廃棄したはずのHDが出品、最大50万人超の個人情報流出 委託元の責任・慰謝料などを弁護士解説

委託元の法的責任

今回のように、委託先が契約に反してデータを適切に処理せず外部に流通させていた場合、委託元である病院にはどのような法的責任が問われるのでしょうか。

委託先の不正によって漏えいが生じた場合でも、委託元は「委託先の監督」を中心に、複数の責任を問われ得ます。委託先に作業を任せていたことが、委託元の免責にただちに結びつくわけではありません。該当する法令を確認しながら、順を追って説明します。

個人情報保護法上の責任と対応

委託元は、自ら講ずべき安全管理措置（個人情報保護法23条）と同等の措置が委託先で講じられるよう、委託先を監督する義務を負います（同法25条）。ガイドライン上、この監督は、適切な委託先の選定、委託契約の締結、委託先における取扱状況の把握という3つの要素で具体化されています ⁴ 。

ここで重要なのは、義務の主体は委託する側、つまり本件では病院側である点です。委託先が漏えいを起こした場合でも、委託元の監督が不十分であれば、委託元自身が法違反を問われ得る構造になっています。近年も、個人情報保護委員会が、委託元による委託先監督の不備を指摘した事例（コールセンター業務やシステムの運用に関する事案）があります ⁵ 。

個人情報の漏えいは、個人情報保護委員会による指導・助言・勧告・命令の対象になり得る（同法147条・148条等）とともに、命令に従わない場合には罰則の対象となります。

さらに本件は、「病名・検査結果」等の要配慮個人情報を含むと公表されています。要配慮個人情報を含む漏えいの場合は、件数を問わず報告対象です（同法施行規則7条1号）。具体的には、個人情報保護委員会への速報（おおむね3〜5日以内）と確報（30日以内、不正の目的による場合は60日以内）、および本人への通知が義務づけられます（同法26条）。

要配慮個人情報を含む漏えいが委託先で発生した場合は、原則として委託元・委託先の双方が報告義務を負います。しかし、委託先が委託元へ速やかに通知したときは、委託先の報告義務が免除されます。

民事上の責任

民事上は、患者・本人に対する不法行為責任（民法709条）を負う可能性があります。委託先従業員の犯罪的な行為について、委託元が当然に責任を負うわけではありません。しかし、委託元自身の選定・監督に過失があったと評価されれば、委託元にも責任がおよび得ます。過去には、自治体が業務委託の連鎖の末端で生じた住民情報の流出について損害賠償責任を負った事例 ⁶ もあります。

刑事責任

委託元自身が刑事責任を問われることは、命令違反等の例外を除いて通常はありません。本件で刑事告発の対象とされたのは委託先（廃棄物処理法違反）であり、転売行為については、事実関係によって窃盗・横領等も問題となり得るでしょう。

委託元の責任の重さとその考え方

委託元の責任の重さは、選定・契約・監督の実態と事後対応によって大きく異なります。相応の選定・契約・確認を尽くしたうえでなお委託先が想定し難い犯罪的逸脱に及んだ場合には、委託元の責任は限定的に評価される余地があります。他方、消去・破砕を委託先に一任し、完了の確認を怠っていたような場合には、監督義務違反として重く評価され得ます。

委託前後で「これだけはやっておくべき対策」

一般企業が本件のような作業を委託する場合、「廃棄証明書」をもらうだけで安心してしまうケースは多そうです。同様のトラブルを防ぐために、実務上「これだけはやっておくべき対策」を、委託前・委託後の段階ごとに教えてください。

証明書を受領しただけで安心するのは危険です。2019年に神奈川県庁で発生した事案 ⁷ でも、リース契約で返却されたHDが、廃棄処理業者の従業員によって持ち出され、ネットオークションで転売されました。この事案では、消去・破壊完了の証跡確認、媒体ごとの個体管理、実際の廃棄工程の把握が不十分であったことが問題視されました。

新規業者へ委託する場合と、既存業者へ委託する場合にわけ、段階ごとに推奨できる施策を解説します。

新規業者へ委託する場合

新規業者に委託する場合は、委託先任せにする範囲をできる限り小さくしましょう。選定・契約の段階で確認できる仕組みを作っておくことが重要です。

委託後は、履行の確認・継続的な管理が重要です。証明書の有無だけではなく、実際にどの媒体がどの方法で処理されたかを確認しましょう。

既存業者へ委託する場合

既存業者についても、過去の取引実績だけで安心せず、現在の契約と運用が実効的に機能しているかを棚卸しします。

要配慮個人情報の漏えいの深刻度と慰謝料の考え方

もし漏えいした情報が「病歴やカルテなどの医療データ」であった場合、法的観点も踏まえてどれほど深刻な事態といえるでしょうか。また、一般的な住所・氏名の漏えいと比べて、慰謝料の金額にも影響はあるのでしょうか。

