不正アクセスによる個人データ漏えいと企業の法的責任 ― 安全管理措置（個人情報保護法23条）と委託先の監督（25条）、漏えい等の報告・本人通知（26条・施行規則7条）、ベネッセ事件にみる過失判断と慰謝料、二次被害と相当因果関係、令和8年改正の影響、中小企業の実務対応

2026年9月から10月にかけて、数百万件から数千万件規模の個人情報の漏えいが相次いで公表されました。個人情報保護委員会は同年10月7日、大規模な漏えい等事案を踏まえた注意喚起を公表し、ガイドラインの「手法の例示」の見直し内容を先取りして示しています。同委員会の集計によれば、同年4月1日から10月16日までに直接報告された不正アクセスによる漏えい等は2,094件、延べ本人数は約2億6,000万人です（速報値であり、委託元・委託先双方の報告による重複を含む場合があります）。

漏えいが生じた企業は、どこまで法的責任を負うのか。本稿では、①近時の事案と傾向、②個人情報保護法上の義務、③民事責任とベネッセ事件における判断、④二次被害と相当因果関係、⑤令和8年改正の影響、⑥中小企業における実務対応を整理し、点検事項とFAQを示します。

1　近時の事案と傾向

（1）公表された主な事案

各社の公表によれば、EPARKリラク＆エステの予約・顧客管理システムでは対象約2,218万レコード（備考欄に要配慮個人情報を一部含む）、画像共有サービス「Gyazo」ではユーザーに関するデータ約2,362万件、「焼肉きんぐ」公式アプリでは登録1,080万8,784件のうち1,078万8,963件が漏えいしたとされています。

タイムズモビリティ株式会社の第5報（2026年10月23日）によれば、「タイムズカーWebシステム」では、氏名・住所・生年月日等について外部送信の痕跡が確認された件数が662万8,007件、本人確認書類の画像について外部送信の痕跡があるものが146万4,800件、アクセスのみで送信の痕跡がないものを含めて235万6,402件とされています。同社は、漏えいした情報の売買・公開を示す事実は確認されていないとする一方、対象者への3,000円相当の見舞いと、本人確認書類画像を登録確認後に保有しない運用への変更を公表しています。報道によれば、同社を相手方とする集団訴訟が年内の提訴を目指して準備されています（2026年11月4日時点で提訴の報道は確認できていません）。

（2）侵入経路の傾向

個人情報保護委員会の「WARNING」（令和8年10月7日改訂）は、報告事案を、脆弱性の放置・対応遅延、不正ログイン、グループ会社や海外拠点を狙った攻撃、グループ会社間のアクセス制御不備、個人領域に保存したデータの漏えい、グループ会社への監督不足、クラウドサービスからの漏えい、APIの悪用の9事例に類型化し、これらへの措置が十分でない場合には法23条から25条までの違反と判断される可能性があるとしています。警察庁の統計によれば、令和8年上半期のランサムウェア被害報告は123件で半期として過去最多、うち中小企業が79件を占め、侵入経路の回答があった36件のうち18件がVPN機器でした。調査・復旧に総額1,000万円以上を要した組織の割合は全体の6割です。

2　個人情報保護法上の義務

（1）安全管理措置と委託先の監督

個人情報取扱事業者は、個人データの漏えい等の防止その他の安全管理のために必要かつ適切な措置を講じなければならず（法23条）、取扱いを委託する場合には委託先に対する必要かつ適切な監督を行わなければなりません（法25条）。措置の水準は一律ではなく、ガイドライン（通則編）別添は、本人が被る権利利益の侵害の大きさを考慮し、事業の規模・性質、個人データの取扱状況等に起因するリスクに応じて必要かつ適切な内容とすべきものとしています。

（2）注意喚起が示す「手法の例示」の見直し

前記注意喚起は、来年4月に確定予定の見直し内容を先取りする形で、技術的安全管理措置の手法の例示を示しました。アクセス権限の最小化と棚卸し、組織外ネットワークや管理者権限でのアクセス等における多要素認証、ログの保管と定期的な分析、IDS/IPS・EDR等による検知、侵害を受けたシステムの停止・隔離等が挙げられています。「中小規模事業者における手法の例示」にも、ログ等を一定の期間保管することが掲げられています。手法の例示は、その全てを講じなければ直ちに法違反となるものではありませんが、過失の判断においても当時の水準を示す資料として参照される可能性があり、自社の対策と照合しておくべきものと考えます。

（3）不要となった個人データの消去

法22条は、利用する必要がなくなった個人データを遅滞なく消去する努力義務を定めています。注意喚起は、この対応が徹底されず事案が深刻化した事例にも言及し、保管している個人データの必要性を法令等の根拠とともに確認するよう求めています。

