第１ 本記事の対象と結論の要旨
１ 本記事が扱う場面
本記事は，事業者や自治体が管理していた個人情報が外部に漏えいした場合に，漏えいした本人が慰謝料を請求できるか，認められるとしていくらかを，最高裁平成２９年１０月２３日判決と，裁判所ＨＰ及び判例秘書で確認した裁判例の認容額に沿って説明するものである。
漏えいを起こした事業者の側から見れば，本人から損害賠償を求められたときの見通しの問題でもある。
本記事の記載は，令和８年９月１３日時点で確認できた法令及び裁判例に基づく。
２ 結論の要旨
①氏名，住所及び電話番号のような基本的な情報であっても，プライバシーに係る情報として法的保護の対象となり，漏えいによってプライバシーが侵害されたといえる（最高裁平成２９年１０月２３日判決）。
②同判決は，迷惑行為や財産的損害のような「不快感や不安を超える損害」の主張・立証がないことだけを理由に，請求を棄却することはできないとした。
③本記事で確認した裁判例では，氏名や住所等の基本的な情報が漏えいし，実害が確認されていない事案の認容額は，弁護士費用を含めて１人当たり１０００円から１万５０００円であり，ベネッセ事件では１０００円から４０００円であった。
④エステティックサロンのアンケートの回答のように，氏名や住所だけの場合より秘匿の必要性が高い情報がインターネット上に広く流布した事案では，１人３万５０００円が認められている。
⑤ＤＶの被害者の住所のように生命身体の安全に関わる情報が伝わり，重大な結果が生じた事案では慰謝料１００万円が，ＨＩＶ感染という病歴を病院が採用判断に流用した事案では内定取消しと合わせて慰謝料１５０万円が認められている。
⑥事業者が謝罪し，５００円相当の金券等を送り，再発防止策を講じたことは，額を抑える方向の事情として考慮され，又は損害の一部弁済として差し引かれているが，それだけで請求が否定されるわけではない。
⑦請求の根拠は民法の不法行為（７０９条・７１５条・７１９条）であり，自治体に対しては国家賠償法１条も根拠となる。
不法行為による損害賠償の請求権は，損害及び加害者を知った時から３年で時効にかかる（民法７２４条１号）。
第２ 最高裁平成２９年１０月２３日判決
１ 事案
通信教育等を目的とする会社（ベネッセコーポレーション）が管理していた子の氏名，性別，生年月日，郵便番号，住所及び電話番号並びに保護者の氏名が，遅くとも平成２６年６月下旬頃までに外部に漏えいした。
漏えいは，同社のシステムの開発，運用を行っていた会社の業務委託先の従業員であった者が，同社のデータベースから大量の個人情報を不正に持ち出し，複数の名簿業者に売却したことによるものであった。
保護者が同社に慰謝料を請求したが，原審の大阪高等裁判所は，迷惑行為を受けているとか財産的な損害を被ったなど，「不快感や不安を超える損害を被ったことについての主張，立証がされていない」として，請求を棄却すべきものとした。
２ 判断
最高裁は，漏えいした個人情報は「上告人のプライバシーに係る情報として法的保護の対象となるというべき」であるとし，漏えいによって上告人はプライバシーを侵害されたといえるとした。
その上で，原審が「精神的損害の有無及びその程度等について十分に審理することなく」，不快感等を超える損害の発生についての主張・立証がないことのみから直ちに請求を棄却すべきものとしたことは違法であるとして，原判決を破棄し，事件を大阪高等裁判所に差し戻した。
同判決が参照した最高裁平成１５年９月１２日判決は，大学が講演会の参加申込者の学籍番号，氏名，住所及び電話番号を記載した名簿を無断で警察に提出した事案で，これらの情報は参加申込者のプライバシーに係る情報として法的保護の対象となるとし，無断での開示は不法行為を構成するとしたものである。
