵害行為を行った子会社の行為に基づく，使用者責任（民法７１５条）

・子会社の法人格を否認する法理の適用によって親会社が負う，子会社の責任

（）次に，企業同士の争いの具体的場面としては，〈関連企業が，顧客と直接契約関係にある企業に対して負う場合〉が想定される。顧客と直接契約関係にある企業が，関連企業にシステムを発注したが，そのシステム

─　　２８─

(5)

が不完全であったがゆえに，情報漏えいなどが発生し，顧客と直接契約関係にある企業に損害が生じた場合に，関連企業に契約上の責任を追及する場合がこれに当たる。また，関連企業の従業員による違法行為が情報漏えいの原因であれば，顧客と直接契約関係にある企業が不法行為責任を追及する場合も考えられる。

これらの場合における民事責任の法的根拠は以下のとおりである。

〈関連企業が，顧客と直接契約関係にある企業に対して負う責任〉

・不法行為責任（民法７０９条）

・債務不履行責任（民法４１５条）

これらを図にまとめたものが以下である。

そのほかに，上述した企業が負う責任に関係して，以下の責任が問題となりうるが，本稿では取り上げない。

〈侵害行為を行った者が，情報漏えいの被害者に対して負う責任〉

〈顧客と直接契約関係にある企業の取締役が，顧客（被害者）に対して負

─　　２９─

(6)

う責任〉

・取締役の第三者に対する責任（会社法４２９条）

〈顧客と直接契約関係にある企業の取締役が，会社に対して負う責任〉

・取締役の任務懈怠に基づく責任追及のための株主代表訴訟（会社法４２３条，８４７条）

これらを図にまとめたものが以下である。

２．プライバシー権と個人情報

後ほど取り上げる情報漏えいを引き起こした企業の責任が問題となった判例を検討するにあたっては，これらの判例が，プライバシー権に関する判例との関係でどのように位置づけられるかという点が重要になってくるため，まずは，プライバシー権に関する判例・学説の状況について確認しておきたい。

２１．学説の状況

１８９０年に米国で「そっとしておいてもらう権利」として提唱されたプラ

─　　３０─

(7)

イバシーの権利は当初，私生活に干渉されない権利としてとらえられた。

その後の判例理論の展開の中で，避妊などの私的生活領域における「自己決定権」をも含めた権利として，より広義にとらえられるようになる。さらに情報化社会にともない，より積極的に「自己に関する情報をコントロールする権利」としてプライバシー権が把握されることになった。

我が国においても，人格権の１つとして「私事をみだりに公開されない権利」を認めた「宴のあと」事件以後，憲法上の権利として，主に「そっとしておいてもらう権利」としてのプライバシー権が認められてきた。

しかし，「宴のあと」事件で示された３要件を前提とするプライバシー権は，その人の行為内容や存在のあり方を対象とするものであり，氏名や住所と言った単なる情報の保護を対象にするものではなかった。

その後の前科照会事件以降，情報をコントロールする権利としてのプライバシー権が問題となる事件が現れた。いわゆる自己情報コントロール権と呼ばれるこの権利は，情報化社会に伴う人権保護の要請から生まれた新たな権利であり，プライバシーの権利における通説的地位を占めるようになった。

この権利が提唱されるようになった時代背景には，個人情報が経済的価値を有するようになり，個人情報を他者が無断で収集・管理・利用する事例が増加したことが挙げられる。

─　　３１─

東京地判昭和３９年９月２８日判タ１６５号１８４頁判時３８５号１２頁。

小林孝輔･芹沢斉編『基本法コンメンタール［第５版］憲法』（日本評論社，

２００６年）８６頁。

（）私生活上の事実または私生活上の事実らしく受け取られるおそれのある事柄であること。

　（）一般人の感受性を基準にして当該私人の立場に立った場合，公開を欲しないであろうと認められる事柄であること。

　（）一般の人々に未だ知られていない事柄であること。

最判昭和５６年４月１４日民集３５巻３号６７２頁。

(8)

この結果，従来の人格権を軸とした「そっとしておいてもらう権利」としての伝統的なプライバシー権は，「自己情報コントロール権」として，

財産権的色彩を帯びた権利へと変質することになる。

もっとも，人格権を軸としながらも財産権的な側面を併せ持つ権利というのは新しいものではない。例えば，主として有名人が，自己の氏名や肖像を広告宣伝やキャラクターの商品化などに用いて，その財産的価値を利用する場合，パブリシティ権として法的な権利が認められるが，この権利は，氏名や肖像といった人格権を基礎としつつも財産的・商業的な価値を把握する財産権とが融合した権利として位置づけられる。

しかしながら，この通説に対して，民法学では批判が根強い。用語が曖昧であるがゆえに，コントロールの対象が漠然としているとの批判や，

憲法１３条の人格権を起点とした権利であるにもかかわらず，財産的権利を把握する性質として論じられることへの批判など，いささかの混乱状態にあるのが現状である。

そこで，プライバシーについて，「自分の情報を相手に預けるときに，

ある種の信託的な関係を取り結ぶ」という構成や，「プライバシーは個人の意思に基づいて結果を発生させる主観的権利としてではなく，……客観

─　　３２─

があり，芸能人の氏名・肖像が持つ顧客吸引力は「独立した経済的利益ないし価値」であり，「排他的に支配する財産的権利」であると判示している。

三浦正広「パブリシティの権利と『有名人』概念」青山社会科学紀要２２巻１号（１９９４年）１９頁。

村上康二郎『現代情報社会におけるプライバシー・個人情報の保護』（日本評論社，２０１７年）４０頁。

臼井雅子「個人情報保護，プライバシー権および権利主体の行方に関する一考察」中央学院大学法学論叢２４巻１・２号（２０１１年）２０３頁。

山本理顕ほか「復興の原理としての法，そして建築」駒村圭吾＝中島徹編

『３.１１で考える日本社会と国家の現在』（日本評論社，２０１２年）２０２頁。

(9)

的絆に似たものとして把握する」といった構成が提案されている。

２２．判例の状況

プライバシーの保護について示した判例法理は近時，以下の３つの潮流に集約されつつある。

・類型１：公権力との関係で「私生活上の自由」を保護するもの

憲法１３条を根拠とするもので，公権力の活動が制限される局面でのみ言及される。具体的な内容としては，「みだりにその容ぼう・姿態を撮影されない自由」，「みだりに指紋の押なつを強制されない自由」などがある。

