情報漏洩の損害賠償はいくら？企業向けのサイバー保険も解説

サイバー攻撃による個人情報の漏洩が相次いでいます。顧客情報や従業員情報が外部に漏洩した場合、企業はいくらの損害賠償を負うことになるのでしょうか。

情報漏洩事故では、「1人あたり○円」という一律の賠償額が決められているわけではありません。漏洩した情報の内容や件数、実際に発生した被害、企業側の管理状況などによって判断は変わります。また、企業が負担する費用は被害者への損害賠償だけではなく、原因調査やシステム復旧、顧客対応、事業停止による利益の減少などにも及びます。

この記事では、情報漏洩が起きた場合の損害賠償額の考え方や企業に発生する主な費用、事故発生後に必要な対応、サイバー保険で備えられる範囲について解説します。

情報漏洩が起きたら損害賠償はいくらになる？

情報漏洩の損害賠償額は一律ではない

個人情報が漏洩したからといって、法律上「1人につき○万円を支払う」といった統一された金額が決まっているわけではありません。

実際に損害賠償請求が行われた場合には、漏洩した情報の内容、プライバシー侵害の程度、二次被害の有無、企業側の対応など、個別の事情を踏まえて損害額が判断されます。

たとえばベネッセの個人情報漏洩をめぐる裁判では、氏名や住所、電話番号などが漏洩した一部の原告について、精神的損害に対する慰謝料3,000円と弁護士費用300円が認められた裁判例があります。これは特定の事件についての判断であり、すべての情報漏洩事故で1人3,300円になるという意味ではありません。（参照：平成30年12月27日判決｜裁判所）

また、日本ネットワークセキュリティ協会（JNSA）の2018年調査では、独自の算定モデルによる「1人あたり平均想定損害賠償額」を2万9,768円と試算しています。（参照：2018年情報セキュリティインシデントに関する調査結果～個人情報漏えい編～(速報版) | JNSA）

漏洩した情報の内容によって金額は変わる

同じ1万件の情報漏洩でも、漏れた内容によって被害の深刻さは変わります。

氏名やメールアドレスだけの場合と、クレジットカード番号や銀行口座情報、健康情報、マイナンバーなどが含まれている場合では、二次被害の可能性が異なります。実際に不正利用などの財産的被害が発生すれば、単なるプライバシー侵害とは別の損害が問題になることもあります。

企業側から見ると、1人あたりの賠償額だけでなく、対象人数にも注意が必要です。仮に1人あたりの金額が数千円であっても、対象者が数万人、数十万人に広がれば、総額は大きくなります。加えて、後述する調査費用や顧客対応費用も漏洩規模に応じて膨らむ可能性があります。

情報漏洩で企業に発生する費用は損害賠償だけではない

情報漏洩事故で企業が負担する費用は、被害者への賠償金だけではありません。むしろ、事故直後から必要になる調査や顧客対応、システム復旧などが大きな負担になるケースもあります。

代表的な費用には、次のようなものがあります。

• 被害者への損害賠償・見舞金
  法律上の損害賠償に加えて、顧客へのお詫びとして商品券などを配布する企業もあります。見舞金を支払ったからといって、法律上の損害賠償責任が必ずなくなるわけではありません。
• 原因調査・フォレンジック調査の費用
  不正アクセスの経路や漏洩範囲を確認するため、ログ解析やデジタルフォレンジックなどの専門調査が必要になることがあります。
• コールセンターや顧客対応の費用
  問い合わせ窓口の開設、対象者へのメール・郵送通知、コールセンターの設置などにも費用がかかります。
• 弁護士・専門家への相談費用
  個人情報保護法上の対応や損害賠償請求への対応、取引先との契約上の責任などを確認するため、弁護士やセキュリティ専門家への相談が必要になる場合があります。
• システム復旧・セキュリティ対策の費用
  マルウェア除去、システム再構築、脆弱性修正、認証方式の変更など、事故後の復旧と再発防止にもコストが発生します。