３ 判決が決めていないこと
同判決は，慰謝料の額を示しておらず，事業者の過失の有無と精神的損害の有無及びその程度について，さらに審理を尽くさせるために差し戻している。
したがって，同判決からいえるのは，基本的な個人情報の漏えいでも慰謝料の請求が直ちに否定されるわけではないということであり，どの程度の額が認められるかは，下級審の裁判例を見る必要がある。
第３ 裁判例の認容額
１ 認容額の一覧
本記事で確認した裁判例の１人当たりの認容額は，次のとおりである（括弧内は慰謝料と弁護士費用等の内訳）。
①大阪高裁令和元年１１月２０日判決（ベネッセ事件の差戻後控訴審）：１０００円
②京都地裁令和３年１月１９日判決（ベネッセ事件）：２６９０円（慰謝料１０００円，郵便の送料１６９０円）
③東京高裁令和元年６月２７日判決（ベネッセ事件，２件）：２０００円
④東京高裁令和２年３月２５日判決（ベネッセ事件，２件），東京高裁令和３年３月１７日判決（同），東京地裁令和５年２月２７日判決（同）及び東京地裁令和６年３月２５日判決（同）：３３００円（慰謝料３０００円，弁護士費用３００円）
⑤東京高裁令和３年５月２７日判決（ベネッセ事件）：４０００円（慰謝料３０００円，弁護士費用１０００円）
⑥大阪高裁平成１９年６月２１日判決（Ｙａｈｏｏ！ ＢＢ事件の控訴審）：５５００円（慰謝料５０００円と弁護士費用１０００円から，受領済みの５００円を控除）
⑦大阪地裁平成１８年５月１９日判決（同事件の第一審）：６０００円（慰謝料５０００円，弁護士費用１０００円）
⑧東京高裁平成１６年３月２３日判決（大学の講演会名簿の提出，差戻後控訴審）：５０００円（弁護士費用は否定）
⑨東京高裁平成１４年１月１６日判決（同じ名簿の提出についての別の訴訟）：１万円（弁護士費用は否定）
⑩大阪高裁平成１３年１２月２５日判決（宇治市の住民基本台帳データの流出）：１万５０００円（慰謝料１万円，弁護士費用５０００円）
⑪東京地裁平成１９年２月８日判決及び東京高裁平成１９年８月２８日判決（エステティックサロンのアンケート回答の流出）：３万５０００円（慰謝料３万円，弁護士費用５０００円）
⑫京都地裁平成２０年３月２５日判決（市の職員が職務上知った婚姻歴を知人に漏らした事案）：５万円（職員個人の責任）
⑬横浜地裁横須賀支部平成３０年１月１５日判決（市の職員がＤＶ被害者の住所を伝えた事案）：１１０万円（慰謝料１００万円，弁護士費用１０万円）
⑭札幌地裁令和元年９月１７日判決（病院がＨＩＶ感染の医療情報を採用判断に流用した事案）：１６５万円（内定取消しと合わせた慰謝料１５０万円，弁護士費用１５万円）
①から⑦，⑩及び⑪は，事業者や自治体が管理していた大量の個人情報が持ち出され，不正に取得され，又は誰でも閲覧できる状態に置かれて流出した事案である。
⑧，⑨及び⑫から⑭は，情報を管理していた者やその職員が，本人に無断で第三者に開示し，伝え，又は目的外に利用した事案である。
２ ベネッセ事件
(1) 事案と訴訟
ベネッセ事件では，業務委託先の従業員であった者が，約４８５８万人分の個人情報を含む顧客情報を持ち出して名簿業者に売却した（東京地裁令和５年２月２７日判決の認定）。
漏えいの対象となった顧客は各地で訴訟を提起しており，ベネッセコーポレーションと，システムの開発・運用を受託していた会社（シンフォーム）が被告となった。
(2) 差戻後控訴審（１人１０００円）
最高裁平成２９年１０月２３日判決の差戻後の大阪高裁令和元年１１月２０日判決は，慰謝料１０万円の請求に対し，１０００円の支払を命じた。
同判決は，精神的苦痛の有無と慰謝料の額を検討するに当たっては，「流出した個人情報の内容，流出した範囲，実害の有無，個人情報を管理していた者による対応措置の内容等」を総合的に考慮して判断すべきであるとした。