・類型２：法益の比較衡量により「人格的利益」を保護するもの

プライバシーに属する事実（情報）」の私人による公表について，「人格的利益」の保護が判断されたとみられるものであり，この類型の判例である長良川事件判決が示した基準によれば，「事実を公表されない法的利益とこれを公表する利益とを比較衡量し，前者が後者に優越する場合」に不法行為が成立する。

・類型３：情報の管理に対する「合理的な期待」を保護するもの

自己情報コントロール権のような人格的権利ではなく，当事者間の信頼関係に基づく「合理的な期待」を保護するものである。

この類型の判例である早稲田大学名簿提供事件では，「学籍番号，氏

─　　３３─

長谷部恭男『憲法の論理』（有斐閣，２０１７年）１１５頁。

斉藤邦史「信認義務としてのプライバシー保護」情報通信学会誌３６巻２号

（２０１８年）１２９頁。

最判平成１５年３月１４日民集５７巻３号２２９頁。

最判平成１５年９月１２日民集５７巻８号９７３頁判タ１１３４号９８頁。

早稲田大学において，当時の中国の国家主席であった江沢民氏の講演会開催に際し，大学が警備のために無断で参加者の名簿を警視庁に対して提供した行為につき，原告らがプライバシーの侵害に基づく不法行為責任を追及した事案。

(10)

名，住所及び電話番号は，……個人識別等を行うための単純な情報であって，その限りにおいては，秘匿されるべき必要性が必ずしも高いものではない」とした上で，「上告人らに無断で本件個人情報を警察に開示した同大学の行為は，上告人らが任意に提供したプライバシーに係る情報の適切な管理についての合理的な期待を裏切るものであり，上告人らのプライバシーを侵害するものとして不法行為を構成する」と判示した。

２３．個人情報の特徴と早稲田大学名簿提供事件判決

近年問題とされる個人情報の漏えい事件において対象となる個人情報の多くは，次のような特徴を有するといえる。

１．住所などのいわゆるプライバシー外延情報であること。

２．もっぱら自らが提供した情報であること。

早稲田大学名簿提供事件判決では，原告の請求を認めたものの，１　及び２の性質を起因とした問題を指摘する反対意見がついていた。

プライバシー性の低さゆえに保護の対象となりうるのかという１の問題については，プライバシー外延情報の性質が，個人の内面が他人の知りうるところとなり人格的自立が困難になるといったものではないために，類型３の判例がでる以前の判例法理，すなわち，類型１や２に分類される判例の基準からすると保護の程度は低いものとなる。したがって，原告の救済を図るためには，問題となっているプライバシー外延情報を法的保護の

─　　３４─

差戻し審（東京高判平成１６年３月２３日判時１８５５号１０４頁）では精神的損害として一人５,０００円の賠償を認めた。

日野辰哉「情報化社会における市民のプライバシー保護～労働者の私用メールに対する監視と不法行為責任を中心に～」人文社会論叢　社会科学篇１９号

（２００８年）８７頁では，多数意見の判断は，本人同意手続の不存在→特別の支障の有無→不法行為成立という過程を踏み，いわば「自己情報コントロール方式」

という新たな判断枠組みを提示しているとする。

(11)

対象として取り込むための新たな理論構成が必要な状況であったということがいえる。

早稲田大学名簿提供事件判決は私人間での信頼関係を基準に，「情報の適切な管理についての合理的な期待を裏切る」行為を不法行為の原因として構成することで，内面の人格的自立の保護との関連性の度合いを基準とせず，プライバシー権の実態を単なる「第三者提供の本人同意」という手続き問題としてとらえた。さらに，プライバシーに「属する」事実（情報）という表現により，プライバシー外延情報を保護の対象に含めることを明らかにした。これらのことから，本判決は，上記１及び２に起因する問題を克服するために構成された，「プライバシー侵害についての軽量な新基準」として位置づけられる。

３．検討対象の裁判例とその位置づけ

３１．情報漏えいを引き起こした企業の責任が問題となった裁判例

LEX/DB において「個人情報　漏えい」をキーワードにして検索し，

ヒットした中から個人情報の漏えいに起因して企業が提訴された事件を網羅的に抽出した以下の事件を中心に検討する。

これらの事件は，平成２年から令和１年の期間にわたっており，長期的な視点で裁判例の変遷を評価する上で意義を有するものと思われる。

①東急コミュニティ事件

マンション販売業者（東急百貨店）がマンション購入申込書の記載を基

─　　３５─

棟居快行「判批」長谷部恭男＝石川健治＝宍戸常寿編『憲法判例百選Ⅰ〔第６版〕』（有斐閣，２０１３年）４５頁。

同上。

東京地判平成２年８月２９日判タ７５１号１６１頁判時１３８２号９２頁。

(12)

に，購入者である原告の勤務先の名称及び電話番号を記載した購入者名簿を，マンションの管理を委託することが予定されている会社（東急コミュニティ）に開示した行為が原告のプライバシーを侵害するとして，不法行為に基づく損害賠償を請求した原告の請求が棄却された事例。勤務先の名称及び電話番号がプライバシーとして保護されるか否かが争いとなった事例として初めて公刊物に表れた裁判例である。

判決は，原告の勤務先の名称及び電話番号を開示したことはプライバシーの侵害に当たるとの前提を示したが，プライバシーの開示も正当な理由に基づくものであるときは違法性を欠くことになるとしたうえ，マンションの購入者の勤務先の名称及び電話番号の開示を求めることは，マンションの管理上必要な措置として合理的であること，東急コミュニティに本件マンションの管理を委託することは全購入者が承諾していたことから，

東急百貨店が東急コミュニティに原告の勤務先の名称及び電話番号を開示したことは違法でないとした。

②東洋信託事件

東洋信託が積水ハウスと共催したアパート経営勉強会の案内状を発送する際に宛名ラベルを貼付した封筒の投函を積水ハウスに依頼した行為について，原告が，東洋信託に対し，守秘義務違反を原因とする債務不履行及び，プライバシーの侵害による不法行為に当たると主張し，かつ積水ハウスの行為が不法行為に当たると主張し，損害賠償を請求したが棄却された事例。預金者の預金内容にプライバシー性を肯定し，これに対応する銀行の守秘義務を論じた初の裁判例である。

