違反だけでは損害にならない、しかし閾値もない――欧州司法裁判所 C-300/21（2023年5月4日判決）

研究ノート「情報の価値」の第1回の素材として、GDPR 82条の損害賠償の要件を扱った欧州司法裁判所（CJEU）の先決裁定を取り上げる。本件では、本人の政治的親和性を推知したデータが、ターゲティング広告用に販売される商品として作られていた。他方で、付託決定で立証されているとされた損害は、一時的な動揺や不快感にとどまる。事業者にとっての価値と、本人の損害として数えられるものとが、同じ情報について大きく食い違う事案である。

1. 書誌

項目	内容
事件番号	C-300/21
判決日	2023年5月4日
法廷	第3小法廷（Third Chamber）
付託国・付託裁判所	オーストリア・最高裁判所（Oberster Gerichtshof）。2021年4月15日付託決定
当事者	UI（自然人） 対 Österreichische Post AG（オーストリア郵便株式会社）
ECLI	ECLI:EU:C:2023:370
法務官意見	Campos Sánchez-Bordona法務官、2022年10月6日
手続言語	ドイツ語

2. 関係条文

本判決が「法的枠組み」（3〜10段）として引用する条文のうち、判断に関係するものを掲げる。「…」は判決による省略である。

条文	原文（英語版）	訳文（AI訳）
前文85項	A personal data breach may, if not addressed in an appropriate and timely manner, result in physical, material or non-material damage to natural persons such as loss of control over their personal data or limitation of their rights, discrimination, identity theft or fraud, financial loss, unauthorised reversal of pseudonymisation, damage to reputation, loss of confidentiality of personal data protected by professional secrecy or any other significant economic or social disadvantage to the natural person concerned. …	個人データ侵害は、適切かつ適時に対処されなければ、自然人に対し、自己の個人データに対するコントロールの喪失若しくは権利の制限、差別、なりすまし若しくは詐欺、金銭的損失、仮名化の無権限の復元、名誉の毀損、職業上の守秘義務により保護される個人データの機密性の喪失、又は当該自然人に対するその他の重大な経済的若しくは社会的不利益など、身体的、物質的又は非物質的損害をもたらすおそれがある。…
前文146項	The controller or processor should compensate any damage which a person may suffer as a result of processing that infringes this Regulation. The controller or processor should be exempt from liability if it proves that it is not in any way responsible for the damage. The concept of damage should be broadly interpreted in the light of the case-law of the Court of Justice in a manner which fully reflects the objectives of this Regulation. This is without prejudice to any claims for damage deriving from the violation of other rules in [EU] or Member State law. Processing that infringes this Regulation also includes processing that infringes delegated and implementing acts adopted in accordance with this Regulation and Member State law specifying rules of this Regulation. Data subjects should receive full and effective compensation for the damage they have suffered. …	管理者又は処理者は、この規則に違反する処理の結果としてある者が被り得るあらゆる損害を賠償すべきである。管理者又は処理者は、当該損害について自らに何ら責任がないことを証明した場合には、責任を免れるべきである。損害の概念は、司法裁判所の判例法に照らし、この規則の目的を十分に反映する方法で、広く解釈されるべきである。このことは、［EU］法又は加盟国法の他の規定の違反に由来する損害の請求を妨げない。この規則に違反する処理には、この規則に従って採択された委任法令及び実施法令、並びにこの規則の規定を具体化する加盟国法に違反する処理も含まれる。データ主体は、被った損害について完全かつ実効的な賠償を受けるべきである。…
第82条1項	1. Any person who has suffered material or non-material damage as a result of an infringement of this Regulation shall have the right to receive compensation from the controller or processor for the damage suffered.	1　この規則の違反の結果として物質的又は非物質的損害を被った者は、被った損害について、管理者又は処理者から賠償を受ける権利を有する。
第82条2項	2. Any controller involved in processing shall be liable for the damage caused by processing which infringes this Regulation. …	2　処理に関与した管理者は、この規則に違反する処理によって生じた損害について責任を負う。…

3. 事案の概要

住所仲介業者が、統計的推計によって住民の政党への親和性を推知し、ターゲティング広告用に販売していた。その対象とされた一人が、非物質的損害として1,000ユーロ〔約18万円〕の賠償を求めた事件である。判決11〜14段を対訳で掲げる。