その上で，漏えいした情報の内容と性質，流出した範囲，実害の有無，同社が漏えいの確認された顧客にお詫びの文書を送り，５００円分の金券の送付又は５００円の寄付の方法による補償を実施したこと，請求した保護者の住所，氏名及び電話番号がホームページなどで開示されていたことなどを考慮して，１０００円を相当とした。
(3) 東京高裁の各判決（１人２０００円から４０００円）
東京高裁令和元年６月２７日判決（平成２９年（ネ）第１２９６号）は，ベネッセコーポレーションだけを被告とする事件で，請求を全部棄却した第一審判決を変更し，１人当たり２０００円の支払を命じた。
同判決は，実害が発生したとは認められないこと，漏えいの発覚後直ちに被害の拡大防止措置が講じられたこと，事後的に慰謝の措置が講じられたことなどを総合して，慰謝料を２０００円とした。
同判決は，未成年者の情報であるかどうかは「慰謝料の額を左右するものとはいえない」とも述べている。
同日の東京高裁令和元年６月２７日判決（平成３０年（ネ）第３５９７号）も，請求を全部棄却した第一審判決を変更し，２社に連帯して１人当たり２０００円の支払を命じた。
東京高裁令和２年３月２５日判決（平成３１年（ネ）第１０５８号）は，２社に連帯して，漏えいした原告１人当たり慰謝料３０００円と弁護士費用３００円の合計３３００円の支払を命じた。
同判決は，現時点で「ダイレクトメール等が増えたような気がするという程度以上に財産的損害その他の実害」が生じたことはうかがわれないこと，漏えいの発覚後に被害拡大の防止や監督官庁への報告が行われ，顧客に５００円相当の謝罪品の交付を申し出るなどしていることなどを考慮している。
同日の東京高裁令和２年３月２５日判決（平成３０年（ネ）第３６６０号）も，請求を棄却した第一審判決を取り消して，同じく１人当たり３３００円の支払を命じ，東京高裁令和３年３月１７日判決も，２社に連帯して１人当たり３３００円の支払を命じている。
東京高裁令和３年５月２７日判決は，同様の事情を総合考慮して慰謝料を３０００円とした上で，弁護士費用を１人当たり１０００円とし，２社に連帯して１人当たり４０００円の支払を命じた。
同じ慰謝料３０００円でも，認められる弁護士費用によって，認容額には差が生じている。
(4) 東京地裁の各判決（１人３３００円）
東京地裁令和５年２月２７日判決は，２社の過失による共同不法行為を認め，漏えいした原告１人当たり慰謝料３０００円と弁護士費用３００円の合計３３００円の支払を命じた。
同判決は，慰謝料の額について，「流出した項目の多寡や、流出した情報が正確性を欠くか否かにかかわりなく」１人当たり３０００円を相当としている。
東京地裁令和６年３月２５日判決も，委託先の情報の書き出しを制御する措置についての義務違反と，ベネッセコーポレーションの委託先に対する監督義務違反を認め，同じ理由で慰謝料を１人当たり３０００円とし，合計３３００円の支払を命じたが，同社の親会社に対する請求は，別の法人格であって契約等に関与していないとして棄却している。
(5) 京都地裁令和３年１月１９日判決（慰謝料１０００円と郵便の送料）
京都地裁令和３年１月１９日判決は，大阪高裁令和元年１１月２０日判決と同様の事情を考慮して慰謝料を１０００円とした上で，原告が漏えいした項目を確認するために送った内容証明郵便の送料１２６０円と，５００円相当の金券の案内に対する異議を送った簡易書留の送料４３０円の合計１６９０円も，漏えいがなければ発生しなかった支出であるとして損害に含めた。
同判決は，原告３名のうち２名の請求を棄却している。
(6) 委託元の責任についての判断の違い
