読まれずに戻った書類と「不安」――欧州司法裁判所 C-687/21（2024年1月25日判決）

研究ノート「情報の価値」第2回「「不安」は損害か」の素材として、欧州司法裁判所（CJEU）の先決裁定をもう1件取り上げる。C-340/21は、漏えい後の悪用のおそれへの不安も非物質的損害になり得るとした。本判決は、その約6週間後に、書類が第三者の手に渡ったものの読まれずに戻ってきた場合に、同じ不安が損害になるかを扱う。

1. 書誌

項目	内容
事件番号	C-687/21
判決日	2024年1月25日
法廷	第3小法廷（Third Chamber）
付託国・付託裁判所	ドイツ・ハーゲン区裁判所（Amtsgericht Hagen）
当事者	BL（自然人） 対 MediaMarktSaturn Hagen-Iserlohn GmbH（旧商号 Saturn Electro-Handelsgesellschaft mbH Hagen。以下「Saturn」）
ECLI	ECLI:EU:C:2024:72
法務官意見	なし（法務官の意見を聴いたうえで、意見なしに判決）
手続言語	ドイツ語

2. 関係条文

本判決が「法的枠組み」として引用するGDPRの条文のうち、判断に関係するものを掲げる。原文は判決7段・10段・11段・13段の引用により、「…」は判決による省略である。判決は前文11項・74項・76項・83項・85項・146項、83条・84条も引用している（3段・14段・15段）。

条文	原文（英語版）	訳文（AI訳）
第5条1項(f)	1. Personal data shall be: … (f) processed in a manner that ensures appropriate security of the personal data, including protection against unauthorised or unlawful processing and against accidental loss, destruction or damage, using appropriate technical or organisational measures (“integrity and confidentiality”).	1　個人データは、次のとおりでなければならない。…（f）適切な技術的又は組織的措置を用いて、無権限の又は違法な処理に対する保護、並びに偶発的な喪失、破壊又は損傷に対する保護を含め、個人データの適切な安全性を確保する方法で処理されること（「完全性及び機密性」）。
第5条2項	2. The controller shall be responsible for, and be able to demonstrate compliance with, paragraph 1 (“accountability”).	2　管理者は、1項を遵守する責任を負い、かつ、その遵守を証明できなければならない（「説明責任」）。
第24条1項	1. Taking into account the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for the rights and freedoms of natural persons, the controller shall implement appropriate technical and organisational measures to ensure and to be able to demonstrate that processing is performed in accordance with this Regulation. Those measures shall be reviewed and updated where necessary.	1　管理者は、処理の性質、範囲、状況及び目的、並びに自然人の権利及び自由に対する、発生可能性及び重大性の異なるリスクを考慮して、処理がこの規則に従って行われることを確保し、かつ、それを証明できるようにするため、適切な技術的及び組織的措置を実施しなければならない。当該措置は、必要に応じて見直され、更新されなければならない。
第32条1項(b)	1. Taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of processing as well as the risk of varying likelihood and severity for the rights and freedoms of natural persons, the controller and the processor shall implement appropriate technical and organisational measures to ensure a level of security appropriate to the risk, including inter alia as appropriate: … (b) the ability to ensure the ongoing confidentiality, integrity, availability and resilience of processing systems and services;	1　管理者及び処理者は、最新技術、実施の費用、処理の性質、範囲、状況及び目的、並びに自然人の権利及び自由に対する、発生可能性及び重大性の異なるリスクを考慮して、リスクに応じた安全性の水準を確保するため、適切な技術的及び組織的措置を実施しなければならない。当該措置には、とりわけ、適切な場合には次のものを含む。…（b）処理システム及び処理サービスの継続的な機密性、完全性、可用性及び回復力を確保する能力
第32条2項	2. In assessing the appropriate level of security account shall be taken in particular of the risks that are presented by processing, in particular from accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to personal data transmitted, stored or otherwise processed.	2　適切な安全性の水準を評価するに当たっては、処理によってもたらされるリスク、特に、送信され、保存され、又はその他の方法で処理された個人データの、偶発的若しくは違法な破壊、喪失、改変、無権限の開示又は無権限のアクセスによるリスクを特に考慮しなければならない。
第82条1項	1. Any person who has suffered material or non-material damage as a result of an infringement of this Regulation shall have the right to receive compensation from the controller or processor for the damage suffered.	1　この規則の違反の結果として物質的又は非物質的損害を被った者は、被った損害について、管理者又は処理者から賠償を受ける権利を有する。
第82条2項	2. Any controller involved in processing shall be liable for the damage caused by processing which infringes this Regulation. …	2　処理に関与した管理者は、この規則に違反する処理によって生じた損害について責任を負う。…
第82条3項	3. A controller or processor shall be exempt from liability under paragraph 2 if it proves that it is not in any way responsible for the event giving rise to the damage.	3　管理者又は処理者は、損害を生じさせた事象について自らに何ら責任がないことを証明した場合には、2項に基づく責任を免れる。

