令和５年２月２７日判決言渡同日原本領収裁判所書記官
平成２７年（ワ）第２２３６号損害賠償請求事件（以下「第１事件」という。）平成２７年（ワ）第５３７７号損害賠償請求事件（以下「第２事件」という。）平成２７年（ワ）第１４５６９号損害賠償請求事件（以下「第３事件」という。）平成２７年（ワ）第２８０７９号損害賠償請求事件（以下「第４事件」という。）平成２９年（ワ）第１７５０３号損害賠償請求事件（以下「第５事件」という。）口頭弁論終結日令和４年１０月２４日
判決
主文
１ 被告ベネッセＣｏ及び被告シンフォームは、別紙６－１第１事件認容原告番号目録記載の各原告に対し、連帯して、それぞれ３３００円及びこれに対する平成２７年４月３日から支払済みまで年５分の割合による金員を支払え。
２ 被告ベネッセＣｏ及び被告シンフォームは、別紙６－２第２事件認容原告番号目録記載の各原告に対し、連帯して、それぞれ３３００円及びこれに対する平成２８年２月２７日から支払済みまで年５分の割合による金員を支払え。
３ 被告ベネッセＣｏ及び被告シンフォームは、別紙６－３第３事件認容原告番号目録記載の各原告に対し、連帯して、それぞれ３３００円及びこれに対する平成２８年１０月４日から支払済みまで年５分の割合による金員を支払え。
４ 被告ベネッセＣｏ及び被告シンフォームは、別紙６－４第４事件認容原告番号目録記載の各原告に対し、連帯して、それぞれ３３００円及びこれに対する平成２９年１１月７日から支払済みまで年５分の割合による金員を支払え。
５ 被告ベネッセＣｏ及び被告シンフォームは、別紙６－５第５事件認容原告番号目録記載の各原告に対し、連帯して、それぞれ３３００円及びこれに対する平成２９年１１月３日から支払済みまで年５分の割合による金員を支払え。
６ 原告らのその余の請求をいずれも棄却する。
７ 訴訟費用は、全事件を通じて、これを２０分し、その１を被告ベネッセＣｏ及び被告シンフォームの負担とし、その余を原告らの負担とする。
８ この判決は、第１項から第５項までに限り、仮に執行することができる。
事実及び理由
第１ 請求
１ 第１事件
被告らは、第１事件原告らに対し、連帯して、それぞれ５万５０００円及びこれに対する平成２７年４月３日から支払済みまで年５分の割合による金員を支払え。
２ 第２事件
被告らは、第２事件原告らに対し、連帯して、それぞれ５万５０００円及びこれに対する平成２８年２月２７日から支払済みまで年５分の割合による金員を支払え。
３ 第３事件
被告らは、第３事件原告らに対し、連帯して、それぞれ５万５０００円及びこれに対する平成２８年１０月４日から支払済みまで年５分の割合による金員を支払え。
４ 第４事件
被告らは、第４事件原告らに対し、連帯して、それぞれ５万５０００円及びこれに対する平成２９年１１月７日から支払済みまで年５分の割合による金員を支払え。
５ 第５事件
被告らは、第５事件原告らに対し、連帯して、それぞれ５万５０００円及びこれに対する平成２９年１１月３日から支払済みまで年５分の割合による金員を支払え。
第２ 事案の概要等
１ 事案の概要
原告らは、主としてこども向けの通信教育事業等を営む被告ベネッセＣｏに対して氏名、住所等の個人情報を提供していたところ、被告ベネッセＣｏから委託を受けてその保有する顧客等についての情報の使用に関するシステムの開発、保守及び運用の業務に従事していた被告シンフォームのいわゆる３次委託先の業者の従業員が、その所有するスマートフォンを用いて原告らを含む上記の顧客等についての個人情報を取得した上で第三者に売却して外部に漏えいさせたことにより、原告らのプライバシーが侵害され、精神的苦痛を被ったと主張している。
本件は、原告らが、①被告シンフォームに対しては、情報の漏えいを防止する措置を講じなかったことを理由とする不法行為責任又は上記従業員を被用者とする使用者責任を、②被告ベネッセＣｏに対しては、委託先の選定及び監督を怠ったことを理由とする不法行為責任又は被告シンフォームを被用者とする使用者責任を、③被告ベネッセＨＤに対しては、ベネッセグループを統括し、被告ベネッセＣｏ及び被告シンフォームの全株式を保有する立場として、グループ全体における個人情報の利用・管理に責任を持つ部門を設置しなかったこと等を理由とする不法行為責任をそれぞれ負うとするとともに、被告らには共同不法行為が成立するとして、被告らに対し、原告１人当たり５万５０００円（慰謝料５万円及び弁護士費用５０００円）の損害賠償金及びこれに対する不法行為以後の日（各事件の訴状送達の日の翌日）から各支払済みまで平成２９年法律第４４号による改正前民法所定の年５分の割合による遅延損害金の連帯支払を求める事案である。
