個人情報への対策が不十分である場合の罰則とは？個人情報保護法も含めて弁護士が解説

タイトル..

個人情報保護が不十分である場合の罰則・リスク

個人情報保護法への対応が不十分である場合、企業はどのような不利益を被るのでしょうか。

個人情報保護法への対応が不十分である場合、企業にはどのようなリスクがあるのでしょうか。

１　個人情報保護法上の罰則

個人情報保護法上の義務に違反し、当該義務違反に対する個人情報保護委員会の措置命令にも違反した場合、違反行為をした個人には１年以下の懲役または１００万円以下の罰金が科されます。また、違反した法人には１億円以下の罰金が科されます。

２　レピュテーションリスク

現在、個人情報を保護する社会的な機運が高まっています。「ビジネスと人権」に関する取組みにおいても、AIの利用とプライバシーの保護というテーマに関連して個人情報の保護が求められます。個人情報保護法上の義務を遵守していないことが発覚した場合、企業の社会的信用の低下は免れません。

また、事業で利用している個人情報が漏洩した場合、特に漏洩した情報が機微な個人情報やクレジットカード情報等の支払に関連する情報であった場合や、企業の知名度が高い場合などには報道等がなされ、企業の社会的信用は失墜し、顧客離れや取引先との取引停止が発生し、経営陣の責任が問われる事態となります。

３　本人に対する損害賠償

事業で利用している個人情報が漏洩した場合には、本人（漏洩した個人情報の主体である個人）に対して損害賠償義務を負うことがあります。

以下は個人情報が漏洩した事案の裁判例です。本人一人あたりの損害賠償額はそれほど大きくありませんが、多数の個人情報が漏洩した場合には損害賠償の合計額は数千億円規模になりかねず、企業の存続に影響する事態となり得ます。

裁判例	事案の概要	漏洩数（約）	訴訟			仮に全員に訴え提起されていた場合の損害賠償合計額
			原告数	損害賠償額
				一人当たり
				慰謝料	弁護士費用
大阪高判H13.12.25	Y市のシステム開発委託業務に関し、再々委託先のアルバイト従業員が住民基本台帳のデータを不正にコピーしてこれを名簿販売業者に販売するなどした。	210,000	3	10,000	5,000	31億5000万円
東京高判H14.1.16	Y大学が、大学内の講堂において講演会の開催を計画し、講演会への参加を申し込んだ学生Xらに参加者名簿を書かせた後、Xらに無断で、本件講演会の警備に当たる警視庁の警備活動に協力するため、参加者名簿を警視庁に提出した。	1,400	6	10,000	0	1400万円
東京地判H19.2.8	エステティックサロンのウェブサイト上のアンケートに回答したXらの個人情報がサーバー管理会社のミスにより第三者が閲覧可能な状態に置かれて流出した。	50,000	13	30,000	5,000	17億5000万円
東京地判H19.2.8		50,000	1	17,000	5,000	17億5000万円
大阪高判H19.6.21判タ1230号227頁	インターネット接続等の総合電気通信サービスの会員であったXらの氏名・住所等の個人情報が、業務委託先の従業員による不正アクセスにより外部に漏えいした。	4,500,000	5	5,000	1,000	270億円
東京地判H30.12.27判タ1460号209頁	通信教育事業等をＹ1から委託を受けてXらの個人情報を分析するシステムの開発，運用等をしていたY2の業務委託先の従業員においてXらの個人情報が外部に漏えいされた。	35,040,000	462	3,000	300	1156億3200万円