3. 事案の概要

Saturnの店舗で家電製品を購入した原告について、店員が氏名・住所・勤務先・収入・銀行口座情報を入力して作成した契約書類が、受渡しカウンターで割り込んだ別の客に商品とともに誤って渡された。30分以内に回収され、その客がデータを知らなかったことは付託裁判所が認定している（63段）。判決16〜20段を対訳で掲げる。

段落	原文（英語版）	訳文（AI訳）
16	The applicant in the main proceedings visited the commercial premises of Saturn, where he purchased an electrical household appliance. A sales contract and a credit agreement were drawn up, to that effect, by an employee of that company. At that same time, that employee entered in Saturn’s information system a number of items of personal data of that customer, namely his surname and first name, address, place of residence, name of his employer, income and bank details.	本案訴訟の原告は、Saturnの店舗を訪れ、家庭用電気製品を購入した。そのため、同社の従業員により売買契約と与信契約が作成された。その際、当該従業員は、Saturnの情報システムに、当該顧客の個人データの項目、すなわち姓名、住所、居住地、勤務先の名称、収入及び銀行口座情報を入力した。
17	The contractual documents containing that personal data were printed and signed by both parties. The applicant in the main proceedings then brought the documents to Saturn employees working at the collection counter. Another customer, who surreptitiously jumped the queue, accordingly received, by error, both the appliance ordered by the applicant in the main proceedings as well as the documents concerned and left with everything.	これらの個人データを含む契約書類は印刷され、双方が署名した。本案訴訟の原告は、その後、その書類を商品受渡しカウンターで勤務するSaturnの従業員のもとに持参した。ところが、こっそり列に割り込んだ別の客が、本案訴訟の原告が注文した製品と当該書類の両方を誤って受け取り、すべてを持って立ち去った。
18	As the error was quickly discovered, an employee of Saturn obtained the return of the appliance and the documents, then gave them to the applicant in the main proceedings, within half an hour after they had been given to the other customer. The undertaking wished to compensate the applicant in the main proceedings for that error by delivering the appliance concerned to the applicant’s home free of charge, but the applicant was of the view that that compensation was inadequate.	過誤はすぐに発覚したため、Saturnの従業員が製品と書類の返還を受け、それらが別の客に渡されてから30分以内に本案訴訟の原告に渡した。同社は、この過誤の埋合せとして当該製品を原告の自宅に無償で配送することを申し出たが、原告はその埋合せでは不十分であるとの考えであった。
19	The applicant in the main proceedings brought an action before the Amtsgericht Hagen (Local Court, Hagen, Germany), which is the referring court in the present case, seeking, in particular on the basis of the provisions of the GDPR, compensation for non-material damage that he claims to have suffered on account of the error made by the Saturn employees and the risk of a resulting loss of control over his personal data.	本案訴訟の原告は、本件の付託裁判所であるハーゲン区裁判所（ドイツ）に、とりわけGDPRの規定に基づき、Saturnの従業員の過誤及びそれによる自己の個人データに対するコントロールの喪失のリスクのために被ったと主張する非物質的損害の賠償を求める訴えを提起した。
20	In its defence, Saturn contends that there was not any infringement of the GDPR and that an infringement could only exist if it exceeded a certain threshold of severity, not reached in the present case. Furthermore, that company submits that the applicant in the main proceedings did not suffer any damage, since it was neither established nor put forward that the third party involved misused the personal data of the concerned party.	Saturnは、防御として、GDPRの違反は何らなく、違反は一定の重大性の閾値を超える場合にしか存在し得ないところ、本件ではその閾値に達していないと主張する。さらに、同社は、関与した第三者が当事者の個人データを悪用したことは立証も主張もされていないから、本案訴訟の原告は何ら損害を被っていないと主張する。

