数日間のネット公開と「僅少性の閾値」――欧州司法裁判所 C-456/22（2023年12月14日判決）

研究ノート「情報の価値」第2回「「不安」は損害か」の素材として、欧州司法裁判所（CJEU）の先決裁定をもう1件取り上げる。本判決は、C-340/21と同じ日に同じ第3小法廷が言い渡したもので、C-300/21が否定した「重大性の閾値」を、数日間のインターネット公開という軽い事実に当てはめている。後のC-687/21は、本判決を「短期間のコントロールの喪失も損害になり得る」という先例として引用する（同判決66段）。判決は24段と短いため、理由（12〜23段）は全文を対訳で掲げる。

1. 書誌

項目	内容
事件番号	C-456/22
判決日	2023年12月14日
法廷	第3小法廷（Third Chamber）
付託国・付託裁判所	ドイツ・ラーフェンスブルク地方裁判所（Landgericht Ravensburg）。2022年6月30日付託決定（控訴審）
当事者	VX、AT（いずれも自然人） 対 Gemeinde Ummendorf（ウンメンドルフ町）
ECLI	ECLI:EU:C:2023:988
法務官意見	なし（N. Emiliou法務官の意見を聴いたうえで、意見なしに判決）
手続言語	ドイツ語

2. 関係条文

本判決が「法的枠組み」として引用する条文は、GDPR前文146項（第1文・第3文・第6文）、5条1項(a)、82条1項である。判決3〜5段を対訳で掲げる。「…」は判決による省略である。

段落	原文（英語版）	訳文（AI訳）
3	The first, third and sixth sentences of recital 146 of the GDPR are worded as follows: ‘The controller or processor should compensate any damage which a person may suffer as a result of processing that infringes this Regulation. … The concept of damage should be broadly interpreted in the light of the case-law of the Court of Justice [of the European Union] in a manner which fully reflects the objectives of this Regulation. … Data subjects should receive full and effective compensation for the damage they have suffered. …’	GDPR前文146項の第1文、第3文及び第6文は、次のとおり定める。「管理者又は処理者は、この規則に違反する処理の結果として人が被り得るあらゆる損害を賠償すべきである。…損害の概念は、［欧州連合］司法裁判所の判例に照らし、この規則の目的を十分に反映する方法で、広く解釈されるべきである。…データ主体は、被った損害について完全かつ実効的な賠償を受けるべきである。…」
4	Article 5(1)(a) of that regulation, entitled ‘Principles relating to processing of personal data’, provides: ‘Personal data shall be: (a) processed lawfully, fairly and in a transparent manner in relation to the data subject (“lawfulness, fairness and transparency”)’.	「個人データの処理に関する原則」と題する同規則5条1項(a)は、次のとおり定める。「個人データは、次のとおりでなければならない。（a）データ主体との関係で、適法に、公正に、かつ透明性のある方法で処理されること（「適法性、公正性及び透明性」）」
5	Article 82 of that regulation, entitled ‘Right to compensation and liability’, provides in paragraph 1 thereof: ‘Any person who has suffered material or non-material damage as a result of an infringement of this Regulation shall have the right to receive compensation from the controller or processor for the damage suffered.’	「損害賠償を受ける権利及び責任」と題する同規則82条は、1項で次のとおり定める。「この規則の違反の結果として物質的又は非物質的損害を被った者は、被った損害について、管理者又は処理者から賠償を受ける権利を有する。」

3. 事案の概要

町は、原告らの氏名が何度も出てくる町議会の議事日程と、原告らの姓名・住所が載った行政裁判所の判決を、原告らの同意なく町のウェブサイトのトップページに掲載した。掲載は2020年6月19日から22日までである。付託裁判所は、5条1項(a)の違反を認めたうえで、短期間のコントロールの喪失だけでは損害にならないと考えていた。判決6〜10段を対訳で掲げる。