─　　３６─

原審：東京地判平成３年３月２８日判タ７６６号２３２頁金法１２９５号６８頁金判８８０号３１頁判時１３８２号９９頁。

控訴審：東京地判平成４年２月３日金法１３４７号２７頁。

(13)

判決は，①本件のアパート経営勉強会は被告らの共同事業として企画され，その参加者もそれぞれ独自の基準で決め，東洋信託銀はその従業員により宛名ラベルを封筒に貼付し，積水ハウスに投函だけを依頼したという事実関係があるから，東洋信託が顧客情報を第三者である積水ハウスの事業目的のために利用させたものとはいえない。②銀行は，職務上知り得た顧客情報を正当な理由なく不特定多数人に公表し，第三者に漏えいした場合には，債務不履行又は不法行為責任を負うと解されるところ，本件では宛名ラベルの記載に関心を持たなかったという積水ハウスの封筒保管目的を考慮すると，漏えいとみることはできないと判示した。

③ TBC 事件

エステティックサロンを経営している TBC が，インターネット上のウェブサイトを通じて原告らから提供された個人情報を，インターネット上において第三者による閲覧が可能な状態に置いたところ，第三者がこれを閲覧して個人情報を流出させたことにより，原告らがプライバシーを侵害されたとして提起した不法行為に基づく慰謝料等の請求が認容された事例。

判決は，個人情報がみだりに開示されないことへの期待は一定の限度で保護されるべきものであって，一般に知られていない事柄でもある上，社会一般の人々の感受性に照らし，他人に知られたくないと考えることは，

これまた自然のことであるから，これらの情報全体がプライバシーに係る情報として法的保護の対象となるとして，本件情報のプライバシー該当性を認めた。また，TBC の不法行為責任については，TBC と訴外Ｚとの間には実質的指揮監督関係があるとして TBC の使用者責任を認め，損害については，本件情報が氏名，住所等の基本的な識別情報のみの場合と比較して，

一般人の感受性を基準にしても秘匿されるべき必要性が高いことは否定で

─　　３７─

東京地判平成１９年２月８日判時１９６４号１１３頁判タ１２６２号２７０頁。

(14)

きないなどの事情を考慮し，１　

人当たりの慰謝料として３万円を認めた。

④ Yahoo ! BB 事件

被告ヤフー及び BB テクノロジーが提供するインターネット接続等のサービスを受けていた原告らが，ヤフーの管理していた顧客情報が外部から不正に取得されたことについて，被告らが個人情報の適切な管理を怠った過失があり，これによって原告らの自己の情報をコントロールする権利が侵害されたとして提起された共同不法行為に基づく損害賠償の請求が認容された事例。インターネットを通じた個人情報流出を引き起こした企業に損害賠償が認容された初の裁判例である。

判決は，まず，個人情報の管理一般について，不正取得当時の電気通信事業における個人情報保護に関するガイドラインや，個人情報保護法２０条の規定を指摘し，ヤフーは個人情報の適切な管理のために必要な措置を講ずべき注意義務を負っていたと述べた。

そして，ヤフーにおけるリモートアクセスの管理体制は，ユーザー名とパスワードによる認証以外に外部からのアクセスを規制する措置がとられていない上，肝心のユーザー名及びパスワードの管理が極めて不十分であったとして，１　

人あたり５,０００円の賠償を認めた。

⑤ベネッセ事件（単独訴訟）

通信教育等を目的とする会社であるベネッセにおいて管理していた原告

─　　３８─

地裁：大阪地判平１８年５月１９日判時１９４８号１２２頁判タ１２３０号２２７頁。

高裁：大阪高判平成１９年６月２１日（平１８（ネ）１７０４号）。地裁：神戸地判平２７年１２月２日判タ１４４２号５０頁判時２３５１号１１頁。

高裁：大阪高判平２８年６月２９日判タ１４４２号４８頁判時２３５１号９頁。

最高裁：最判平２９年１０月２３日判時２３５１号７頁判タ１４４２号４６頁 NBL１１０９号２５頁。

差戻し審：大阪高判令和１年１１月２０日。

(15)

の個人情報が過失によって外部に漏えいしたことにより精神的苦痛を被ったと主張して，原告が不法行為に基づく慰謝料の支払を求めた事例。

１審は，被告の過失によるものであることを基礎付けるに足りる具体的事情の主張立証がないとして，原告の請求を棄却した。

原審は，原告の個人情報が名簿業者に売却されて漏えいすると，通常人の一般的な感覚に照らして，不快感のみならず，不安を抱くことがあるものと認められるが，そのような不快感等を抱いただけでは，直ちに損害賠償を求めることはできないとして原告の請求を棄却した。

これに対し上告審では，原審が，プライバシーの侵害による原告の精神的損害の有無及びその程度等について十分に審理することなく，不快感等を超える損害の発生についての主張，立証がされていないということのみから直ちに請求を棄却すべきものとしたものであり，審理を尽くさなかった違法があるとして原判決を破棄差し戻した。

差戻し審で，ベネッセとシンフォームの共同不法行為及び，１,０００円の賠償を認めた。

⑥ベネッセ事件（集団訴訟）

上記単独訴訟と同様の前提事実の下，複数の原告によって訴えがなされた事案。なお，複数の訴訟が継続しており，法律データベースに現れていないものがある可能性があるが，現在確認できている判決は以下のとおりである。

・高裁判決：

東京高判令和１年６月２７日（平成２９年（ネ）第１２９６号）―以下，集団訴訟①という。

東京高判令和１年６月２７日（平成３０年（ネ）３５９７号）―以下，集団訴訟

─　　３９─

東京高判令和１年６月２７日（平２９（ネ）１２９６号）。

(16)