4. 付託された質問

付託された質問は判決28段のとおり7問である。第1問（82条の有効性）は、無効と考える具体的な理由が示されていないとして不受理とされた（29〜34段）。

段落	原文（英語版）	訳文（AI訳）
28 柱書き	In those circumstances, the Amtsgericht Hagen (Local Court, Hagen) decided to stay the proceedings and to refer the following questions to the Court of Justice for a preliminary ruling:	このような状況の下で、ハーゲン区裁判所は、手続を停止し、次の質問を司法裁判所に付託して先決裁定を求めることとした。
第1問	‘(1) As no automatic legal effects are specified, is the compensation rule enacted in Article 82 of the [GDPR] invalid in the case of non-material damage?	「（1）自動的な法的効果が定められていないことから、［GDPR］82条に定める賠償の規定は、非物質的損害の場合には無効か。
第2問	(2) Is it necessary, for the purposes of the right to compensation, to establish the occurrence of non-material damage, to be demonstrated by the claimant, in addition to the unauthorised disclosure of the protected data to an unauthorised third party?	（2）損害賠償請求権のためには、保護されるデータの権限のない第三者への無権限の開示に加えて、請求者が証明すべき非物質的損害の発生を立証する必要があるか。
第3問	(3) Does the accidental disclosure of the personal data of the data subject (name, address, occupation, income, employer) to a third party in a paper document (printout), as the result of a mistake by employees of the [concerned] undertaking, suffice in order to establish infringement of the [GDPR]?	（3）［当該］企業の従業員の誤りの結果として、データ主体の個人データ（氏名、住所、職業、収入、勤務先）を紙の書類（印刷物）で第三者に偶発的に開示したことは、［GDPR］の違反を立証するのに足りるか。
第4問	(4) Where the undertaking accidentally discloses, through its employees, data entered in an automated data processing system to an unauthorised third party in the form of a printout, does that accidental disclosure to a third party qualify as unlawful further processing (Article 2(1), Article 5(1)(f), Article 6(1) and Article 24 of the [GDPR])?	（4）企業が、その従業員を通じて、自動データ処理システムに入力されたデータを印刷物の形で権限のない第三者に偶発的に開示した場合、その第三者への偶発的な開示は、違法なさらなる処理（［GDPR］2条1項、5条1項(f)、6条1項及び24条）に当たるか。
第5問	(5) Is non-material damage within the meaning of Article 82 of the [GDPR] incurred even where the third party who received the document containing the personal data did not read the data before returning the document containing the information, or does the discomfort of the person whose personal data were unlawfully disclosed suffice for the purpose of establishing non-material damage within the meaning of Article 82 of the [GDPR], given that every unauthorised disclosure of personal data entails the risk, which cannot be eliminated, that the data might nevertheless have been passed on to any number of people or even misused?	（5）個人データを含む書類を受け取った第三者が、その情報を含む書類を返還する前にデータを読まなかった場合にも、［GDPR］82条にいう非物質的損害は生じるか。又は、個人データの無権限の開示にはすべて、それでもデータが任意の数の人に伝えられ、さらには悪用されたかもしれないという除去できないリスクが伴うことから、個人データを違法に開示された者の不快感で、［GDPR］82条にいう非物質的損害を立証するのに足りるか。
第6問	(6) Where accidental disclosure to third parties is preventable through better supervision of the undertaking’s helpers and/or better data security arrangements, for example by handling collections separately from contract documentation (especially financing documentation) under separate collection notes or by sending the documentation internally to the collection counter without giving the customer the printed documents and collection note, how serious should the infringement be considered to be (Article 32(1)(b) and (2) and Article 4, point 7, of the [GDPR])?	（6）第三者への偶発的な開示が、企業の補助者のより良い監督及び／又はより良いデータ安全管理の仕組み、例えば、商品の受渡しを別個の受渡票により契約書類（特に与信書類）と分けて扱うこと、又は印刷した書類と受渡票を顧客に渡さずに書類を社内で受渡しカウンターに送ることによって防止できる場合、その違反はどの程度重大と考えるべきか（［GDPR］32条1項(b)及び2項並びに4条7号）。
第7問	(7) Is compensation for non-material damage to be regarded as the award of a penalty similar to a contract penalty?’	（7）非物質的損害の賠償は、違約罰に類する制裁の付与とみなされるべきか。」