東京地裁平成３０年１２月２７日判決（東京高裁令和２年３月２５日判決（平成３１年（ネ）第１０５８号）の第一審）は，私物のスマートフォンを使った持ち出しの方法について予見可能性がなかったとして２社の注意義務違反を否定した上で，シンフォームの使用者責任を認めて１人当たり３３００円の支払を命じ，ベネッセコーポレーションに対する請求は棄却した。
これに対し，控訴審の東京高裁令和２年３月２５日判決は，２社の注意義務違反を認め，２社に連帯して支払を命じている。
同じ漏えいについても，委託元が責任を負うかどうかは，裁判体によって判断が分かれたことになる。
３ Ｙａｈｏｏ！ ＢＢ事件（１人６０００円又は５５００円）
(1) 第一審
大阪地裁平成１８年５月１９日判決は，インターネット接続サービスの会員の氏名，住所，電話番号，メールアドレス等が外部から不正に取得された事案で，サービスを提供していた会社に，外部からの不正アクセスを防止するための相当な措置を講ずべき注意義務を怠った過失があるとして，原告１人当たり慰謝料５０００円と弁護士費用１０００円の合計６０００円の支払を命じた。
同判決は，これらの情報は個人の識別等を行うための基礎的な情報であって，その限りでは秘匿されるべき必要性が高いものではないとしつつ，本人が自己が欲しない他者にはみだりにこれを開示されたくないと考えることは自然なことであるから，プライバシーに係る情報として法的保護の対象となるとした。
その上で，会社が顧客情報の流出を発表し，サービスの全会員に５００円の金券を交付するなどして謝罪し，セキュリティ強化等の対策をとったことなどを考慮して，慰謝料を５０００円とした。
同判決は，共同してサービスを提供していた別の会社に対する請求は棄却している。
(2) 控訴審
控訴審の大阪高裁平成１９年６月２１日判決は，共同してサービスを提供していた別の会社についても，サービスが不可分のものであることなどから民法７１５条・７１９条の責任を認め，２社に各自支払を命じた。
また，同判決は，会社が会員に送った５００円の郵便振替支払通知書について，第一審のように慰謝料を減らす事情とするのではなく，実質的には現金と同視できるものであるから，受領した以上は損害賠償請求権の一部弁済があったとし，慰謝料５０００円と弁護士費用１０００円の合計から５００円を差し引いた５５００円の支払を命じた。
４ 宇治市の住民基本台帳データの流出（１人１万５０００円）
大阪高裁平成１３年１２月２５日判決は，市が乳幼児検診システムの開発を民間業者に委託したところ，再々委託先のアルバイトの従業員が住民基本台帳のデータを不正にコピーして名簿販売業者に販売した事案である。
データが流出し，名簿販売業者がインターネットのホームページ上で購入を勧誘する広告を掲載したことが報道された後，市はデータの回収に努め，記者会見や市政だより等で市民に説明するとともに道義的な意味で謝罪し，再発防止策を講じた。
同判決は，住民らのプライバシーの権利が侵害された程度・結果はそれほど大きいものとは認められないことや，市がデータの回収等に努め，説明を行い，防止策を講じたことを含む一切の事情を考慮して，慰謝料を１人当たり１万円，弁護士費用を１人当たり５０００円とした第一審の判断を維持した。
５ 大学の講演会名簿の提出（１人５０００円又は１万円）
(1) 別の学生らの訴訟（１人１万円）
東京高裁平成１４年１月１６日判決は，最高裁平成１５年９月１２日判決と同じく，大学が中国の国家主席の講演会の参加申込者の名簿を無断で警視庁に提出した事案について，別の学生らが提起した訴訟の控訴審判決である。
同判決は，開示が違法であることが訴訟で認められれば精神的損害のほとんどは回復されると考えられるなどとして，「いわゆる名目的な損害賠償として慰謝料各１万円の支払を命ずることで足りる」とし，弁護士費用の請求は認めなかった。