②という。

東京高判令和２年３月２５日（平成３０年（ネ）３６６０号）（平成３１年（ネ）

第１０５８号）―以下，集団訴訟③という。

・地裁判決：

千葉地判平成３０年６月２０日―以下，集団訴訟④という。

東京地判平成３１年４月２５日―以下，集団訴訟⑤という。

東京地判令和１年９月６日―以下，集団訴訟⑥という。

その他に，株主代表訴訟である広島高裁の高裁判決（令和１年１０月１８日）

がある。

３２．各裁判例の位置づけ

東急コミュニティ事件や，東洋信託事件はともに，自発的な第三者提供を行った事例であり，守秘義務違反がその問題の中心であった。

企業の情報漏えいという問題について，早くから論じられてきたテーマは，銀行の守秘義務と情報開示を巡る問題であり，上記２つの事件もその流れで示された裁判例の一つである。

このような自発的な第三者提供については，今日，個人情報保護法によって適法な個人情報の利用方法であることが定められており，立法的には一応解決が図られているといえる。

─　　４０─

木下正俊「銀行の守秘義務と情報開示を巡る最近の動向」広島法科大学院論集第６号（２０１０年）１頁。

その中心は，銀行間の信用照会に伴う問題や銀行に対する税務調査等に基づく預金者情報等の開示請求といった相続問題であったが，最近では，従来からみられる預金取引履歴や預金者情報のほかに，貸出稟議書や自己査定資料等のいわゆる銀行の情報生産活動の成果物に争いの対象が移ってきている。

個人情報保護法２３条は，あらかじめ本人の同意を得ないで，個人データを第三者に提供してはならないと定めている（第三者提供の制限）。本件では，被告

(17)

代わって頻出するようになった問題が不正アクセスによる情報漏えいの事案である。TBC 事件，Yahoo ! BB 事件，ベネッセ事件はいずれも，この問題が争われた事件である。

プライバシー概念の規範が早稲田大学名簿提供事件を前提としたものに移行する過渡期の判例である TBC 事件のみ，争いの対象となっている情報のプライバシー該当性について，「宴のあと」事件の３要件を用いるなど，従前の判例の影響が残っているものの，早稲田大学名簿提供事件判決以降に出されたこれらの判決は全て，同判決で示された「個人情報について，自己が欲しない他者にはみだりに開示されたくないと考えることは自然なことである」との規範を引用している。

これらのことから，プライバシーの保護について示した判例法理との関係では，プライバシーを比較衡量型の枠組みで判断する東急コミュニティ事件及び，東洋信託事件は類型２に分類される判例であるが，その後の，

早稲田大学名簿提供事件判決を引用する TBC 事件，Yahoo ! BB 事件，ベ

─　　４１─

がマンションの管理会社となることについて購入者の承諾を得ていたことから同法上の違反には当たらない。また，そもそも，委託先への提供・個人データの共同利用・事業承継による提供の場合は，これらの主体が個人データを提供しようとする事業者と一体のものとして取り扱われる合理性があると考えられることから，第三者に該当しないとされており，結果的に個人データの提供について本人の同意は不要である。（同条４項）被告らの利用方法は，これらの内

「共同利用」であると評価される可能性が高く，その場合，第三者提供にも当たらないとの帰結になろう。

この点について，「本件情報が個人識別等を行うための単純な情報に限られず，エステティックサロンを経営する被告に情報を提供したこと自体に秘匿性を認め得るという点が影響していると考えることも可能である」とするもの

（判タ１２６４号２９９頁）や，「本件では，無断公開された個人情報がエステに関する個人的な関心に係わっている点で私事たる性格が強いため，「宴のあと」事件の要件を適用したものと解され，最高裁の定義を意識的に避けたわけではない」

といった評価（浦川道太郎「インターネット上の個人情報の流出とホームページ開設者の使用者貴任」私法判例リマークス３８号（２００９年）６６頁）がなされている。

(18)

ネッセ事件は，全て類型３に分類されるものであり，秘匿性の低い情報の流出であってもプライバシーによる法的保護の対象であるとする裁判所の態度は固まっていると言える。

前述のように，情報の処理を外部に委託する慣行が一般化した現代において，Yahoo ! BB 事件，ベネッセ事件にみられる委託先からの情報流出という要素は，今日の情報流出事件の特徴の一つと言える。

この中で，ベネッセ事件については複数の訴訟が提起されており，比較を容易にするために整理しておきたい。

最終的に，単独訴訟，高裁判決である集団訴訟①，②，③では全て，ベネッセ及び委託先のシンフォームの共同不法行為責任が認められた。一方で地裁判決では判断が分かれていた。集団訴訟①，②の地裁判決及び，

集団訴訟④では原告の請求が棄却されているが，集団訴訟⑤，⑥の判決では，請求が認められている。

そして，被告らの責任が認められた判決における争点及び判示内容は概ね以下の通りである。

・委託先シンフォームの過失，ベネッセの過失

集団訴訟③地裁判決を除き，委託先シンフォーム及びベネッセの予見可能性は認めた。例えば，集団訴訟①では，以下の様に判示している。すなわち，

「本件漏えい以前から，一般的に，経済産業分野ガイドライン等の中で，

外部記憶媒体をパソコン等に接続する方法による情報漏えいのリスクが指摘されていたが，本件漏えいは，Ｂ（筆者注：実行行為者）において，通

─　　４２─

それぞれ，横浜地判平成２９年２月１６日（平２７（ワ）３２１４），東京地判平成３０年６月２０日（平２６（ワ）３１４７６号）。

東京地判平成３０年１２月２７日（第１事件：平成２７年（ワ）第２４８６号）（第２事件：平成２７年（ワ）第２７６７号）（第３事件：平成２７年（ワ）第３２４９７号）判タ１４６０号２０９頁金商判例１５６４号３８頁。

(19)

常想定できないような特別な知識や技術を使用して行われたものでない」

「デバイスや OS は，バージョンアップにより高機能化していくものであるから，それに応じて，接続されるデバイスを制御してデータの漏えいを防いでいく必要があるところ，被控訴人らは，本件セキュリティソフトを導入していたことに照らすと，このような必要性を具体的に認識していたと認めるのが相当である。」

「以上によれば，被控訴人ら（筆者注：委託先シンフォーム及びベネッセ）には，MTP（筆者注：メディア転送プロトコル（Media Transfer Proto- col）の略称）対応の本件スマートフォンを使用した本件漏えいについて，