5. 判断

主文は次の5点である（第1問は不受理）。裁判所は、第3問・第4問、第7問、第6問、第2問、第5問の順に答えている。

段落	原文（英語版）	訳文（AI訳）
主文1	Articles 5, 24, 32 and 82 of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation), read together must be interpreted as meaning that in an action for compensation based on Article 82, the fact that the employees of the controller provided to an unauthorised third party in error a document containing personal data is not sufficient, in itself, to consider that the technical and organisational measures implemented by the controller at issue were not ‘appropriate’, within the meaning of Articles 24 and 32.	個人データの処理に係る自然人の保護及び当該データの自由な移転に関する、並びに指令95/46/ECを廃止する2016年4月27日の欧州議会及び理事会の規則（EU）2016/679（一般データ保護規則）の5条、24条、32条及び82条は、併せ読むと、82条に基づく損害賠償訴訟において、管理者の従業員が個人データを含む書類を誤って権限のない第三者に交付したという事実は、それ自体では、当該管理者が講じた技術的及び組織的措置が24条及び32条にいう「適切」なものでなかったと考えるのに足りない、という意味に解釈されなければならない。
主文2	Article 82(1) of Regulation 2016/679 must be interpreted as meaning that the right to compensation laid down in that provision, in particular in the case of non-material damage, fulfils a compensatory function, in that financial compensation based on that provision must allow the damage actually suffered as a result of the infringement of that regulation to be compensated in full, and not a punitive function.	規則2016/679の82条1項は、同項に定める損害賠償請求権が、とりわけ非物質的損害の場合に、同項に基づく金銭賠償が同規則の違反の結果として現に被った損害を完全に塡補するものでなければならないという意味で補償的機能を果たし、制裁的機能を果たすものではない、という意味に解釈されなければならない。
主文3	Article 82 of Regulation 2016/679 must be interpreted as meaning that that article does not require that the severity of the infringement made by the controller be taken into consideration for the purposes of compensation under that provision.	規則2016/679の82条は、同条に基づく賠償に当たり、管理者がした違反の重大性を考慮することを求めるものではない、という意味に解釈されなければならない。
主文4	Article 82(1) of Regulation 2016/679 must be interpreted as meaning that the person seeking compensation by way of that provision is required to establish not only the infringement of provisions of that regulation, but also that that infringement caused him or her material or non-material damage.	規則2016/679の82条1項は、同項により賠償を求める者は、同規則の規定の違反だけでなく、その違反が自己に物質的又は非物質的損害を生じさせたことをも立証しなければならない、という意味に解釈されなければならない。
主文5	Article 82(1) of Regulation 2016/679 must be interpreted as meaning that if a document containing personal data was provided to an unauthorised third party and it was established that that person did not become aware of those personal data, ‘non-material damage’, within the meaning of that provision, does not exist due to the mere fact that the data subject fears that, following that communication having made possible the making of a copy of that document before its recovery, a dissemination, even abuse, of those data may occur in the future.	規則2016/679の82条1項は、個人データを含む書類が権限のない第三者に交付され、その者が当該個人データを知らなかったことが立証された場合には、回収前に当該書類の複写を可能にしたその交付の後、当該データの拡散、さらには濫用が将来生じるかもしれないとデータ主体が恐れているという事実のみによっては、同項にいう「非物質的損害」は存在しない、という意味に解釈されなければならない。

