無料会員登録
情報漏洩が発生すると、「損害賠償はいくらになるのか」「1人あたり、どの程度の補償が必要なのか」と不安を感じる企業担当者も少なくありません。実際の損害賠償額は一律ではなく、漏洩した情報の種類や対象人数、二次被害の有無、安全管理措置、事故後の対応などによって大きく変わります。
氏名や住所、メールアドレスなど一般的な連絡先情報だけが漏洩し、具体的な被害が確認されていない場合には、1人あたり数千円程度とされる事例があります。一方、病歴などの要配慮個人情報や金融情報が含まれていたり、なりすましや金銭被害まで発生していたりすると、賠償額が高くなる可能性があります。
また、損害賠償を検討する際は、「情報にアクセスされた可能性がある」のか、「実際に外部へ持ち出された」のかを分けて確認することが重要です。ログや端末を十分に確認しないまま判断すると、影響範囲を誤るおそれがあり、本人通知や取引先への説明にも影響します。
そこで本記事では、情報漏洩における損害賠償の法的な考え方、金額の目安、賠償額を左右するポイント、情報漏洩が発生した企業が取るべき対応までをわかりやすく解説します。
情報漏洩の損害賠償はいくらになる？金額の目安
情報漏洩の損害賠償には、「1人につき必ず○円」という一律の金額はありません。裁判や交渉では、漏洩情報の内容や被害の程度などを踏まえて個別に判断されます。
氏名・住所など一般的な情報のみの場合
氏名、住所、電話番号、メールアドレスなどの一般的な情報が漏洩したものの、具体的な二次被害が確認されていない場合には、1人あたり3,000〜5,000円程度と説明される事例があります。
ただし、同じ連絡先情報でも、漏洩した人数や公開された期間、第三者が実際に取得した可能性などによって評価は変わります。単純に「氏名と住所だけだから低額になる」と判断できるわけではありません。
詳細な属性や利用履歴を含む場合
一般的な連絡先だけでなく、サービスの利用履歴、購入履歴、詳細な属性などが含まれている場合は、プライバシーへの影響が大きくなることがあります。
複数の情報を組み合わせることで本人の生活状況や行動を詳しく推測できる場合には、情報の機微性が高いと評価され、数千円から数万円程度まで賠償額が広がる可能性があります。
要配慮個人情報や金融情報を含む場合
病歴、信条などの要配慮個人情報や、銀行口座、クレジットカードなどの金融情報が漏洩した場合は、より慎重な対応が必要です。
こうした情報は、詐欺やなりすまし、不正利用、差別などにつながる可能性があるため、一般的な連絡先情報よりも損害が大きく評価されることがあります。
なりすましなど二次被害が発生した場合
漏洩した情報が実際に悪用され、なりすまし、フィッシング、不正送金などの被害が発生している場合は、賠償額が高くなる可能性があります。
参考事例では、センシティブな情報と二次被害が重なったケースについて、1人あたり35,000円の損害が認められた例も紹介されています。ただし、これはすべての情報漏洩に当てはまる固定相場ではありません。
また、1人あたりの金額が小さくても、対象人数が多ければ総額は大きくなります。仮に1人あたり5,000円で対象者が10万人の場合、本人への賠償だけで5億円になります。さらに原因調査や通知、問い合わせ窓口、弁護士対応、取引先への補償などの費用が加わることもあります。
情報漏洩の損害賠償で問題になる法的な責任
情報漏洩では、民事上の損害賠償だけでなく、契約上の責任や個人情報保護法に基づく報告・通知など、複数の対応が問題になる場合があります。
不法行為に基づく損害賠償
企業の安全管理措置に不備があり、個人のプライバシーが侵害された場合には、民法709条に基づく不法行為責任が問題になることがあります。
ただし、情報漏洩が発生したという事実だけで賠償額が決まるわけではありません。漏洩情報の内容、第三者による取得の可能性、本人に生じた具体的な被害などを踏まえて判断されます。
契約違反に基づく損害賠償
委託契約や秘密保持契約などで情報管理義務が定められている場合は、民法415条に基づく債務不履行責任が問題になることがあります。
たとえば、委託先から顧客情報が漏洩した場合、本人への賠償とは別に、委託元から事故対応費用や調査費用などを請求される可能性があります。
個人情報保護法上の報告・本人通知
個人データの漏えい等が一定の要件に当てはまる場合、個人情報保護委員会への報告や本人への通知が必要になることがあります。