２ 前提事実
以下の事実は、当事者間に争いがないか、後掲各証拠（特記なき限り枝番は省略）及び弁論の全趣旨により容易に認められる。
⑴当事者等
ア 被告ベネッセＨＤ（旧ベネッセコーポレーション）は、通信教育、模擬試験の実施や雑誌等の発行・通販事業などを目的として昭和２２年１１月２１日に設立された株式会社である。同社は、ベネッセグループを統括する会社であり、被告ベネッセＣｏ及び被告シンフォームの株式全部を保有する完全親会社である。
被告ベネッセＨＤの平成２６年６月２１日時点の発行済株式総数は１億０２４５万３４５３株であり、同年３月期決算（平成２５年４月１日～平成２６年３月３１日）における連結売上高は４６６３億９９００万円、連結純利益は１９９億３０００万円、単体純利益は１０６億１７００万円、連結総資産は４８７５億９４００万円、単体純資産は２０５２億０７００万円である。
イ 被告ベネッセＣｏは、通信教育、模擬試験の実施や雑誌等の発行・通販事業などを目的として平成２１年１０月に設立された株式会社である。
ウ 被告シンフォームは、コンピュータ等のシステム・ソフトウェアの開発や導入指導や情報処理サービスなどを目的として昭和４６年７月２７日に設立された株式会社である。
被告シンフォームは、被告ベネッセＣｏから委託を受けて、システムの開発・運用を行っている。
（争いがない。弁論の全趣旨）
⑵被告らの関係及び被告ベネッセＣｏの顧客情報へのアクセス方法
ア 被告ベネッセＣｏは、従前から、主に、顧客管理システム及び販売管理システムに大別される複数のデータベースに顧客等（被告ベネッセＣｏの顧客のほか、被告ベネッセＣｏが契約によらずに本人の同意を得て個人情報を取得した者を含む。）の個人情報（以下「顧客情報」と総称する。）を集積して事業活動に利用していたが、リスク管理と効率化を図るため、平成２４年４月頃、被告シンフォームに対し、複数のデータベースに分かれて集積されていた顧客情報を統合し、統合したデータベース（以下「本件データベース」という。）から必要な情報を抽出して分析に使用するためのシステム（以下「本件システム」という。）の開発・運用・保守の各業務（以下「本件業務」という。）を委託した。
被告シンフォームは、本件業務の一部を、更に複数の業者に対して委託した。
（甲５、１７、４２、５３、６５、６７、８７、８８、弁論の全趣旨）
イ 被告ベネッセＣｏのサーバコンピュータに保存されている本件データベース内の顧客情報にアクセスする方法としては、①被告シンフォームがその業務従事者に貸与するパーソナルコンピューター（以下「パソコン」といい、一般に企業が業務従事者に貸与するパソコンを「業務用パソコン」という。）から直接アクセスする方法と、②バッチ処理（一定量のデータを集め、一括処理をする方法）を行うバッチサーバを経由してアクセスする方法の二つがあったが、上記①の方法でアクセスする場合にはオラクル社のソフトウェアが、上記②の方法でアクセスする場合にはテラタームというソフトウェア（インターネット接続ができれば誰でも無料でダウンロード・インストールが可能なフリーソフトウェア）が必要であった。そして、上記いずれの方法による場合も、本件データベースにアクセスするためには、ＩＤ及びパスワードが必要であったほか、上記②の方法でアクセスする場合には、さらに、バッチサーバにアクセスするための別個のアカウントも必要であった。
（甲５、１７、５３、６５～６８、８７、８８、弁論の全趣旨）⑶Ａの業務状況