段落	原文（英語版）	訳文（AI訳）
11	From 2017, Österreichische Post, a company incorporated under Austrian law, an address broker, collected information on the political affinities of the Austrian population. Using an algorithm that takes into account various social and demographic criteria, it defined ‘target group addresses’. The data thus generated were sold to various organisations, to enable them to send targeted advertising.	オーストリア法に基づき設立された会社であり、住所仲介業者（アドレスブローカー）であるÖsterreichische Postは、2017年から、オーストリア住民の政治的親和性に関する情報を収集していた。同社は、様々な社会的及び人口統計的な基準を考慮するアルゴリズムを用いて、「ターゲットグループ住所」を定義した。こうして生成されたデータは、ターゲティング広告の送付を可能にするため、様々な団体に販売された。
12	In the course of its activity, Österreichische Post processed data which, by way of statistical extrapolation, led it to infer that the applicant in the main proceedings had a high degree of affinity with a certain Austrian political party. That information was not communicated to third parties, but the applicant in the main proceedings, who had not consented to the processing of his personal data, felt offended by the fact that an affinity with the party in question had been attributed to him. The fact that data relating to his supposed political opinions were retained within that company caused him great upset, a loss of confidence and a feeling of exposure. It is apparent from the order for reference that no harm other than those adverse emotional effects of a temporary nature has been established.	その活動の過程で、Österreichische Postはデータを処理し、統計的な推計によって、本案訴訟の原告がオーストリアのある政党に対して高い親和性を有すると推知するに至った。この情報は第三者に伝達されなかったが、自己の個人データの処理に同意していなかった本案訴訟の原告は、当該政党との親和性を自分に帰属させられたことに侮辱を感じた。自己の政治的意見とされるものに関するデータが同社内に保持されていたことは、原告に、大きな動揺、信頼の喪失及びさらされているという感覚を生じさせた。付託決定からは、これらの一時的な性質の否定的な感情的影響以外に、いかなる損害も立証されていないことが明らかである。
13	In that context, the applicant in the main proceedings brought an action before the Landesgericht für Zivilrechtssachen Wien (Regional Court for Civil Matters, Vienna, Austria) seeking, first, an injunction for Österreichische Post to cease processing the personal data in question and, second, an order requiring that company to pay him the sum of EUR 1 000 by way of compensation for the non-material damage which he claims to have suffered. By decision of 14 July 2020, that court upheld the application for an injunction but rejected the claim for compensation.	このような状況の下で、本案訴訟の原告は、ウィーン民事地方裁判所（オーストリア）に対し、第一に、Österreichische Postに当該個人データの処理の停止を命ずる差止め、第二に、自らが被ったと主張する非物質的損害の賠償として1,000ユーロ〔約18万円〕を原告に支払うよう同社に命ずることを求める訴えを提起した。同裁判所は、2020年7月14日の決定により、差止めの申立てを認容したが、損害賠償請求を棄却した。
14	On appeal, the Oberlandesgericht Wien (Higher Regional Court, Vienna, Austria) confirmed, by judgment of 9 December 2020, the decision at first instance. As regards the claim for compensation, that court referred to recitals 75, 85 and 146 of the GDPR and held that the Member States’ provisions of national law on civil liability supplement the provisions of that regulation, in so far as the latter does not contain special rules. In that regard, it noted that, under Austrian law, a breach of the rules on the protection of personal data is not automatically associated with non-material damage and gives rise to a right to compensation only where such damage reaches a certain ‘threshold of seriousness’. In its view, that is not the case with regard to the negative feelings which the applicant in the main proceedings has invoked.	控訴審において、ウィーン高等裁判所（オーストリア）は、2020年12月9日の判決により、第一審の決定を維持した。損害賠償請求について、同裁判所は、GDPR前文75項、85項及び146項に言及し、民事責任に関する加盟国の国内法の規定は、同規則が特別の規定を含まない限りにおいて、同規則の規定を補完すると判断した。この点に関し、同裁判所は、オーストリア法の下では、個人データの保護に関する規定の違反は当然に非物質的損害と結び付くものではなく、当該損害が一定の「重大性の閾値」に達した場合にのみ損害賠償請求権を生じさせると指摘した。同裁判所の見解では、本案訴訟の原告が援用した否定的な感情については、そのような場合に当たらない。

差止めは第一審で認容され、最高裁判所も2021年4月15日の中間判決で同社の上告を認めなかった（15段）。最高裁判所に残ったのは、損害賠償請求の棄却に対する原告の上告である。

