情報漏洩したら会社はどうなる？損害賠償の法的根拠と裁判例の額、罰則と命令、費用の内訳を公的資料で整理

01この記事でわかること（3行まとめ）

• 賠償の根拠は主に民法です。不法行為（第709条・第710条）、使用者責任（第715条）、契約違反（第415条）です。過失があれば、攻撃を受けた側でも賠償責任を負うことがあります。
• 個人への賠償は、裁判例では1人1,000円〜3万円台の例があります。総額を押し上げやすいのは、カード会社や委託元からの請求です。
• 賠償金より、事故対応費と売上の減少が大きくなることがあります。JNSAのモデルケースでは、1万件のカード情報漏えいで被害額9,490万円です（架空の事例です）。

02情報漏洩で会社に起きること：6種類の損害

JNSAのレポートは、インシデント（事故）で会社に生じる損害を6つに分けています。この記事もこの分け方で見ていきます。

この中で賠償は一部にすぎません。国家サイバー統括室のハンドブックのQ65も、サイバー攻撃の損害・費用として、逸失利益、個人情報の漏えいに伴う賠償、取引先からの賠償、調査の専門家費用、広報やコールセンターの費用、弁護士費用、復旧費用、再発防止の費用を並べています。

同じレポートは、中小企業でも数千万円単位、場合によって数億円単位の損失がありうるとしています。ただし、インシデントの内容によって大きく異なる参考値です。まず自社に当てはめてみるなら、被害額シミュレーターで、ボタンを選ぶだけで目安を出せます。

03損害賠償の法的根拠：民法の条文

個人情報の漏えいで、本人から請求される場合の中心は不法行為です。ハンドブックのQ63は、プライバシー権の侵害に基づく損害賠償請求が想定され、想定される損害は精神的損害だとしています。条文はe-Gov法令検索で確かめました。

「攻撃された被害者なのに賠償するの？」と思うかもしれません。ハンドブックのQ65は、サイバー攻撃を受けた企業は本来被害者の立場であるものの、個人情報の管理などに過失があり、それが原因で漏えいした場合は賠償責任を負うことになるとしています。過失の有無は、当時の対策や事情によって判断されます。

個人情報保護法第23条は、漏えいの防止など安全管理のために必要かつ適切な措置を講じる義務を定めています。個人情報保護委員会の年次報告は、不正アクセスの原因として、公開された脆弱性を放置していた、IDとパスワードが推測されやすかった、設定ミスがあった、といった安全管理措置の不備が多くみられたとしています。こうした点は、自社の対策を見直す基準になります。

04個人への賠償額の裁判例：1人あたりいくら？

ハンドブックのQ63と、裁判所の公式サイトで読める判決から、漏えいなどで精神的損害の額が示された例をまとめました。1人あたりの額で、会社名は書いていません。

同じ漏えいでも、裁判によって額が違います。これらは過去の例で、基準や相場を決めたものではありません。

「不快に思っただけなら賠償はない」とも言えません。最高裁は2017年10月23日の判決で、氏名、住所、電話番号などの漏えいについて、プライバシーの侵害を認めました。そのうえで、不快感や不安を超える損害の証明がないことだけから直ちに請求を退けた原審を、審理不尽として破棄し、差し戻しました。

05賠償額を左右するもの

ハンドブックのQ63は、額は個々の事例ごとに具体的に決まるとしたうえで、プライバシー侵害の程度に影響する点を次のように挙げています。

• 漏れた情報の内容：氏名、住所、生年月日、性別は、比較的低いと判断される傾向。第三者が通常知りえない情報（エステの施術コースなど）は高いと判断される傾向。病歴などの要配慮個人情報は、さらに高いと判断される可能性。
• 漏れ方：入手した人が多いほど、漏れ方の悪質性が高いほど高いと判断される傾向。完全に回収できれば低く、複製されてネットで広まれば高いと考えられる。
• 2次被害：嫌がらせメールなどが起きれば、高くなると考えられる。

お金の実害は別です。Q63は、カードの不正使用による実損害が生じた場合は、それも損害額になるとしています。また、東京高裁の判決（2019年6月27日、2020年3月25日）はいずれも、会社がお詫びとして500円相当の金券などを配ったことに触れています。賠償額を決める事情の一つとして見られていますが、見舞いの品で賠償の問題がなくなるわけではありません。

06会社の総額を押し上げるのは誰からの請求か

1人数千円でも人数が多ければ大きくなります。ただ、全員が裁判を起こすわけではありません。JNSAのレポートは、請求の相手ごとに次のように整理しています。

28,308円という数字には注意が必要です。JNSAはこの数字に人数を掛けた額を「最大の損害賠償額」の見込みとしています。ハンドブックも、算定モデルに従って試算された想定上の数字で、現実に争われて認められた額を反映したものではないと注意を促しています。そのうえで、ひとつの目安として参考になるとしています。

