日々、個人情報漏洩のニュースが報じられている。すぐに口座からお金が引き出されたわけではないが、自分の名前や電話番号、収入・融資情報がどのように使われるか分からない不安が高まっている。では、実際に金銭的損失がなくても、このような不安感だけで補償を受けることができるのだろうか。
結論から言えば、実際の金銭的損失がなくても損害賠償を請求することは可能だが、個人情報漏洩の事実だけで自動的に賠償が認められるわけではない。個人情報保護法第39条の2は、個人情報が漏洩した場合、被害者が具体的な損害額を証明しなくても300万円以下の法定損害賠償を請求できると定めている。賠償の可否や金額は、漏洩した情報の性質や被害の程度などを総合的に考慮して決定される。
実際の個人情報漏洩事件に関する裁判所の賠償判断も分かれている。昨年12月、最高裁判所はハッピーキャンパスのハッキング事件の被害者の損害賠償請求を認めなかった事例が代表的である。オンライン知識取引サイトのハッピーキャンパスでは、2021年にハッキングにより会員40万3298人のメールアドレスと暗号化されたパスワードが漏洩した。被害者の一人は、スパムメールやボイスフィッシングにさらされる恐れから精神的な被害を受けたとして30万円の損害賠償を請求した。
これに対し、最高裁は被害者が個人情報漏洩に伴う具体的な損害額を直接証明する必要はないと判断した。しかし、漏洩した情報の種類や性質、第三者の閲覧の有無や追加の拡散可能性を考慮すると、賠償に値する精神的損害が発生したとは言えないとした。損害が発生していないことが明らかな場合まで法定損害賠償責任を問うことはできないという趣旨である。
一方、KB国民カードの個人情報漏洩事件では賠償責任が認められた。最高裁は2019年、KB国民カードと信用情報会社が顧客584人に対し1人当たり10万円を支払うようにとの原審判決を確定した。当時漏洩した情報には名前や住民登録番号、住所、電話番号、職場情報などが含まれていた。裁判所は個人を特定できる情報が漏洩した上、第三者がこれを閲覧したり追加で拡散される可能性が高いと判断し、精神的損害が発生したとした。
結局、二つの判決を分けたのは、個人情報が漏洩した事実そのものよりも、どのような情報が漏洩し、その情報が外部に露出して追加の被害につながる可能性がどれほど大きかったかであった。
今回の金融機関の連鎖的なハッキングによる情報漏洩事件も同様である。銀行は今回の情報漏洩によって顧客に損害が発生した場合、全額補償すると明言しているが、実際の賠償の可否は漏洩した情報の種類や露出範囲、被害の発生の有無などによって異なる可能性がある。
ボイスフィッシングなどの二次被害が発生した場合でも、漏洩事件と被害との因果関係を確認する必要がある。漏洩通知や詐欺犯の通話・メッセージ内容、取引履歴などを証拠として活用できる。ただし、漏洩した情報が犯罪に利用されたかどうかを消費者が確認し、証明するのは難しい場合がある。事故発生後、金融機関が追加の被害を防ぐためにどれだけ迅速かつ十分な措置を講じたかも賠償責任を判断する要素となる。
賠償の可否とは別に、消費者は追加の被害を防ぐための予防措置を講じる必要がある。金融当局は名義盗用による融資や口座開設の被害を防ぐために『金融取引安心遮断サービス』への加入や『個人情報漏洩者事故防止システム』への登録を推奨している。また、出所が不明なメッセージに含まれるインターネットアドレス（URL）はクリックせず、直ちに削除することを強調している。個人情報漏洩の有無も、該当金融機関の公式ホームページやアプリ、顧客センターの代表番号を通じて直接確認することが安全である。
* この記事はAIによって翻訳されました。
亜洲日報の記事等を無断で複製、公衆送信 、翻案、配布することは禁じられています。