(2) 最高裁平成１５年９月１２日判決の差戻後控訴審（１人５０００円）
最高裁平成１５年９月１２日判決の差戻後の東京高裁平成１６年３月２３日判決は，慰謝料を１人当たり５０００円とし，弁護士費用の請求は認めなかった。
同判決は，開示自体には講演会の警備等の正当な理由があり，開示された情報も秘匿されるべき必要性が必ずしも高いものではなかったこと，違法であることが訴訟で肯定されれば精神的損害のほとんどは回復されると考えられることに加え，この事件の学生らが参加申込みの時点で講演を妨害する目的をもっていたことを考慮し，別の訴訟の１万円を下回ることもやむを得ないとした。
同判決によれば，別の訴訟の１人１万円の判決は，上告審でも維持されている。
６ エステティックサロンのアンケート回答の流出（１人３万５０００円）
東京地裁平成１９年２月８日判決は，エステティックサロンを経営する会社がウェブサイトで実施したアンケート等の回答として集めた個人情報が，ウェブサイトの制作保守を委託された業者のサーバー移設作業の際に，アクセス制限のないまま公開領域に置かれ，第三者によってインターネット上に流出した事案である。
同判決は，これらの情報は保健医療そのものに該当するものではないが，氏名，住所等の基本的な識別情報のみの場合と比較して，一般人の感受性を基準にしても秘匿されるべき必要性が高いとした。
その上で，初歩的な過誤による流出であること，流出した情報が掲示板に掲載されたり，ファイル交換ソフトによって広範囲に流布したりして，回収が困難な状況にあること，多くの原告に迷惑メールやダイレクトメールが届くなどしていることを考慮し，会社の使用者責任を認めて，慰謝料を１人当たり３万円，弁護士費用を５０００円とした。
迷惑メール等の二次被害の主張立証がなく，会社から既に３０００円を受け取っていた原告１名については，慰謝料を１万７０００円とし，弁護士費用を合わせて２万２０００円とした。
控訴審の東京高裁平成１９年８月２８日判決は，情報の性質や流出の態様と程度に照らしてこの額を是認し，会社の控訴と原告らの附帯控訴をいずれも棄却した。
７ 市の職員が職務上知った情報を漏らした例（５万円）
京都地裁平成２０年３月２５日判決は，区役所の市民窓口課に勤務していた市の臨時的任用職員が，職務の執行中に知った原告の戸籍の記載事項から，原告が離婚後に再婚したことを知り，帰宅後に原告の元妻に電話で告げた事案である。
同判決は，この漏洩行為が原告のプライバシーを侵害することは明らかであるとして，職員個人に慰謝料５万円の支払を命じた。
他方で，元妻との関係の悪化や解雇などによる精神的苦痛や逸失利益については，漏洩行為との因果関係を認めず，市に対する国家賠償法１条１項に基づく請求は，職務を行うについてされたものとはいえないとして棄却した。
８ 高額の慰謝料が認められた例（１１０万円・１６５万円）
(1) ＤＶ被害者の住所（１１０万円）
横浜地裁横須賀支部平成３０年１月１５日判決は，住民基本台帳事務におけるＤＶ等支援措置の対象者となっていた女性の住所を，市の納税課の担当者が，女性の夫を装った者からの電話に応じて伝え，住所を知った元交際相手の加害者によって女性が殺害された事案である。
同判決は，女性の住所が加害者との関係では生命身体の安全にかかわる重要な情報であったことなどから，女性が受けた精神的苦痛は多大であったとして，慰謝料を１００万円，弁護士費用を１０万円とし，女性を相続した夫の請求を一部認容した。
(2) ＨＩＶ感染の医療情報（１６５万円）
札幌地裁令和元年９月１７日判決は，ＨＩＶに感染している原告が，過去に受診したことのある病院の求人に応募して内定を得たところ，病院が診療のために保有していた原告の医療情報を採用の場面で利用し，内定を取り消した事案である。