段落	原文（英語版）	訳文（AI訳）
6	On 19 June 2020, the Municipality of Ummendorf, without the consent of the applicants in the main proceedings, published on the internet the agenda of a meeting of the municipal council, in which their names were referred to on several occasions, and a judgment delivered on 10 March 2020 by the Verwaltungsgericht Sigmaringen (Administrative Court, Sigmaringen, Germany), which also referred to their surnames and forenames and the address of their domicile. Those documents were accessible on the homepage of that municipality’s website until 22 June 2020.	2020年6月19日、ウンメンドルフ町は、本案訴訟の原告らの同意なく、原告らの氏名が何度も言及された町議会の会議の議事日程と、ジグマリンゲン行政裁判所（ドイツ）が2020年3月10日に言い渡した判決であって原告らの姓名及び住所も記載されたものとを、インターネット上で公開した。これらの文書は、2020年6月22日まで同町のウェブサイトのトップページから閲覧できた。
7	Taking the view that that publication infringed the GDPR and that the Municipality of Ummendorf had acted intentionally, since the names of the other parties to the proceedings which led to that judgment had been deleted, the applicants in the main proceedings asked the municipality to compensate them for the non-material damage which they claimed to have suffered, within the meaning of Article 82(1) of that regulation. They submit that the unlawful disclosure of personal data of an individual constitutes ‘damage’, within the meaning of that provision, without any ‘de minimis threshold’ being relied on, which would be contrary to the scheme of the GDPR and to the deterrent effect of that provision.	本案訴訟の原告らは、当該公開はGDPRに違反し、また、当該判決に至った手続の他の当事者の氏名は削除されていたのであるからウンメンドルフ町は故意に行動したとの見解に立ち、同町に対し、同規則82条1項にいう、被ったと主張する非物質的損害の賠償を求めた。原告らは、個人の個人データの違法な開示は、同項にいう「損害」を構成し、「僅少性の閾値（de minimis threshold）」を持ち出すことはできず、そのような閾値はGDPRの体系にも同項の抑止効果にも反すると主張する。
8	The Municipality of Ummendorf, on the other hand, submits that compensation for ‘non-material damage’, within the meaning of Article 82(1) of the GDPR, requires proof of a noticeable disadvantage and an objectively comprehensible impairment of personal interests.	これに対し、ウンメンドルフ町は、GDPR82条1項にいう「非物質的損害」の賠償には、目に見える不利益と、客観的に理解可能な人格的利益の侵害の証明が必要であると主張する。
9	Hearing the case on appeal between the parties to the main proceedings, the Landgericht Ravensburg (Regional Court, Ravensburg, Germany), which is the referring court, takes the view that, by publishing on the internet the personal data of the applicants in the main proceedings, the Municipality of Ummendorf infringed Article 5(1)(a) of the GDPR. That court is uncertain, however, whether that publication caused the applicants non-material damage within the meaning of Article 82(1) of that regulation, with the result that they are entitled to compensation for the suffering endured.	本案訴訟の当事者間の控訴審を審理する付託裁判所であるラーフェンスブルク地方裁判所（ドイツ）は、ウンメンドルフ町は本案訴訟の原告らの個人データをインターネット上で公開したことによりGDPR5条1項(a)に違反したとの見解である。もっとも、同裁判所は、当該公開が原告らに同規則82条1項にいう非物質的損害を生じさせ、その結果、原告らが精神的苦痛の賠償を受ける権利を有するかについて疑問を抱いている。
10	In particular, the referring court considers that the mere loss of control over the personal data of the applicants in the main proceedings is not sufficient to constitute non-material damage within the meaning of Article 82(1) of the GDPR. It considers that, in order to accept the existence of non-material damage, a ‘de minimis threshold’ must be exceeded and that that is not the case where the data subjects have lost control over their data only for a short period of time, without causing them a noticeable disadvantage and without an objectively comprehensible impairment to their personal interests having been demonstrated.	とりわけ、付託裁判所は、本案訴訟の原告らの個人データに対するコントロールの喪失だけでは、GDPR82条1項にいう非物質的損害を構成するのに足りないと考えている。同裁判所は、非物質的損害の存在を認めるためには「僅少性の閾値」を超えなければならず、データ主体が短期間だけ自己のデータに対するコントロールを失い、それにより目に見える不利益が生じておらず、客観的に理解可能な人格的利益の侵害も証明されていない場合には、これに当たらないと考えている。