予見可能性があったというべきである」としている。

一方，集団訴訟③地裁判決においては，

「本件行為の前に MTP 通信を利用したスマートフォンへの情報書き出しの事例がないこと，本件当時前における同情報書き出しの危険性に関する専門家の認識の状況，その危険性に関する指摘の公表及び行政機関その他の団体の基準等の不存在の状況などを総合考慮すると，……本件当時において，スマートフォンをパソコンの USB ポートに接続して個人情報を不正に取得される可能性を予見する可能性があるといえても，MTP 対応のスマートフォンをパソコンの USB ポートに接続することにより MTP 通信を利用して個人情報を不正に取得されることを予見する可能性があったとまでは認められない」と判示している。

・委託先シンフォームの，実行行為者に対する使用者責任

委託先シンフォームの，実行行為者に対する使用者責任については，集

─　　４３─

PC と Android スマートフォンを繋いだ際，追加のドライバなどのインストールをすることなく，さまざまな種類のデータを容易に転送できるようにする技術仕様。

(20)

団訴訟①，②，③，⑥では認められていない。

例えば，集団訴訟①では，以下の様に判示している。

「シンフォームは，被控訴人（筆者注：ベネッセ）から委託を受けた業務について，外部の会社に再委託し，同社の従業員であったＢ（筆者注：

実行行為者）が本件漏えいを行ったものであるところ，シンフォームとＢの間には雇用関係はなく，Ｂがシステムエンジニアとしてシンフォームに派遣され，シンフォームＣ事務所で被控訴人の情報システムの開発等の業務に従事していたからといって直ちに，シンフォームとＢの間に指揮監督関係があったとはいえない。」

一方で，集団訴訟③地裁判決，集団訴訟⑤では使用者責任が認められた。

例えば，後者の判決では以下の様に判示している。

「被告シンフォームは，Ａ（筆者注：実行行為者）から，業務上知り得た個人情報及び機密情報を開示，漏えいしない旨記載された「個人情報の取扱いに関する同意書」を受領しているほか，……Ａに対し，業務に従事する前に情報セキュリティ研修及びその内容を踏まえたテストを実施し，

その後も年１回情報セキュリティ研修を実施していたと認められるけれども，これらの事実だけでは，被告シンフォームがＡの選任及び事業の監督について相当の注意をしたというには足りない。」

・ベネッセの責任について

ベネッセの責任について，集団訴訟①，②，③，⑥ではシンフォームとの共同不法行為責任を認めた。一方で，集団訴訟③地裁判決，集団訴訟⑤ では，責任なしと判断された。

親子会社の責任として考えられる組み合わせと併せて，これらを整理したものが以下の図である。

─　　４４─

(21)

このようにまとめてみると，ベネッセ事件における被告の責任は，違法行為を行った従業員について，子会社の使用者責任を認め，親会社のベネッセには責任を認めなかったもの（集団訴訟③地裁，集団訴訟⑤）と，

使用者責任は認めずに，子会社と親会社の共同不法行為責任を認めるもの（集団訴訟①②③高裁，集団訴訟⑥）とに大別することができる。

４．企業責任の法的根拠

企業責任を追及する際の根拠は，不法行為責任と債務不履行責任とに大別できる。不法行為責任はさらに，企業そのものを行為者としてとらえる民法７０９条構成の他に，代位責任として，被用者が事業の執行について不法行為を行った場合に会社が責任を負う民法７１５条構成及び，取締役の不法行為について会社が責任を負う会社法３５０条構成が考えられる。（下図参照）

─　　４５─

(22)

上述した５つの事件では，債務不履行，民法７０９条，７１５条を根拠にして争いがなされている。もっとも，債務不履行について争われた東洋信託事件では，傍論で銀行に求められる守秘義務の一内容に，被告の行為が含まれるかを示したに過ぎず，他の事件では主張すらなされてない。

今日ほど情報漏えいが問題とされていなかった９０年代初頭の東急コミュニティ事件や東洋信託事件においては，あらかじめ個人情報保護の取り決めがなされていなかったことが推察されるが，その他の事件が起きた２０００年後半以降の時期においては，各社なんらかのプライバシーポリシーや指針，あるいは約款等に個人情報を適切に取り扱う旨を定めていたと思われる。それにもかかわらず，いずれの事件においてもこれらの違反を根拠とした債務不履行ではなく，不法行為に基づいて責任追及がなされている点は一つの特徴として指摘することができる。

訴訟において債務不履行責任が追及されない理由としては，１　

．時効の起算点や，関連会社といった顧客と直接契約関係にない相手方を訴えることができないなど，不法行為責任構成の方が有利であると実務上考えられている，２　

．約款等に記載されている個人情報を適切に取り扱う義務が，

─　　４６─

立証責任に関して，債務者が自らに帰責事由がないことについて証明責任を負う点をもって，債務不履行責任構成は不法行為責任構成に比して原告に有利とされている。

しかし，例えば医療過誤訴訟の分野では，実務上，履行が不完全であるというためには，被告が履行すべき債務を原告が立証しなければならないとされている。このことは，過失の証明に等しく，立証はなんら軽減されていないことから，両構成における証明責任についてあまり差はないと言われている（張瑞輝「医療過誤訴訟における過失の証明と認定―日中の比較法的考察に基づく

(23)

債務の本旨であるとの主張が認められないと原告側が判断したから，といったものが考えられる。

企業自体の不法行為については，従業員の不法行為についての代位責任として負う民法７１５条構成の他に，従業員個人の行為の違法性の程度が低く，一人一人の落ち度はさしたる程度ではないと評価できる場合，つまり，

従業員個人の不法行為が成立するとまでは言えない一方で，企業そのものを不法行為者としてとらえる民法７０９条構成が考えられる。どちらを根拠

─　　４７─

中国法の新たな解釈論の展開―」法政論集２５２号（２０１３年）４０６頁，窪田充見

『不法行為法民法を学ぶ（第２版）』（有斐閣，２０１８年）８４頁）。

同様の議論は，使用者が従業員に対して負う安全配慮義務に違反した場合の責任についても見られる。例えば，国の国家公務員に対する安全配慮義務の違反が問題となった事案において，「原告が，右義務の内容を特定し，かつ，義務違反に該当する事実を主張・立証する責任を負う」とした最高裁判例がある