同判決は，この利用は医療情報の目的外利用として当時の個人情報保護法１６条１項に違反し，本来は診察や治療に携わる者だけが知ることのできた医療情報が採用担当者等にも正当な理由なく広がったとして，プライバシーの侵害による不法行為を認めた。
その上で，内定取消しとこの利用によって生じた精神的苦痛の慰謝料を１５０万円，弁護士費用を１５万円とした。
慰謝料は内定取消しと合わせた額であり，医療情報の利用だけの額を示したものではない。
第４ 金額を左右する事情
１ 情報の内容と秘匿性
ベネッセ事件，Ｙａｈｏｏ！ ＢＢ事件，宇治市の事件及び大学の講演会名簿の事件は，いずれも氏名，住所，電話番号等の基本的な情報についてのものであり，各判決は，これらの情報の秘匿性が高くないことを，額を抑える方向の事情として挙げている。
東京高裁令和元年６月２７日判決（平成２９年（ネ）第１２９６号）は，クレジットカード情報などの重要な情報と関連付けられて漏えいしていない場合には，情報それ自体よりも顧客名簿として大量に集積されているところに価値が認められるのが通常であると述べている。
これに対し，エステティックサロンのアンケート回答の事件では，基本的な識別情報のみの場合より秘匿の必要性が高いとされて慰謝料が３万円となり，横浜地裁横須賀支部平成３０年１月１５日判決のように生命身体の安全に関わる情報が伝わった事案では，額がさらに大きく異なる。
要配慮個人情報である病歴については，札幌地裁令和元年９月１７日判決が，ＨＩＶ感染の医療情報の目的外利用をプライバシー侵害とし，内定取消しと合わせて慰謝料１５０万円を認めている。
犯罪歴のような他の要配慮個人情報や，クレジットカード番号のような財産的被害につながる情報が漏えいした場合も，裁判例の判断枠組みからすれば，額を大きくする方向の事情として考慮されると考えられる。
２ 流出の範囲と実害
東京高裁令和２年３月２５日判決は，原告らの個人情報が直接の売却先を超えて拡散した事実は認められないことや，ダイレクトメール等が増えたような気がするという程度以上の実害がうかがわれないことを考慮している。
これに対し，エステティックサロンのアンケート回答の事件では，情報がインターネット上で広く流布して回収が困難であることや，迷惑メール等が届いていることが考慮され，二次被害の主張立証がない原告については額が低くされた。
漏えいした情報を使った勧誘や詐欺などの実害が生じた場合には，大阪高裁令和元年１１月２０日判決が挙げる「実害の有無」の事情として，額を大きくする方向に働くことになる。
３ 事業者の事後の対応
ベネッセ事件，Ｙａｈｏｏ！ ＢＢ事件の第一審及び宇治市の事件の各判決は，事業者や自治体が漏えいを公表し，本人に謝罪し，５００円相当の金券等を送り，又は再発防止策を講じたことを，慰謝料の額を考える事情として考慮している。
他方で，Ｙａｈｏｏ！ ＢＢ事件の控訴審は，会社が送った５００円の郵便振替支払通知書を損害賠償の一部弁済として認容額から差し引き，エステティックサロンのアンケート回答の事件でも，会社から既に受け取っていた３０００円が慰謝料の額に反映されている。
漏えいを起こした事業者にとっては，速やかな公表，本人への通知と謝罪及び再発防止策は，行政上の義務の履行であるだけでなく，民事上の賠償額にも関わることになる。
もっとも，事業者が本人に金券等を送っても，それだけで損害がてん補されたとは扱われておらず，これを考慮し，又は差し引いた上で慰謝料が認められている。
４ 弁護士費用と実費
