戻る

主文
１原判決を取り消す。
２被控訴人らは，別紙控訴人目録①及び②の各控訴人ら（ただ
し，同目録①の控訴人番号１１３及び１１４の各控訴人らを除
く。）に対し，連帯して，それぞれ３３００円及びこれらに対
する平成２６年７月７日から各支払済みまで年５分の割合によ
る金員を支払え。
３控訴人らのその余の請求をいずれも棄却する。
４訴訟費用は，第１，２審を通じて，別紙控訴人目録①及び②
の各控訴人ら（ただし，同目録①の控訴人番号１１３及び１１
４の各控訴人らを除く。）と被控訴人らとの間においては，こ
れを２０分し，その１９を同各控訴人らの負担とし，その余を
被控訴人らの負担とし，別紙控訴人目録①の控訴人番号１１３
及び１１４の各控訴人らと被控訴人らとの間においては，全部
同各控訴人らの負担とする。
５この判決は，第２項に限り，仮に執行することができる。
事実及び理由
第１控訴の趣旨
１原判決を取り消す。
２被控訴人らは，別紙控訴人目録①及び②記載の控訴人らに対し，連帯し
て，それぞれ同目録の「請求額」欄記載の金員及びこれに対する平成２６
年７月７日から支払済みまで年５分の割合による金員を支払え。
第２事案の概要
１本件は，控訴人らが，通信教育事業等を営む被控訴人ベネッセに個人情
報を提供していたところ，被控訴人ベネッセからその管理を委託されてい
た被控訴人シンフォームが更に外部業者に再委託をし，そこから更に業務
委託を受けた先の会社の従業員において，私物スマートフォンを用いて当
該個人情報を不正に取得し，それらを第三者に売却して外部に漏えいさせ
たことにつき，①被控訴人らには控訴人らの個人情報の管理に係る注意義
務違反があった，②被控訴人シンフォームは前記従業員の使用者であり，
前記従業員の行為につき使用者責任を負う，③被控訴人ベネッセは被控訴
人シンフォームの使用者であり，被控訴人シンフォームの注意義務違反に
つき使用者責任を負うなどと主張して，被控訴人らに対し，プライバシー
の侵害による共同不法行為又は使用者責任等に基づき，連帯して，控訴人
らが被った精神的苦痛に対する慰謝料等の損害賠償金（上記漏えいの当時
成年であった控訴人らにつき各５万円，未成年であった控訴人らにつき各
１０万円）及びこれに対する不法行為の後の日である平成２６年７月７日
から支払済みまで民法所定の年５分の割合による遅延損害金の支払を求め
る事案である。
２原審は，前記従業員が控訴人らの個人情報を漏えいした当時，被控訴人
シンフォームには，個人情報の不正な漏えい行為を防止するためにスマー
トフォンを用いた書き出し制御措置を講ずべき注意義務に違反した過失が
あり，被控訴人ベネッセには，被控訴人シンフォームに対する適切な監督
をすべき注意義務に違反した過失があると認められるから，被控訴人らに
は前記個人情報の漏えいにつき共同不法行為が成立するが，控訴人らには
慰謝料請求権を認め得るほどの精神的苦痛が生じたと認めることはできな
いとして，控訴人らの請求をいずれも棄却した。これに対し，控訴人らが
控訴をし，前記第１のとおりの判決を求めた。
３前提事実，争点及びこれに関する当事者の主張は，以下のとおり原判決
を補正し，次項のとおり当審における控訴人らの補充主張を，次々項のと
おり当審における被控訴人らの補充主張を加えるほかは，原判決「事実及
び理由」欄の「第３前提事実」及び「第４争点及びこれに関する当事
者の主張」に記載のとおりであるから，これを引用する。ただし，「原告」
を「控訴人」に，「被告ベネッセ」を「被控訴人ベネッセ」，「被告シン
フォーム」を「被控訴人シンフォーム」にそれぞれ読み替える（以下同
じ。）。
原判決３頁４行目末尾の次に，改行して以下のとおり加える。
「被控訴人らは，いずれも株式会社ベネッセホールディングス（以下
「ベネッセホールディングス」という。）の子会社である。」
原判決３頁１２行目の「委託した」を「委託する旨の業務委託契約を
被控訴人シンフォームとの間で締結した。そして，被控訴人シンフォー
ムにおいては，前記システムに関する開発，運用及び保守の業務は，そ
の顧客分析課が主な所管部署とされた。」に改める。
原判決３頁１３行目の「更に」から１４行目の末尾までを「外部業者
に再委託していた。」に改める。
原判決６頁２行目末尾の次に，改行して以下のとおり加える。
前記顧客情報は，全てサーバコンピュータに記録して保管されてお
り，本件システムの構築作業中の平成２５年１月頃から，その一部機
能の試行を開始するため，顧客情報が連携システムから本件データベ
ースに入り始めた。当初，本件システムは平成２６年４月頃に本格的
な運用を開始することが予定されていたが，同時期になってもシステ
ムの不具合が続発していたため，後記の本件漏えいが発覚した同年６
月頃にも本格的運用には至っていなかった。（甲６３，６６，７３）」
原判決６頁３行目の「本件個人情報」の前に「ａの業務従事状況及び」
を加える。
原判決６頁４行目の「被告シンフォーム」から５行目の「は，」まで
を以下のとおり改める。
「被控訴人シンフォームは，本件システムの運用及び保守管理に関して
外部業者に再委託をしており，ａは，そのような再委託先から更に順
次委託を受けて被控訴人シンフォームからみて３次委託先となる会社
（以下「本件委託先会社」という。）の従業員であった。ａは，シス
テムエンジニアとしての経験を有しており，」
原判決６頁１２行目の「６月頃」の次に「（以下，この頃の時期を指
して「本件当時」ということがある。）」を加える。
原判決７頁４行目の末尾の次に，改行して以下のとおり加える。
「本件漏えいの事実が発覚したことを受けて，警視庁生活経済課に対す
る取材に基づき，ａが不正に取得した個人情報は，教育関連会社等の約
５００社に流出したという報道がされた。（甲４９，５０）」
原判決７頁５行目の「乙１」を「乙２」に改める。
原判決９頁８行目の「業務用」から１８行目の末尾までを以下のとお
り改める。
「被控訴人らは，本件当時，情報漏えいを防止するため，業務用パソコ
ンに株式会社日立ソリューションズ（旧商号・日立ソフトウェアエンジ
ニアリング株式会社）の製品であるセキュリティソフトウェア「秘文Ｖ
ｅｒ．９．０」（以下「本件セキュリティソフト」という。）を搭載さ
せていた。本件セキュリティソフトは，本件当時，全てのデバイスにつ
いて，パソコンからデバイスへのデータの書き出し及びデバイスからパ
ソコンへのデータの読込みを制御するという接続制御の機能を有してい
たが，被控訴人シンフォームにおいては，本件セキュリティソフトにＭ
ＴＰによる通信について接続を制御する設定を施していなかった。（甲
１，１９の１ないし３，６９ないし７１，乙２）」
原判決１１頁１１行目の末尾の次に，改行して以下のとおり加える。
「経済産業大臣の勧告について
経済産業大臣は，平成２６年９月２６日，被控訴人ベネッセに対
し，被控訴人ベネッセは，①その保有する個人情報の利用・管理に
責任を持つ部門を設置せず，その安全管理のために必要かつ適切な
措置を講ずることを怠っており，個人情報の保護に関する法律（平
成２７年法律第６５号による改正前のもの。以下「個人情報保護法」
という。）２０条に違反し，②顧客情報のシステム開発・運用に関
する委託先である被控訴人シンフォームに対して行う定期的な監査
において，アラートシステムの対象範囲を監査の対象としていなか
ったなど，委託先に対する必要かつ適切な監督を怠っており，個人
情報保護法２２条に違反するとして，個人情報保護法３４条１項に
基づき，安全管理措置及び委託先に対する監督の徹底を勧告した。
（甲１３の１及び２）
６ａの刑事事件
ａは，平成２６年７月１７日，警視庁により不正競争防止法違反の
被疑事実に基づき逮捕され，その後，本件漏えいに係る行為の一部に
ついて，被控訴人ベネッセの営業秘密である顧客情報の不正領得及び
その開示行為につき不正競争防止法違反の罪で起訴された。東京地方
裁判所立川支部は，平成２８年３月２９日，ａについて不正競争防止
法違反の犯罪の成立を認め，ａは顧客情報にアクセスする権限を与え
られた者としての地位や専門的知識を悪用し，極めて大量の顧客情報
を領得，開示した悪質な犯行を行ったものであり，その犯行の結果，
被控訴人ベネッセ及び関連会社の事業活動や経営状態に甚大な悪影響
を与える事態となったなどとして，ａを懲役３年６月及び罰金３００
万円に処するとの有罪判決を宣告した。ａはこれを不服として控訴し，
控訴審である東京高等裁判所は，平成２９年３月２１日，ａの量刑不
当の主張を容れ，ａが当該犯行に及んだ背景事情として，被控訴人ら
における顧客情報の管理に不備があるとともに，被害が拡大したこと
に被控訴人らの対応の不備があり，これらの被害者側の落ち度を考慮
すべきであるのに第１審判決の量刑は重きに失するとして，第１審判
決を破棄し，ａを懲役２年６月及び罰金３００万円に処するとの有罪
判決（実刑）を宣告した。（甲３，１０，１９の１及び２，５２）」
原判決１３頁２３行目の「過失が」から２４行目「選択的)」までを削
る。
原判決１７頁１２行目から１３行目にかけての「セキュリティソフト
ウェア」及び同行目の「同ソフトウェア」をいずれも「本件セキュリテ
ィソフト」に改める。
４当審における控訴人らの補充主張
本件個人情報の漏えいにつき被控訴人らには予見可能性があったこと
について
本件個人情報の漏えいにつき被控訴人らの予見可能性を認めた原審の
認定判断は相当であり，以下のとおり，被控訴人らの当審における補充
主張についても理由がない。
すなわち，被控訴人らは，本件当時，スマートフォン等の外部機器に
よる情報の不正取得を予見していたからこそ，そのような外部機器に対
するセキュリティ対策を行っていたものである。そして，ＵＳＢメモリ
等のＵＳＢ機器とパソコンとの間の通信方法として知られるＭＳＣ（マ
スストレージクラス〔ＭａｓｓＳｔｏｒａｇｅＣｌａｓｓ〕の略）
とＭＴＰによる通信方法とが異なる規格であることは事実であるが，一
般的なセキュリティソフトウェアにおいては，このような通信方法に着
目した設定がされるわけではなく，制御の対象となるデバイスの種別に
応じて設定方法が提案されている。このことは，本件当時，被控訴人ら
に使用されていた本件セキュリティソフト（秘文）においても同様であ
り，ＭＴＰによる通信方法に対応したスマートフォンを含め，ＭＴＰデ
バイスについては，ウィンドウズ・ポータブル・デバイス（以下「ＷＰ
Ｄ」という。）として書き出し制御の対象とする設定が可能であった。
本件当時，被控訴人らの導入していた本件セキュリティソフトを含め，
市販されていた多くのセキュリティソフトウェアがＷＰＤに対する制御
機能を有しており，ＷＰＤが情報漏えいの危険性のある端末であること
については具体的に認識されていたといえる。実際に，被控訴人シンフ
ォームの担当者は，ａの刑事事件において，捜査機関に対しＷＰＤにつ
いても接続制御機能が有効になっていると考えていた旨述べていたので
あり，被控訴人らが，ＷＰＤによる情報持ち出しの危険性を認識してい
たことは明らかである。そして，ＷＰＤを利用した情報漏えいが予見で
きたのであるから，ＷＰＤの１機種であるＭＴＰ方式のスマートフォン
による情報漏えいについても予見可能性があった。
なお，被控訴人らは，ＭＴＰによる通信方法に対応したスマートフォ
ンによる情報漏えいについては結果回避義務がないなどと主張するが，
本件セキュリティソフトにおいてＷＰＤについての接続制御機能を有効
にする設定をしていなかったのは，クレジットカード情報等を含めた大
量の個人情報を取り扱う業者としてリスク管理ができていなかったとい
うことにすぎず，結果回避義務がなかったなどということはできない。
被控訴人シンフォームの過失責任及び使用者責任が認められること
ア過失責任について
被控訴人シンフォームの過失の有無について，原判決が以下の注意
