個人情報の流出（弁護士　相内真一）

１　企業の保有する個人情報をターゲットとする不正アクセスの報道が目立っています。大手企業を対象とする場合、百万件単位の個人情報が流出してしまうことも珍しくありません。最近の報道によると、カーシェアの大手会社、焼き肉屋、証券会社、酒造会社等、業種を問わず不正アクセスによる被害が発生しています。
　最近、ある会社のWebシステムへ外部からの不正アクセスがあり、同社の会員情報が漏えい（流出）した可能性があるとの発表がありました。その後の報道では、会員情報のアカウント数は約660万件に上り、流出した情報は、氏名、住所、生年月日、電話番号、メールアドレス等であるとのことです。のみならず、運転免許証画像などの本人確認書類の情報も多数流出していると報道されています。これら流出情報が広く拡散されてしまうおそれがあるだけでなく、不正利用されて当該ご本人に具体的な経済的被害が及ぶおそれもあります。
　被害にあった会社は、大手企業がほとんどであり、各社ともそれなりに不正アクセス対策をしていたはずです。不正アクセスの方法について、AIを悪用されているとの報道もあります。このため、今後も同様の被害が発生する可能性は高いと考えられます。

２　不正アクセスの目的は、様々ですが、個人情報の流出との関係では、例えば、次のようなものが挙げられます。
・フィッシングメールやなりすましメールを当該個人のアドレスに送信するなどして回答を求めるふりをして、当該個人の個人情報を完全に取得し、それらを悪用して資産をとりこむこと
・企業に対して「極めて高額の身代金」の支払いを求めること
後者は「ランサムウェア攻撃」と呼ばれています。
　後者は主として企業が被害を受けるケースですが、前者は、誰でも被害に遭うおそれがあります。

３　一旦、流出した情報の悪用によって、個人資産が不正送金などの方法によって取り込まれると、簡単に回復することは出来ません。
　ただ、流出した個人情報を悪用して、預金を犯人側の口座に不正送金された場合でも、一定の要件で、預金者保護法による補償を受ける道はあります。
　その主な要件は　以下の通りです（各金融機関のホームページで詳しい説明があるので、併せてご確認ください。）
・被害発生から30日以内に金融機関へ通知すること。
・被害者に「重大な過失」がないこと（例えば、IDやパスワードを他人に安易に教えた場合は補償対象外となります）。
・補償は、銀行の申し合わせ等に基づき、原則として全額補償されますが、過失があった場合は75%の補償となります。

４　情報が拡散された結果、当該ご本人が求めてもいないメールや郵便物等が送信・送付されてきて、迷惑メールは受け付けないという設定をしていても、それをかいくぐってくるメールもあります。従って、いちいち削除するなど煩わしい対処が必要なことになります。
　のみならず、クレジット会社等を装ったメールを送信して、偽のサイトに導いて、パスワード等をご本人に提示・入力させるという詐欺的な行為（いわゆる二次被害）も行われています。これらの場合、送信されてくるメールの形式は、カード会社などの正規のメール形式と区別がつきにくいレベルのものもあります。
　具体的手口・被害は以下の通りです。
・購入もしていない物品がカード払いで購入され、物品は偽メールを送信した犯罪者が指定した住所あてに送付され、ご本人の手元には届かないにもかかわらず、代金はカード決済としてご本人の口座から引き落とされる。
・預金からの不正出金。
・株式等の不正売却。
　従って、ご自身の個人情報について流出・拡散（のおそれ）が発生してしまったご本人としては、将来にわたる損害発生防止のために、パスワードの変更などを含めた対処の検討も必要となるでしょう。
　適切な対応を行う企業であれば、情報流出があったときは、その全貌がわからない時点でも、関係者に対してかかる事実を開示してお客様に注意を促します。
　従いまして、普段から、そのような開示や通知が無いかどうか、そしてその通知等が正規の企業からの通知であるのかどうか、注意しておく必要があります。毎月の引き落とし予定額が、納得できる額かどうかのチェックも、当然必要です。

５　他方で、個人情報を管理していたのに流出させてしまった企業に対して、何らかの請求が出来ないのかという問題があります。
　企業が流出事故の後に、当該事故情報をご本人にすみやかに連絡し、謝罪している場合や、お詫びの品を送付している場合は、賠償額が低額にとどまるとの考え方もあります。しかし、個人情報が流出したことだけをもって、その会社に当然過失があるとみなして、流出の結果として個人が被った全損害を、二次被害も含めて当然に全額賠償させることは出来ません。
　過去の裁判例では、流出した情報にセンシティブなものを含まず一般的な連絡先情報にとどまり、二次被害もない場合は、慰謝料額は1人あたりおおむね「3000円 ～ 5000円」程度とされています。なお、センシティブ情報とは何かということについて、金融分野のガイドラインに定めがあるので引用しておきます。

「法（個人情報保護法）第2条第3項に定める要配慮個人情報並びに労働組合への加盟、門地、本籍地、保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人、国の機関、地方公共団体、学術研究機関等、法第57 条第1項各号に掲げる者若しくは施行規則第6条各号に掲げる者により公開されているもの、又は、本人を目視し、若しくは撮影することにより取得するその外形上明らかなものを除く。）」

　漏洩した項目がセンシティブな情報を含み、かつ、二次被害が出ているケースでは、1人あたり「35,000円」の損害賠償を認めた判例もあります。　金額については、納得がいかないとのお考えもあるかもしれません。流出させた企業側の誠実な対応を望むとともに、ご本人としても、「企業側で何とかしろ」と言うだけではなく、情報弱者にならないよう普段からパスワード管理や明細確認などの自己防衛策を講じることが、さらなる被害を防ぐために不可欠です。

以上