認容された弁護士費用は，ベネッセ事件の東京高裁令和２年３月２５日判決等では慰謝料３０００円に対して３００円，東京高裁令和３年５月２７日判決では同じ慰謝料３０００円に対して１０００円，Ｙａｈｏｏ！ ＢＢ事件では慰謝料５０００円に対して１０００円，宇治市の事件では慰謝料１万円に対して５０００円，エステティックサロンのアンケート回答の事件では慰謝料３万円に対して５０００円，横浜地裁横須賀支部平成３０年１月１５日判決では慰謝料１００万円に対して１０万円であった。
大学の講演会名簿の事件の２件の判決のように，名目的な損害賠償にとどめて弁護士費用を認めなかった例もある。
京都地裁令和３年１月１９日判決のように，漏えいした項目を確認するための郵便の送料のような実費が認められた例もある。
１人当たりの認容額が小さいため，漏えいの事案では，多数の本人が集団で訴訟を提起することが多い。
第５ 請求の根拠と期間制限
１ 不法行為と委託先の従業員による持ち出し
漏えいによる損害賠償の請求は，民法７０９条（不法行為），７１５条（使用者責任）及び７１９条（共同不法行為）に基づくのが通常であり，自治体に対しては国家賠償法１条に基づく請求もされている。
もっとも，自治体の職員が職務上知った情報を私的に漏らした場合には，職務を行うについてされたものではないとして自治体の責任が否定され，職員個人の責任だけが認められた例がある（京都地裁平成２０年３月２５日判決）。
ベネッセ事件のように，委託先の従業員が情報を持ち出した場合でも，委託先の管理の過失と，委託元の委託先に対する監督の過失が認められれば，委託元も共同不法行為の責任を負う（第３の２）。
エステティックサロンのアンケート回答の事件でも，ウェブサイトの制作保守を委託された業者の過失について，委託した会社の使用者責任が認められている（第３の６）。
東京高裁令和２年３月２５日判決（平成３１年（ネ）第１０５８号）は，経済産業省がベネッセコーポレーションに対し，委託先に対する定期的な監査で個人情報のダウンロードを監視する仕組みの対象範囲を監査していなかったことなどを，委託先に対する必要かつ適切な監督を怠ったものとして指摘し，勧告したことを認定している。
個人情報の保護に関する法律（以下「個人情報保護法」という。）２５条は，現在，個人データの取扱いを委託する事業者は，委託を受けた者に対する必要かつ適切な監督を行わなければならないと定めており，民事上の過失を判断する際にも，この監督の内容が問題になると考えられる。
２ 個人情報保護法の報告と本人通知
個人情報保護法には，漏えいした本人に対する損害賠償を定めた規定はなく，損害賠償の請求は１の民法等によることになる。
他方で，個人データの漏えい等で，個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定める事態が生じたときは，事業者は，個人情報保護委員会への報告と本人への通知をしなければならない（個人情報保護法２６条１項・２項）。
本人への通知によって本人が漏えいを知ることになり，これが次の３の消滅時効の起算点にも関わる。
委託元の側から見た報告と本人通知の手順は，外部委託先で個人情報が漏えいした場合の委託元の対応―報告，本人通知及び委託先監督で扱っている。
３ 消滅時効
民法７２４条は，不法行為による損害賠償の請求権は，「被害者又はその法定代理人が損害及び加害者を知った時から三年間行使しないとき」又は「不法行為の時から二十年間行使しないとき」には，時効によって消滅すると定めている。
漏えいの通知や公表によって漏えいと事業者を知った時から３年が経過すると，時効を援用される可能性がある。
第６ 法律事務所から漏えいした場合
法律事務所から依頼者や相手方の個人情報が漏えいした場合も，損害賠償の判断枠組みは第３から第５と同じであると考えられる。