主要な理由を、段落番号とともに掲げる。

段落	原文（英語版）	訳文（AI訳）
41	In the present case, the fact that the employees of the controller provided to an unauthorised third party in error a document containing personal data is capable of indicating that the technical and organisational measures implemented by the controller at issue were not ‘appropriate’, within the meaning of those Articles 24 and 32. In particular, such a circumstance may result from negligence or a failure in the controller’s organisation, which does not take into account in a concrete manner the risks in relation to the processing of the data at issue.	本件において、管理者の従業員が個人データを含む書類を誤って権限のない第三者に交付したという事実は、当該管理者が講じた技術的及び組織的措置が24条及び32条にいう「適切」なものでなかったことを示し得る。とりわけ、そのような事情は、問題となるデータの処理に関するリスクを具体的に考慮していない、管理者の過失又は組織上の欠陥から生じた可能性がある。
44	Accordingly, a court hearing such an action for compensation under Article 82 of the GDPR cannot take into account only the fact that the employees of the controller provided to an unauthorised third party in error a document containing personal data, in order to determine whether there is an infringement of an obligation laid down in that regulation. That court must also take into account all of the evidence that the controller provided to demonstrate that the technical and organisational measures adopted by him or her are appropriate with a view to complying with his or her obligations under Articles 24 and 32 of that regulation.	したがって、GDPR82条に基づくこのような損害賠償訴訟が係属する裁判所は、同規則に定める義務の違反があるかを判断するに当たり、管理者の従業員が個人データを含む書類を誤って権限のない第三者に交付したという事実のみを考慮することはできない。当該裁判所は、管理者が、自らの採った技術的及び組織的措置が同規則24条及び32条に基づく義務を遵守する観点から適切であることを証明するために提出したすべての証拠をも考慮しなければならない。
48	The Court stated that, since the right to damages provided for in Article 82(1) of the GDPR does not fulfil a deterrent function, or even punitive, but fulfils a compensatory function, the severity of the infringement of that regulation that caused the damage concerned cannot influence the amount of the compensation granted under that provision, even where it concerns non-material damage and not material damage, in that that amount cannot exceed the full compensation for that damage (see, to that effect, judgment of 21 December 2023, Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022, paragraphs 86 and 87).	当裁判所は、GDPR82条1項に定める損害賠償請求権は抑止的機能、さらには制裁的機能を果たすものではなく補償的機能を果たすものであるから、当該損害を生じさせた同規則の違反の重大性は、物質的損害ではなく非物質的損害が問題となる場合であっても、同項に基づき認められる賠償の額に影響し得ず、その額は当該損害の完全な賠償を超えることができないと述べた（その旨、2023年12月21日 Krankenversicherung Nordrhein判決、C-667/21、EU:C:2023:1022、86段及び87段参照）。
52	In that regard, it follows from Article 82 of the GDPR that, first, establishing the liability of the controller is, in particular, subject to fault on the part of the controller, which is presupposed unless it proves that it is not in any way responsible for the event giving rise to the damage, and secondly, Article 82 does not require that the severity of that fault is taken into consideration when setting the amount of the compensation allocated for non-material damage under that provision (judgment of 21 December 2023, Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022, paragraph 103).	この点、GDPR82条からは、第一に、管理者の責任の成立は、とりわけ管理者の過失を要件とし、その過失は、管理者が損害を生じさせた事象について自らに何ら責任がないことを証明しない限り推定されること、第二に、82条は、同条に基づき非物質的損害について認められる賠償の額を定めるに当たり、その過失の重大性を考慮することを求めていないことが導かれる（2023年12月21日 Krankenversicherung Nordrhein判決、C-667/21、EU:C:2023:1022、103段）。