4. 付託された質問

段落	原文（英語版）	訳文（AI訳）
11	In those circumstances, the Landgericht Ravensburg (Regional Court, Ravensburg) decided to stay the proceedings and to refer the following question to the Court of Justice for a preliminary ruling: ‘Is the concept of non-material damage in Article 82(1) of [the GDPR] to be interpreted as meaning that the assumption of non-material damage requires a noticeable disadvantage and an objectively comprehensible impairment of personal interests, or is the mere short-term loss of the data subject’s unfettered control over his or her data due to the publication of personal data on the internet for a period of a few days, which did not have any noticeable or adverse consequences for the data subject, sufficient for that purpose?’	このような状況の下で、ラーフェンスブルク地方裁判所は、手続を停止し、次の質問を司法裁判所に付託して先決裁定を求めることとした。「［GDPR］82条1項の非物質的損害の概念は、非物質的損害を認めるには目に見える不利益と客観的に理解可能な人格的利益の侵害とが必要である、という意味に解釈されるべきか。それとも、個人データが数日間インターネット上で公開されたことにより、データ主体が自己のデータに対する制約のないコントロールを短期間失ったことだけで、それがデータ主体に目に見える又は不利な結果を何らもたらさなかったとしても、そのために足りるか。」

5. 判断

主文は次のとおりである。

段落	原文（英語版）	訳文（AI訳）
主文	Article 82(1) of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation), must be interpreted as precluding national legislation or a national practice which sets a ‘de minimis threshold’ in order to establish non-material damage caused by an infringement of that regulation. The data subject is required to show that the consequences of the infringement which he or she claims to have suffered constitute damage which differs from the mere infringement of the provisions of that regulation.	個人データの処理に係る自然人の保護及び当該データの自由な移転に関する、並びに指令95/46/ECを廃止する2016年4月27日の欧州議会及び理事会の規則（EU）2016/679（一般データ保護規則）の82条1項は、同規則の違反によって生じた非物質的損害を認定するために「僅少性の閾値」を設ける国内法令又は国内実務を排除する、という意味に解釈されなければならない。データ主体は、自らが被ったと主張する違反の結果が、同規則の規定の違反それ自体とは異なる損害を構成することを示さなければならない。