ア Ａ（以下「Ａ」という。）は、本件業務に関しては、被告シンフォームからみて３次委託先（被告ベネッセＣｏからみると４次委託先）となる法人の従業員であり、システムエンジニアとして本件業務に従事していた。Ａは、平成２４年４月頃から、被告シンフォームの東京支社多摩事務所（以下「多摩事務所」という。）において、本件データベースにアクセスするためのＩＤ及びパスワード等を付与され、被告シンフォームから貸与を受けた業務用パソコン（以下「本件パソコン」という。本件パソコンには、前記⑵イのオラクル社のソフトウェア及びテラタームが搭載されていた。）を使用して、本件業務に従事するようになった。
（甲５、１７、５３、６５、６６、７５、８７、８８、弁論の全趣旨）
イ 被告シンフォームの業務用パソコンのオペレーティングシステム（以下「ＯＳ」という。）は、平成２３年７月以降、Ｗｉｎｄｏｗｓ７であった。Ｗｉｎｄｏｗｓ７は、パソコンとこれに接続されたデバイス（周辺機器や端末情報）との間の情報通信方式（ファイル転送プロトコル）の一つであるメディア・トランスファー・プロトコル（以下「ＭＴＰ」という。）に標準対応しているため、特別のアプリケーションを導入しないでも、ＭＴＰによる情報通信方式を使用する機器（以下「ＭＴＰデバイス」という。）との間で相互に情報通信をすることができる。
（甲２１、６７、７１、９８、乙４４、弁論の全趣旨）
⑷Ａによる漏えい行為
ア Ａは、平成２５年７月頃から平成２６年６月２７日までの間（以下「本件当時」という。）、多摩事務所において、①本件パソコンからバッチサーバを経由してサーバコンピュータに保存されている本件データベースにアクセスし、顧客情報を抽出する内容のＳＱＬ（データベースから必要な情報を抽出する条件等が記載されたプログラム）コマンドを入力して顧客情報を本件パソコンの画面上に表示させ（ただし、テラタームの画面を最小化して、パソコンの画面上からは見えないようにしていた。）、これを本件パソコンに保存した上で、②ＵＳＢケーブルを用いて、Ａが所有していたスマートフォン（以下「本件スマートフォン」という。）を本件パソコンのＵＳＢポートに接続し、上記①の顧客情報を本件パソコンから本件スマートフォンに転送し、その内蔵メモリに保存する等の方法により不正に取得した（以下「本件取得行為」という。）。
本件スマートフォンは、平成２４年秋冬期に発売された「ａｕＨＴＣ社製ＨＴＬ２１」という機種であり、ＯＳはＡｎｄｒｏｉｄ４．１であった。本件スマートフォンには、データ通信方法としてＭＴＰが初期設定されており、上記②のデータの転送は、ＭＴＰによって行われた。（甲５、１７～１９、５３、６５、６６、８７、８８、弁論の全趣旨）
イ Ａは、本件当時、本件取得行為によって取得した個人情報の全部又は一部を、名簿業者３社に対して、それぞれ売却した（以下、この売却行為を「本件売却行為」といい、本件売却行為と本件取得行為を併せて「本件漏えい行為」という。）。
（争いがない。弁論の全趣旨）
ウ Ａが本件取得行為により取得した顧客情報は、延べ約２億１６３９万件であり、約４８５８万人分の個人情報が含まれていた。
（争いがない）
エ 平成２７年３月３０日、警視庁生活経済課に対する取材に基づいて、Ａが本件取得行為によって取得した顧客情報は、本件売却行為の後、教育関連会社等約５００社に流出したとする報道がされた。
（甲５１）
⑸本件漏えい行為の発覚及びその後の被告ベネッセＣｏの対応
ア 被告ベネッセＣｏは、平成２６年６月下旬、顧客から、被告ベネッセＣｏだけに登録した情報に基づいてダイレクトメールが届くなどの問合せが急増したことから、自社の顧客情報が社外に漏えいしている可能性を認識し、同月２７日に調査を開始するとともに、同月３０日には経済産業省に状況を報告して今後の対応を相談した。同社は、同年７月７日には上記漏えいを確認して警視庁に捜査を依頼し、これにより捜査が開始された。同社は、同月１５日、警視庁に対してＡを刑事告訴した。
（長文のため、ここでは本文の冒頭のみを掲載しています。全文はこのページの表示後に読み込まれます。原本は原本PDFをご覧ください。）
出典：裁判所ウェブサイト「裁判例検索」（https://www.courts.go.jp/hanrei/91950/detail4/index.html）。本文は同サイト掲載の判決書PDFからTaiLexi AIがテキスト化・整形したもの（正確な文言は原本PDFを参照）。判示事項・裁判要旨・参照法条は裁判所の公表どおり。