義務違反を認めなかった点は不当である。
原判決は，私物スマートフォンの持込み禁止について，執務室
（オフィス）につき，持込みを禁止すべき注意義務がないなどとす
る合理的な理由を説明していない。執務室内には内線電話も設置さ
れており，私物のスマートフォンは業務上使用する必要性がなかっ
たのであるから，持込みを制限すべきであったことは明らかである。
また，本件では，アラートシステムが機能していれば情報漏えい
を食い止めることができた。すなわち，ａは，平成２５年７月１７
日から１８日に顧客情報２９万１５９１件を書き出してスマートフ
ォンに保存し，同月１８日に株式会社セフティー（以下「セフティ
ー」という。）にこれを売却している。その後，ａは，同月２９日，
同年８月６日に同様の方法で情報を持ち出し，以後も繰り返してい
るところ，ａがセフティーに売却した個人情報の件数１億７８９７
万８９３３件（甲７６）に比較すると，最初の漏えい件数は全体の
わずか１．６２パーセントであり，その段階でアラートシステムが
機能していれば相当割合の漏えいを食い止めることができた。また，
アラートシステムが機能していることを掲示していれば，情報の持
ち出しをすれば犯人が特定されることで犯行の動機を失わせること
もできた。
被控訴人シンフォームは，執務室を含む施設の主要な入退出口に
は防犯カメラを設置したものの，一番重要な執務室には監視カメラ
を設置していなかった。各人の行為が鮮明に記録される監視カメラ
が設置されていれば，漏えいした情報の出所が判明し，漏えいさせ
たものが特定される可能性が格段に高まるから，犯行を抑止する効
力は大きかったのであり，監視カメラに係る注意義務違反を否定し
た原判決は誤りである。
イ使用者責任について
原判決は，被控訴人シンフォームとａが直接の雇用関係にないこと
から指揮監督関係にあったことを否定したが，誤りである。
使用者責任における指揮監督関係の有無は，実質的な観点から検討
されるべきであるところ，ａは，その刑事事件における被告人質問
（甲６３，６４）において，①作業ごとに所属していたグループにお
いては被控訴人シンフォームの従業員であるリーダーから作業を割り
当てられ，打合せへの出席指示を受け，作業スケジュールはリーダー
が作成し，ＷＢＳと呼ばれる進捗管理表にやるべき作業・担当するメ
ンバーを書き込んでいたこと，②ａが在籍するＡ社では，雇用契約上，
Ａ社の従業員であるＴがａを指揮監督する者とされていたものの，ａ
の入社後１，２か月が経過した頃には，Ｔとａはそれぞれ別のリーダ
ーの下で作業をするようになり，Ｔも最初は毎日被控訴人シンフォー
ム多摩事務所に来所していたが，そのうち来所が週２日程度に減り，
その後は全く来なくなったりしており，例外的に作業の問合せの電話
連絡があった程度であったことを具体的に供述している。
また，被控訴人シンフォームの事業開発本部長兼事業開発部長であ
ったｂは，ａの刑事事件における証人尋問（甲７３）において，被控
訴人シンフォームの従業員とａのような他の委託先の従業員（以下
「パートナー社員」ということがある。）が１対１でミーティングし，
作業工程の確認をし合うことがあることや進捗状況の確認，計画どお
りに作業を終わらせるとの要望を出すことがあったこと，パートナー
社員は被控訴人シンフォームに直接作業報告をしていたことなどを認
めており，具体的な指示や作業に関する監督があったといえる。
さらに，被控訴人ベネッセと被控訴人シンフォーム間の業務委託基
本契約書（甲３８）の６条においては，被控訴人ベネッセの事前の書
面による承諾のない業務の再委託が禁止されており，ａは，本件シス
テム開発に関する事業について，実質的に被控訴人シンフォームの従
業員として勤務していたというべきである。
被控訴人ベネッセの使用者責任が認められること
ア被控訴人シンフォームの使用者としての責任について
原判決は，被控訴人らの関係が業務委託契約に基づくものであると
いう形式を重視して，被控訴人ベネッセの使用者責任を否定したが，
誤りである。
被控訴人らグループ会社は，従来，被控訴人ベネッセが現在行って
いる事業を行う会社が親会社として存在し，被控訴人シンフォームは
その下でシステムを担当する機能的子会社であった。実質的にみれば，
持株会社制に移行する以前は，被控訴人シンフォームは，被控訴人ベ
ネッセのシステム部門がそのまま会社になった機能的子会社という位
置付けにあり，被控訴人ベネッセに従属する関係にあったから，実質
的には被控訴人ベネッセの指揮監督下にあったといえる。実際に，ａ
を含むパートナー社員は，被控訴人ベネッセの担当者から直接指示を
受けていた。また，ａは，被控訴人ベネッセとの進捗会議に案件ごと
に週１回参加していたし，被控訴人ベネッセの管理職を担う者が被控
訴人シンフォームの従業員を兼務して勤務していた。
イａの使用者としての責任について（当審において追加された主張）
被控訴人ベネッセは，自社のサーバにあるシステムを開発するとい
う業務において，ａに対して直接に指揮監督しており，ａの使用者に
も該当する。このことは，被控訴人らが互いに出向者を在籍させ，上
記アで指摘したとおり，被控訴人ベネッセの担当者が，ａを含むパー
トナー社員に対して直接指示をして業務を行わせていたことなどから
明らかである。
違法な権利侵害が認められること
プライバシーの侵害については，正当事由がない限り一般的に違法で
あって，本件においても違法性について別途検討する必要性はない。
控訴人らの個人情報がいずれも漏えいしたこと
ア原判決は，別紙控訴人目録①記載の控訴人番号１１３及び１１４の
控訴人らの個人情報が漏えいしたとは認められないとしたが，同目録
①の控訴人番号１１５ないし１１９の住所の一部として「ｃサマカタ」
との情報が漏えいしており，上記番号１１３及び１１４の控訴人らの
氏のカタカナ表記が漏えいしたものと評価することができるから，同
控訴人らも情報漏えいの被害者として認められるべきである。
イまた，原判決は，別紙控訴人目録②記載の控訴人番号１２の控訴人
の個人情報が漏えいしたとは認められないとしたが，同控訴人は，別
件訴訟で情報漏えいが認められた被保護者がお詫びの品として受領し
た図書券の送付先及び名宛人とされており（甲Ｂ１２の１及び１２の
３），その氏名が被保護者の郵便番号・住所・電話番号と共に情報と
して保管されていたことが明らかである。被保護者の上記情報が漏え
いした以上，保護者である上記控訴人の個人情報も漏えいしたと認め
られるべきである。
控訴人らの損害が発生していること
原判決は，本件漏えいについて控訴人らのプライバシーが侵害された
ことを認めながら損害の発生を否定したが，個人情報の現代的価値や要
保護性を無視し，その利用可能性や流出による実際の不安を軽視する不
当な判断である。
早稲田大学江沢民事件でも，情報漏えいに係る不法行為の成否につき，
情報の適切な管理に関する合理的な期待を裏切るものであるかどうかが
判断基準とされ，個人情報の秘匿の程度，開示による具体的な不利益の
不存在，開示の目的の正当性と必要性などの事情が結論を左右するには
足りないとの判示がされている。
被控訴人ベネッセは，本件システムの開発や運用を，被控訴人ベネッ
セとは契約上も関係性の希薄な者に担当させており，ＵＳＢケーブルで
業務に必要のない私物スマートフォンをパソコンに接続することが常態
化していることを長期にわたり黙認し，本件セキュリティソフトの設定
を誤り，その見直しも行わず放置している間に本件漏えいが行われたも
のである。ａは，セフティーに対して１億７８９７万８９３３件の個人
情報を売却したことが判明しており，他に２社の名簿業者にも個人情報
を売却しているのであって，そこから更に情報が拡散した可能性は否定
できず，捜査当局も拡散した先は５００社を超えるものと判断している。
それらの情報の回収は困難であり，また，拡散した個人情報の悪用の危
険性が高いことは明らかであって，控訴人らの損害を否定した原判決は
明らかに誤っている。
５当審における被控訴人らの補充主張
本件漏えいに関する被控訴人らの予見可能性について
本件漏えいに関して，被控訴人らの予見可能性を肯定するためには，
従来の一般的なスマートフォンのパソコンへの接続方式（通信規格）は
ＭＳＣであって，本件セキュリティソフトの書き出し制御措置はＵＳＢ
による接続方式（通信規格）がＭＳＣであれば機能するが，ＭＴＰであ
れば機能しないものであったこと，本件当時までに販売されるようにな
った一部のスマートフォンはＭＴＰによる通信方法に対応していたこと
を具体的に認識していたことが必要である。
しかるところ，被控訴人シンフォームが本件セキュリティソフトを導
入し書き出し制御措置を設定したのは平成２３年夏であったところ，そ
の時点では，ＭＴＰに初めて標準対応したスマートフォン用ＯＳである
Ａｎｄｒｏｉｄ４．０を搭載したスマートフォンも発売されていなかっ
たのであって，被控訴人シンフォームとしては，書き出し制御措置を講
じることによってスマートフォン一般について書き出し制御できるもの
と考えていた。ＭＴＰによりＭＳＣデバイス制御に抜け道が生ずるとい
う危険性については，本件当時，情報セキュリティの専門家においても
認識されていなかったのであり，被控訴人シンフォームは，本件セキュ
リティソフトの単なるユーザーにすぎず，セキュリティソフト会社から
一部のスマートフォンには対応できない状態になっているなどの注意喚
起を受けることもなかったのであって，そのようなセキュリティソフト
ウェアの穴に気付く契機はなかった。本件当時までにＭＴＰによる通信
方法に対応したスマートフォンへの情報書き出しの危険性について具体
的に指摘した行政機関その他の団体のガイドライン等はなかったのであ
り，被控訴人らの予見可能性の有無については，例えば経済産業分野ガ
イドラインにおいて「しなければならない」とされている事項を充足し
ていたかなどの観点から検討すべきである。ＭＴＰは，もともとデジタ
ルカメラやデジタルビデオカメラ，携帯音楽プレーヤー，ボイスレコー
ダー等をウィンドウズパソコンに簡便に接続するために用いられていた
技術仕様であり，本件当時，ＭＴＰによる通信を行う機器としては，ス
マートフォンは念頭におかれていなかった。前記機器は情報漏えいのリ
スクとしてとらえられていなかったことから，情報漏えいの対策として
ＭＴＰによる通信を制御するという発想も実践もなかったのである。
また，原判決は，①書き出し制御措置は実効性があり，②業務従事者
に対して必要以上に制約が生じない方法であることから，結果回避義務
を認めているが，これは過失をレトロスペクティブ（事後的・後方視的）
に捉え，こうすれば結果が生じなかったのだからこうすれば良かったと
して，結果責任を認めるもので誤りである。過失は，行為当時の一般的
水準に照らして，プロスペクティブ（事前的・前方視的）なものとして
確定されなければならない。
被控訴人シンフォームの過失責任及び使用者責任について
ア原判決が，被控訴人シンフォームの書き出し制御措置に関する注意
義務違反を認めた点は，不当である。本件セキュリティソフトは，そ
もそもＭＴＰにより通信をするデバイスに対する書き出し制御機能を
有しておらず，ＭＴＰによる通信につき読み取りも書き出しも不可と
する接続制御機能しか有していなかった。控訴人らの主張は，あらゆ
る機器へのパソコンへの接続を一律に禁止すべきであるかのようであ
るが，パソコンの使用によって得られる利便性を合理的根拠なく放棄
すべきというに等しい暴論である。
イ使用者責任について
ａの刑事事件における供述内容は，被控訴人シンフォームにおける
仕事の割り振りや日常的な業務指示等の具体的場面について述べるこ
となく，抽象的に，被控訴人シンフォームの従業員であるリーダーが
直接，委託先要員に仕事を割り振り，日常の業務指示をしていたとい
