MTPでもMSCでも,パソコンにスマートフォンなどのデバイスをUSBケーブルで接続してデータの転送をすることが可能である点で違いはない。装置(USBメモリや外付けHDDなど)と同等に管理・利用される。これに対し,MTPは,デジタルカメラの画像転送プロトコル(PTP)をベースに,音楽・動画ファイルなどの転送を可能にした規格であり,デジタルオーディオプレイヤーやデジタルメディアプレイヤーに音楽ファイルや動画ファイルを転送する目的で設計され,これらのプレイヤー等に採用されており,ファイルシステムの管理などはデバイス側で行われるという違いがある。接続されたデバイスは,WPDなどとしてパソコン側のOSであるWindowsには認識される。Windowsの場合,OS自体がMTPに対応しているので,デバイスドライバや対応するアプリケーションをインストールすることなしに,MTPに対応するデバイスにデータを転送することが可能であった。(甲4,92,乙97,100ないし102)被控訴人らが導入していたセキュリティソフトについて被控訴人らが,業務用パソコンに導入していたセキュリティソフトは,株式会社日立ソリューションズ製であった(以下本件セキュリティソフトという。平成23年7月ころには,本件セキュリティソフトによって,リムーバブルメディア,CD/DVD,外付けHDDのほか,終端機器としてイメージングデバイス,WPD,その他制御デバイス等,通信機器として無線LAN,モデム,赤外線等について使用可否制御が可能となっていた。これらのデバイスの全てを制御して使用を禁止した場合,PCからのデータの書き出しは不可能であった。本件セキュリティソフトにおいては,リムーバブルメディア,CD/DVD,外付けHDDについては,データの書き出しを禁止できる持ち出し制御が可能であり,リムーバブルメディアについては,組織で管理していないUSBメモリのデータの読み書きを禁止できるUSBメモリの個体識別制御が可能であった。読み書きを個別に許可されたUSBメモリについては,書き出されたデータは暗号化された。被控訴人らは,本件セキュリティソフトで,書き出し制御が行われているリムーバブルメディア,CD/DVD,外付けHDD以外は,全てのUSBデバイスが使用禁止されていると考えていたが,実際には,リムーバブルメディア,CD/DVD,外付けHDDだけが書き出し制御の対象とされ,データの書き出しが禁止とされる設定になっていた。順さえ踏めば被控訴人シンフォームにおいて自由に変更することができた。平成23年8月に被控訴人シンフォームに納品された本件セキュリティソフトのパラメータシートには,デバイス制御設定1欄のデバイス使用可否制御を有効にする,2デバイス個体識別制御を有効にする,3個体識別ログの出力を有効にするの3つの項目のチェック欄にチェックがされておらず,設定がされていないことが表示されていた。スマートフォンは,Windowsにおいて,リムーバブルメディア,WPD,イメージングデバイス,その他制御デバイスのいずれかで認識されるが,本件漏えい当時の本件セキュリティソフトの設定では,スマートフォンがリムーバブルメディアとして認識される場合(データの転送にMSCを使用する場合)にのみ,書き出し制御の対象となるが,本件スマートフォンのようにデータの転送にMTPを使用しWPDで認識される場合は,デバイスの使用は許可されており,書き出されたデータの暗号化もされなかった。被控訴人シンフォームは,本件漏えい後に,本件セキュリティソフトのバージョンアップをするとともに,その設定を見直し,平成26年7月22日以後は,リムーバブルメディア,CD/DVD,外付けHDDについて従前どおりデータの書き込みを禁止し,他のデバイスについては,プリンタ,ネットワークドライブ,無線LAN,パラレル/シリアルポート以外を,使用可否制御により使用禁止とし,上記パラメータシートの1デバイス使用可否制御を有効にする,2デバイス個体識別制御を有効にする,3個体識別ログの出力を有効にするの3つの項目のチェック欄にチェックを入れた。(甲66,70ないし72)Wによる本件漏えいについてWは,本件漏えい当時,経済的な苦境状態にあり,本件業務で扱っている被控訴人ベネッセの顧客情報を名簿業者に販売することを考えていたが,USBメモリ等が書き出し制御の対象とされていることを認識していたので,これを諦めていた。件スマートフォンにファイルを移動することができることを知った。そこで,Wは,被控訴人ベネッセコーポレーションの顧客情報を書き出し,本件漏えいに及んだものであり,本件漏えいにおいて,ファイルの転送にはMTPが使用された。