理由（12〜23段）を全文掲げる。

段落	原文（英語版）	訳文（AI訳）
12	By its question, the referring court asks, in essence, whether Article 82(1) of the GDPR must be interpreted as precluding national legislation or a national practice which sets a ‘de minimis threshold’ in order to establish non-material damage caused by an infringement of that regulation.	その質問により、付託裁判所は、要するに、GDPR82条1項は、同規則の違反によって生じた非物質的損害を認定するために「僅少性の閾値」を設ける国内法令又は国内実務を排除する、という意味に解釈されなければならないかを問う。
13	In that regard, it should be recalled that that provision provides that ‘any person who has suffered material or non-material damage as a result of an infringement of this Regulation shall have the right to receive compensation from the controller or processor for the damage suffered’.	この点、同項が「この規則の違反の結果として物質的又は非物質的損害を被った者は、被った損害について、管理者又は処理者から賠償を受ける権利を有する」と定めていることを想起すべきである。
14	As the Court has pointed out, it is clear from the wording of Article 82(1) of the GDPR that the existence of ‘damage’ which has been ‘suffered’ constitutes one of the conditions for the right to compensation laid down in that provision, as does the existence of an infringement of that regulation and of a causal link between that damage and that infringement, those three conditions being cumulative (judgments of 4 May 2023, Österreichische Post (Non-material damage in connection with the processing of personal data), C-300/21, EU:C:2023:370, paragraph 32, and of today, Natsionalna agentsia za prihodite, C-340/21, paragraph 77). It follows that those three conditions are necessary and sufficient in order to have a right to compensation within the meaning of that provision.	当裁判所が指摘したとおり、GDPR82条1項の文言から、「被った」「損害」の存在は、同規則の違反の存在及び当該損害と当該違反との間の因果関係の存在と同様に、同項に定める損害賠償請求権の要件の一つであり、これら三つの要件は累積的であることが明らかである（2023年5月4日 Österreichische Post（個人データの処理に関連する非物質的損害）判決、C-300/21、EU:C:2023:370、32段、及び本日の Natsionalna agentsia za prihodite判決、C-340/21、77段）。したがって、これら三つの要件は、同項にいう損害賠償請求権を有するために必要かつ十分である。
15	Having regard to the absence of any reference in Article 82(1) of the GDPR to the national law of the Member States, the concept of ‘non-material damage’, within the meaning of that provision, must be given an autonomous and uniform definition specific to EU law (see, to that effect, judgment of 4 May 2023, Österreichische Post (Non-material damage in connection with the processing of personal data), C-300/21, EU:C:2023:370, paragraphs 30 and 44).	GDPR82条1項が加盟国の国内法に何ら言及していないことに鑑み、同項にいう「非物質的損害」の概念には、EU法に固有の自律的かつ統一的な定義が与えられなければならない（その旨、2023年5月4日 Österreichische Post（個人データの処理に関連する非物質的損害）判決、C-300/21、EU:C:2023:370、30段及び44段参照）。
16	From that point of view, on the basis of considerations of a literal, systemic and teleological nature, the Court has interpreted Article 82(1) of the GDPR as precluding a national rule or practice which makes compensation for ‘non-material damage’, within the meaning of that provision, subject to the condition that the damage suffered by the data subject has reached a certain degree of seriousness (judgments of 4 May 2023, Österreichische Post (Non-material damage in connection with the processing of personal data), C-300/21, EU:C:2023:370, paragraph 51, and of today, Natsionalna agentsia za prihodite, C-340/21, paragraph 78).	この観点から、当裁判所は、文言、体系及び目的に関する考察に基づき、GDPR82条1項を、同項にいう「非物質的損害」の賠償を、データ主体が被った損害が一定の重大性の程度に達していることを条件とする国内の規定又は実務を排除する、という意味に解釈した（2023年5月4日 Österreichische Post（個人データの処理に関連する非物質的損害）判決、C-300/21、EU:C:2023:370、51段、及び本日の Natsionalna agentsia za prihodite判決、C-340/21、78段）。
17	Accordingly, it cannot be considered that, in addition to the three conditions set out in paragraph 14 of the present judgment, other conditions for establishing liability laid down in Article 82(1) of the GDPR, such as the tangible nature of the damage or the objective nature of the infringement, may be added.	したがって、本判決14段に掲げた三つの要件に加えて、損害の有形性や侵害の客観性など、GDPR82条1項に定める責任の成立のための他の要件を付け加えることができると考えることはできない。
18	It follows that Article 82(1) of the GDPR does not require that, following a proven infringement of provisions of that regulation, the ‘non-material damage’ alleged by the data subject must reach a ‘de minimis threshold’ in order for that damage to be capable of compensation.	したがって、GDPR82条1項は、同規則の規定の違反が証明された後、データ主体が主張する「非物質的損害」が賠償の対象となり得るために、当該損害が「僅少性の閾値」に達していなければならないことを求めていない。