カード情報では、損害賠償のほかにチャージバックという形もあります。カードの不正利用があった場合に、カード会社が販売代金の支払いを拒否したり返還を求めたりする制度です。件数が多ければ額も大きくなるとJNSAは説明しています。例の3,110万円は、1枚あたりの被害額を約10万円とした試算（1,000件×10万円×30%に、再発行手数料1,100円×1,000件を加えたもの）です。

JNSAは、個人情報の漏えいで賠償請求に至るケースは、現状日本では多くないとしつつ、企業の対応が不十分で被害者の感情が高まると、SNSなどをきっかけに集団訴訟が展開されるケースもあると書いています。

営業秘密の場合は桁が変わることがあります。Q63は、経済産業省の資料を引いて、約1,000億円の請求（300億円で和解）、約1,100億円の請求（330億円で和解）の例を挙げています。

07委託先で漏れたとき：委託元と委託先のあいだの賠償

委託先が漏らした場合、委託元は契約違反を理由に委託先の責任を追及できます。Q63が挙げる請求の内訳は次のとおりです。

1. 委託元が被害者に支払った損害賠償額
2. それに関連する合理的な訴訟費用
3. インシデント対応費用（プレスリリース、苦情対応、謝罪など）
4. 委託元自体の信用毀損による損害
5. その他、漏えいに起因する損害

認められた例として、Q63は東京地裁の2014年1月23日の判決を挙げています。通販サイトの受注システムのプログラムが脆弱で、SQLインジェクション攻撃（データベースを不正に操作する攻撃）を受け、カード情報が流出した事案です。判決は、当時の技術水準に沿ったセキュリティ対策を施したプログラムを提供することが黙示的に合意されていたとして、委託先の責任を認めました。

受ける側は、特定の対策が債務の内容ではなかった、委託元にも義務違反があったとして過失相殺を主張することが考えられます。賠償額の合理性や信用毀損との因果関係は争いになることも多い、とQ63は書いています。JNSAは、契約書で損害賠償額の上限を決めるのが一般的だが、故意や重過失があれば認められない可能性が高いことに注意が必要としています。

08個人情報保護法の罰則と命令：いきなり罰金？

漏えいしただけで直ちに罰金が科されるわけではありません。e-Gov法令検索で確かめた流れは次のとおりです。

実際の行使の状況は、個人情報保護委員会の令和7年度年次報告で分かります。個人データの漏えい等の報告の処理は17,139件、報告徴収19件、立入検査148件、指導および助言455件、勧告2件、命令1件でした。勧告と命令の例として書かれているのは名簿業者の事案で、不適正な利用の禁止などの違反です。勧告や命令まで進む例は、報告の数に比べると少ないことが、この数字から読み取れます。ただし、指導された事案が公表されることもあります。

海外の法令に注意が必要な会社もあります。JNSAのレポートは、EU域内に拠点があったり、域内の個人に商品やサービスを提供していたりすると、日本企業でも規模を問わずGDPRの対象になるとして、最大2,000万ユーロまたは全世界年間売上高の4%のいずれか高い額などの制裁を紹介しています。

092026年の法改正で変わること：課徴金など

「個人情報の保護に関する法律等の一部を改正する法律」が2026年7月17日に公布されました。施行は原則として公布から2年以内で、2026年11月1日時点では政令や規則の整備が進んでいる段階です。上の表は施行前の条文です。個人情報保護委員会の概要資料で確かめた、この記事に関係する点は次のとおりです。

• 課徴金の導入：重大な違反行為で個人の権利利益が侵害された場合などに、違反で得た財産的利益などに相当する額の納付を命じます。委員会の資料では、対象は不適正な利用、不正な取得、第三者提供の制限の違反などで、本人の数は1,000人を基準とする大規模な事案に限定するとされています。
• 命令の見直し：速やかに是正を求められるよう命令の要件を見直し、本人への事実の通知や公表などを勧告・命令できるようにします。
• 罰則の強化：データベースの不正提供の罪で加害目的の提供も処罰の対象とし、法定刑を引き上げ、詐欺などによる不正な取得にも罰則を設けます。
• 本人への通知の緩和：本人の権利利益の保護に欠けるおそれが少ない場合は、通知義務を緩和します。

細かい基準は政令、規則、ガイドラインで決まります。ふつうの漏えい事故がどこまで課徴金に関係するかは、今後の委員会の資料で確かめてください。

10費用の内訳：JNSAが示す中小企業の目安

賠償金より先に出ていくのが事故対応の費用です。JNSAの「インシデント損害額調査レポート 第2版」は、中小企業を想定して次の額を参考値としています。アウトソーシング先の料金などをもとにしたもので、内容によって大きく変わります。

見舞品は慎重に考える必要があります。同レポートの2021年版は、券面額500円が多いとする一方で、「自分の個人情報の価値は500円なのか」と否定的に受け止める人も一定数いて、対応の是非は慎重に判断すべきだとしています。