4. 付託された質問

付託された質問は判決20段のとおりである。司法裁判所は、第1問、第3問、第2問の順に検討した（43段）。

段落	原文（英語版）	訳文（AI訳）
第1問	Does the award of compensation under Article 82 of [the GDPR] also require, in addition to infringement of provisions of the GDPR, that an applicant must have suffered harm, or is the infringement of provisions of the GDPR in itself sufficient for the award of compensation?	［GDPR］82条に基づく損害賠償の付与には、GDPRの規定の違反に加えて、請求者が損害を被ったことも必要か。それとも、GDPRの規定の違反それ自体で損害賠償の付与に足りるか。
第2問	Does the assessment of the compensation depend on further EU-law requirements in addition to the principles of effectiveness and equivalence?	賠償の算定は、実効性原則及び同等性原則に加えて、さらにEU法上の要請に依存するか。
第3問	Is it compatible with EU law to take the view that the award of compensation for non-material damage presupposes the existence of a consequence [or effect] of the infringement of at least some weight that goes beyond the upset caused by that infringement?	非物質的損害に対する賠償の付与は、違反によって生じた動揺を超える、少なくとも一定の重みのある違反の結果［又は影響］の存在を前提とする、との見解をとることは、EU法と両立するか。

5. 判断

主文は次の3点である。

段落	原文（英語版）	訳文（AI訳）
主文1	Article 82(1) of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) must be interpreted as meaning that the mere infringement of the provisions of that regulation is not sufficient to confer a right to compensation.	一般データ保護規則（規則（EU）2016/679）82条1項は、同規則の規定の単なる違反は損害賠償請求権を与えるに足りない、という意味に解釈されなければならない。
主文2	Article 82(1) of Regulation 2016/679 must be interpreted as precluding a national rule or practice which makes compensation for non-material damage, within the meaning of that provision, subject to the condition that the damage suffered by the data subject has reached a certain degree of seriousness.	規則2016/679の82条1項は、同項にいう非物質的損害の賠償を、データ主体が被った損害が一定の重大性の程度に達したことを条件とする国内の規定又は実務を排除する、という意味に解釈されなければならない。
主文3	Article 82 of Regulation 2016/679 must be interpreted as meaning that for the purposes of determining the amount of damages payable under the right to compensation enshrined in that article, national courts must apply the domestic rules of each Member State relating to the extent of financial compensation, provided that the principles of equivalence and effectiveness of EU law are complied with.	規則2016/679の82条は、同条に定める損害賠償請求権に基づき支払われるべき損害賠償の額を定めるにあたり、各国の裁判所は、EU法の同等性原則及び実効性原則が遵守されることを条件として、金銭賠償の範囲に関する各加盟国の国内規定を適用しなければならない、という意味に解釈されなければならない。