19	That interpretation is supported by the third sentence of recital 146 of the GDPR, which states that ‘the concept of damage should be broadly interpreted in the light of the case-law of the Court … in a manner which fully reflects the objectives [of that regulation]’. It would be contrary to that broad conception of ‘damage’, favoured by the EU legislature, if that concept were limited solely to damage of a certain degree of seriousness, in particular as regards the duration of the period during which the negative consequences of the infringement of that regulation were suffered by the data subjects (see, to that effect, judgments of 4 May 2023, Österreichische Post (Non-material damage in connection with the processing of personal data), C-300/21, EU:C:2023:370, paragraph 46, and of today, Natsionalna agentsia za prihodite, C-340/21, paragraph 81).	この解釈は、「損害の概念は、当裁判所の判例に照らし、…［同規則の］目的を十分に反映する方法で、広く解釈されるべきである」と述べるGDPR前文146項第3文によって裏付けられる。EU立法者が採った「損害」のこの広い捉え方に照らせば、その概念を、とりわけデータ主体が同規則の違反による不利な結果を被った期間の長さの点で、一定の重大性の程度に達した損害だけに限定することは、これに反することになる（その旨、2023年5月4日 Österreichische Post（個人データの処理に関連する非物質的損害）判決、C-300/21、EU:C:2023:370、46段、及び本日の Natsionalna agentsia za prihodite判決、C-340/21、81段参照）。
20	Furthermore, such an interpretation is consistent with one of the objectives of the GDPR, which is to ensure a consistent and high level of protection of natural persons with regard to the processing of personal data within the European Union. Making compensation for non-material damage subject to a certain threshold of seriousness would risk undermining the coherence of the rules established by the GDPR, since the graduation of such a threshold, on which the possibility or otherwise of obtaining that compensation would depend, would be liable to fluctuate according to the assessment of the courts seised (see, to that effect, judgment of 4 May 2023, Österreichische Post (Non-material damage in connection with the processing of personal data), C-300/21, EU:C:2023:370, paragraphs 48 and 49).	さらに、この解釈は、欧州連合域内における個人データの処理に関して自然人の一貫した高い水準の保護を確保するというGDPRの目的の一つと整合する。非物質的損害の賠償を一定の重大性の閾値に係らしめることは、賠償を得られるか否かを左右するその閾値の段階付けが、係属した裁判所の評価によって変動しやすいことから、GDPRが定める規律の一貫性を損なうおそれがある（その旨、2023年5月4日 Österreichische Post（個人データの処理に関連する非物質的損害）判決、C-300/21、EU:C:2023:370、48段及び49段参照）。
21	A person concerned by an infringement of the GDPR which has negative consequences for him or her is, however, required to demonstrate that those consequences constitute non-material damage within the meaning of Article 82 of that regulation (see, to that effect, judgments of 4 May 2023, Österreichische Post (Non-material damage in connection with the processing of personal data), C-300/21, EU:C:2023:370, paragraph 50, and of today, Natsionalna agentsia za prihodite, C-340/21, paragraph 84). The mere infringement of the provisions of that regulation is not sufficient to confer a right to compensation (judgment of 4 May 2023, Österreichische Post (Non-material damage in connection with the processing of personal data), C-300/21, EU:C:2023:370, paragraph 42).	もっとも、GDPRの違反によって自己に不利な結果を被った者は、それらの結果が同規則82条にいう非物質的損害を構成することを証明しなければならない（その旨、2023年5月4日 Österreichische Post（個人データの処理に関連する非物質的損害）判決、C-300/21、EU:C:2023:370、50段、及び本日の Natsionalna agentsia za prihodite判決、C-340/21、84段参照）。同規則の規定の違反だけでは、損害賠償請求権を与えるのに足りない（2023年5月4日 Österreichische Post（個人データの処理に関連する非物質的損害）判決、C-300/21、EU:C:2023:370、42段）。
22	In those circumstances, although there is nothing to preclude the publication on the internet of personal data and the consequent loss of control over those data for a short period of time from causing the data subjects ‘non-material damage’, within the meaning of Article 82(1) of the GDPR, giving rise to a right to compensation, those persons must also demonstrate that they have actually suffered such damage, however minimal.	このような状況においては、個人データのインターネット上での公開及びそれに伴う短期間の当該データに対するコントロールの喪失が、データ主体に、GDPR82条1項にいう「非物質的損害」であって損害賠償請求権を生じさせるものを生じさせることを妨げるものは何もないが、データ主体は、たとえ軽微であっても、そのような損害を現に被ったことをも証明しなければならない。
23	In the light of the foregoing, the answer to the question referred is that Article 82(1) of the GDPR must be interpreted as precluding national legislation or a national practice which sets a ‘de minimis threshold’ in order to establish non-material damage caused by an infringement of that regulation. The data subject is required to show that the consequences of the infringement which he or she claims to have suffered constitute damage which differs from the mere infringement of the provisions of that regulation.	以上に照らし、付託された質問に対しては、GDPR82条1項は、同規則の違反によって生じた非物質的損害を認定するために「僅少性の閾値」を設ける国内法令又は国内実務を排除する、という意味に解釈されなければならない、と回答する。データ主体は、自らが被ったと主張する違反の結果が、同規則の規定の違反それ自体とは異なる損害を構成することを示さなければならない。