う結論のみを述べるものにすぎない。
ａは，刑事事件において，被控訴人シンフォームから直接指揮命令
を受けていたため，被控訴人シンフォーム以下の契約関係は偽装請負
であり公序良俗違反により無効であるから，ａが営業秘密を管理する
任務を負っておらず無罪であるとの主張をしていたのであり，虚偽供
述への強い動機があるとみなければならない。
被控訴人ベネッセの過失責任及び使用者責任について
ア被控訴人ベネッセには，被控訴人シンフォームに対してＭＴＰによ
る通信方法に対応したスマートフォンへの書き出し制御措置をとるよ
う指示すべき義務はなかった。委託業者と受託業者は，法人として異
なるのであり，受託業者に業務遂行に当たり過失があったとしても，
特段の事情がなければ委託業者に過失があることにはならない。被控
訴人ベネッセが，被控訴人シンフォームに対し，適切に報告を求めて
いたとしても，被控訴人ベネッセが書き出し制御措置の不十分な点に
気付く可能性はなかったから，監督義務違反は認められない。
イシステム開発やシステム保守運用その他委託元に常駐する形態の業
務委託（かかる形態をとらざるを得ないのは，業務の性質上，必然的
である。）について，問題が発生した場合にはすべからく委託元が指
揮監督をしていたなどと判断するのは不当である。被控訴人ベネッセ
と被控訴人シンフォームとの関係は業務委託契約という対等な取引関
係であり，被控訴人ベネッセは，被控訴人シンフォームの使用者とは
いえないし，ａの使用者とされる具体的根拠は存在しない。
違法な権利侵害の有無について
プライバシー侵害の事案にあっては，法益侵害の有無とは別に違法性
の有無の検討が必要である。違法性の有無の判断は，被侵害利益の性質
と侵害行為の態様を相関関係的に考量してされるものであるが，被侵害
利益の要保護性が弱く，また侵害行為の態様について社会的相当性の逸
脱の程度が低いほど，違法性は否定されやすくなる。本件個人情報の内
容や性質は，本来社会生活を送るうえでは当然明らかにされるべき個人
識別などのための単純な情報にとどまり，情報の利用によって初めて個
人の社会関係，取引関係，法律関係等の様々な関係が円滑に行われ得る
ものであって，秘匿されるべき性質のものとはいえず，被侵害利益の要
保護性は低い。被控訴人らの侵害行為の態様として悪質性がほぼ存在し
ないことや事後的に速やかな公表，補償，原因究明及び再発防止策の検
討と実施を含む対応措置をとったことなどを考慮すれば，一般人の感受
性を基準として，被控訴人らの行為が，社会的に容認されないものとし
て違法であるとみる余地はない。
控訴人らの個人情報の漏えいの有無について
ア別紙控訴人目録①記載の控訴人番号１１３，１１４の控訴人らにつ
いて，「ｃ」が上記控訴人らに関する情報であると特定することは困
難である。そもそも，上記番号１１５ないし１１８の控訴人らの住所
の内容として「ｃ」との情報が含まれてはいなかったし，同１１９の
控訴人の住所の内容に「ｃサマカタ」が含まれていたとしても，その
地域にｃという姓を有する個人が居住していることは住宅地図によっ
て広く公開された情報にすぎない。
イ別紙控訴人目録②記載の控訴人番号１２の控訴人について，控訴人
ら指摘の送付書（甲Ｂ１２の１及び１２の３）に同控訴人の氏名が記
載されていたとしても，同送付書には本件漏えいが判明した後に登録
された情報が宛名として記載された可能性があり，控訴人らの主張に
は理由がない。
控訴人らの損害の発生の有無について
控訴人らが本件漏えいによる損害として主張するのは，抽象的な不安
や不快感にすぎず，これによって平穏な生活を送る利益が害されるとは
一般に考えられない軽微なものである。本件漏えいに係る行為の前後で
控訴人らのおかれた具体的な立場や状況には変化がなく，損害は発生し
ていない。秘匿性の高くない個人情報の流出に対して，具体的損害がな
いにもかかわらず損害の発生を認めて安易に損害賠償を認めることは，
不法行為制度の目的からも正当化されるものではない。
本件漏えいによって，何らかの本件個人情報を取得した漏えい先が５
００件を超えるという事実については客観的根拠がなく，控訴人らの個
人情報が直接の売却先を超えて拡散した事実は何ら認められない。
第３当裁判所の判断
当裁判所は，本件漏えいについて，被控訴人らには控訴人らの個人情報
の管理に係る注意義務違反があり，かつ，個人情報が漏えいした控訴人ら
１人につき各３３００円の損害賠償請求（３０００円の慰謝料及び３００
円の弁護士費用相当額）を認めるのが相当であると判断する。その理由は，
以下のとおりである。
１認定事実（前記前提事実に加え，掲記の証拠（ただし，いずれも以下の
認定に反する部分は除く。）及び弁論の全趣旨によれば，以下の事実が認
められる。
ａの勤務状況と本件漏えい行為について
アａは，システムエンジニアであり，本件システム構築等の業務につ
いて被控訴人シンフォームから再委託を受けた会社から更に再々委託
を受けた会社の従業員であった。ａは，平成２４年４月から，被控訴
人シンフォーム多摩事務所の執務室において稼働を開始し，顧客分析
課の開発チームのグループに属して作業に従事していた。
被控訴人シンフォームでは，事業開発本部の下に事業開発部がおか
れ，事業開発部の中に顧客分析課がおかれており，顧客分析課が本件
システム構築等の業務を所管していた。顧客分析課には，平成２６年
６月当時，３９名が所属しており，そのうち被控訴人シンフォームの
従業員は１１名であり，その余の２８名は，ａを含む他の委託先の従
業員であり，パートナーないしパートナー社員などと呼ばれていた。
顧客分析課の中には複数のチームがあり，各チームの中には個別案
件を効率的に進めるために少人数で構成された複数のグループがあり，
各グループには，被控訴人シンフォームの社員であるリーダーが置か
れていた。そして，各グループでは少なくとも毎週１回は進捗会議が
開かれ，同会議にはグループメンバー全員が参加して作業状況や作業
予定等についての打合せがされていた。
（以上につき，甲１９の１ないし３，甲６３，６４，６６，７３，８
８の１）
イａは，被控訴人シンフォームの業務に従事する前に，被控訴人シン
フォームから，業務上知り得た個人情報及び機密情報を開示・漏えい
しないことを誓約する内容の「個人情報の取扱いに関する同意書」を
提出し，また，被控訴人シンフォームが行う情報セキュリティ研修及
びその内容を踏まえたテストを受け，その後も年１回実施される情報
セキュリティ研修を受けていた。（１９の
１ないし３，６３，８８の１）
ウａは，平成２５年６月頃，経済的に困窮した状況であったことから，
被控訴人ベネッセの顧客情報を名簿業者に売却して金員を得ることを
思いついたが，業務上用いていたパソコンには，ＵＳＢメモリ等の外
部記録媒体を接続してもパソコンに認識されず，顧客情報を持ち出せ
ない措置が講じられていたことから，そのようなことはできないと諦
めていた。ところが，平成２５年７月頃，本件スマートフォンを充電
するために市販のＵＳＢケーブルを用いて業務用パソコンのＵＳＢポ
ートに接続し充電していたところ，パソコンにスマートフォンが外部
記録媒体として認識され，パソコンの画面にスマートフォン内のフォ
ルダが表示されたことから，試しにパソコンからファイルを転送して
みたところ，スマートフォンに保存することができた。（甲６３，８
８の１及び２）
エａは，平成２５年７月頃から平成２６年６月頃までの間，被控訴人
シンフォーム多摩事務所において，被控訴人ベネッセの顧客情報を業
務用パソコンから本件スマートフォンに転送し，その内蔵メモリに保
存する等の方法により個人情報を不正に取得した。
本件スマートフォンは，平成２４年秋冬期に発売された「ａｕＨ
ＴＣ社製ＨＴＬ２１」という機種であり，ＯＳはＡｎｄｒｏｉｄ４．
１であった。前記スマートフォンには，データ通信方法としてＭＴＰ
が初期設定されており，前記転送はＭＴＰを用いて行われたものであ
った。
甲１１の１及び２，甲１２の１及
び２，６３，６４，８８の１及び２）
ＭＳＣとＭＴＰについて
アＭＳＣとＭＴＰは，いずれもパソコンとこれに接続された各種デバ
イスとの間の情報通信方式（ファイル転送プロトコル）である。
ＭＳＣは，パソコンとＵＳＢメモリやメモリカード等のデバイスで
ある外部記憶装置・媒体との間の情報通信方式として用いられている
ものであり，ＭＴＰは，ＷｉｎｄｏｗｓをＯＳとするパソコンと携帯
機器との間で音楽・動画等のマルチメディア・データを簡便に共有・
連携できるようにするためにマイクロソフト社が開発した規格であり，
デジタルカメラの画像転送プロトコル（ＰＴＰ）をベースに，音楽・
動画ファイルなどの転送を可能にした技術仕様である。
ＭＳＣでもＭＴＰでも，パソコンにスマートフォンなどのデバイス
をＵＳＢケーブルで接続してデータの転送をすることが可能である点
で違いはないが，ファイルシステムの管理等について，ＭＳＣではパ
ソコン側のＯＳで行われ，接続されたデバイスはＵＳＢに接続された
外部記憶装置（ＵＳＢメモリや外付けＨＤＤなど）と同じく認識され
るのに対し，ＭＴＰではデバイス側で行われ，接続されたデバイスは
ＷＰＤなどとして認識される。
（以上につき，甲１５，１６，９８の１ないし４，乙３３，１０１）
イスマートフォンの主なＯＳには「ｉＯＳ」及び「Ａｎｄｒｏｉｄ」
がある。ＭＴＰによる通信方法は，前記アの開発経緯から，従来は音
楽・映像プレーヤーやデジタルカメラ等に利用されており，スマート
フォンについては，「ｉＯＳ」はＭＴＰによる通信方法に対応してい
ないが，「Ａｎｄｒｏｉｄ」については，平成２３年１０月１８日に
発売されたＡｎｄｒｏｉｄ４．０以降のバージョンがＭＴＰによる通
信方法に対応するようになった。
そして，株式会社ＮＴＴドコモ，ＫＤＤＩ株式会社及びソフトバン
クグループ株式会社が平成２４年夏に発売したスマートフォンには，
ＯＳをＡｎｄｒｏｉｄ４．０とするものが多数あり，また，電気通信
事業者各社は，Ａｎｄｒｏｉｄ４．０より前のバージョンのスマート
フォンについて，その頃以降，ＯＳのバージョンアップを提供した。
なお，同年８月頃に発売されたサムスン製の「ＧＡＬＡＸＹＳⅡ
ＷＩＭＡＸＩＳ１１ＳＣ」の取扱説明書には，メディア転送モード
（ＭＴＰ）でＵＳＢケーブルを用いてパソコンと当該スマートフォン
を接続すると，パソコンに当該スマートフォンがポータブルデバイス
として認識され，当該スマートフォンとパソコンとの間でデータのや
りとりができることが明記されている。
（以上につき，甲１６，５１の１ないし３，１０５の１ないし６，１
１５，乙３３）
ウＭＴＰによる通信方法に対応したスマートフォンの発売及びその普
及等について，本件当時までにメディア等に取り上げられたものとし
て以下のような記事の存在を指摘することができる。
インターネット上の「モバイルトレンド」という連載において，
平成２３年４月２７日に掲載された「スマートフォンのパソコン接
続は大容量デバイスからＭＴＰへ（第１６４回）」と題する記事の
中で，テクニカルライターの塩田紳二は，最近登場したＡｎｄｒｏ
ｉｄスマートフォンやタブレットでは，パソコンとの接続にＭＴＰ
を使うものが増えてきたことを述べて，従来用いられてきたＭＳＣ
による通信方法との違いについて説明をし，ＭＴＰを用いるメリッ
トやデメリットに言及した上，今後はＭＳＣよりＭＴＰの方が便利
な通信方法としてスマートフォンやタブレットでは，ＭＴＰを採用
するものが増えていきそうであるなどと記載をした。（甲１５）
「日経ＰＣ２１」という雑誌において，平成２４年１２月２４日
発売の２０１３年２月号版に掲載された「スマホはパソコンと連携
して使うのが正しい！３つの方法を完全習得」と題する記事の中
で，スマートフォンとパソコンとの間でファイルをやりとりする３