(甲64,88)イ上記アの事実認定を踏まえ,本件漏えいに対する被控訴人らの予見可能性の有無について検討する。本件漏えい以前から,一般的に,経済産業分野ガイドライン等(甲3,9,12)の中で,外部記憶媒体をパソコン等に接続する方法による情報漏えいのリスクが指摘されていたが,本件漏えいは,Wにおいて,通常想定できないような特別の知識や技術を使用して行われたものでないことは,上記認定のとおりである。当時において,スマートフォンをUSBケーブルでパソコンと接続してデータのやり取りをすることが可能であることは,一般的に知られており,MTPも,データの転送に用いる規格として新規で特殊なものとはいえない。本件では,本件スマートフォンが,従来使用していた規格であるMSCではなく,それまで音楽ファイルや動画ファイルの転送を主な目的としてOSであるWindowsが対応していた規格であるMTPに対応したために,データの転送が可能となったものである。デバイスやOSは,バージョンアップにより高機能化していくものであるから,それに応じて,接続されるデバイスを制御してデータの漏えいを防いでいく必要があるところ,被控訴人らは,本件セキュリティソフトを導入していたことに照らすと,このような必要性を具体的に認識していたと認めるのが相当である。以上によれば,被控訴人らには,MTP対応の本件スマートフォンを使用した本件漏えいについて予見可能性があったというべきである。原判決47頁8行目のイをウと,51頁4行目のウをエとそれぞれ改める原判決48頁10行目から49頁6行目までを次のとおり改める。仮に上記の報告のとおりであったとしても,MTP対応のスマートフォンは,平成24年頃から急速に普及してきていたこと,本件漏えい当時において,多数のMTP対応のスマートフォンが市中に出回るようになっていたことなどが認められる。すると,本件漏えい当時のMTP対応スマートフォンの国内シェアに関する上記報告によって,MTPに対応するスマートフォンを使用した本件漏えいについて,被控訴人らに予見可能性があったと認める上記判断を覆すことはできないというべきである。原判決49頁20行目の情報セキュリティから50頁2行目末尾までを前記アのとおり,被控訴人らが導入していた本件セキュリティソフトは,MTPに対応するデバイスについて,使用可否制御により使用禁止することが可能であった。すると,上記の定義は,被控訴人らが導入していた本件セキュリティソフトをもMTP制御機能を搭載しないものとして扱うものであるから,相当とはいい難く,上記報告は,報告書としてその前提を誤ったものと評価せざるを得ない。原判決50頁8行目の本件漏えい当時,を削る。原判決50頁24行目から51頁3行目末尾までを次のとおり改める。本件漏えいの以前にはMTP対応のスマートフォンを使用した情報漏えいの事例が報告されていなかったというだけで,その危険性について予見可能性がなかったといえるものではなく,上述したとおり,デバイスやOSは,バージョンアップにより高機能化していくものであるから,それに応じて,接続されるデバイスを制御してデータの漏えいを防いでいく必要がある。被控訴人らは,本件セキュリティソフトを導入していたことからして,このような必要性を具体的に認識していたものと認められ,また,本件漏えいは,一般的にいっても,特殊な知識や技術を用いた予見が困難な態様のものではなく,むしろ,デバイスやOSの高機能化によって発生する危険の範囲内のものというべきであるから,予見可能性は否定されない。原判決51頁4行目の被告シンフォームを被控訴人らと,同頁26行目のデータセキュリティガイドブックをデータセンターセキュリティガイドブックとそれぞれ改める。原判決55頁22行目から56頁26行目までを次のとおり改める。前記アのとおり,被控訴人シンフォームにおいては,本件セキュリティソフトの使用可否制御により,MTPを使用するデバイスを使用禁止にしておけば,MTP対応のスマートフォンによるデータの書き出しを防止することは可能であったことが認められる。被控訴人らは,本件セキュリティソフトにより,リムーバブルメディア,CD/DVD,外付けHDDのみが使用できると認識していたものであったほか,本件漏えい後に,本件セキュリティソフトの設定を見直し,リムーバブルメディア,CD/DVD,外付けHDDについて従前どおりデータの書き込みを禁止し,他のデバイスについては,プリンタ,ネットワークドライブ,無線LAN,パラレル/シリアルポート以外を,使用可否制御により使用禁止としたものであるから,本件業務において,業務用パソコンについてMTPを使用してデータの転送を行う必要性はなかったと認められる。