（最判昭和５６年２月１６日民集３５巻１号５６頁）。

契約上の義務については，当該義務の指向する利益から，主たる給付義務，

従たる給付義務，付随的義務に分けて理解されているところ，付随的義務は，

その違反があっても給付結果が実現される場合もあり，それが「給付結果の不完全」（給付義務違反）と評価されてはじめて問題とされ独自では帰責根拠とはならない点で給付義務と相違するとされる（長坂純「債務不履行による損害賠償― 「民法（債権関係）の改正に関する中間試案」を受けて―」『法律論叢第八六巻第二・三合併号』（２０１３）２５頁）。

個人情報の漏えいを防ぐ義務については，個人情報の内容や個人情報を提供することによって受けようとしている契約内容によって評価が異なると思われる。

例えばエステティックを主たる給付義務とする契約において，体の悩みに関する情報を他に漏らさないことは，主たる給付義務ないしは付随的義務としての評価が可能であろうことから情報漏えいの発生を根拠に債務不履行の主張が認められる余地はあるといえる。しかし，通信教育のサービスを主たる給付義務とする契約において情報漏えいが発生した場合，「通信教育のサービスを適切に享受できれば良く，情報漏えいについては気にしない」と考える利用者と，

「情報漏えいを起こさないことも，通信教育のサービスに付随する義務である」

として，結果的に通信教育サービスという主たる給付義務違反であると考える利用者が存在することが考えられる。したがって，このことを念頭に置くと，

個人情報の漏えいを防ぐ義務を一概に債務の本旨であると主張するのは無理があると考える。

(24)

とするかについては，不法行為の行為者を特定することが困難か否か，企業活動そのものによって発生したものかといった要素によって分類される。

例えば，勧誘した行為者を特定することが可能な金融取引では，圧倒的多数の裁判例が民法７１５条を根拠としており，企業活動そのものが不法行為と考えられる公害については民法７０９条を根拠としている裁判例が多いとされる。５　

つの前掲判例の内，ベネッセ事件を除いた他の全ての事件では，漏えいの原因を直接引き起こした企業に対して，民法７０９条を根拠とした責任追及がなされている。

一方で民法７１５条を根拠とした判例は，その手段の目的から次のように２つに分類することが出来る。

１．情報を持ち出した従業員に対する代位責任を追及する手段として用いられたもの：ヤフー BB 事件，ベネッセ事件（集団訴訟）

２．情報漏えいを引き起こした関連企業に対する代位責任を追及する手段として用いられたもの：TBC 事件，ベネッセ事件（集団訴訟）

これらをまとめると以下のことが指摘できる。まず，漏えいの原因を直接引き起こした企業は基本的に民法７０９条構成によって責任が追及されている。これは（仮に従業員という内部犯に起因するものであったとしても）

漏えいを引き起こさないような体制を作っておくべきであった企業自体の過失として認識さているからであろう。その上で，情報を持ち出した従業員が具体的に特定できる場合は，民法７１５条による責任追及が合わせてなされている。そして，これらの実際に情報漏えいを起こした企業を被用者として使用（委託や下請け）している立場にある企業は，民法７１５条ないし民法７０９条を根拠に責任が追及されている。

─　　４８─

藤村和夫『使用者責任の法理と実務　学説と判例の交錯』（三協法規出版，

２０１３年）２３２頁。

(25)

５．民法７０９

条構成による責任追及

５１．概説

法人に対する責任追及の手段として，法が元々予定していた手段は「使用者責任（民法７１５）」ないしは，「代表者の行為についての不法行為（会社法３５０）」であったが，これらの構成による責任追及には以下の限界が指摘されていた。

すなわち，民法７１５条・会社法３５０条の責任を追及する際には，被害者の側で，被用者・代表者の過失を特定して主張立証しなければならず，被害者に負担を強いること。また，民法７１５条・会社法３５０条を通じて事業主体に対する責任追及を強化する場合，被用者・代表者の過失を厳しく認定しなければならず，その結果，事業主体と並んで被用者・代表者個人も，民法７０９条による責任追及を受けることになる，といったものである。

その後，公害訴訟や製造物訴訟を中心に，「法人自体の不法行為構成」が現れ，この構成に対して反対する有力学説やいくつかの裁判例はあるものの，多数の学説によって支持された。

─　　４９─

神田孝夫『不法行為責任の研究』（一粒社，１９８８年）４頁，１８頁。

水俣病：熊本地判昭和５４年３月２８日判時９２７号１５頁，大気汚染（川崎製鉄）：千葉地判昭和６３年１１月１７日判時平成元年８月５日号１６１頁など。

薬害スモン事件：東京地判昭和５３年８月３日判時８９９号４８頁など。

平井宜雄『債権各論Ⅱ』（弘文堂，１９９２年）２９頁，２２７頁。

クロロキン薬害事件：東京地判昭和５７年２月１日　判時１０４４号１９頁，東京地判昭和６２年５月１８日　判時１２３１号３頁，東京高判昭和６３年３月１１日判時１２７１号３頁。

信楽高原鉄道事件：大阪地判平成１１年３月２９日判時１６８８号３頁。

加藤一郎「企業責任の法理」ジュリスト５７８号（１９７５年）４５頁，神田孝夫「『企業ないし組織体の不法行為』の法理」山田卓生編集代表『新・現代損害賠償法講座４』（日本評論社，１９９７年）３１頁，田上富信『使用関係における責任規範の構造』（有斐閣，２００６年）３８２頁など。

(26)

これらの学説は，根拠の一つとして以下を指摘する。すなわち，事業上の意思決定には取締役だけでなく多数の補助者も関与する以上，企業活動による加害が生じた場合であっても，それを特定の被用者や取締役の過失に帰することが難しい状況がありうるが，このような場合にも民法７０９条構成をとれば法人の責任を追及することが可能となる，というものである。

そして，この場合を具体的に分析したものによると，以下の２場面が挙げられている。

①下位者からの情報・意思伝達の仕組みが予定どおりに機能せず，必要な情報・分析が取締役のもとに集約されず，取締役が不相当に危険な操業を決定したことをもって，取締役の過失といいがたい場面。