要配慮個人情報の扱い

病歴・診療情報・検査結果は、個人情報保護法上の要配慮個人情報にあたります（同法2条3項）。不当な差別・偏見につながり得るため、取得に原則として本人の同意を要するなど、取扱いがより厳格に定められています。これらの漏えい時は、前述のとおり件数を問わず委員会への報告と本人への通知が義務づけられます（同法施行規則7条1号）。

本件は「病名・検査結果・アレルギー情報」等を含むと公表されており、この類型に該当します。医療情報は、いったん拡散すると回復が困難であり、医療従事者に守秘義務（刑法134条）が課される領域の情報であることも踏まえると、秘匿性の高い情報です。プライバシー侵害としての違法性は高く評価されやすいといえます。

慰謝料への影響

一般に、氏名・住所・連絡先など基本的な情報の漏えいにとどまり、二次被害もない場合の慰謝料は、現時点の裁判例では1人あたり数千円程度にとどまる傾向があります。おおむね3,000〜5,000円ですが、慰謝料1万円および弁護士費用5,000円を認容した例 ⁸ もあります。

これに対し、病歴等のセンシティブな情報が含まれる場合は、秘匿性の高さから慰謝料が高額化する方向に働き、1人あたり1万円以上を認めた例もあります。実際に二次被害（迷惑メール等）が生じたエステ会員情報の漏えい事案では、1人あたり3万5,000円（1名は2万2,000円）を認めた裁判例 ⁹ があり、個人情報漏えいの裁判例の中では比較的高額な部類に位置付けられます。病歴・カルテは秘匿性が高いため、情報の具体的内容、拡散範囲、二次被害の有無等によっては、これを上回る評価の余地もあります。

本件については、公表情報を前提とする限り、不正利用や二次被害が確認されていないこと、媒体の回収・本人への個別連絡・再発防止策が行われていることは、慰謝料を抑える方向に働き得ます。

留意点として、1人あたりの額が小さくても、対象者が多数（公表ベースで最大数十万人規模）に及ぶため、集団的な請求となれば賠償の総額は大きくなり得ます。加えて、慰謝料だけでなく、調査・本人通知・問い合わせ対応等の費用や信用の毀損といった負担も生じます。ただし、具体的な金額は最終的に個別事案ごとに裁判所が総合考慮して判断します。確定的に述べることはできません。

委託先が負う責任と求償手順

万が一このような事態が起きてしまった場合、委託元は委託先に対して、具体的にどのような手順で損害賠償などの責任を求めていくことになりますか。

法的根拠

委託元が委託先に対して責任を追及する法的な根拠としては、委託契約上の善管注意義務（民法644条）や、データ消去義務の違反を理由とする債務不履行責任（民法415条）が考えられます。あわせて、不法行為責任（民法709条）を問う余地もあり、委託先従業員による不正については、委託先の使用者責任（民法715条）も問題となります。

また、委託元が患者・本人に対して賠償を行った場合には、その負担した分を、責任の割合に応じて委託先に求償していくことになります。

具体的な手順（民事）

実際の手順としては、おおむね次のような順序をたどることになると考えられます。

はじめに、事実調査と証拠の保全に着手し、契約書・覚書・発注書・証明書や、やり取りの記録を確保したうえで、流出の範囲・原因・経路を特定します（必要に応じてフォレンジック調査も行います）。

次に、契約内容を精査し、消去・破壊の基準、再委託の可否、報告義務、損害賠償や責任限定に関する条項を確認します。

そのうえで、自社の対応費用（調査・本人通知・問い合わせ対応・再発防止）や、本人への賠償・見舞金、信用の毀損といった損害を算定し、内容証明郵便等によって事実関係と請求内容を明示して催告します。協議が調わない場合には、交渉から裁判外紛争解決手続、さらには訴訟へと移行していくことになります。

具体的な手順（刑事・行政）

これらの民事上の請求と並行して、刑事・行政の面からの対応も検討されます。本件では、委託先が廃棄物処理法違反で刑事告発済みと報じられており、転売行為については、事実関係によって窃盗・横領等も問題となり得ます（神奈川県庁の事案では、元従業員に有罪判決が出ています）。公的な主体の場合には、指名停止等の措置がとられた例もあります。

もっとも、実際の回収にあたっては留意すべき点もあります。契約に責任限定（賠償の上限）の条項が置かれていると、回収できる額が制限されることがあります。また、委託先の資力によっては、賠償が認められても現実の回収が困難となる場合もあるでしょう。ただし、故意または重過失による不正な持出し・転売等が問題となる場面では、責任限定条項の適用が制限されるかもしれません。

さらに、本件のように委託先からさらに転売先・再転売先へと多段階に流通している場合には、関与者ごとに責任の所在と回収可能性を見極める必要があります。リース契約等が介在するときは、契約関係に沿った請求経路を検討することも求められます。

---