すると,本件において,MTPを使用するデバイスの使用が許可されていたのは,単に被控訴人シンフォームにおいて,本件セキュリティソフトの設定の確認を失念ないし怠っていたことによるものというべきである。被控訴人シンフォームは,本件漏えいまでにMTP対応スマートフォンに対する書き出し制御措置を講ずることが可能であったから,そのような措置を講ずべき注意義務があったにもかかわらず,これを怠った点に過失があったと認めるのが相当である。原判決58頁21行目から同頁22行目までを次のとおり改める。「被控訴人シンフォームだけでなく被控訴人ベネッセにも,本件漏えいについて予見可能性があったと認められることは,前記1で認定したとおりである。原判決60頁3行目の株式会社を削る。原判決60頁20行目から61頁2行目までを次のとおり改める。被控訴人ベネッセが被控訴人シンフォームを委託先として選任したのは,平成24年4月であり,前記1のとおり,被控訴人シンフォームが平成23年7月に導入した本件セキュリティソフトの設定が適切でなかったという問題があることは認められるが,被控訴人シンフォームは,機能的には本件漏えいを防止することの可能な本件セキュリティソフトを導入しているのであり,その設定が適切でなかったことをもって,委託先として選任したことが不適当であったということはできない。原判決61頁23行目の選定基準は具体的で運用的なものであることを削る。原判決62頁2行目の予見し得たものであってから同頁16行目のいわざるを得ないまでを予見し得たものである。前記1のとおり,被控訴人シンフォームにおいて,本件セキュリティソフトの設定を適切に行っていれば,本件漏えいは防止できたことが認められる。他方,被控訴人ベネッセにおいて,被控訴人シンフォームに対し,MTP対応スマートフォンに対する書き出し制御措置が講じられているか否かを確認すべく,本件セキュリティソフトの設定状況について適切に報告を求めていれば,MTP対応スマートフォンに対する書き出し制御が十分でないことを知り,本件セキュリティソフトの使用可否制御を指示することができたと認められるところ,このような監督を行うことについて,被控訴人ベネッセに過度の負担が生じるとは思われない。すると,被控訴人ベネッセは,被控訴人シンフォームが,本件セキュリティソフトの適切な設定を行っているか否かを監督する注意義務を負っていると解されるところ,被控訴人ベネッセにおいて本件セキュリティソフトについて適切な設定が行われていると誤信していたことにより,適切な監督を行うことができなかったものであるから,上記注意義務に違反した過失があると認めるのが相当であると,同頁26行目の危険性を予見でき危険性があることにつき予見可能性が認められをとそれぞれ改める。原判決64頁3行目から同頁4行目までを次のとおり改める。この点につき,Wは,自身の刑事事件において,被控訴人シンフォーム多摩事務所においては,被控訴人シンフォームの社員から日常的に指示を受け,指揮監督を受けていた旨を述べている。一方で,Wは,再委託先の従業員に対し,自身が不在期間中の業務の代替人員の人選を依頼したことや,W自身の被控訴人シンフォームにおける稼働時間の状況報告をしていた可能性があったことを認めており,また,被控訴人シンフォームにおいて本件業務に関わっていたX及びYは,再委託先の要員に関しては,再委託先の管理者を通じて指揮監督を行っていた旨を供述しており,これらを裏付けるメールも残されていることからすると,被控訴人シンフォームが,Wに対し,その業務について具体的に指揮命令をしていたとまでの事実を認めることはできない。(甲64,65,67,74,乙114ないし124)原判決66頁23行目から68頁20行目までを次のとおり改める。本件個人情報は,被控訴人ベネッセが集積した顧客情報の一部を構成するものであるが,氏名,郵便番号,住所,電話番号及びメールアドレスは,いずれも控訴人らの個人識別情報と連絡先であり,生年月日と性別も,日常的に契約等の際に開示することが多く,思想信条や性的指向等の情報に比べると,一般的に「自己が欲しない他者にはみだりに開示されたくない私的領域の情報という性質を強く帯びているとはいえない情報である。