今回のコラムでは、最近不正アクセスによる個人情報の流出事例が相次ぎ世間を騒がせていることを受けて、万が一個人情報が漏洩した際に事業者が負うことになる法的義務についてＱ＆Ａ形式で解説します。

Ｑ．不正アクセスによる個人情報流出のニュースが立て続いていますが、万が一自社で個人情報の漏洩が生じた場合にはどのような責任や義務を負うのでしょうか？
Ａ．大きく分けて、個人情報保護法上に定められた義務と民法上の責任があります。
Ｑ．まずは個人情報保護法で定められた義務について教えてください。
Ａ．検索可能なデータベース上で管理された個人情報のことを個人データといいますが、もしこの個人データが漏洩し、かつ下記 4 つのいずれかに該当する場合には「個人情報保護委員会への報告」と「本人への通知」が義務付けられます。
①要配慮個人情報が含まれる事態
②財産的被害が生じるおそれがある事態
③不正の目的をもって行われた漏洩等が発生した事態
④1千人を超える漏洩等が発生した事態。
今話題になっている不正アクセスが原因の場合には③に該当します。
Ｑ．自社のサーバーに直接不正アクセスがあったのなら自ら報告や通知をする義務を負うことは分かるのですが、単に利用していただけの外部サービスが不正アクセスの被害にあい、それにより自社の保有する個人情報が漏洩したような場合にまで、自ら報告や通知をしなければならないのですか。
Ａ．いくら外部サービスを利用していても、個人情報を取得し、利用していた（しようとしていた）事業者は自ら報告や通知をする義務を負います。なお、「個人情報保護委員会への報告」については外部サービスを運営する事業者と連名で行うことも認められているため、不正アクセスの被害にあったサービス運営事業者が主導して連名での報告を呼び掛けている場合には、それに加わるという選択肢も認められます。
Ｑ．では、民法上の責任についても教えてください。利用していた外部サービスが不正アクセスの被害にあうようなケースは、正直なところ自社では防ぎようがないように思うのですが、このような場合まで自社が賠償義務を負うことがあるのでしょうか。
Ａ．個人データに関する業務を外部事業者に対して委託する際には「必要かつ適切な監督」を行う義務が認められており、過去の判例によれば、外部サービスに原因があった場合でもそれを利用していた事業者が顧客に対して賠償義務を負うことは充分あり得ます。
Q．仮に個人情報の漏洩によって被害を受けた顧客に対して自ら賠償したとして、外部のサービス運営事業者に対してその負担を求めることはできないでしょうか。
Ａ．法律上の理屈としては、自らが被害者への賠償により生じた損害について、原因を作った外部のサービス運営事業者に対して賠償を求めることは可能です。ただし、外部サービスの利用規約等において免責条項が設けられ、それに該当するような場合には、求償も認められない場合があります。
Ｑ．経済的な損害はもちろん心配ですが、信用問題も生じえます。もし成約済み顧客から「個人情報を漏洩するような式場は信頼できない」として解約を求められたら、解約料を請求できないでしょうか。
Ａ．顧客との契約の目的はあくまで「結婚式の挙行」にあって、仮に不正アクセスによって個人情報の漏洩が生じたとしても、「結婚式の挙行」自体が可能な状態であれば直ちに法律上の解除権が発生するわけではありません。よほど特別な事情がない限りは、顧客の意思による解約として取り扱ってよいと考えます。
(詳細はブライダル産業新聞紙面にて、11月11日号)