ベネッセ500円、タイムズカー3,000円、GMO5,000円…情報漏えいの「お詫び」に正解は？

情報漏えい、企業の「本当の責任」とは？

　企業の顧客情報漏えいが後を絶たない。AIの進化も相まってサイバー攻撃の手口は巧妙化し、取引先や委託先を経由した被害も起きている。セキュリティ対策の強化は喫緊の課題だが、どれほど備えてもリスクを完全にゼロにすることはできない。

　もはや情報漏えいは、一部の企業が直面する特殊な危機ではなく、すべての企業に起こりかねないリスクである。

　では、情報を漏えいさせてしまった企業は顧客とどう向き合えばよいのだろうか。

　謝罪し、原因を説明し、再発防止策を公表する。そこに金銭的な補償を加えるべきなのか。補償するなら、いくらが妥当なのか。こうした問題に明快な正解はない。

　情報漏えいによる顧客の被害は金銭では測れないし、補償や謝罪のあり方に明確な基準があるわけでもない。そうした状況下で問われるのは、企業の「誠実さ」だ。

　では、その「誠実さ」とは何なのか、考えていこう。

ベネッセ500円、GMO5,000円…額を決める「基準」とは？

　個人情報漏えいに伴う補償を考える際、しばしば引き合いに出されるのがベネッセの事例だ。2014年に大規模な顧客情報流出が発覚し、同社は対象者に500円相当の「お詫び」を用意した。しかし、その金額をめぐっては「安すぎる」との批判も起きた。

　実際、ベネッセの情報漏えいをめぐる裁判では、東京地裁が2018年12月、原告1人あたり慰謝料3,000円と弁護士費用300円の計3,300円を認めた。

　その後の裁判でも慰謝料3,000円という判断が示されている。一方で、別の訴訟では1,000円や2,000円とされた例もある。判決額には幅があり、3,000円が一律の基準というわけではない。

　では、直近の個人情報流出事案ではどうだろうか。カーシェアリングサービス「タイムズカー」を展開するパーク24は、運転免許証などの本人確認書類の画像が流出した被害者に、3,000円相当の現金か金券を渡すと発表している。


　一方、GMOインターネットは、「お名前.com デスクトップクラウド」の利用者全員に一律5,000円の見舞金を支払うとしている。


　過去の判例が基準になっているかどうかは定かではないが、いずれも過去の判決で示された金額に近い水準に設定されている。ただし、両社では補償対象や条件が異なり、金額だけで単純に比較することはできない。

　なお、パーク24は情報の内容や想定リスク、利用者の負担などを総合的に勘案したと説明している。こうした対応に関しては、「安すぎる」「お金の問題ではない」という批判も起きている。

　注意しなければならないのは、今回の支払いは「見舞金」という位置づけであり、今後生じ得る実害への賠償まで一律に完了したという意味ではないことだ。

　そもそも、流出した個人情報の価値は一律ではない。氏名や連絡先だけの場合と、決済情報や機微な情報が含まれる場合では、想定される不利益も違う。

　同じ情報でも、本人の事情によって不安の大きさは異なる。企業にとっても顧客にとっても、「1人あたりいくら払えば十分か」という基準を設けるのは難しいし、そもそもお金で解決できる問題でもない。 【次ページ】なぜ補償金は「手土産」なのか？ お金以上に重要な「ある役割」