したがって,クレジットカード情報などの重要な情報と関連づけられて漏えいしていない本件のような場合,情報それ自体に重要な価値が認められるというより,顧客名簿として大量に集積されているところに価値が認められるのが通常であり,実際,本件においても,名簿業者に顧客名簿として売却され,被控訴人ベネッセの同業者に渡りダイレクトメール等に利用されたことが認められる(なお,控訴人らは,本件個人情報が,被控訴人ベネッセという教育事業を行う企業の保有していた情報として漏えいしたことから,教育に熱心であるなど一定の評価が含まれる情報である旨を主張するが,本件個人情報の流出元が被控訴人ベネッセであることから,控訴人らの教育に関する何らかの思想や信条が推知されるとは考え難い。本件個人情報は,これらを取得した者において,これらを取得された者に対する連絡が可能となるものであるから,その使用方法いかんによっては,取得された者の私生活の平穏等に何らかの影響を及ぼすおそれがある。本件個人情報については,本件漏えいにより500社を超える名簿業者に漏えいしたとの発表もあるところ,実際にどこまでの範囲に広がっているか確定は不能であり,回収も不可能といわざるを得ない。したがって,本件漏えいにより自己の個人情報を取得された者に対し,自己の了知しないところで個人情報が漏えいしたことに対する不快感及び生活の平穏等に対する不安感を生じさせることになるから,かかる不安感が具体的なものでなく抽象的なものであったとしても,何らかの精神的苦痛を生じさせることは避けられないことというべきである。控訴人らが被控訴人ベネッセに提供した本件個人情報について,自己の欲しない他者にみだりにこれが開示されることはないという控訴人らの期待は保護されるべきであり,控訴人らは,被控訴人ベネッセにおいて本件個人情報がみだりに流出することがないよう適切に管理されると信じて提供したのであるから,本件漏えいにより,このような期待が裏切られる結果となったことは明らかである。本件漏えいは,Wにおいて,高度な知識を応用したり,特殊な技術を駆使して行われたものではなく,単に,充電のため本件スマートフォンを市販のUSBケーブルで業務用パソコンに接続したところ,データの転送が可能であったことから,思いつかれ実行されたものである。これまで述べてきたとおり,被控訴人らにおいて,自らが導入していた本件セキュリティソフトが適切に設定されているか否かを確認さえしていれば,煩雑な事務処理や多額の費用の支出を余儀なくされることもなく,比較的容易に本件漏えいを防ぐことができたのであるから,その意味においても,控訴人らの期待を裏切った度合いは小さくないというべきである。したがって,前記6のとおり,本件漏えいにより控訴人らはそのプライバシーを侵害されたものであるところ,上記認定に照らせば,控訴人らには,慰謝料の支払によって慰謝されるべき精神的損害が発生したと認めるのが相当である。報と関連付けられて重大なプライバシー情報が引き出される可能性を指摘するが,抽象的な可能性を指摘するものにすぎず,本件個人情報が個別に着目されて何らかの重大なプライバシー情報が引き出されることは想定しにくい。したがって,現時点においては,本件個人情報の漏えいは,控訴人らにおいて望まないダイレクトメールが増えるかもしれないという危惧を抱かせるにとどまるものであり,控訴人らに何らかの実害が発生したとは認められない。被控訴人ベネッセ及びその持株会社であるベネッセホールディングスは,本件漏えいの発覚後,直ちに対応を開始し,情報漏えいの被害拡大を防止する手段を講じ,監督官庁に対する報告及び指示に基づく調査報告を行った。被控訴人ベネッセは,情報が漏えいしたと思われる顧客に対しお詫びの文書を送付するとともに,顧客の選択に応じて500円相当の金券を配布するなどしたことが認められるから,自己の個人情報が適切に取り扱われるであろうとの期待が侵害されたことについては,事後的に慰謝の措置が講じられていることが認められる。損害に対する慰謝料の額は2000円と認めるのが相当である。控訴人らは,本件個人情報のうち,控訴人Bの情報は,未成年者の情報であり,成年以上に保護の必要性が高いと主張するが,控訴人Bの情報が未成年者の情報であるか否かは,慰謝料の額を左右するものとはいえない。8まとめ以上のとおり,控訴人らの請求は,被控訴人らに対し,連帯して,それぞれ2000円及びこれらに対する遅延損害金の支払を命じる限度で理由があるから認容し,その余の請求はいずれも理由がないから棄却するのが相当である。2よって,控訴人らの請求をいずれも棄却した原判決は相当でないから変更することとし,上記の限度で控訴人らの請求を一部認容し,その余の請求をいずれも棄却することとして,主文のとおり判決する(なお,控訴人らは,控訴の趣旨において仮執行宣言を求めていない。トップに戻るsaiban.in。