ベネッセ情報流出事件をめぐる司法判断の混迷

2014年に発覚したベネッセコーポレーションの顧客情報流出事件。
個人情報保護法改正の動きに影響を与えるくらいのインパクトはあったし、司法判断に関しても、いくつかの下級審判決に加え、先行していた姫路ルート(第一審判決は、神戸地裁姫路支部平成27年12月2日に出されている)では昨年の時点で最高裁の判断(最二小判平成29年10月23日)まで出されていて、個人情報漏洩の法的責任の所在や、漏洩が生じた場合の情報主体への損害賠償の水準、といった問題を考える上で、非常に興味深い素材を提供してくれている。

そんな中、年末に飛び込んできたのが、「ベネッセ側に賠償命令 情報流出1人当たり3300円 東京地裁」という見出しの以下の記事である。

「2014年に発覚したベネッセコーポレーションの顧客情報流出事件で、被害に遭った顧客ら計462人が同社と関連会社に慰謝料など計3590万円の損害賠償を求めた訴訟の判決が27日、東京地裁であった。河合芳光裁判長は関連会社に対し、1人当たり3300円、計約150万円の支払いを命じた。ベネッセの賠償責任は認めず、請求を棄却した。」(日本経済新聞2018年12月28日付朝刊・第29面、強調筆者、以下同じ。)

このニュースの注目ポイントは2つあって、1つは、賠償額として「3,300円」という金額を認めたこと。そしてもう一点は、ベネッセの100%子会社であったシンフォーム(システムの開発・運用子会社)の賠償責任は認めたものの、「ベネッセコーポレーション本体」については、「派遣社員スマートフォンを使ってデータを転送した方法について予見可能性はなく、指揮監督関係もない」として賠償責任を認めなかったことである。

興味深いことに、同じ東京地裁で今年の6月に出された判決では、今回と真逆の判断が下されている旨が報じられていた。

「2014年に発覚したベネッセコーポレーションの顧客情報流出事件を巡り、被害に遭った顧客ら計約180人が同社などに損害賠償を求めた訴訟で東京地裁は6月に請求を棄却する判決を出した。ベネッセ側が「おわび」として500円相当の金券を配布していたという事情も考慮した。原告側は7月に控訴し、係争は続いている。個人情報の保護意識が高まるなかで「500円」は妥当なのか議論が分かれる。」
東京地裁の判決はベネッセ側がデータ管理を委託した会社の監督を怠ったとして注意義務違反を認定した。一方で流出した情報が「思想信条や性的指向などの情報に比べ、他者にみだりに開示されたくない私的領域の情報という性格は低い」と指摘。実損が明らかになっておらず、ベネッセ側がおわび文書や金券の配布をしたことも考慮し、「慰謝料が発生するほどの精神的苦痛があるとは認められない」と判断した。」(日本経済新聞2018年10月29日付朝刊・第11面)

両者の違いは、単に「請求一部認容」と「棄却」という最終的な結論の差異にとどまるものではない。
現時点では「むやみに精神的損害を否定してはらない」*1ということ以上の縛りがない「損害額の算定」問題に関して言えば、客観的な金額算定が事実上不可能である以上、判決ごとに幅が出ることは容易に想像が付く話だったし、一連の判決でどういう金額が示されそうと、それが他の案件にダイレクトに影響することになるとは、ちょっと考えにくい。

しかし、6月の判決で東京地裁が認めた「ベネッセコーポレーション本体の注意義務違反」を今回の判決が認めなかった、という事実は、(結論としてはさして違和感はないものの)今後の同種訴訟での判断に大きな影響を与える可能性がある*2

ベネッセコーポレーションにしてみたら、相被告(業務委託先)が100%子会社だった以上、自身の法的責任が認められようが認められまいが「連結」単位でダメージを受けることに変わりはないし、支払済みの「500円」を大きく超える損害賠償が認められてしまえばなおさら、ということになるのだが、一般的なシステムの開発・運用の委託関係への射程まで考慮すると、やはりそう簡単に責任主体を拡張されては困るわけで・・・。

既に事件から5年近く経ち、司法府が客観的な立場で冷静に判断できる環境は十分整っていると思うだけに、続く地裁レベルの判決、さらには、高裁、最高裁レベルでの冷静な判断を期待している。

*1:最高裁判決の主旨を善解すると、こういうことになるのだろう。

*2:この点に関しては、既に公表されている千葉地判平成30年6月20日でも同様に被告ベネッセの責任を否定しており、6月の東京地裁判決の方がむしろ勇み足、という印象が強かった。