つの方法のうち，１つがＵＳＢケーブルを用いて接続する方法とし
てＭＴＰ（メディア転送プロトコル）とＭＳＣ（大容量ストレージ）
の２種類を指摘することができるところ，両方の方式が使えるスマ
ートフォンならより簡単なＭＴＰを使うとよいこと，その方法によ
るとスマートフォンとパソコンをケーブル接続するだけでスマート
フォン内の記憶装置がリムーバブルディスクとして表示されること
などが記載されていた。前記記事は，平成２５年６月５日に「日経
トレンディネット」のウェブサイト上にも掲載された。（甲１１６）
被控訴人シンフォームによる安全管理措置及び本件セキュリティソフ
トの設定について
ア被控訴人シンフォームでは，業務での私物パソコンの使用を禁じ，
全従業者個々人に対して，所定の設定がされた業務用パソコンを貸与
した上，ＩＤを付与し，９０日に一度の頻度で変更を要するパスワー
ドを設定させて利用させていた。業務用パソコンは，業務上の必要が
ない限り社外への持ち出しは禁止され，通常は施錠付きチェーンで各
人のデスクに固定されていた。その他，本件当時，被控訴人シンフォ
ームが情報管理のために採用していた安全管理措置については，前記
前提事実４記載のとおりである。（甲１９の１ないし３，乙２）
イ被控訴人らは，従業員に貸与していた業務用パソコンに本件セキュ
リティソフトを搭載しており，平成２３年７月に前記業務用パソコン
のＯＳをＷｉｎｄｏｗｓ７にバージョンアップした際，本件セキュリ
ティソフトも当時の最新版である「秘文Ｖｅｒ．９．０」にバージョ
ンアップした。
本件セキュリティソフトは，前記のとおりバージョンアップされた
際に，「リムーバブル，ＣＤ／ＤＶＤ，外付けＨＤＤ」の他，終端機
器としてイメージングデバイス，ＷＰＤ，ウィンドウズモバイル，ブ
ラックベリー等のデバイス，通信機器として無線ＬＡＮ，モデム，赤
外線等を接続制御することが可能となっていた。前記デバイスのうち
「リムーバブル，ＣＤ／ＤＶＤ，外付けＨＤＤ」については，データ
の書き出し制御のみを設定することが可能であり，リムーバブルメデ
ィアについては，組織で管理していないＵＳＢメモリの個体識別制御
が可能であった。また，読み書きを個別に許可されたＵＳＢメモリに
ついては，書き出されたデータは暗号化された。ＷＰＤを含む前記以
外のデバイスについては，書き出し制御のみの設定をすることはでき
ず，接続制御のみが可能であった。そして，前記デバイスの全てを制
御した場合，パソコンからデータの書き出しをすることは不可能な状
態にすることができた。
（以上につき，甲６９ないし７１）
ウ本件セキュリティソフトの販売代理店は，本件セキュリティソフト
のバージョンアップの際，その設定作業を行ったところ，被控訴人シ
ンフォームとしては，特定のＵＳＢメモリ以外の全ての外部記録媒体
への書き出しを制御するとの方針をとっていたが，実際には，本件セ
キュリティソフトのバージョンアップの際の設定内容は，「リムーバ
ブル，ＣＤ／ＤＶＤ，外付けＨＤＤ」だけが書き出し制御の対象とさ
れ，ＷＰＤを含む他のデバイスについては接続制御機能を有効とする
設定が行われなかった。そして，前記販売代理店は，平成２３年８月，
被控訴人シンフォームに対してパラメーターシートを納品し，そこに
は，本件セキュリティソフトの設定内容として，「デバイス制御設定」
欄の「①デバイス使用可否制御を有効にする，②デバイス個体識別制
御を有効にする，③個体識別ログの出力を有効にする」の３つの項目
のチェック欄にチェックがされておらず，設定されていないことが明
示されていた。
本件セキュリティソフトは，ユーザーにおいても作業手順を踏むこ
とによって，制御可能な個々のデバイスについて，制御の有無の設定
内容を自由に変更できるものであったが，ａによる本件漏えいが発覚
した後の平成２６年７月に，後記エのとおり本件セキュリティソフト
はＷＰＤにつき接続制御機能を有効とする設定に変更されたが，それ
までの約３年間は，本件セキュリティソフトの設定内容の変更はされ
なかった。
（以上につき，甲１２の１及び２，６６，６９ないし７１）
エ被控訴人シンフォームは，本件漏えいが発覚した後の平成２６年７
月２２日に本件セキュリティソフトのバージョンアップを行い，また，
設定の見直しをして，「リムーバブル，ＣＤ／ＤＶＤ，外付けＨＤＤ」
の書き出し制御機能の他に，イメージングデバイス，ＷＰＤ，ウィン
ドウズモバイル，ブラックベリー，無線ＬＡＮ，モデム，赤外線等の
デバイスの接続制御機能を有効にした。（甲１９の１ないし３）
オ商用デバイス制御ソフトの製品がＭＴＰ使用制限機能に対応した時
期は，遅くとも以下のとおりであり，下記各製品の国内市場における
シェアは，平成２６年６月時点で合計すると４３．５パーセントであ
ったことが認められる。（甲１６，６９，９６の１ないし５，９７，
１０１の1及び２，１０３の１，乙３６，１１３の１）
企業名製品名対応時期
日本電気株式会社InfoCage平成１９年７月
株式会社日立ソリューション
ズ
秘文AEInformati
onFortress
平成２１年６月
エムオーテックス株式会社LanScopeCat平成２５年１０
月
日本ファインアート株式会社TotalSecurityFort平成２３年８月
ハミングヘッズ株式会社Evolution/SV平成２３年１２
月
株式会社インテリジェントウ
ェイブ
CWAT平成２４年７月
富士通株式会社SystemwalkerDesk
topKeeper
平成２５年８月
Ｃ＆Ｃアソシエイツ発見伝平成２５年８月
クオリティソフト株式会社QNDAdvance平成２５年９月
米国DeviceLock社DeviceLock平成２６年２月
２本件漏えいに関する被控訴人らの予見可能性について
本件漏えいに係る行為は，ａにおいて，貸与されていた業務用パソコ
ンから本件データベースにアクセスし，本件データベース内に保管され
ていた本件個人情報を抽出して業務用パソコンに保存した上，ＵＳＢケ
ーブルを用いて，ＭＴＰによる通信方法に対応する本件スマートフォン
このようなＭＴＰによる通信方法を用いたデータの転送については，
もともとＭＴＰが，ＷｉｎｄｏｗｓをＯＳとするパソコンと携帯機器と
の間で音楽・動画等のマルチメディア・データを簡便に共有・連携でき
るようにするために開発された規格であり，パソコンとＵＳＢメモリや
メモリカード等のデバイスである外部記憶装置・媒体との間の情報通信
方式として，従来のスマートフォンで多く使用されていたＭＳＣとは異
なる規格であったことに照らすと，被控訴人らの本件漏えいに関する予
見可能性の有無を検討するに当たっては，ＭＳＣに限らず，ＭＴＰによ
る通信方法を含め，これに対応したスマートフォンを用いた個人情報の
データの転送があり得ることについての認識可能性があったといえるか
どうかを検討すべきものと解される。
そこで検討するに，本件当時も，スマートフォンをＵＳＢケーブルで
パソコンと接続しデータのやりとりをすることが可能であることは一般
的に知られており，本件漏えいの以前から，例えば経済産業分野ガイド
ライン（平成２１年１０月９日の告示）が，個人情報保護法の基本理念
を踏まえ，個人情報保護の推進の観点からできるだけ取り組むことが望
ましい事項の例として，「個人データを入力できる端末に付与する機能
の，業務上の必要性に基づく限定（例えば，個人データを入力できる端
末では，ＣＤ－Ｒ，ＵＳＢメモリ等の外部記録媒体を接続できないよう
にする。）」などと記載されており，外部記録媒体をパソコン等に接続
する方法による情報漏えいのリスクが指摘されていたこと（甲７，９，
乙１１）が認められる。
そして，前記認定事実のとおり，ＭＳＣとＭＴＰは，いずれもパソコ
ンとこれに接続された各種デバイスとの間の情報通信方式（ファイル転
送プロトコル）であって，本件漏えいに係るａの行為も，本件スマート
フォンを充電するために市販のＵＳＢケーブルを用いて業務用パソコン
のＵＳＢポートに接続し充電していたところ，上記パソコンにスマート
フォンが外部記録媒体として認識されたため，試しに上記パソコンから
ファイルを転送してみたところ，スマートフォンに保存することができ
たというものであって，格別専門的な知識や道具等を用いてデータの転
送をしたわけではない。本件当時には，既にＭＴＰによる通信方法に対
応したスマートフォンが多数発売され，又はＭＴＰによる通信方法に対
応するようにバージョンアップすることも可能な状況であったこと（前
，情報管理に関する社会一般の認識という観点からみて
も，株式会社日立ソリューションズを含めた相当数の大手業者が，本件
漏えいが発覚する以前からＭＴＰ使用制限機能に対応した商用デバイス
制御ソフトの製品を販売するようになっており被
控訴人シンフォームも，平成２３年７月に本件セキュリティソフトをバ
ージョンアップした際には，特定のＵＳＢメモリ以外の外部記録媒体に
ついても書き出しを禁止するという方針をとっていたものであること
，加えて，スマートフォンは，従来の通話機能のみ
を基本的な機能とする携帯電話とは異なり，小型のパソコンともいえる
多彩な機能を有する機器であって，年々バージョンアップによる機能の
高度化が進むデバイスであることを併せ考慮すれば，被控訴人らは，本
件当時，ＭＳＣに限らず，ＭＴＰによる通信方法を含め，これに対応し
たスマートフォンを用いた個人情報のデータの転送があり得ることにつ
いても，想定することができた，すなわち，本件漏えいに関する被控訴
人らの予見可能性はあったというべきである。
これに対し，被控訴人らは，①実際には，本件漏えいの時点において
ＭＴＰによる通信方法に対応したスマートフォンの国内シェアは小さか
ったし，商用デバイス制御ソフトの製品のうちＭＴＰ使用制限機能に対
応したものもなかった，②本件漏えいによって初めて，スマートフォン
を利用した個人情報の不正取得の危険性が認識されるようになったので
あり，それ以前は専門家にとってもＭＴＰによる通信方法を利用したデ
ータの転送により，ＭＳＣデバイス制御に抜け道が生ずるという危険性
について一般的な認識とはなっていなかった，③本件当時までにＭＴＰ
による通信方法に対応したスマートフォンへの情報書き出しの危険性に
ついて具体的に指摘した行政機関その他の団体のガイドライン等はなか
ったなどと主張する。
前記①について，被控訴人らは，本件当時，ＭＴＰによる通信方法に
対応したスマートフォンの国内シェアが少なかったことに関し，株式会
社インターネットプライバシー研究所が作成した「携帯電話端末におけ
るＭＴＰ普及率についての調査報告」（乙３５）を提出し，そこには，
スマートフォンと従来の携帯電話を併せた台数に対するスマートフォン
の割合は，平成２４年３月末で２２％，平成２５年３月末で３６％，平
成２６年３月末で４８％であり，ＭＴＰによる通信方法に対応したスマ
ートフォン（「Ａｎｄｒｏｉｄ４．０」以降のＯＳを搭載したもの）の
スマートフォン全体における割合は，平成２４年６月時点で０．６９％，
平成２５年６月時点で１９．８８％，平成２６年６月時点で２１．４
１％であったこと，また，平成２６年のスマートフォンの出荷台数が２
７７０万台であったことが記載されている。これによれば，平成２６年
６月頃のＭＴＰによる通信方法に対応したスマートフォンの出荷台数は，
５９３万台余りということになる。
しかし，仮に前記の報告を前提にしたとしても，ＭＴＰによる通信方
法に対応したスマートフォンの国内シェアについては，平成２３年１０
月１８日に発売されたＡｎｄｒｉｄ４．０以降のバージョンがＭＴＰに
よる通信方法に対応するようになり，株式会社ＮＴＴドコモ，ＫＤＤＩ
株式会社及びソフトバンクグループ等の大手業者が平成２４年夏に発売
したスマートフォンには，ＯＳをＡｎｄｒｏｉｄ４．０とするものが多
数出てきていたことや，ＯＳのバージョンアップも提供されていた事実