上記は直接的な直接的な事故対応費ですが、間接的な損害も考える必要があります。ECサイトが停止したり、生産・受発注システムが利用できなくなったりすれば、売上や利益への影響も考えなければなりません。

情報漏洩が起きた企業は何をしなければならない？

被害拡大を防止して事実関係を調査・報告する

情報漏洩が発覚したら、まず被害がそれ以上広がらないように対応し、事実関係と原因を調べます。

個人情報保護委員会は、漏洩等が発覚した場合に望ましい対応として、社内報告と被害拡大防止、事実関係の調査、影響範囲の特定、再発防止策の検討、本人への連絡、公表などを挙げています。

個人情報保護委員会への報告が必要になるのは、すべての情報漏洩ではありません。個人データの漏洩等によって個人の権利利益を害するおそれがあるものとして、要配慮個人情報を含む事態、財産的被害のおそれがある事態、不正目的による漏洩、1,000人を超える漏洩などが報告対象です。対象となる場合、まず発覚から概ね3～5日以内に速報を行い、その後、原則30日以内に確報を行います。不正目的のおそれがある場合の確報期限は60日以内です。

同じ報告対象事態については、原則として本人への通知も必要です。通知内容には、漏洩の概要、対象となった個人データの項目、原因、二次被害のおそれなどが含まれます。すべてが判明するまで待つのではなく、状況に応じて速やかに通知することが求められます。

公表は必ず必要？

情報漏洩が起きたら、必ず自社サイトで公表しなければならないと思うかもしれませんが、公表が一律に法律上義務付けられているわけではありません。

個人情報保護委員会は、本人への通知の代替措置として公表する場合を除き、公表自体は義務ではないとしています。その一方で、事故の内容によっては公表することが望ましい場合があります。二次被害の防止や、同様の被害を受ける可能性がある顧客への注意喚起という意味でも、公表の必要性を個別に判断することになります。（参照：漏えい等事案が発生した場合に、公表を行うことは義務付けられていますか | 個人情報保護委員会）

逆に、公表によって被害がさらに拡大するおそれがある場合などには、すぐに公表しない判断があり得ることも示されています。事故発生時には「とにかく謝罪文を出す」と考えるのではなく、本人通知や当局への報告、二次被害防止策とあわせて判断する必要があります。

サイバー保険とは？

サイバー保険は、情報漏洩や不正アクセスなどのサイバー事故によって企業に生じる損害に備える保険です。一般的には、第三者への損害賠償だけでなく、事故対応費用や自社の利益損失なども補償対象となる商品があります。

日本損害保険協会では、サイバー事故で発生する主な損失を「事故対応費用」「損害賠償費用」「利益損害・営業継続費用」などに整理しています。具体的な補償範囲は保険会社や契約プランによって異なるため、「サイバー保険に入っているからすべて大丈夫」とは限りません。

サイバー保険で補償される主な費用

実際にどこまで補償されるか、支払限度額はいくらか、自己負担額があるかは契約によって異なりますが、代表的な項目を整理すると次のようになります。

費用	主な内容
損害賠償金・争訟費用	被害者への法律上の損害賠償や訴訟対応にかかる費用
原因調査・フォレンジック費用	不正アクセス経路や漏洩範囲を調べる専門調査
顧客への通知・コールセンター費用	郵送・メール通知、問い合わせ窓口の設置など
データ・システム復旧費用	データ復旧やシステム再構築など
休業・営業停止による利益損失	システム停止などで営業できなかったことによる利益減少

補償範囲例①情報漏洩による損害賠償

企業が情報漏洩によって顧客や取引先などに法律上の損害賠償責任を負った場合、賠償金や争訟費用を補償する商品があります。大量の顧客情報を扱うEC事業者や会員サービスだけでなく、従業員情報や取引先情報を保有している会社にも情報漏洩リスクはあります。企業規模が小さいから損害賠償リスクも小さいとは限りません。