（4）漏えい等の報告と本人通知

①要配慮個人情報が含まれる場合、②不正に利用されることにより財産的被害が生じるおそれがある場合、③不正の目的をもって行われたおそれがある行為による場合、④本人の数が千人を超える場合のいずれかに該当する事態（おそれを含みます）が生じたときは、委員会への報告と本人への通知が義務となります（法26条、施行規則7条）。③には人数の基準がないため、不正アクセスによる場合には1名分であっても対象となり得ます。

報告は、事態を知った後速やかに行い（速報）、知った日から30日以内、③の場合は60日以内に改めて行う必要があります（施行規則8条）。本人通知は、事態の状況に応じて速やかに行います（施行規則10条）。委託を受けた事業者は、委託元に通知することで報告義務を免れる場合があります（法26条1項ただし書）。違反に対しては勧告・命令があり得（法148条）、命令違反には1年以下の拘禁刑又は100万円以下の罰金、法人には1億円以下の罰金が定められています（法178条・184条）。

3　民事責任とベネッセ事件における判断

（1）責任の法的構成

本人からの請求は、不法行為（民法709条）、使用者責任（同法715条）、契約関係がある場合の債務不履行（同法415条）として構成されます。いずれも漏えいの事実のみで当然に責任が生じるものではなく、当時求められた水準の措置を講じていたかが争点となります。

（2）最高裁平成29年10月23日判決

最高裁第二小法廷は、氏名、性別、生年月日、住所、電話番号等の個人情報について、プライバシーに係る情報として法的保護の対象となるとし、その漏えいによりプライバシーを侵害されたといえるとしました。そのうえで、不快感等を超える損害の主張・立証がないことのみから請求を棄却した原判決を破棄し、過失の有無及び精神的損害の有無・程度について審理を尽くさせるため、大阪高裁に差し戻しています（平成28年（受）第1892号）。実害の立証がないことのみをもって請求が退けられるわけではない点に留意が必要です。

（3）東京高裁判決における過失と慰謝料

別の原告らによる訴訟の控訴審で、東京高裁は、委託先について、導入していたセキュリティソフトによりMTP対応スマートフォンへの書き出しを制御できたにもかかわらず設定の確認を失念ないし怠っていたとして過失を認めました。委託元についても、設定状況について適切に報告を求めていれば制御の不十分さを知り指示できたのであり、そのような監督に過度の負担は生じないとして、監督義務違反の過失を認めています。また、それまで同種の漏えい事例が報告されていなかったというだけでは予見可能性は否定されないとしています。

慰謝料は各2,000円とされました。考慮された事情として、実害の発生が認められないこと、発覚後直ちに拡大防止措置が講じられたこと、お詫びの文書の送付や500円相当の金券の配布など事後的な慰謝の措置が講じられたことが挙げられています。一方で、設定を確認さえしていれば多額の費用をかけずに比較的容易に防げたことは、期待を裏切った度合いが小さくない事情として評価されています。本判決からは、製品の導入ではなく設定・運用の確認まで問われること、委託元の監督は委託先の具体的な設定状況にも及び得ること、発覚後の対応が慰謝料の評価に影響し得ることが読み取れます。もっとも、本件は漏えいした情報の内容等を踏まえた事例判断であり、情報の性質や実害の有無が異なれば額も異なり得ます。

（4）請求額以外の負担

1人2,000円であっても100万人では20億円となります（仮定の計算）。実際の負担はこれにとどまらず、調査費用、コールセンター、見舞金、システムの再構築、売上の減少等が加わります。なお、持ち出した行為者については不正競争防止法違反に問われ、報道によれば控訴審で懲役2年6月の実刑判決が言い渡されました。内部者・委託先要員による持ち出しが刑事責任を伴うことは、社内研修で周知すべき事項です。

4　二次被害と相当因果関係

流出した情報を用いた詐欺等の被害については、直接の加害者は詐欺を行った者ですが、会社に安全管理上の過失があり、漏えいと被害との間に相当因果関係が認められれば、会社も損害賠償責任を負う可能性があります。判断の軸は、漏えいから通常予想される範囲の被害といえるかどうかです。私見ですが、本人確認書類の画像のようになりすましに直結する情報であれば、不正な口座開設やカード発行の被害は予見の範囲内と評価されやすい一方、漏えいの報道を見て動揺し交通事故を起こした場合のような損害は、賠償の範囲に含まれにくいと考えられます。この点は事案の集積が十分とはいえず、個別の事情に応じた検討が必要です。

会社としては、本人への速やかな通知と注意喚起が、法26条2項の義務の履行であると同時に、損害の拡大防止という観点でも重要となります。

5　令和8年改正の影響

令和8年7月10日に成立し同月17日に公布された改正法は、原則として公布の日から2年を超えない範囲内で施行されます。課徴金の対象は、不適正利用（法19条）、不正取得（法20条1項）、第三者提供の制限（法27条1項）への違反及び統計作成等の特例違反のうち一定の要件を満たすものとされており、安全管理措置の不備による漏えいは、同委員会の概要資料に示された対象行為には挙げられていません。もっとも、勧告を前置しない緊急命令の要件が緩和され、本人への通知又は公表その他の措置を勧告・命令の内容とできるようになるなど、行政対応の面での影響は小さくありません。