いて，ＭＴＰによる通信に対応したスマートフォンの普及率が高まり，
相当多数の台数が販売されるようになっていく状況にあったということ
ができるのであるから，前記の報告が，ＭＴＰによる通信方法に対応し
たスマートフォンによるデータの転送について，被控訴人らの予見可能
性を否定するものとはいい難い。
また，前記①のうち商用デバイス制御ソフトの製品のうちＭＴＰ使用
制限機能に対応したものもなかったという点について，被控訴人らは，
株式会社インターネットプライバシー研究所が作成した「端末管理・セ
キュリティ製品におけるＭＳＣ・ＭＴＰ制御機能についての調査報告」
（乙３６）を提出し，そこには，平成２６年６月当時販売されていた主
要な端末管理・セキュリティ製品について，実用的なＭＴＰ制御機能は，
国内市場シェアが高い製品については全く搭載されておらず，実用的な
ＭＴＰ制御機能を搭載していたと認められる製品は，国内市場シェアが
微少な１製品にとどまり，かつ初期設定ではＭＴＰ制御機能は無効とさ
れていた旨の記載がある。しかし，前記報告においては，「実用的」の
意味を「少なくとも読み取り専用の設定（リムーバルメディアからパソ
コンにデータを転送することは可能であるが，パソコンからリムーバブ
ルメディアにデータを転送することは不可能とする設定）ができる場合」
と定義し，「実用的」でない製品についてはＭＴＰ制御機能を搭載して
いないものとして扱っているところ，情報セキュリティの観点からパソ
コンに保存されている情報を管理したり，当該パソコンを通じて情報を
管理したりする場面において，リムーバブルメディアからパソコンにデ
ータを転送すべき場合を想定する必要性に乏しく（甲１５によれば，も
ともとＭＴＰの規格は，音楽ファイル等を転送するために開発された規
格であるとされている。），双方向の転送のいずれもが制限されること
から情報セキュリティ上「実用的」でないとすることは不合理である。
したがって，同報告は，その前提を欠くものといわざるを得ず，採用す
ることはできない。
また，前記②について，被控訴人らは，特定非営利活動法人日本ネッ
トワークセキュリティ協会で理事及び事務局長を務めるとともに一般社
団法人日本スマートフォンセキュリティ協会で理事を務めるｄの意見書
（乙３３）を提出し，そこには，本件漏えいによって初めて，パソコン
のリムーバブルメディアとしてスマートフォンを含む携帯電話が使用さ
れる危険性があることが認識され，セキュリティ業界がその対策をとる
ようになったのであり，大手セキュリティベンダーでさえ予見できてい
なかったものを，ユーザーである被控訴人シンフォームが予見すること
は不可能であったという趣旨の記載がある。さらに，株式会社インター
ネットプライバシー研究所は，被控訴人らから依頼を受けて複数の意見
書等を作成し，平成２９年１月２３日付け意見書（乙２５）及び平成３
０年９月２０日付け意見書（乙９７）の中では，本件当時，ＭＴＰによ
る通信方法に対応したスマートフォンによる情報漏えいのリスクは，情
報セキュリティ専門家の間でもほとんど認識されていなかったと指摘し，
平成３０年９月２０日付け意見書の中では，一般の企業等の業務におい
て，デジタルカメラやボイスレコーダー等の画像・動画・音声の情報を
ＭＴＰによる通信方法によりパソコンに取り込むことは日常的に行われ
ており，ＭＴＰによる通信について読み取りを制御すれば，業務上大き
な支障が生ずることを指摘している。そのほか，被控訴人らは，本件漏
えいの方法による情報漏えいの危険性を予見できなかったことについて
情報セキュリティの専門家等の記事（乙３７，３８）を提出し，また，
当審において新たに工学院大学名誉教授ｅが作成した平成３０年１月１
５日付け意見書（乙９２）を提出し，そこには，本件当時，ＭＴＰによ
る通信方法を利用した情報漏えいの危険性は知られていなかったとの認
識についての記載がある。
しかし，本件当時までに，ＭＴＰによる通信方法に対応したスマート
フォンを利用したデータの転送が可能であることについてメディア等に
前記
のとおり，スマートフォンは小型のパソコンともいえる多彩な機能を有
する機器であって年々バージョンアップによる機能の高度化が進むデバ
イスであり，実際にＭＴＰによる通信方法に対応したスマートフォンの
普及率が高まるとともに，ＭＴＰ使用制限機能に対応した商用デバイス
制御ソフトの製品が，平成１９年以降，平成２５年８月頃までには多数
の販売業者によって販売されている状況下にあったこと，被控訴人らも
特定のＵＳＢメモリ以外の全ての外部記録媒体への書き出しを制御する
との方針の下で本件セキュリティソフトを搭載していたことからすれば，
ＭＴＰによる通信方法に対応したスマートフォンへの情報書き出しの危
険性について具体的に指摘した行政機関等のガイドラインがなかったと
しても，被控訴人らにおいて，新たに登場したＭＴＰによる通信方法に
対応したスマートフォンに対する情報漏えいの危険性があり，その対策
の必要性があることについて認識し得たというべきである。
以上によれば，被控訴人らが主張する前記②の点及び前記③の点につ
いて考慮したとしても，本件漏えいに関する被控訴人らの予見可能性に
ついての前記認定判断を覆すものとはいえない。
３被控訴人シンフォームの過失責任について
執務室への私物スマートフォンの持込み禁止について
本件において，ａが執務を行う部屋に，私物のスマートフォンを持ち
込むことを禁止する措置をとっていれば，本件漏えいを回避できたとい
うことができるが，個人情報等の情報を扱う以外にも通常の業務を行う
ような執務環境において，私物のスマートフォンの持込みを一切禁止す
るというのは，当該執務環境において従事する者にとって，非常に大き
な制約となることは明らかであり，加えて，後記説示するとおり，
同様の効果を上げられる他の代替手段があり得ることに照らすと，被控
訴人シンフォームにおいて，本件当時，執務室内に私物のスマートフォ
ンの持込み禁止措置を講ずべき注意義務があったということはできない。
控訴人らは，①安全対策基準には，「搬出入物」について，「情報シ
ステム等の運用に関連する各室の搬出入物は，必要な物に限定するこ
と。」との記載があり，②内部不正防止ガイドラインには，個人のノー
トパソコンやスマートデバイス等のモバイル機器及び携帯可能なＵＳＢ
メモリ等の外部記録媒体の業務利用及び持込みを制限しなければならな
い旨の指摘があり，③データセキュリティガイドブックには，共有区画
として，オフィスとサーバー室に区別され，サーバー室については，脅
威として情報の不正持ち出しの指摘とともに，管理策として記録媒体の
持込み禁止ルールの記載があることに照らすと，被控訴人シンフォーム
には，本件漏えい当時，執務室内に私物のスマートフォンを持ち込むこ
とを禁止すべき注意義務があったと主張するので，以下検討する。
ア安全対策基準について
確かに，安全対策基準（甲６）には，「搬出入物」について，「情
報システム等の運用に関連する各室の搬出入物は，必要な物に限定す
ること。」と記載されている。
しかし，当該記載から，私物スマートフォンを上記の搬出入物の対
象としているかどうか明らかとはいえない。かえって，安全対策基準
が改正されたのは，平成９年が最後であるところ，同年当時，スマー
トフォンが市場で流通していたことを認めるに足りる証拠はないから，
少なくとも，安全対策基準が具体的にスマートフォンを念頭に置いて
策定されたとは考え難い。
そうすると，安全対策基準から，被控訴人シンフォームについて当
然に私物スマートフォンの執務室内への持込みを禁止すべき注意義務
があるとは認められない。
イ内部不正防止ガイドラインについて
確かに，内部不正防止ガイドライン（甲９）においては，個人のノ
ートパソコンやスマートデバイス等のモバイル機器及び携帯可能なＵ
ＳＢメモリ等の外部記録媒体の業務利用及び持込みを制限しなければ
ならないとの指摘があるが，他方で，対策のポイントとして，持込み
制限では，その場所で扱う重要情報の重要度及び情報システムの設置
場所等を考慮する必要がある旨の記載があり，また，「重要情報の格
納サーバやアクセス管理サーバ等が設置されているサーバルームでは，
個人所有のノートＰＣやタブレット端末，スマートフォン等のモバイ
ル機器の持ち込み，利用を厳しく制限します。」とも記載されている
ことに照らすと，内部不正防止ガイドラインは，いかなる業務が行わ
れている部屋であっても同様の持込み制限を講じる必要があるという
趣旨を示すものではなく，その扱う情報の重要度や情報システムの設
置場所に応じた対策をとるべきとの趣旨を示すものであると解すべき
である。そうすると，重要な情報が直接格納されているサーバの所在
する場所では，外部記録媒体をより直接的にサーバ等の機器に接続す
ることが可能であり，当該情報により直接的にアクセスすることが可
能となることから，そのような可能性を高い確率で制限できる措置を
とる必要があると考えられるが，通常の執務室のように，そのような
直接的なアクセスではなく，別のサーバや機器を経由して，当該情報
に接することができるにすぎない場合には，内部不正防止ガイドライ
ンは，必ずしもそのような厳しい制限をすることまで要求していない
と解するのが相当である。
そうすると，内部不正防止ガイドラインから，当然に私物のスマー
トフォンの執務室内への持込みを禁止すべき注意義務があるとは認め
られない。
ウデータセンターセキュリティガイドブック
確かに，データセンターセキュリティガイドブック（甲２０）では，
共有区画として，オフィスとサーバー室に区別され，サーバー室につ
いては，脅威として情報の不正持ち出しの指摘があり，管理策として
記録媒体の持込み禁止ルールの記載があるが，他方で，オフィスにつ
いて，その脅威として不正侵入の指摘があるのみで，管理策として画
像監視システムと入退管理システムの記載（ＩＣカード・生体認証）
があるにとどまることに照らすと，データセンターセキュリティガイ
ドブックの記載を根拠に，当然にスマートフォンの執務室内への持込
み禁止措置をとるべき注意義務があるとは認められない。
したがって，この点に関する控訴人らの主張は理由がない。
業務用パソコンに対するＵＳＢ接続禁止措置について
確かに，物理的にパソコンのＵＳＢポートを塞ぐことで，業務用パソ
コンを使用する者が自由にパソコンにＵＳＢ接続できないようにすれば，
本件漏えいの方法による情報漏えいを防ぐことができたということがで
きる。
しかし，パソコンのＵＳＢポートは，外部記録媒体の接続以外にも，
マウスを使用する際に用いるなど，業務上必要な装置を接続することが
想定されている。控訴人らは，マウスについて，ＵＳＢポートによる接
続以外の方法での接続が可能であると主張するが，どのようなマウスで
あっても別の方法での接続が可能であると認めるに足りる証拠はなく，
また，仮にその点をおくとしても，で説示するとおり，同様の効
果を上げられる他の代替手段があり得ることに照らすと，ＵＳＢポート
を使用できなくするという措置は，スマートフォンの持込み禁止措置ほ
どではないにしても，業務に従事する者に対する制約として過度なもの
であるといわざるを得ない。
したがって，被控訴人シンフォームにおいて，本件漏えい当時，業務
用パソコンのＵＳＢ接続の禁止措置を講ずべき注意義務があったという
ことはできない。
この点について，控訴人らは，①経済産業分野ガイドラインには，個
人データを入力できる端末では，ＣＤ－Ｒ，ＵＳＢメモリ等の外部記録
媒体を接続できないようにする旨の記載があること，②内部不正防止ガ
イドラインでは，個人の情報機器及び記録媒体を持ち込まれた場合の情
報持ち出しのリスクや，外部記録媒体の業務利用を制限することを対策
のポイントとして掲げていること，また，③マネジメントシステム実施