主要な理由を、段落番号とともに掲げる。

段落	原文（英語版）	訳文（AI訳）
32	It is clear from the wording of that provision that the existence of ‘damage’ which has been ‘suffered’ constitutes one of the conditions for the right to compensation laid down in that provision, as does the existence of an infringement of the GDPR and of a causal link between that damage and that infringement, those three conditions being cumulative.	同項の文言から、「被った」「損害」の存在が、同項に定める損害賠償請求権の要件の一つを構成することは明らかである。GDPRの違反の存在、及び当該損害と当該違反との間の因果関係の存在も同様に要件であり、これら三つの要件は累積的である。
37	In addition, the clarifications provided by recitals 75, 85 and 146 of the GDPR support that interpretation. First, recital 146, which specifically concerns the right to compensation provided for in Article 82(1) of that regulation, refers, in its first sentence, to ‘damage which a person may suffer as a result of processing that infringes this Regulation’. Second, recitals 75 and 85 state, respectively, that ‘the risk … may result from personal data processing which could lead to … damage’ and that a ‘personal data breach may … result in … damage’. It follows, first, that the occurrence of damage in the context of such processing is only potential; second, that an infringement of the GDPR does not necessarily result in damage, and, third, that there must be a causal link between the infringement in question and the damage suffered by the data subject in order to establish a right to compensation.	加えて、GDPR前文75項、85項及び146項による明確化も、この解釈を裏付ける。第一に、同規則82条1項に定める損害賠償請求権に特に関わる前文146項は、その第1文において、「この規則に違反する処理の結果としてある者が被り得る損害」に言及している。第二に、前文75項及び85項は、それぞれ、「リスクは…損害…をもたらし得る個人データの処理から生じ得る」こと、及び「個人データ侵害は…損害…をもたらすおそれがある」ことを述べている。このことから、第一に、そのような処理の文脈における損害の発生は潜在的なものにすぎないこと、第二に、GDPRの違反は必ずしも損害をもたらすものではないこと、第三に、損害賠償請求権を基礎付けるためには、問題となる違反とデータ主体が被った損害との間に因果関係がなければならないことが導かれる。
39	In that regard, it should be noted that Articles 77 and 78 of the GDPR, contained in that chapter, provide for legal remedies before or against a supervisory authority, in case of an alleged infringement of that regulation, without it being stated that the data subject must have suffered ‘damage’ in order to be able to bring such actions, contrary to the wording of Article 82 of the GDPR with regard to actions for compensation. That difference in wording is indicative of the importance of the ‘damage’ criterion, and therefore of its distinctive nature as against the ‘infringement’ criterion, for the purposes of claims for compensation based on the GDPR.	この点に関し、同章に含まれるGDPR 77条及び78条は、同規則の違反が主張される場合に、監督機関に対する、又は監督機関を相手方とする法的救済を定めているが、損害賠償の訴えに関するGDPR 82条の文言とは異なり、そのような救済を求めるためにデータ主体が「損害」を被ったことが必要であるとは定めていないことに留意すべきである。この文言の違いは、GDPRに基づく損害賠償請求にとって、「損害」の基準が重要であること、したがって「違反」の基準に対してそれが独自の性質を有することを示している。
46	In the second place, the context of that provision also tends to indicate that the right to compensation is not subject to the condition that the damage in question has reached a certain threshold of seriousness. The third sentence of recital 146 of the GDPR states that ‘the concept of damage should be broadly interpreted in the light of the case-law of the Court of Justice in a manner which fully reflects the objectives of this Regulation’. It would be contrary to that broad conception of ‘damage’, favoured by the EU legislature, if that concept were limited solely to damage of a certain degree of seriousness.	第二に、同条の文脈も、損害賠償請求権が、問題となる損害が一定の重大性の閾値に達したことを条件としないことを示す傾向にある。GDPR前文146項第3文は、「損害の概念は、司法裁判所の判例法に照らし、この規則の目的を十分に反映する方法で、広く解釈されるべきである」と述べている。この概念が一定の重大性の程度に達した損害のみに限定されるとすれば、EUの立法者が支持する「損害」のこの広い捉え方に反することになる。
49	Making compensation for non-material damage subject to a certain threshold of seriousness would risk undermining the coherence of the rules established by the GDPR, since the graduation of such a threshold, on which the possibility or otherwise of obtaining that compensation would depend, would be liable to fluctuate according to the assessment of the courts seised.	非物質的損害の賠償を一定の重大性の閾値に服させることは、GDPRが定める規定の一貫性を損なうおそれがある。賠償を得られるか否かがかかるそのような閾値の段階付けは、事件が係属する裁判所の評価によって変動しやすいからである。
50	The fact remains that the interpretation thus adopted cannot be understood as meaning that a person concerned by an infringement of the GDPR which had negative consequences for him or her would be relieved of the need to demonstrate that those consequences constitute non-material damage within the meaning of Article 82 of that regulation.	もっとも、このように採用された解釈は、GDPRの違反によって自己に不利な結果を被った者が、それらの結果が同規則82条にいう非物質的損害を構成することを証明する必要を免れる、という意味に理解されることはできない。
54	In the present case, it should be noted that the GDPR does not contain any provision intended to define the rules on the assessment of the damages to which a data subject, within the meaning of Article 4(1) of that regulation, may be entitled under Article 82 thereof, where an infringement of that regulation has caused him or her harm. Therefore, in the absence of rules of EU law governing the matter, it is for the legal system of each Member State to prescribe the detailed rules governing actions for safeguarding rights which individuals derive from Article 82 and, in particular, the criteria for determining the extent of the compensation payable in that context, subject to compliance with those principles of equivalence and effectiveness (see, by analogy, judgment of 13 July 2006, Manfredi and Others, C-295/04 to C-298/04, EU:C:2006:461, paragraphs 92 and 98).	本件において、GDPRは、同規則の違反がデータ主体に損害を生じさせた場合に、同規則4条1号にいうデータ主体が同規則82条に基づき受けることのできる損害賠償の算定に関する規定を定めることを目的とする規定を何ら含んでいないことに留意すべきである。したがって、当該事項を規律するEU法の規定がない以上、同等性原則及び実効性原則の遵守を条件として、個人が82条から導く権利を保護するための訴えを規律する詳細な規定、とりわけその文脈で支払われるべき賠償の範囲を定める基準を定めることは、各加盟国の法制度に委ねられる（類推として、2006年7月13日 Manfredi ほか判決、C-295/04 ないし C-298/04、EU:C:2006:461、92段及び98段参照）。
58	In that regard, in view of the compensatory function of the right to compensation under Article 82 of the GDPR, as the Advocate General pointed out, in essence, in points 39, 49 and 52 of his Opinion, financial compensation based on that provision must be regarded as ‘full and effective’ if it allows the damage actually suffered as a result of the infringement of that regulation to be compensated in its entirety, without there being any need, for the purposes of such compensation for the damage in its entirety, to require the payment of punitive damages.	この点に関し、法務官がその意見の39、49及び52の各項で要するに指摘したとおり、GDPR 82条に基づく損害賠償請求権の填補的機能に鑑みれば、同条に基づく金銭賠償は、同規則の違反の結果として現実に被った損害をその全体において賠償することを可能にするものであれば、「完全かつ実効的」なものとみなされなければならず、損害をその全体において賠償するために懲罰的損害賠償の支払を求める必要はない。