もっとも，法律事務所が扱う情報には，紛争の内容，健康状態及び家族関係のような秘匿性の高い情報が多く含まれるから，第４の１のとおり，氏名や住所だけが漏えいした裁判例よりも額が大きくなる方向の事情が多いと考えられる。
弁護士の場合は，民事上の責任のほかに，守秘義務や弁護士情報セキュリティ規程に基づく対応も問題になる。
同規程の内容と事故時の対応は，弁護士情報セキュリティ規程とは―全７条の内容，基本的な取扱方法及び漏えい等事故の対応で，事務所がランサムウェアに感染した場合の期限の管理は，法律事務所がランサムウェアに感染したときの期限管理―メール不達による期間徒過と知財高裁平成３１年３月１８日判決で扱っている。
第７ 関連記事
①外部委託先で個人情報が漏えいした場合の委託元の対応―報告，本人通知及び委託先監督
②訴訟記録の誤提出と個人情報漏えい―弁護士の守秘義務と委員会報告の要否
③弁護士の守秘義務
④弁護士情報セキュリティ規程とは―全７条の内容，基本的な取扱方法及び漏えい等事故の対応
⑤法律事務所がランサムウェアに感染したときの期限管理―メール不達による期間徒過と知財高裁平成３１年３月１８日判決
第８ 出典・参考資料
１ 法令
①e-Gov法令検索「民法」７０９条，７１５条，７１９条及び７２４条
②e-Gov法令検索「個人情報の保護に関する法律」２５条及び２６条
③e-Gov法令検索「国家賠償法」１条
２ 裁判例（裁判所ＨＰ掲載）
①最高裁平成２９年１０月２３日判決，平成２８年（受）第１８９２号，判例タイムズ１４４２号４６頁，判例時報２３５１号７頁
②最高裁平成１５年９月１２日判決，平成１４年（受）第１６５６号，民集５７巻８号９７３頁
③大阪高裁令和元年１１月２０日判決，平成２９年（ネ）第２６１２号（①の差戻後控訴審）
④京都地裁令和３年１月１９日判決，平成２７年（ワ）第４２６号
⑤東京高裁令和元年６月２７日判決，平成２９年（ネ）第１２９６号
⑥東京高裁令和元年６月２７日判決，平成３０年（ネ）第３５９７号
⑦東京高裁令和２年３月２５日判決，平成３１年（ネ）第１０５８号
⑧東京高裁令和２年３月２５日判決，平成３０年（ネ）第３６６０号
⑨東京地裁平成３０年１２月２７日判決，平成２７年（ワ）第２４８６号等（⑦の第一審）
⑩東京地裁令和５年２月２７日判決，平成２７年（ワ）第２２３６号等
⑪大阪地裁平成１８年５月１９日判決，平成１６年（ワ）第５５９７号
⑫大阪高裁平成１３年１２月２５日判決，平成１３年（ネ）第１１６５号
⑬東京高裁平成１４年１月１６日判決，平成１３年（ネ）第２４３４号
⑭横浜地裁横須賀支部平成３０年１月１５日判決，平成２８年（ワ）第３２８号
⑮京都地裁平成２０年３月２５日判決，平成１９年（ワ）第３２０５号
⑯札幌地裁令和元年９月１７日判決，平成３０年（ワ）第１３５２号
３ 裁判例（裁判所ＨＰ未掲載）
①東京高裁令和３年３月１７日判決，令和２年（ネ）第１０２号（ＬＬＩ／ＤＢ判例秘書登載，判例番号Ｌ０７６２００５７）
②東京高裁令和３年５月２７日判決，令和元年（ネ）第２７２８号（同，判例番号Ｌ０７６２０１４２）
③東京地裁令和６年３月２５日判決，平成２７年（ワ）第１１２６２号（同，判例番号Ｌ０７９３２２７４）
④大阪高裁平成１９年６月２１日判決，平成１８年（ネ）第１７０４号（同，判例番号Ｌ０６２２１１３１。２の⑪の控訴審）
⑤東京高裁平成１６年３月２３日判決，平成１５年（ネ）第４７１９号，判例時報１８５５号１０４頁（２の②の差戻後控訴審）
⑥東京地裁平成１９年２月８日判決，平成１４年（ワ）第２７７９０号等，判例タイムズ１２６２号２７０頁，判例時報１９６４号１１３頁
⑦東京高裁平成１９年８月２８日判決，平成１９年（ネ）第１４９６号等，判例タイムズ１２６４号２９９頁（⑥の控訴審）