ガイドラインでは，経済産業分野ガイドラインと同様の記載があること
に照らすと，被控訴人シンフォームには，本件漏えい当時，業務用パソ
コンのＵＳＢ接続の禁止措置を講ずべき注意義務があったと主張するの
で，以下検討する。
ア経済産業分野ガイドラインについて
確かに，経済産業分野ガイドライン（甲７）には，個人データを入
力できる端末では，ＣＤ－Ｒ，ＵＳＢメモリ等の外部記録媒体を接続
できないようにするとの記載があるが，これは，望まれる事項の例の
中で，「個人データを入力できる端末に付与する機能の，業務上の必
要性に基づく限定」についての例示として挙げられているものにすぎ
ないから，この記載をもって，当然に物理的にパソコンのＵＳＢポー
トを塞ぐ措置を講ずる注意義務があるということはできない。
イ内部不正防止ガイドラインについて
確かに，内部不正防止ガイドライン（甲９）では，個人の情報機器
及び記録媒体を持ち込まれた場合の情報持ち出しのリスクや，外部記
録媒体の業務利用を制限することを対策のポイントとして掲げている。
しかし，その中で，具体的な制限の方法についてまで指摘しているわ
けではなく，内部不正防止ガイドラインの記載から，直ちにＵＳＢ接
続禁止措置を講ずべき注意義務があるとはいえない。
ウマネジメントシステム実施ガイドラインについて
確かに，マネジメントシステム実施ガイドライン（甲２２）では，
経済産業分野ガイドラインでの前記アの指摘と同様の指摘がされてい
るが，前記アで説示したとおり，そのことから直ちにＵＳＢポートを
塞ぐ措置を講ずべき義務があるということはできない。
したがって，この点に関する控訴人らの主張は理由がない。
情報の書き出し制御措置について
ア
ュリティソフトを搭載しており，その設定を変更して，ＷＰＤについ
て接続制御する設定にすれば，業務用パソコンからＷＰＤの一機種で
あるＭＴＰによる通信方法に対応したスマートフォンに対するデータ
の書き出しを防止することが可能であり，本件漏えいの方法による情
報漏えいは防止できたことが明らかである。そして，被控訴人シンフ
ォームにおいて，本件当時，ＭＴＰ対応スマートフォンによる個人情
報の漏えいの危険性について認識し得たところ，前記のとお
り，スマートフォンの持込み禁止措置やＵＳＢ接続禁止措置を講ずる
ことは，業務従事者に対して過度の制約となり得ること等から被控訴
人シンフォームに前記各措置を講ずべき注意義務を認めることはでき
ない中で，書き出し制御措置は実効性があり，かつ，業務従事者に対
して必要以上に制約が生じない方法であるから，被控訴人シンフォー
ムにおいて，本件漏えい当時，ＭＴＰ対応スマートフォンを含めて書
き出し制御措置を講ずべき注意義務があったというべきである。
イこれに対し，被控訴人らは，①本件当時，スマートフォンに対する
書き出し制御措置を執るべきと明示していたガイドライン等はなく，
被控訴人シンフォームの情報セキュリティ対策は十分に高度なもので
あったこと，②本件セキュリティソフトはＭＴＰにより通信をするデ
バイスに対しては読み取りも書き出しも不可とする接続制御機能しか
有していなかったのであり，そのような接続制御をすることはパソコ
ンの使用によって得られる利便性を合理的根拠なく放棄するに等しい
などと主張する。
しかし，前記①について，被控訴人シンフォームは，本件個人情報
を含む大量の個人情報を扱っていたところ，本件当時，ＭＴＰによる
通信方法に対応したスマートフォンによる情報漏えいの危険性を予見
することができ，これを回避するための書き出し制御措置をとること
ができたのであるから，ガイドライン等に記載がなかったことや同様
の措置をとっている会社が少なかったとしても，前記認定判断が左右
されるものではない。
また，前記②について，被控訴人シンフォームは，本件漏えいが発
覚した後，本件セキュリティソフトの設定を変更して，ＷＰＤにつき
エのとおりであって，これによって被控訴人シンフォームの業務に特
段の支障を来したという事情もうかがわれないことからすれば，被控
訴人シンフォームにおいて，ＷＰＤを業務用パソコンに接続させるデ
バイスとして用いる業務上の必要性があったとは認められず，本件当
時，本件セキュリティソフトによりＷＰＤに対する接続制御措置をと
ることは可能であったということができる。
ウ被控訴人シンフォームは，平成２３年８月に本件セキュリティソフ
トのバージョンアップがされた際に，本件セキュリティソフトの取扱
説明書の記載や設定作業を行った販売代理店からの説明等によって，
本件セキュリティソフトの設定内容次第であらゆるデバイスの接続制
御措置をとることが可能であることを認識することができ，かつ，自
らも作業手順を踏むことによって設定内容の変更も可能であったにも
かかわらず，平成２６年７月に本件漏えいが発覚するまでの間，その
設定内容の見直しがされた様子もなく，実際に設定内容の変更はされ
ウ）。スマートフォンの高機能
化が早い速度で進み，自らの情報セキュリティ対策の内容をそれに対
応させるために一定程度の時間が必要であることを考慮しても，ＭＴ
Ｐによる通信方法に対応したスマートフォンであるＡｎｄｒｏｉｄ４．
０が平成２３年１０月１８日に発売され，その後ＭＴＰによる通信方
法に対応したスマートフォンの普及率が高まり，これに対応した商用
デバイス制御ソフトの製品数も増加していった状況下において，遅く
ともａが本件個人情報を不正に取得するに至った本件当時（平成２５
年７月頃から平成２６年６月頃）までには，本件セキュリティソフト
の設定を見直し，適切な設定内容に変更する注意義務があったという
べきであり，被控訴人シンフォームにはこれに違反した過失があった
といわざるを得ない。
アラートシステムの設定義務違反について
被控訴人シンフォームは，本件当時，連携システムについてはアラー
トシステムを設置していたことや，経済産業省の勧告（甲１３の２。以
下「本件勧告」という。）でも本件データベースについてアラートシス
テムの対象となっていなかったことが指摘されていることからすると，
アラートシステムの設置が情報セキュリティ対策として一定程度有効で
あった可能性は否定できない。
しかし，情報セキュリティ対策の中には，情報漏えい等の問題を事前
に防ぐための対策から，何らかの問題が発生した場合に，その被害を最
小限に食い止めるための対策まで，種々のものがあるところ，控訴人ら
の主張するアラートシステムは，一定量の情報が一度に移動した際に，
責任ある立場の者にアラート（警告）が送信され，当該状況に対してど
のような対応をすべきかを判断する機会ができるというものであるから，
情報漏えいを未然に防ぐことができるわけではない。また，どの程度の
量の情報が移動した場合にアラートが発せられる設定とするかによって，
それ以下の情報量であればアラートが発せられないことになり，必ずし
も情報漏えいの全てを防ぐことができる対策ともいえない。特に，本件
においては，被控訴人シンフォームが，本件データベースが保存されて
いるサーバと業務用パソコンとの間の通信量をアラートシステムの対象
としていなかったのは，本件システムの開発が終了しておらず，本件シ
ステムに種々の不具合が生じており，サーバと業務用パソコンとの間で
大量のデータ移動があったため，本件システムの運用開始前に前記通信
量をアラートシステムの対象としてしまうことによって本件システムの
開発に支障が生じかねないという理由があったこと（甲６５）からする
と，前記通信量をアラートシステムの対象にするとしても，アラートが
発生する基準値は相当高く設定せざるを得なかったと考えられるのであ
り，結局のところ，アラートシステムによって，有効に本件個人情報の
流出を防止することが可能であったと断ずることはできないというほか
ない。
そうすると，本件において，控訴人らの主張するアラートシステムを
設置したとしても本件漏えいを回避できたとは認められないから，この
点に関する控訴人らの主張は理由がない。
監視カメラ等による監視義務違反について
確かに，情報漏えいの可能性がある執務室内に監視カメラを設置し，
従業員等の執務状況を常時監視していれば，情報漏えいの被害が発生し
たときに，行為者を特定する上で効果があることは否定できない。
しかし，証拠（乙２８）によれば，本件漏えい当時，執務室内の全体
的な状況を確認できる程度ではあるものの，被控訴人シンフォームの執
務室内に監視カメラが設置されていたことが認められるところ，それに
もかかわらず本件漏えいを回避することができなかったものであるから，
現に設置されていたものより高精度な監視カメラを設置したとしても，
それによって本件漏えいを回避できたのかそもそも疑問であるといわざ
るを得ない。また，仮に，それをおくとしても，本件個人情報へのアク
セス権限を有するａが，本件漏えいの際に，監視カメラで確認すること
ができ，かつ，通常の業務ではしないような行動をしていたのでない限
り，現に設置されていたものより高精度な監視カメラの設置によっても
本件漏えいを回避できたとは認められないところ，ａが，本件漏えいの
際に，監視カメラで確認することができ，かつ，通常の業務ではしない
ような行動をしていたことを認めるに足りる証拠はない。
そうすると，本件において，本件漏えいの行われた執務室内に現に設
置されていたものより高精度な監視カメラを設置していたとしても本件
漏えいを回避できたとは認められないから，この点に関する控訴人らの
主張は理由がない。
４被控訴人ベネッセの過失責任について
個人情報の利用・管理に責任を持つ部門設置に関する注意義務違反に
ついて
前記前提事実及び証拠（甲３，７，１３の１及び２）によれば，
経済産業分野ガイドラインにおいて，組織的安全管理措置の項目で，各
項目を実践するために講じることが望まれる手法の例示として，「個人
情報保護管理者（いわゆる，チーフ・プライバシー・オフィサー（ＣＰ
Ｏ））の設置」が挙げられているところ，被控訴人ベネッセは，本件漏
えい以前，同社の法令遵守状況を管理監督する機関としてコンプライア
ンス部を設け，コンプライアンス部長をＣＰＯ（最高個人情報責任者）
とし，その下に，専門部署として個人情報保護課を設置し，個人情報保
護活動を行っていたこと，経済産業省は，被控訴人ベネッセに対し，平
成２６年９月２６日，同年１０月２４日までに個人情報保護法２０条に
基づく安全管理措置及び同法２２条に基づく委託先の監督を徹底して，
具体的な内容を報告するよう勧告し，勧告の原因として，本件漏えいの
対象となったデータベースが，個人情報のダウンロードを監視する情報
システムの対象として設定されていなかったところ，被控訴人ベネッセ
は，被控訴人シンフォームに対して行う定期的な監査において，当該情
報システムの対象範囲を監査の対象としていなかった等，委託先に対す
る必要かつ適切な監視を怠っていたことが同法２２条に違反し，被控訴
人ベネッセの業務の全過程において同被控訴人の保有する個人情報の利
用・管理に責任を持つ部門を設置せず，その安全管理のために必要かつ
適切な措置を講ずることを怠っていたことが同法２０条に違反する旨を
指摘していることが認められる。
確かに，被控訴人ベネッセにおいて，前記以上に適切な情報管理体制
を構築するための組織が本件漏えいの前に存在していれば，情報セキュ
リティに関する情報を一元的に集約し，より組織的な対応ができた可能
性は高まったといえるものの，より組織的な対応ができたからといっ
て，かかる組織が本件漏えいまでにどのような具体的対応をすることが
できたのかは不明といわざるを得ず，本件漏えいを回避できたとは認め
られないから，この点に関する控訴人らの主張は理由がない。
私物スマートフォンの持込みに関する注意義務違反等について
控訴人らは，被控訴人らは形式上別法人であるが，①被控訴人ベネッ
セが，元々被控訴人シンフォームの親会社であったものの株式会社ベネ