補償範囲例②事故対応・原因調査費用

サイバー事故では、「どこから侵入されたのか」「何件の情報が漏れたのか」を調べるだけでも専門的な調査が必要になります。

サイバー保険の中には、フォレンジック調査、法律相談、顧客への通知、コールセンター設置など、事故対応に必要な費用を補償するものがあります。クレジットカード情報の漏洩が疑われるケースでは、賠償対応だけでなく、ログ調査や原因究明のための専門調査費用が発生することもあります。

補償範囲例③営業停止による利益損失

事故によってシステムが止まると、復旧費用だけでなく、その間に得られたはずの売上や利益まで失う可能性があります。ランサムウェアや不正アクセスによって基幹システムが停止すると、商品の受注や出荷、決済などができなくなることがあります。一部のサイバー保険では、こうした事業停止による利益損失や営業継続のための費用も補償対象となります。

補償範囲例④内部要因による情報漏洩

サイバー保険という名前からは、外部からのサイバー攻撃のみが対象と思いがちですが、情報漏洩の原因は必ずしも外部攻撃だけではありません。

従業員によるメール誤送信やPC・USBメモリの紛失、内部不正なども情報漏洩につながります。保険によっては、こうした内部要因による事故も補償対象となる場合があります。

注意点：サイバー保険ですべて補償されるわけではない

サイバー保険に加入していても、サイバー事故で発生した費用がすべて支払われるとは限りません。

保険には支払限度額や免責金額が設定されることがあり、事故の種類によって補償対象になる費用と対象外となる費用が分かれます。保険料も、年間売上高や業種、セキュリティ対策の状況などによって変わります。

ランサムウェアへの対応も注意したいポイントです。システム復旧や事故調査などが補償対象となる商品はありますが、攻撃者に支払った身代金そのものは補償対象とならないケースがあります。

契約内容によっては、事故発生前から把握していた問題や、一定のセキュリティ対策を怠っていた場合などに補償上の問題が生じる可能性もあります。実際に加入するときは、「情報漏洩なら補償される」という大まかな説明だけで判断せず、対象となる事故、補償する費用、支払限度額、免責事項まで確認しておく必要があります。

（参照：サイバー保険 | 日本損害保険協会）

サイバー保険に加入する前に企業が確認したいこと

サイバー保険を検討するときは、まず自社でどのような情報を保有しているかを把握するところから始めます。

顧客の氏名や住所だけでなく、クレジットカード情報、取引履歴、従業員情報、営業秘密、取引先から預かったデータなど、事故が起きたときに企業責任につながる情報を洗い出します。そのうえで、「何件漏洩した場合にどの程度の対応が必要になるか」「基幹システムが数日止まった場合に売上へどの程度影響するか」といった最大損失を考えます。

委託先やクラウドサービスの利用状況も確認しておきたいところです。自社サーバーだけを守っていても、業務委託先やクラウド環境を経由して事故が起きる可能性があります。

保険はこうしたリスクを金銭面から補う手段ですが、事故そのものを防ぐものではありません。アクセス権限の管理、多要素認証、脆弱性対応、バックアップ、従業員教育、委託先管理など、日頃のセキュリティ対策と組み合わせて考える必要があります。

まとめ：保険とセキュリティ対策の両方で備える

情報漏洩による損害賠償額には、一律の相場があるわけではありません。漏洩した情報の種類や人数、二次被害の有無、企業側の管理状況などによって大きく変わります。

企業にとってさらに重要なのは、情報漏洩による負担が賠償金だけではないことです。事故原因の調査、顧客への通知、コールセンターの設置、法律相談、システム復旧、事業停止による利益損失など、事故後にはさまざまな費用が発生します。

サイバー保険は、こうした損害の一部に備える方法の一つです。損害賠償や事故対応費用、システム復旧、利益損失などを補償する商品がありますが、補償範囲や限度額は契約によって異なります。

情報漏洩リスクを考えるときは、「1人あたりの損害賠償はいくらか」だけを見るのではなく、事故が事業全体にどの程度の影響を及ぼすかを想定することが大切です。セキュリティ対策によって事故の発生可能性を下げるとともに、万が一発生した場合に備えて保険や事故対応体制を整えておきましょう。