※英語版は翻訳であり、正文はドイツ語である。訳文は生成AIによる。

6. コメント

本判決は、法務官意見もなく、理由の多くをC-300/21と同日のC-340/21の引用で組み立てている。新しいのは、閾値の否定が、公開の「期間」の短さにも及ぶことを明示した点である。

第一に、閾値について。付託裁判所と被告の町は、「目に見える不利益」と「客観的に理解可能な人格的利益の侵害」を求めた（8段、10段）。裁判所は、14段の3要件（違反・損害・因果関係）が「必要かつ十分」であるとし、損害の有形性や侵害の客観性といった要件を付け加えることはできないとした（14段、17段）。そのうえで、損害の概念を、データ主体が不利な結果を被った「期間の長さ」によって限定することは、前文146項の広い損害概念に反すると述べる（19段）。数日間の公開であることは、それだけでは損害を否定する理由にならない。

第二に、証明について。他方で、データ主体は、軽微であれ損害を「現に」被ったことを証明しなければならず（22段）、主張する違反の結果が、違反それ自体とは異なる損害であることを示さなければならない（23段、主文第2文）。本判決は、何をもって「違反とは異なる損害」とするかを示していない。閾値は否定されたが、損害の中身を確かめる作業は国内裁判所に残されている。客観的な侵害を要件として付け加えることは否定しつつ（17段）、違反とは別の損害の証明を求める（23段）という組み合わせは、同日のC-340/21が不安について求めた「十分な根拠」の審査（同判決85段）や、後のC-687/21による「純粋に仮定的なリスク」の排除（同判決68段）と同じ構造である。

第三に、情報の性質と行為者について。公開されたのは、氏名・住所と、原告らが当事者となった行政訴訟の判決である。原告らは、判決のうち他の当事者の氏名は削除されていたことから、町は故意に行動したと主張した（7段）。しかし、本判決の理由には、情報の性質（訴訟の当事者であったという事実と住所の結合）も、町の故意も登場しない。違反の重大性が賠償額に影響しないとする後のC-667/21（C-687/21の48段・52段が引用）とあわせて読むと、82条の枠組みでは、どのような情報が、誰によって、どのような意図で公にされたかは、損害の有無にも額にも正面からは入ってこない。また、5条1項(a)違反は付託裁判所の判断を前提としており、自治体による公開の適法性そのものは審理されていない（9段）。

第四に、時間について。本判決は、損害の大きさを期間の長さで測ることを退けた（19段）。公開が数日で終わっても、その間に誰が何を見たかは分からない。この点は、連載の第7回「時間と情報の価値」で扱う予定の論点にも関わる。

7. 関連判決

• CJEU 2023年5月4日判決 C-300/21 Österreichische Post（ECLI:EU:C:2023:370）――82条1項の3要件、重大性の閾値の否定。本判決14〜16段・19〜21段が引用
• CJEU 2023年12月14日判決 C-340/21 Natsionalna agentsia za prihodite（ECLI:EU:C:2023:986）――同日判決。悪用のおそれへの不安と非物質的損害。本判決14段・16段・19段・21段が「本日の判決」として引用
• CJEU 2024年1月25日判決 C-687/21 MediaMarktSaturn Hagen-Iserlohn（ECLI:EU:C:2024:72）――誤交付と「純粋に仮定的なリスク」。本判決を58〜60段・64段・66段で引用
• CJEU 2023年12月21日判決 C-667/21 Krankenversicherung Nordrhein（ECLI:EU:C:2023:1022）――本判決の1週間後の判決。82条の賠償の補償的機能、過失の推定、重大性の不考慮

8. 出典

• 判決原文（英語版）：EUR-Lex C-456/22 判決（出典：Court of Justice of the European Union／EUR-Lex）