ッセホールディングスを持株会社とするグループ企業に再編されたこと
や，②被控訴人シンフォームの役員に被控訴人ベネッセの役員が就任し
ていたことに照らすと，個人情報の管理・運用において，事業としての
一体性が見られ，不法行為における責任主体としての一体性が認められ
ると主張する。
しかし，持株会社内の企業間等のいわゆるグループ企業間においては，
このような状況は往々にして見られることであり，これらの事実が認め
られたからといって直ちに，ある法人の過失が他の法人の過失と同視さ
れるものではない。
したがって，被控訴人シンフォームの過失は被控訴人ベネッセの過失
と同視できるから被控訴人ベネッセの過失が認められるという控訴人ら
の主張は，その前提を欠き，理由がない。
委託先選任及び監督に関する注意義務違反について
ア委託先選任に関する注意義務違反について
被控訴人ベネッセが，被控訴人シンフォームを委託先として選任し
たことについて注意義務違反があったことを基礎付ける事実を認める
に足りる証拠はなく，この点に関する控訴人らの主張は理由がない。
イ監督に関する注意義務違反について
個人情報保護法２２条は，「個人情報取扱事業者は，個人データの
取扱いの全部又は一部を委託する場合は，その取扱いを委託された個
人データの安全管理が図られるよう，委託を受けた者に対する必要か
つ適切な監督を行わなければならない。」と規定し，経済産業分野ガ
イドライン（甲７）には，「必要かつ適切な監督」に関し，委託先を
適切に選定すること，委託先に個人情報保護法２０条に基づく安全管
理措置を遵守させるために必要な契約を締結すること，委託先におけ
る委託された個人データの取り扱い状況を把握することが含まれる旨
の記載があり，ＪＩＳＱ１５００１（甲２２）は，「３．４．３．４
委託先の監督」において，「事業者は，個人情報の取扱いの全部又
は一部を委託する場合は，十分な個人情報の保護水準を満たしている
者を選定しなければならない。このため，事業者は，委託を受ける者
を選定する基準を確立しなければならない。」，「事業者は，個人情
報の取扱いの全部又は一部を委託する場合は，委託する個人情報の安
全管理が図られるよう，委託を受けた者に対する必要，かつ，適切な
監督を行わなければならない。」等と規定し，マネジメントシステム
実施ガイドライン（甲２２）は，「審査の着眼点」として，「委託先
を選定する基準として，該当する業務については少なくとも自社と同
等以上の個人情報保護の水準にあることを客観的に確認できること，
選定基準は具体的で運用可能なものであること」等を例示しているこ
とに照らせば，大量の個人情報の運用管理を被控訴人シンフォームに
委託していた被控訴人ベネッセには，本件漏えい当時，個人情報の管
理について，委託先に対する適切な監督をすべき注意義務があったと
いうことができる。
そして，前記２で説示したとおり，被控訴人ベネッセも被控訴人シ
ンフォームと同様に，本件当時，本件漏えいの方法による個人情報の
漏えいの危険性を予見し得たものであって，被控訴人ベネッセが，被
控訴人シンフォームに対し，本件セキュリティソフトのスマートフォ
ンに対する書き出しないし接続制御機能への対応状況について適切に
報告を求めていれば，ＭＴＰによる通信方法に対応したスマートフォ
ンに対する接続制御機能に対応した設定・変更を指示することができ
たものであり，このような監督を行うことについて，被控訴人ベネッ
セに過度の負担が生ずることもなかったと認められる。
そうすると，被控訴人ベネッセには，本件当時，被控訴人シンフォ
ームにおける個人情報の管理につき，本件セキュリティソフトの設
定・変更について適切に監督をすべき注意義務があったというべきで
あり，それにもかかわらず，被控訴人ベネッセは，本件当時，業務用
パソコンのセキュリティソフトウェアの変更をすべき旨を指摘するこ
となく放置していた（更新すらされていなかった）結果，本件漏えい
を回避できなかったのであるから，前記注意義務に違反したといわざ
るを得ない。なお，本件勧告においても，被控訴人ベネッセが，被控
訴人シンフォームに対して行う定期的な監査の際に本件データベース
を監査の対象としていなかった等，委託先に対する必要かつ適切な監
視を怠っていたことが同法２２条に反すると指摘されていたところで
ある。
以上のとおり，被控訴人ベネッセには，本件当時，被控訴人シンフ
ォームに対する適切な監督をすべき注意義務があり，これを怠った過
失があったというべきである。
５違法な権利侵害の有無について
控訴人らにおいて，本件個人情報につき，自己が開示を欲しない第三
者に対してはみだりに開示されたくないと考えることは自然なことであ
るから，本件個人情報は，控訴人らのプライバシーに係る情報として法
的保護の対象となるものであり，本件漏えいの方法及び被控訴人らの過
失行為の内容等に照らし，本件漏えい行為によって，控訴人らは，違法
にプライバシーを侵害されたというべきである（最高裁判所平成１５年
９月１２日第二小法廷判決・民集５７巻８号９７３頁，最高裁判所平成
２９年１０月２３日第二小法廷判決参照）。
被控訴人らは，本件漏えいに係る行為が，社会通念上許容される限度
を逸脱した違法な行為であるとはいえないと主張するが，被控訴人らの
過失行為の内容に加え，本件個人情報は，ａによって名簿業者に対して
売却された上，当該業者から相当多数の企業に売却されたことがうかが
われ，もはやその回収は困難であることを考慮すると，本件漏えい行為
に係る被控訴人らの過失行為によって生じた本件漏えいが控訴人らの受
忍限度の範囲内にとどまるとはいえない。損害の有無及び程度の検討に
おいて被控訴人らの過失行為の内容やその経緯，事後の対応等を考慮す
る余地はあるとしても，被控訴人らの過失行為が，社会通念上許容され
る限度を超えておらず，違法性を欠くとはいえない。
６被控訴人シンフォームの使用者責任について
ａについて，本件個人情報を不正に取得してこれを名簿業者に売却
したことにつき，控訴人らのプライバシーを侵害する不法行為が成立
することは明らかである。
民法７１５条１項の「ある事業のために他人を使用する者」とは，
いわゆる報償責任を認めたとする同法の趣旨に照らせば，広く使用者
の指揮・監督の下に使用者の経営する事業に従事する者をいうと解さ
れる。
そして，被控訴人シンフォームは，被控訴人ベネッセから委託を受
けた業務について，外部の会社に再委託し，同社から更に再々委託を
受けた会社の従業員であったａが本件漏えいを行ったものであるとこ
ろ，被控訴人シンフォームとａの間には雇用関係はなく（争いがな
い），ａがシステムエンジニアとして被控訴人シンフォームに派遣さ
れ，被控訴人シンフォーム多摩事務所で被控訴人ベネッセの情報シス
テムの開発等の業務に従事していたからといって直ちに，被控訴人シ
ンフォームとａの間に指揮監督関係があったとはいえない。
上記の点に関連して，ａは，自らの刑事事件において，被控訴人シ
ンフォームから直接指揮命令を受けていたため，被控訴人シンフォー
ム以下の契約関係は偽装請負であり公序良俗違反により無効であると
の主張をするとともに，被告人質問（甲６３，６４）において，①所
属していたグループでは被控訴人シンフォームの社員であるリーダー
から作業を割り当てられ，業務上の指示を受けていたこと，②ａが在
籍するＡ社では，雇用契約上，Ａ社の従業員であるＴがａを指揮監督
する者とされていたが，ａの入社後１，２か月が経過した頃にはＴと
ａは別のリーダーの下で作業をするようになり，数か月後にはＴの被
控訴人シンフォーム多摩事務所への来所が週２，３日程度に減り，そ
の後全く来なくなったりしていたなどの供述をしていたものである
（甲１０，５２，６３，６４）。
しかし，上記供述内容を的確に裏付ける客観的証拠は見当たらず，
かえって，被控訴人シンフォームにおいて本件システムの開発等の業
務に関わっていたｂ及びｆは，ａの刑事事件において，再委託先であ
るＡ社の従業員についてはＡ社の従業員である管理者を通じて人員や
作業管理を含めた業務上の指揮監督を行っていたという趣旨の証言を
しており，実際にそのような指揮監督が行われていたことをうかがわ
せるメールのやりとりを裏付ける書証（乙１１４ないし１２４）も提
出されている。ａの供述内容は，上記メールのやりとりについては記
憶が曖昧であるとし，上記のとおり被控訴人シンフォームのリーダー
から直接業務上の指示を受けていた点を強調する一方で，Ａ社の従業
員である管理者に対し，被控訴人シンフォームにおける稼働時間の状
況報告をしていたことや，自らが不在期間中の業務の代替人員の人選
について依頼した可能性があることも供述していることなど一貫しな
い面があり，仮にＴが被控訴人シンフォーム多摩事務所に来所する回
数が徐々に減っていった事実があるとしても，システムエンジニアと
いう職務の性質上，逐一相対して指示を受けながら作業をしなければ
ならないとも考えにくいことなどを考慮すると，ａの上記供述内容の
みから，被控訴人シンフォームとａとの間で実質的な指揮監督関係が
あった事実を認めることは困難であるといわざるを得ない。
控訴人らは，被控訴人シンフォームが，ａに対し，被控訴人シンフ
ォームの顧客分析課長等の許可を受けた従業員を通じて業務用アカウ
ントを教示するとともに，業務用パソコンを貸与し，業務開始時の入
館証発行に当たっては研修を受けさせ，それ以降，毎年研修を実施し
ていたから指揮監督関係があったとも主張するが，これらの事実が認
められたとしても，ａが実際に行っていた業務が，被控訴人シンフォ
ームと受託会社（Ａ社）との間の業務委託契約に基づき受託会社の指
揮監督の下に行われていたということと矛盾するものではなく，前記
事実から直ちに，被控訴人シンフォームがａの行う業務について具体
的に指揮命令をしていたと認めることはできない。
なお，被控訴人シンフォームが，委託先に対し，個人情報保護法上
の委託先の監督（同法２２条）を行うことがあったとしても，ここに
いう監督は，委託先が，委託元との契約に沿って自ら業務を遂行した
ことに対し，委託元が，委託先の当該業務遂行について当該契約の条
項に沿ったものであるか，法令を遵守しているか等をチェックするも
のであり，委託先の日常の業務を個別具体的に指示するものではな
く，使用者責任における指揮監督とは異なるものである。また，被控
訴人ベネッセと被控訴人シンフォーム間の業務委託契約において業務
の再委託が原則として禁止されていたとしても，上記認定判断を左右
するものではない。
したがって，被控訴人シンフォームの使用者責任に関するその余の
争点について判断するまでもなく，この点に関する控訴人らの主張は
理由がない。
７被控訴人ベネッセの使用者責任について
被控訴人シンフォームの使用者としての責任について
被控訴人ベネッセと被控訴人シンフォームとの間の契約は業務委託
契約であり（争いがない），原則として，受託者が委託者の指揮監督
を受ける内容のものではない。被控訴人シンフォームは，従前被控訴
人ベネッセにおいて対応していた個人情報等の情報が増加したことに
伴い，被控訴人ベネッセからその管理業務の委託を受けたという経緯
に照らせば，被控訴人シンフォームにおいて，専門的知見に基づいて
本件システムや本件データベースの運用管理を任されていたと認めら
れ，被控訴人ベネッセから具体的な指揮監督を受けていたとは認めら
れない。また，控訴人らが指揮監督を基礎付ける事実として主張する
ものは，いずれも個人情報保護法上の委託先の監督を基礎付ける事実
とはなり得るが，前記６で説示したとおり，同法上の委託先の監督と
使用者責任における指揮監督とは異なるものであるから，これらの事
実をもって直ちに使用者責任における実質的な指揮監督関係があった
ということにはならない。