②操業過程において予定外の事故が発生するなどの，その原因となった被用者の過誤行為を過失といいがたい場面（鉄道事故，製造物の製造上の欠陥，医療事故，労働災害など）。

これらの方向性は前者について会社法３５０条を拡張するもの，後者については，民法７１５条を拡張するものとして特徴づけられる。

５２．過失概念との関係

各事件における裁判では不法行為を根拠として争われていることから，

まず過失概念の変遷を確認しておきたい。

不法行為の要件の一つである過失について，今日の不法行為が極めて高度な企業活動をも含んでいることを考えると，内心の心理状態を問題とする主観的過失概念で対応することは困難であり，客観的過失概念が適合的

─　　５０─

橋本佳幸「日本民法における法人の不法行為責任」京都大学・国立台湾大学第２回共催シンポジウム（法学分科会）（２０１４年）６頁。

同上。

(27)

であるとされる。

すなわち，「損害の発生が予見可能であり，それを回避すべき行為義務があったにもかかわらずそれを怠った」ことと，定義される。もっとも，

予見可能性や行為義務の概念をめぐっては，どちらを重視するかで説の対立がある一方で，両説の実質的な差は大きくないとの見解も示されている。

そこで最近では，両者を結合して例えば，過失とは「その終局において，

結果回避義務の違反を言うのであり，かつ具体的状況のもとにおいて，適正な回避義務を期待しうる前提として，予見義務に裏付けられた予見可能性の存在を必要としうるもの」である，とされる。

この考えに立つと，予見義務及び結果回避義務の内容が問題となるが，

予見義務については，先にも述べたように，今日の企業活動において何らかの損害が予見可能だからといって当然に回避できるわけではなく，ある程度の損害が生ずることは避けられないことが多い（例えば今日の IT 社会において，PC をインターネットに接続した以上，外部から攻撃を受けたり，内部の者が情報を持ち出したりする可能性が少なくとも存在することから，このような事態が発生することは，経験則上容易に予見可能であると評価されるであろう）ことから，結果回避義務の内容がその議論の中心となる。

以下，各事件において結果回避義務と過失について，いかなる要素に基づいて判断されたのかを中心に分析を行いたい。

５３．情報漏えい防止義務の認定に当たり参照される規範

これまでに挙げた各裁判例は，情報漏えい防止義務の認定に際して，以

─　　５１─

内田貴『民法Ⅱ債権各論』（東京大学出版会，２００１年）３１６頁。

東京地判昭和５３年８月３日判時８９９号４８頁。

(28)

下の公的規範を根拠に判断を行った。

・Yahoo ! BB 事件

被告 BB テクノロジーの責任について，個人情報保護に関しては，

「個人情報保護法」

「電気通信事業における個人情報保護に関するガイドライン」

リモートアクセスの危険性に関しては，

「JIS 規格」

「コンピュータ不正アクセス対策基準」

・TBC 事件

訴外ネオナジーに対する不法行為の成否に関する説示ではあるが，

安全対策を講ずる法的義務の根拠として，

「OECD のガイドライン」

「電子計算機処理に係る個人情報保護に関するガイドライン」

・ベネッセ事件（集団訴訟）

被告シンフォームに対する情報漏えいの予見可能性の判断に，

「情報システム安全対策基準」

「組織における内部不正防止ガイドライン」

「データセンターセキュリティガイドブック」

「個人情報保護マネジメントシステム―要求事項（JIS Q １５００１：２００６）」

「JIS Q １５００１：２００６をベースとした個人情報保護マネジメントシステム実施のためのガイドライン」

被告ベネッセが負う委託先に対する適切な監督をすべき注意義務の判断に，

「個人情報保護法」

過失の認定に際しては予見可能性の有無が問題となるが，専門性が高い

─　　５２─

(29)

分野における訴訟では，この判断を行うに際して，事件当時における技術水準の確定が必要となる。ガイドラインは，その当時における技術水準を反映するものであり，注意義務を導く際の重要な指針となっている。また，

企業に対して，取引や行動の結果についての計算可能性を与えることで，

情報漏えい事件の被告となることを回避するための役割を果たしている。

こうした各種ガイドラインは，自主規制であったり民間に対する注意喚起の呼びかけであったりするにすぎず，民事上の注意義務を直接構成するものでない。TBC 事件の第一審判決でも，これらのガイドラインは「直ちに不法行為における注意義務を構成するものではない」との前置きがなされているところである。

しかし同時にこれらは，少なからず公的性質を有するもの，あるいはそれに近い性質のものでもある。個人情報保護法も公法上の業規制にすぎず，

直接的には民事上の注意義務を構成するものではないが，その利益を侵害した行為は不法行為法上の違法性があると評価される。

例えば，TBC 事件の第一審判決では，「（ガイドライン）で要請されている個人情報保護の必要性にかんがみると，……個人情報を取り扱う企業に対しては，その事業内容等に応じて，個人情報保護のために安全対策を講ずる法的義務が課せられていた」と指摘している。

ただし，ガイドラインはあくまで守るべき最低ラインを定めるものであって，遵守すれば，過失が免れるものではないという点には注意が必要であろう。Yahoo ! BB 事件高裁判決では，事件当時，同業他社におけるコールバック機能の採用率が低かったために，これを採用しなったことにつき過失はないとする被告側の主張について，裁判所は採用しなかった正

─　　５３─

宇賀克也『個人情報保護の理論と実務』（有斐閣，２００９年）６１頁。

遠藤浩『基本法コンメンタール［第４版］債権各論Ⅱ』（日本評論社，２００２年）４２頁。

(30)

当化理由にはならないとして認めなかった。

５４．漏えいの態様（自発的　内部犯　外部犯）

原告と直接契約関係にある企業に着目すると，情報漏えいの態様には次の３つの場合が考えられる。なおカッコ内はその類型に当てはまる判例である。

Ａ．自発的に関連企業へ情報を流す場合（東急コミュニティ事件，東洋信託事件）

Ｂ．企業の内部の者が違法に外部に流す場合（Yahoo ! BB 事件，ベネッセ事件）

Ｃ．外部の者からの不正アクセスによって情報が流れる場合（TBC 事件）

類型Ａの事件に関して，東急コミュニティ事件及び，東洋信託事件ではともに原告の請求は棄却されているが，それぞれの事件の判断枠組みは若干異なっている。前者の事件では，被告の開示行為について，プライバシーの「公表」であり，侵害行為に当たるとしつつも，正当な理由に基づく違法性阻却の場合に当たるとしたが，後者の事件では，そもそも漏えいした情報が法的保護の対象ではないと判断された。もっとも，仮に保護の対象であるとしても，被告の態様からして違法ではないとも示されており，