弁護士費用も賠償額に応じて増えます。JNSAは日弁連の旧基準を目安として紹介していて、1億円の請求なら着手金369万円、報酬金738万円という計算です。現在は個々の弁護士が基準を決めているので、実際の額は依頼先に確かめてください。

売上の減少については、JNSAは「損失は売上の減少額そのものではない」としています。変動費は支出を免れるので、損失は固定費の負担と営業利益の喪失になるという考え方です。ふだんの売上、固定費、変動費、営業利益を見て、止まる期間ごとに損失を計算しておくよう勧めています。

換算が難しい無形損害もあります。JNSAは、サービスの廃止や長期の利用停止で売上高に対し数十%程度の損失を引き起こすことも想定されるとしています。上場企業の株価については、日本サイバーセキュリティ・イノベーション委員会の調査として、情報流出などの適時開示から50日後に平均6.3%下落という結果を紹介しています。ただし株価は市場全体の動きなどにも左右され、定量的な評価は難しいとしています。

モデルケース（架空の事例）：JNSAのレポートは、ECサイトの入力フォームが改ざんされ、カード情報など1万件が漏れた場合の被害額を9,490万円としています。内訳は、調査300万円、法律相談50万円、コールセンター1,080万円、お詫び650万円、サイトの再構築800万円、サイトの停止10万円、サイトを6か月止めたことによる利益損害3,000万円、カード会社からの賠償請求3,600万円です。自社の件数と売上で計算するなら被害額シミュレーターをお使いください。カード情報の漏えいの流れはECサイトのカード情報漏えいの記事にあります。

11役員の責任と、従業員への処分

ハンドブックのQ6は、取締役が決めたセキュリティ体制が会社の規模や業務に照らして適切でなく、会社に損害が生じた場合、任務懈怠に基づく損害賠償責任（会社法第423条第1項）を問われうるとしています。体制が適切でも、運用されていないことを知りえたのに長期間放置した場合も同様です。第三者への責任は、悪意や重過失があるときです。刑事責任は原則として負わないものの、個人情報保護法の命令に違反すれば刑事罰の対象となりえます。

原因を作った従業員については、懲戒には労働契約法第15条の、解雇には第16条の歯止めがあり、賠償の請求も最高裁の判決（1976年7月8日）で信義則上相当な限度とされています。処分を検討するときは社労士や弁護士に相談してください。

12サイバー保険でカバーできる範囲

ハンドブックのQ65によると、サイバー保険の補償は主に次の3つに分類できます。補償範囲や条件は商品ごとに違います。

• 損害賠償補償：法律上負担する損害賠償金。本人や取引先への賠償
• 費用損害補償：原因調査の専門家費用、説明や対応の費用など
• 利益損害補償：事故がなければ得ていた利益

Q65は、日本の保険会社のサイバー保険では、ランサムウェアの身代金は補償の対象にならないとしています。フォレンジック（調査）事業者や弁護士の紹介サービスがついた商品もあるとしています。保険の比較はサイバー保険の一覧、用語はサイバー保険の用語ページをご覧ください。

13賠償リスクを下げる対策

• 公表された脆弱性を放置しない。年次報告が不備として挙げた1つ目です。VPN機器やECサイトのアプリケーションは特に確かめます。
• 推測されにくいパスワードと多要素認証。管理者のアカウントから始めます（多要素認証）。
• データベースのアクセス制御の設定を確かめる。外部の脆弱性診断も選択肢です。
• カード情報を自社で持たない形を検討する。持たなければ、その分の漏えいは起きません。
• 委託契約を見直す。賠償の上限、事故時の連絡、対策の水準を書面にします。
• 報告と対応の体制を決める。誰に知らせ、誰が判断するか。事故対応の依頼先は事故対応のサービスで探せます。
• 対応の記録を残す。何をいつ判断したかは、後の説明の土台になります。

備えの第一歩は、自社の数字を知ることです。お客様の情報の件数、1日の売上、止まりそうな日数の3つが分かれば、被害額シミュレーターで大まかな額を出せます。その額を手元の資金や保険の補償額と比べると、何を先に手当てするかを決めやすくなります。

対策の全体は中小企業のセキュリティ対策の記事にまとめています。発覚時の手順はこちらの記事です。

14困ったときの相談先

• 弁護士：賠償請求、委託契約、お詫びの文面、当局への対応の相談。JNSAの第2版は法律相談費用の目安を30〜100万円としています。
• 個人情報保護法相談ダイヤル（個人情報保護委員会）：03-6457-9849（9時30分〜17時30分、土日祝日と年末年始を除く）。制度の質問を受けます。違法かどうかの判断を求める相談には応じていません。
• 警察：不正アクセスなど犯罪の被害は、最寄りの警察署やサイバー犯罪相談窓口へ。
• IPA・JPCERT/CC：技術的な相談や事故の報告の窓口です。
• 加入している保険会社：サイバー保険に入っていれば、早めに連絡して補償と紹介サービスを確かめます。

15よくある質問