行政上の報告・通知義務と民事上の損害賠償は別の問題ですが、どちらについても「何の情報が、何人分、どこまで漏れたのか」という事実関係を整理する必要があります。
情報漏洩の損害賠償額を左右するポイント
損害賠償額は、情報漏洩の件数だけでは決まりません。漏洩した情報の性質や外部流出の確度、事故後の対応など、複数の事情が確認されます。
漏洩した情報の種類
氏名だけなのか、住所、生年月日、認証情報、決済情報、病歴などまで含まれているのかによって、漏洩による影響は変わります。
悪用された場合の影響が大きい情報ほど、プライバシー侵害や経済的損失につながる可能性も高くなります。
外部へ流出した確度
損害賠償や本人通知を検討するうえでは、「第三者がアクセスできた可能性がある状態」と「実際に外部へ持ち出された状態」を分けて確認することが重要です。
アクセスログ、ファイル転送履歴、クラウド監査ログ、外部通信、リークサイトへの掲載などを確認し、実際に外部流出が起きた可能性を整理します。
二次被害の有無
漏洩した情報を使ったフィッシング、なりすまし、口座の不正利用などが発生している場合には、被害の評価も変わります。
本人からの申告だけでなく、漏洩した情報と実際に起きた被害の関係を確認することも重要です。
対象人数とデータ件数
情報漏洩では、データ件数と対象人数が一致しないことがあります。同じ人物のデータが複数保存されているケースもあるため、重複を整理する必要があります。
「何件のファイルが漏れたか」だけでなく、「何人に、どの情報項目が影響したのか」を確認することが重要です。
企業の安全管理措置
アクセス制御、多要素認証、ログ監視、脆弱性管理、委託先管理など、事故前にどのような安全管理措置を取っていたかも重要な確認事項です。
既知の脆弱性を放置していた場合や、不必要に広い権限が付与されていた場合は、事故原因との関係を詳しく確認する必要があります。
事故発覚後の対応
情報漏洩を把握した後に、どの程度迅速に封じ込めや調査を行ったか、本人や取引先へどのように説明したかも重要です。
事実確認が十分でないまま「漏洩はありません」と説明した後に外部流出が判明すると、追加対応が必要になることがあります。まずは事実を確認したうえで説明することが大切です。
ランサムウェアによる情報漏洩では「暗号化」と「流出」を分けて確認する
ランサムウェアに感染した場合、ファイルが暗号化されたことだけを理由に、「個人情報が外部へ流出した」と判断することはできません。損害賠償や本人通知を検討する際には、実際にデータが外部へ持ち出された可能性を確認する必要があります。
外部送信や大量転送のログが残っていないか
EDR、プロキシ、DNS、VPN、クラウド監査ログなどを確認することで、侵入後に大量のファイル転送や不審な外部通信が発生していないかを調べることがあります。
暗号化が開始された時間だけでなく、その前に攻撃者がどのような操作を行っていたかを確認することが重要です。
攻撃者がどのデータへアクセスしたか
攻撃者がサーバーへ侵入していても、すべてのデータを閲覧・取得したとは限りません。アクセスされたフォルダやアカウント、ファイル操作履歴などを確認することで、影響範囲を絞り込みます。
顧客情報、従業員情報、機密情報など、どのデータにアクセスされた可能性があるかを整理することが、通知や賠償判断の材料になります。
リークサイト掲載と実際のデータが一致するか
攻撃者が「データを盗んだ」と主張していても、その主張だけで流出範囲を確定することはできません。
リークサイトに掲載されたサンプルやファイル名を、自社のシステムやログと照合し、本当に自社から持ち出されたデータなのかを確認する必要があります。
情報漏洩が発生したとき企業が行うべき初動対応
情報漏洩が疑われる場合は、被害を広げないことと、後から原因や被害範囲を確認できる状態を残すことを並行して進める必要があります。
侵害された端末・アカウントを確認する
まず、どの端末やサーバー、クラウドアカウントが影響を受けている可能性があるのかを整理します。攻撃が継続している場合には、業務への影響を考慮しながら必要な範囲で隔離します。
ログや端末データを保全する
サーバーログ、クラウド監査ログ、通信記録、端末内のデータなどは、原因や漏洩範囲を調べるための重要な手がかりになります。
焦ってログを削除したり端末を初期化したりすると、後から事実関係を確認できなくなる場合があります。証拠が失われる前に、記録を残しておくことが重要です。