58	It is apparent from the wording of that provision that the mere infringement of the GDPR is not sufficient to confer a right to compensation. The existence of ‘damage’ or ‘harm’ which has been ‘suffered’ constitutes one of the conditions for the right to compensation laid down in Article 82(1), as does the existence of an infringement of that regulation and of a causal link between that damage and that infringement, those three conditions being cumulative (see, to that effect, judgments of 4 May 2023, Österreichische Post (Non-material damage in connection with the processing of personal data), C-300/21, EU:C:2023:370, paragraphs 32 and 42; of 14 December 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, paragraph 77; of 14 December 2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, paragraph 14; and of 21 December 2023, Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022, paragraph 82).	同項の文言から、GDPRの違反があったというだけでは損害賠償請求権を与えるのに足りないことは明らかである。「被った」「損害」又は「害」の存在は、同規則の違反の存在及び当該損害と当該違反との間の因果関係の存在と同様に、82条1項に定める損害賠償請求権の要件の一つであり、これら三つの要件は累積的である（その旨、2023年5月4日 Österreichische Post（個人データの処理に関連する非物質的損害）判決、C-300/21、EU:C:2023:370、32段及び42段、2023年12月14日 Natsionalna agentsia za prihodite判決、C-340/21、EU:C:2023:986、77段、2023年12月14日 Gemeinde Ummendorf判決、C-456/22、EU:C:2023:988、14段、並びに2023年12月21日 Krankenversicherung Nordrhein判決、C-667/21、EU:C:2023:1022、82段参照）。
63	It is important to specify that the referring court states that, in the present case, the document containing the data concerned was returned to the applicant in the main proceedings within half an hour following it having been provided to an unauthorised third party and that that unauthorised third party did not become aware of those data before the document’s return. That applicant submits, however, that that document’s provision gave that third party the possibility to take copies of the document before returning it and that it therefore created a fear for the applicant linked to the risk occurring in the future of those data being abused.	付託裁判所が、本件において、当該データを含む書類は権限のない第三者に交付されてから30分以内に本案訴訟の原告に返還されたこと、及び当該権限のない第三者は書類の返還前に当該データを知らなかったことを述べている点を明確にしておくことが重要である。もっとも、原告は、当該書類の交付により、その第三者には返還前に書類を複写する可能性が与えられたのであり、そのため、当該データが将来濫用されるリスクに結び付いた不安が原告に生じたと主張する。
67	Similarly, in the present case, it should be noted that it is consistent both with the wording of Article 82(1) of the GDPR and the objective of protection referred to by that regulation that the concept of ‘non-material damage’ encompasses a situation in which the data subject experiences the well-founded fear, which is for the national court to determine, that some of his or her personal data be subject to dissemination or misuse by third parties in the future, on account of the fact that a document containing those data was provided to an unauthorised third party who was afforded the opportunity to take copies before returning it.	同様に、本件においても、「非物質的損害」の概念が、自己の個人データの一部を含む書類が、返還前に複写する機会を与えられた権限のない第三者に交付されたことにより、それらのデータが将来第三者によって拡散され又は悪用されるという、十分な根拠のある不安（これは国内裁判所が判断すべき事項である）をデータ主体が抱く状況を包含することは、GDPR82条1項の文言とも同規則が掲げる保護の目的とも整合することに留意すべきである。
68	However, the fact remains that it is for the applicant in an action for compensation under Article 82 of the GDPR to demonstrate the existence of such damage. In particular, a purely hypothetical risk of misuse by an unauthorised third party cannot give rise to compensation. This is so where no third party became aware of the personal data at issue.	もっとも、GDPR82条に基づく損害賠償訴訟において、そのような損害の存在を証明しなければならないのは原告であることに変わりはない。とりわけ、権限のない第三者による悪用の純粋に仮定的なリスクは、賠償を生じさせ得ない。問題となる個人データをいかなる第三者も知らなかった場合がこれに当たる。