前者の事件同様，最終的には違法性が阻却されるとする価値判断では共通している。

このように企業が自発的に関連企業に対して情報を流す場合，形式的にはプライバシーの侵害に当たると判断される可能性があるものの違法性が阻却されることになる。これは情報を流す目的が事務的な必要性から来るものであり，あくまでも情報を提供した顧客の利益のためであるという側

─　　５４─

(31)

面が強いからであろう。

では次に類型Ｂと類型Ｃすなわち違法な行為が内部者を起因とするものか，外部者を起因とするものかによる違いは企業責任の判断にどのような影響を及ぼすか。特に外部者による不正アクセスで情報が漏えいする類型Ｃの場合，不正アクセスを受けた企業もまた被害者としての側面もあることは否定できない。

これらの類型ではともに，ガイドラインなどを参照にして，不正アクセスに対する予見可能性と講じられていた対策の妥当性が判断されることになるが，一般論としては，内部者による不正アクセスの方が，採るべき対策の想定が容易であるのに対して，外部者による不正アクセス対策は，相対的にその対策が困難である。このことは，顧客が契約した企業が他社に情報を委託している場合において若干の違いを生み出す。

類型Ｂの事例であるベネッセ事件と，類型Ｃの事例である TBC 事件を比較すると，委託先企業の不法行為判断には類型の違いによる影響は見られない。しかし，委託元企業に対する過失の認定について，TBC 事件では使用者責任のみを認め，被告 TBC 自体を共同不法行為者としては認定していない。

これに対して，ベネッセ事件（集団訴訟①）判決では，被告ベネッセの過失について，被告シンフォームの監督にかかる注意義務違反を認め，被告らの共同不法行為責任を認めている。

ベネッセにとって，委託先においてセキュリティソフトがアップデート

─　　５５─

個人情報保護法が定める委託先に対する監督義務は，当時の経済産業分野ガイドライン（経済産業省４２頁において，適切な委託先の選定，委託契約の締結，委託先における個人データの取扱状況の把握の３つが挙げられており，

本件では，の取扱状況の把握に関する義務違反に反した「過失」に当たると思われる。なお，現在の通則ガイドライン（個人情報保護委員会）（４３頁）でも内容は同じ。

(32)

されていなかったという基本的な対策は，上記義務に伴う監査で把握すべきであった点であるとは言えるものの，判決では，MTP 機能を利用したスマートフォンへの情報の書き出しが無効になっているか否かという細かい安全管理措置の実施状況の把握までを義務としている。さらに，裁判所も認めているように，被告らは，当時のガイドライン等に明確に規定されていた注意義務に違反したわけではなく，類推的に違反が認められたものである点や，再々委託先の従業員の行為という，委託元と距離のある関係性である点を併せて考えると，委託元にはかなり高度な監督レベルを求めるものである。

この違いは，後で検討を加えるように，委託元企業と委託先企業との間の指揮監督関係を認めることに対する一定の限界に起因するものであると考えることもできるが，それに加えて，実行行為者が内部者か外部者かという違いが，委託元の責任の軽重に影響を及ぼした可能性も否定できない。

換言すると内部行為者に由来する事案の場合，委託元企業にはより高い基準の不正アクセス対策が求められるとみるのが妥当であろう。

５５．技術上の特性

漏えいに際して問題となった技術上の特性は責任の判断に当たって，どのような影響を与えるか。

例えば，Yahoo ! BB 事件判決では BB テクノロジーがとるべきであった対策としてコールバック機能やアカウントの変更が挙げられている。

アカウントの適切な管理というのは情報システムの基本であるにも関わら

─　　５６─

セキュリティ機能の一種。サーバーがクライアントから呼び出されて接続が確立した後，クライアントとの接続を一度切り，改めてクライアントを呼び戻す機能。仮に，不正に ID とパスワードが入手されサーバーとの接続に成功しても，登録済みのクライアントでなければ呼び戻せないため，不正アクセス対策として機能する。

(33)

ず，これが守られていなかった以上この判断については妥当であると評価できる。一方で，コールバック機能について他社の採用割合が決して高くない機能であったとしても，被告が実施するべき対策の一つとして挙げている。他社での採用率が低い対策を求めることは，換言すると，より高いレベルの対策を求めることになるが，本件でこの判断がなされた要因の一つとしてリモートアクセスを利用してサーバーへアクセスを行っていた点が挙げられる。判決でも，これ自体，「当該サーバーに対する外部からの不正アクセスの危険を高めるものである」……「リモートアクセスを可能にするに当たっては，不正アクセスを防止するための相当な措置を講ずべき注意義務を負っていた」と言及されているように，危険性の高い手段を用いている場合は一般的に採られている対策よりもさらに高度な対策が求められることを示している。

同様の判示はベネッセ事件（集団訴訟①）地裁判決でも見られる。すなわち，判決では，MTP 対応スマートフォンによる情報漏えいの危険性につき，ガイドライン等に記載がなかったことや同様の措置を採っている会社が少なかったとしても，被告シンフォームの予見可能性は否定されないと判断している。

このように，一般的に採られている対策というものが責任回避のために採るべき最善の対策とは必ずしも言えないということを判例は示しているが，こうした裁判所の判断が，必ずしも企業側に過度な対応を求めるものであるとは言い切れない。上述したように，Yahoo ! BB 事件では不正アクセスの危険性が増加するリモートアクセスを利用していたという事情があったし，ベネッセ事件においても，被告らによる MTP 対応スマートフォンによる情報漏えいの危険性の予見可能性を認める根拠として，ガイドラインにおいて，外部記録媒体をパソコン等に接続する方法による情報漏えいのリスクが指摘されていることを挙げている。情報を取り扱う企業とし

─　　５７─

情報漏えいと企業の民事責任