漏洩した可能性のあるデータと人数を確認する
情報漏洩では、「何件のファイルが対象になったか」だけでなく、何人分のどの情報が漏洩した可能性があるのかを整理します。
対象データ、対象期間、アクセス状況、外部送信の痕跡などを組み合わせて確認することで、本人通知や損害賠償を検討するための材料を整えやすくなります。
報告・本人通知・契約上の対応を整理する
確認した事実をもとに、個人情報保護委員会への報告や本人通知が必要かを検討します。委託元や取引先との契約に事故通知期限が定められている場合もあるため、契約内容も確認します。
サイバー保険を利用する場合には、保険会社への連絡条件や調査会社の指定などが決められていることもあります。
- 影響が疑われる端末・サーバー・アカウントを整理します。
- ログや端末データを削除せず保全します。
- 漏洩した可能性のあるデータと対象人数を確認します。
- 個人情報保護委員会への報告や本人通知の要否を検討します。
- 契約やサイバー保険の条件を確認します。
情報漏洩の損害賠償を検討する際は、単に「漏洩した可能性がある」という状態ではなく、実際にどのデータへアクセスされ、外部へ持ち出された可能性があるのかを確認することが重要です。原因や被害範囲が分からないまま復旧を優先すると、後から必要な情報を確認できなくなることがあります。
情報漏洩の原因と被害範囲をフォレンジック調査で確認する方法
情報漏洩が発生した場合、損害賠償や本人通知を正しく判断するためには、「どの情報が漏れたのか」「どの経路で外部へ出たのか」を客観的に確認する必要があります。その手段として利用されるのがフォレンジック調査です。
情報漏洩につながった侵入経路や原因
情報漏洩の原因は、不正アクセス、マルウェア、クラウド設定ミス、内部不正などさまざまです。表面上は同じ「情報漏洩」に見えても、発生経路によって確認すべき証拠は異なります。
フォレンジック調査では、端末、サーバー、クラウド、各種ログなどに残された記録を確認し、いつ、どこから、どのような操作が行われたのかを整理します。
外部へ送信された可能性のあるデータ
ログや通信履歴、ファイル操作の記録を分析することで、外部送信や大量ダウンロードなどの痕跡を確認できる場合があります。
単にシステムへ侵入された事実だけでなく、「どのデータにアクセスされたか」「外部送信された可能性があるか」まで整理することで、実際の影響を把握しやすくなります。
通知・損害賠償判断に必要な被害範囲
情報漏洩の損害賠償や本人通知では、対象人数や漏洩した情報項目を正しく確認する必要があります。
フォレンジック調査によって対象データや期間、アクセス状況を整理することで、法務部門や弁護士が責任範囲を検討するための材料を整えやすくなります。
情報漏洩が疑われる場合、自己判断で削除や初期化を進めると、ログや操作履歴が失われる可能性があります。被害範囲を確定する必要がある場合は、証拠を残した状態で専門調査へ進むことが重要です。
おすすめのフォレンジック調査会社
公式サイトデジタルデータフォレンジック
編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。
デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。
24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
まとめ
情報漏洩の損害賠償には一律の金額はなく、漏洩した情報の種類、対象人数、二次被害、安全管理措置、事故後の対応などによって変わります。一般的な連絡先情報だけの場合と、要配慮個人情報や金融情報が漏洩した場合では、損害の評価が大きく異なる可能性があります。
企業側では、賠償額だけを先に考えるのではなく、まず「何の情報が、何人分、どこまで外部へ流出したのか」を確認することが重要です。特に不正アクセスやランサムウェアによる情報漏洩では、システムへ侵入された事実と、データが実際に持ち出された事実を分けて確認する必要があります。
ログや端末を削除・初期化すると、後から被害範囲を確認できなくなる場合があります。本人通知や損害賠償、取引先への説明を正確に進めるためにも、必要に応じて証拠を保全しながらフォレンジック調査を活用することが重要です。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