※英語版は翻訳であり、正文はドイツ語である。訳文は生成AIによる。

6. コメント

本判決の理由の大半は、2023年に出された一連の82条判決（C-300/21、C-340/21、C-456/22 Gemeinde Ummendorf、C-667/21 Krankenversicherung Nordrhein）の引用でできている。法務官意見もなく、新しい一般論はほとんど述べていない。読みどころは、それらの一般論を、漏えいとしては最も軽い部類に入る事実に当てはめた点にある。

第一に、安全管理措置について。従業員の誤交付は、措置が不適切であったことを「示し得る」が（41段）、それだけでは不適切とはいえない（主文1、45段）。裁判所は、管理者が措置の適切性を証明するために出したすべての証拠を考慮しなければならない（44段）。C-340/21はサイバー攻撃という外部からの侵害の事案であったが、本判決は、同じ枠組みが従業員の過誤という内部の事案にも及ぶことを示した。

第二に、損害について。本判決は、C-340/21の「不安もそれ自体で損害になり得る」という一般論と、C-456/22の「短期間のコントロールの喪失も、軽微であれ現実の損害が証明されれば損害になり得る」という一般論を確認したうえで（65〜66段）、十分な根拠のある不安は損害に含まれ得るとする（67段）。しかし、第三者が誰もデータを知らなかった場合は、悪用のリスクは「純粋に仮定的」であり、賠償を生じさせない（68段、主文5）。付託裁判所は、書類が渡った以上、複写されたリスクは排除できないと考えていた（25段、28段第5問）。裁判所は、この「排除できないリスク」を、第三者がデータを知らなかったという認定によって切っている。

ここで、C-340/21の85段が求めた「当該データ主体との関係で十分な根拠があるか」という審査が、本判決ではデータが第三者に知られたか否かという客観的な事実の問いに置き換わっていることに注意したい。不安という本人の内側の状態が損害であるとしながら、その成否は外側の事実で決まる。漏れた情報の価値（ここでは収入と口座情報）は、判断の中で役割を与えられていない。

第三に、賠償の機能について。82条の賠償は補償的であって制裁的ではなく、違反の重大性は賠償額に影響しない（主文2・3、48段・52段）。付託裁判所は、より良い監督や書類の分離で防げたことを違反の重大性として考慮すべきかを問うたが（28段第6問）、本判決の枠組みでは、それは責任の成否（過失の推定、52段）の問題であって、賠償額の問題ではないと読める。

7. 関連判決

• CJEU 2023年12月14日判決 C-340/21 Natsionalna agentsia za prihodite（ECLI:EU:C:2023:986）――悪用のおそれへの不安と非物質的損害、安全管理措置の立証責任。本判決36〜40段・42〜43段・58〜60段・65段が引用
• CJEU 2023年5月4日判決 C-300/21 Österreichische Post（ECLI:EU:C:2023:370）――82条1項の3要件、重大性の閾値の否定。本判決47段・58〜60段・64段が引用
• CJEU 2023年12月14日判決 C-456/22 Gemeinde Ummendorf（ECLI:EU:C:2023:988）――短期間のコントロールの喪失と損害の証明。本判決58〜60段・64段・66段が引用
• CJEU 2023年12月21日判決 C-667/21 Krankenversicherung Nordrhein（ECLI:EU:C:2023:1022）――補償的機能、過失の推定、重大性の不考慮。本判決47〜48段・52〜54段・58段が引用

8. 出典

• 判決原文（英語版）：EUR-Lex C-687/21 判決（出典：Court of Justice of the European Union／EUR-Lex）