6　中小企業における実務対応

（1）基本的な技術的対策

IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月27日公開）は、従来の5か条に「バックアップを取ろう！」を加えて「情報セキュリティ6か条」としました。これらと前記注意喚起を踏まえると、OS・ソフトウェア・VPN機器等の最新化、パスワードの強化と重要なアクセスへの多要素認証、アクセス権限と共有設定の見直し（異動・退職時の変更を含みます）、オフラインのバックアップとログの保管が基本となります。

（2）データの最小化

保有データの棚卸しを行い、利用目的を達した個人データを消去します。本人確認書類の画像は、確認後速やかに削除する運用を検討すべきです。法令で保存期間が定められているものは、その根拠を確認したうえで保管します。

（3）委託先・クラウドの管理

委託により自社の責任がなくなるわけではありません。「WARNING」は、システム保守の委託内容に脆弱性対応が含まれていなかった事例や、クラウド利用を委託に当たらないと考えて監督を実施していなかった事例を挙げています。契約では、脆弱性対応の範囲、再委託の条件、セキュリティ設定等の報告、漏えい時の報告義務と協力義務を確認し、実際に報告を受けて確認することが重要です。

（4）インシデント対応体制

遮断、証拠保全、委員会への速報、本人通知、公表の担当と手順をあらかじめ定めておきます。法的判断と広報の判断を同時に迫られる局面であるため、平時に弁護士への連絡経路を確認しておくことをお勧めします。

企業が点検すべき事項

保有する個人データの項目・保存場所・保存期間を把握しているか
利用目的を達した個人データや本人確認書類の画像を消去する運用があるか
OS・ソフトウェア・VPN機器等の更新の担当と、サポート切れ機器の有無を把握しているか
VPN、管理者アカウント、クラウド管理画面に多要素認証を導入しているか
アクセス権限を定期的に棚卸しし、退職・異動時に変更しているか
導入済みのセキュリティ製品の設定内容を確認しているか
オフラインのバックアップとログを一定期間保管しているか
委託先・クラウド事業者との契約に脆弱性対応と漏えい時の報告義務があるか
委託先から設定・運用状況の報告を受けているか
漏えい時の初動（遮断・証拠保全・速報・本人通知・公表）の手順と担当が決まっているか

よくあるご質問

Q. 十分に対策していても、不正アクセスで漏えいすれば損害賠償責任を負いますか。

A. 漏えいの事実のみで当然に責任を負うものではありません。当時求められた水準の措置を講じ、設定や運用まで確認していたと認められれば、過失が否定される余地があります。ただし、製品を導入していたというだけでは足りず、確認すれば容易に防げた設定の不備について過失を認めた裁判例があります。

Q. 漏えいした人数が少なければ、委員会への報告は不要ですか。

A. 千人を超えることは報告対象の一つにすぎません。要配慮個人情報、財産的被害のおそれ、不正の目的によるおそれのある事態には人数の基準がないため、不正アクセスによる場合には少人数でも報告と本人通知の対象となり得ます。

Q. 個人データの管理を委託すれば、自社の責任はなくなりますか。

A. なくなりません。委託元には委託先に対する必要かつ適切な監督義務があり（法25条）、ベネッセ事件の東京高裁判決でも委託元の監督義務違反の過失が認められています。

Q. 流出情報を用いた詐欺の被害まで、会社が賠償しなければなりませんか。

A. 会社に過失があり、漏えいと被害との間に相当因果関係が認められる場合には、責任を負う可能性があります。なりすましに直結する情報の漏えいでは、被害が予見の範囲内と評価されやすいと考えられます。速やかな本人通知と注意喚起が重要です。

まとめ

不正アクセスによる漏えいは大企業に限られる問題ではなく、ランサムウェア被害の報告でも中小企業が多数を占めています。法的責任は結果責任ではありませんが、「導入したが設定は確認していない」「委託先に任せている」という状態は過失と評価され得ます。不要なデータの消去、基本的な技術的対策、委託先の管理、初動手順の整備を平時から進めることが、漏えいの防止と事後の責任の双方において重要です。

参考資料

個人情報の保護に関する法律（e-Gov法令検索）（第22条・第23条・第25条・第26条・第148条・第178条・第184条）／同法施行規則（第7条・第8条・第10条）
民法（e-Gov法令検索）（第415条・第709条・第715条）
個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（令和8年10月7日）／同「最近の不正アクセスによる個人データの漏えい等の傾向」／同「令和8年改正個人情報保護法について」
最高裁判所平成29年10月23日第二小法廷判決／東京高等裁判所判決（裁判所ウェブサイト）
警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」
IPA「中小企業の情報セキュリティ対策ガイドライン」
タイムズモビリティ第5報（2026年10月23日）／EPARKリラク＆エステ第二報／Helpfeel 第二報／物語コーポレーション（2026年10月5日）

1 近時の事案と傾向