控訴人らは，持株会社制に移行する以前は，被控訴人シンフォーム
は，被控訴人ベネッセのシステム部門がそのまま会社になった機能的
子会社という位置付けにあり，被控訴人ベネッセに従属する関係にあ
ったなどと主張するけれども，そのような事情を考慮したとしても，
上記認定判断を左右するものではない。
したがって，この点に関する控訴人らの主張は理由がない。
ａの使用者としての責任について
被控訴人ベネッセとａの間には雇用関係はなく（争いがない），ａ
がシステムエンジニアとして被控訴人シンフォームに派遣され，多摩
事務所で被控訴人ベネッセの情報システムの開発等の業務に従事して
いたからといって直ちに，被控訴人ベネッセとａの間に指揮監督関係
が被控訴人シンフォームに対して実質的な指揮監督をしていたとはい
い難く，また，被控訴人シンフォームがａに対して実質的な指揮監督
をしていたともいえないのであって，それらの関係とは別に，被控訴
人ベネッセにおいて，被控訴人シンフォームとの間の業務委託契約に
基づく業務の範囲を超えて，直接，ａに対して，本件システムの開発
に関わる日常業務につき具体的な指示をするなど，実質的な指揮監督
関係を及ぼしていたことを裏付ける的確な証拠はなく，控訴人らの上
記主張を認めるには足りない。
８被控訴人らの共同不法行為責任について
前記２ないし５で説示したとおり，被控訴人シンフォーム及び被控訴人
ベネッセは，それぞれ，固有の責任として，控訴人らに対する不法行為責
任を負うところ，当該被控訴人らの不法行為は，被控訴人ベネッセが保有
し，その管理を被控訴人シンフォームに委託していた本件個人情報の管理
に関するものであり，客観的に関連することは明らかであるから，被控訴
人らの不法行為は，共同不法行為（民法７１９条１項前段）に当たるとい
うことができる。
９控訴人らの個人情報の漏えいの有無及び範囲について
本件漏えいに係るａの行為によって控訴人らの個人情報が漏えいした
か否か及び漏えいした場合の情報の範囲については，当審における当事
者らの補充主張も踏まえて以下のとおり補正するほか，原判決の「第５
を引用する。
原判決６９頁２２行目の「第１事件原告５４，」を削る。
原判決７２頁５行目の「第１事件原告２２及び」を削る。
原判決７３頁４行目の末尾の次に，改行して以下のとおり加える。
「控訴人らは，別紙控訴人目録①の控訴人番号１１３，１１４の控訴人
らについて，上記番号１１５ないし１１９の控訴人らの住所の一部とし
て「ｃサマカタ」との情報が漏えいしており，上記番号１１３及び１１
４の控訴人らの氏のカタカナ表記が漏えいしたものと評価することがで
きるなどと主張する。
しかし，上記事実によって，必ずしも「ｃ」が控訴人番号１１３，１
１４の控訴人らの姓であると特定することまではできず，名が漏えいし
た事実も認められないのであって，上記控訴人らの個人情報が漏えいし
たと認めることは困難である（なお，「ｃ」という姓の個人が上記住所
地に居住していること自体は住宅地図（株式会社ゼンリン発行）によっ
て既に公開されている（弁論の全趣旨）。）。」
原判決７４頁１４行目の冒頭から７５頁８行目の末尾までを以下のと
おり改める。
「別紙控訴人目録②の控訴人番号１２の控訴人については，被保護者で
ある未成年者の情報が漏えいしたことを前提として，上記控訴人が，情
報漏えいのお詫びの品として受領した図書券の送付先及び名宛人とされ
ていたことが認められる（甲Ｂ１２の１及び１２の３）。そして，少な
くとも上記番号１２の控訴人の氏名に関する情報につき，本件漏えいの
後に登録されたなどの事実をうかがわせる証拠もないことからすると，
上記番号１２の控訴人の氏名については，被保護者である未成年者の情
報と共に漏えいしたものと推認することができるというべきである。」
原判決７５頁１７行目「９，」の次に「１２，」を加える。
原判決７６頁１３行目の「２２，」及び１４行目の「３０ないし３
２，」を削る。
原判決７６頁１４行目の「３７」を「３６」に改め，「３９，」を削
る。
原判決７６頁１５行目の「５９」を「５８」に，「６１ないし」を
「６１，６２，」に改め，「８１，」を削る。
原判決７６頁２０行目の「１９３，」を削る。
原判決７７頁７行目の「５４，」，同２３行目の「２９，」及び「３
８，」を削る。
原判決７８頁２１行目末尾の次に，改行して以下のとおり加える。
上記認定の氏名が漏えいした控訴人らのうち，控訴人目録①の控訴
人番号１，８，１０，１４，２１，６９，９１，９４，１０９，１１
５，１２１，１５２，１５７，１８４，１９４，２００及び控訴人目
録②の控訴人番号９，１３，１４，１７の控訴人らについては，いず
れもその被保護者である未成年の控訴人らの保護者としてその氏名
（旧姓を含む。）が漏えいしたものであるところ，証拠（甲Ｂ１３の
１，Ｂ１４の１ないし３，Ｂ９４の１ないし５，Ｂ１５７の１及び２，
Ｂ１９４の１及び２，Ｂ２００の１及び２）及び弁論の全趣旨によれ
ば，本件漏えいが判明した後，未成年の控訴人らを情報漏えいの対象
者とする「お客様情報漏えいに関するご報告およびお詫びの品のご案
内」と題する通知書がその保護者である控訴人らに宛てて送付されて
いることや，登録者の情報につき，上記通知書には「サービス登録者」
と同時に登録している保護者の情報があったことが認められ，これら
の事実によれば，登録されている保護者の情報は，未成年者の情報と
ともに管理されていたと推認することができるので，保護者である控
訴人らの氏名が漏えいされていれば，氏名のほか，保護者である控訴
人らについても，被保護者である未成年の控訴人と一般的に共通な情
報であるといえる郵便番号，住所，電話番号及びファクシミリ番号に
ついて，保護者である控訴人らの情報として漏えいしたとみるのが相
当である。」
10本件漏えいによる控訴人らの損害の発生の有無及びその額について
本件漏えいによって，控訴人らの氏名，性別，生年月日，郵便番号，
住所，電話番号，ファクシミリ番号，メールアドレス，出産予定日及び
保護者の氏名といった情報が漏えいしたものであるところ，このうち，
氏名及び郵便番号・住所，電話番号，ファクシミリ番号及びメールアド
レスについては，これらの情報を取得した者において，これらを取得さ
れた者に対する連絡が可能となり，また，同情報の使用方法によっては，
取得された者の私生活の平穏等に一定の影響が及ぶおそれがある。また，
控訴人らがこれらの情報を提供した経緯及び情報の内容に照らし，これ
らの情報がみだりに第三者への開示がされることはないとの期待が存在
したものと考えられ，性別，生年月日，出産予定日及び保護者の氏名も
含め，自己の了知しないところで第三者に流出することは欲しないもの
であったということができるから，これらの情報が不正に漏えいした場
合には，自己の了知しないところで自己の個人情報が漏えいしたことに
よる私生活上の不安，不快感及び失望感を生じさせたものとして，精神
的損害が生じたと認めるのが相当である。
もっとも，出産予定日を除くこれらの情報は，人が社会生活を営む上
で一定の範囲の他者に開示することが予定されている個人を識別するた
めの情報又は個人に連絡をするために必要な情報でもあるため，思想・
信条，病歴，信用情報等とは異なり，個人の内面等に関わるような秘匿
されるべき必要性が高い情報とはいえない。また，出産予定日について
は，予定日にすぎないので，秘匿されるべき必要性の程度が相対的に低
い。さらに，控訴人らは，本件漏えいでは，控訴人らについて，子供の
教育に熱心な，若しくは関心がある親又は教育に熱心な，若しくは関心
がある親に育てられた子という属性も流出していると主張するけれども，
ａはイベントで集めた情報などとして本件個人情報を売却しており，情
報の量や質から被控訴人らが保有していた情報として漏えいしたことが
推測されていたとしても，これらの属性も，秘匿性が高いものとはいえ
ず，それによって，精神的損害の程度が高まるものということはできな
い。
また，本件漏えいに係る情報は，控訴人らそれぞれでその範囲を異に
し，その内容も異なるところ，自己の提供した個人を識別するための情
報や個人に連絡するために必要な情報を漏えいされたこと自体には違い
はなく，その範囲や内容によって，自己の了知しないところで自己の個
人情報が漏えいしたことへの不安，不快感等につき，精神的損害の程度
を区別して考えるほどの違いがあるとまではいえない。
なお，控訴人らは，未成年の控訴人らに関しては，不安，不快感がこ
れから一生付きまとうなどして，精神的苦痛は成年者とは異なるとも主
張するが，本件漏えいによる影響の期間は，成年者であるか未成年者で
あるかを問わず，個別の事情によるところが大きい一方，自己の了知し
ないところで自己の個人情報が漏えいしたことへの不安，不快感の程度
は，成年者であるか未成年者であるかは問わず，異なるものとはいえな
いため，成年原告と未成年原告とで精神的損害の程度を格別に扱う理由
までを見いだすのは困難であるので，同主張は採用しない。
そして，本件漏えいにより，教育関連会社等５００社を超える会社に
情報が流出したとの報道がされている上，本件漏えいの発覚経緯が，被
控訴人ベネッセの顧客から，被控訴人ベネッセに対し，被控訴人ベネッ
セと異なる通信教育事業者から被控訴人ベネッセに提供していた氏名を
名宛人とした書面が送付されているとの指摘が多数寄せられ，しかも，
その氏名の中には，被控訴人ベネッセだけに提供していた戸籍上の氏名
と異なるものがあるとの指摘が含まれていることに鑑みると，本件漏え
いに係る情報も同通信教育事業者に流出した可能性があるといえるもの
の，控訴人らもダイレクトメールやセールス電話が控訴人ら全員に生じ
ているとまでは主張しておらず，前記の流出の可能性を超えて，現時点
で，ダイレクトメール等が増えたような気がするという程度以上に財産
的損害その他の実害が控訴人らに生じたことはうかがわれない。
一方，被控訴人シンフォームは，ａから，個人情報等を漏えいしない
旨記載された同意書を取得していたほか，ａに対して，情報セキュリテ
ィ研修等を受講させていた。そして，被控訴人ベネッセの持ち株会社で
ある株式会社ベネッセホールディングスは，本件漏えいの発覚後に直ち
に対応を開始し，情報漏えいの被害拡大を防止する手段を講じ，監督官
庁に対する報告及び指示に基づく調査報告を行い，情報が漏えいしたと
思われる顧客に対し，本件通知書を送付するとともに，顧客の選択に応
じて５００円相当の謝罪品の交付を申し出るなどしている。
以上のとおり，本件に現れた一切の事情を総合考慮すると，個人情報
の漏えいした控訴人らにつき本件漏えいに係る不法行為によって生じた
精神的損害に対する慰謝料として３０００円を認めるのが相当である。
そして，控訴人らが控訴人ら訴訟代理人弁護士に本件訴訟の提起及び
追行を委任したことは当裁判所に顕著であるところ，その弁護士費用と
しては，本件事案の難易，請求額，損害額その他諸般の事情を考慮する
と，控訴人１人当たり３００円の範囲内のものが被控訴人らの不法行為
と相当因果関係にある損害とみるのが相当である。
11小括
以上によれば，被控訴人らは，共同不法行為（民法７１９条１項前段）
に基づき，連帯して，別紙控訴人目録①及び②の各控訴人ら（ただし，同
目録①の控訴人番号１１３及び１１４の各控訴人らを除く。）に対し，同
各控訴人らそれぞれにつき３３００円及びこれに対する不法行為の以後の
日である平成２６年７月７日から支払済みまで民法所定の年５分の割合に
よる遅延損害金の限度で支払義務を負う。
第４結論
以上によれば，控訴人らの請求をいずれも棄却した原判決は相当でない
からこれを変更し，上記の限度で控訴人らの請求を一部認容し，その余の
請求をいずれも棄却することとして，主文のとおり判決する。
東京高等裁判所第２３民事部
裁判長裁判官白石哲
裁判官筒井健夫
裁判官加本牧子

戻る