※英語版は翻訳であり、正文はドイツ語である。訳文は生成AIによる。

6. コメント

本判決は、二つの方向の主張をともに退けている。一つは、違反があれば損害があるとみる見解であり、主文1（32〜34段）が退けた。違反、損害、因果関係は累積的な要件であり、監督機関への苦情（77条・78条）や制裁金（83条）が損害を要件としないこととの対比で、82条の「損害」は独自の要件とされる（39〜40段）。もう一つは、損害に一定の重大性を求める見解であり、主文2（45〜49段）が退けた。理由は、前文146項の「広く解釈」と、閾値が裁判所ごとに揺れることによる不統一である。

その間に残るのが50段である。閾値はないが、不利な結果が「損害」であることは請求者が証明しなければならない。本件で付託決定が認めているのは「一時的な性質の否定的な感情的影響」だけである（12段）。それが損害に当たるか、いくらになるかは、本判決は答えず、国内裁判所に戻している（主文3、54段）。額の算定基準は加盟国法に委ねられ、EU法が課すのは同等性・実効性と、填補を超える懲罰的賠償は不要であることにとどまる（58段）。

連載の問いに引き付けると、本件は「同じ情報の価値が誰にとって何であるか」を測る素材になる。Österreichische Postにとって、推知された政治的親和性は販売可能な商品である（11段）。他方、本人にとっての「損害」として法廷に現れるのは動揺、信頼の喪失、さらされている感覚である（12段）。前文75項は政治的意見を明らかにするデータの処理をリスクの例に挙げ（3段）、前文85項は「コントロールの喪失」を損害の例に挙げる。それでも付託裁判所は、データが第三者に送信されていない以上、コントロールの喪失のリスクは不確実だとみた（17段）。推知そのもの、保持そのものに損害を見いだせるかは、本判決の射程の外に置かれている。

同じ年の12月に出された C-340/21 は、本判決50段を引用しつつ（同判決84段）、漏えい後の「不安」が損害になり得るとし、その不安に十分な根拠があるかを国内裁判所に確認させた（同判決85段）。本判決が閾値を否定したあとに残した空白を、C-340/21 は「根拠の有無」という別の軸で埋めようとしたように読める。

7. 関連判決

• CJEU 2023年12月14日判決 C-340/21 VB v Natsionalna agentsia za prihodite（ECLI:EU:C:2023:986）――本判決50段を引用し、悪用のおそれへの「不安」が非物質的損害になり得るとした（研究ノート第2回「不安」は損害か）
• CJEU 2023年1月12日判決 C-154/21 Österreichische Post（個人データの受領者に関する情報）（ECLI:EU:C:2023:3）――同じ会社を当事者とする事件。本判決48段がGDPRの目的について引用
• CJEU 2023年12月14日判決 C-456/22 Gemeinde Ummendorf（ECLI:EU:C:2023:988）――本判決を引用して重大性の閾値の否定を確認し（14〜16段・19〜21段）、数日間のインターネット公開による短期間のコントロールの喪失にも「僅少性の閾値」は設けられないが、軽微であれ現実の損害の証明は必要であるとした（研究ノート第2回「不安」は損害か）
• CJEU 2024年1月25日判決 C-687/21 MediaMarktSaturn（ECLI:EU:C:2024:72）――本判決を引用して82条1項の3要件と重大性の閾値の否定を確認し（58〜60段）、書類が誤って渡っても第三者がデータを知らなかった場合は、不安だけでは損害にならないとした
• CJEU 2023年12月21日判決 C-667/21 Krankenversicherung Nordrhein（ECLI:EU:C:2023:1022）――82条の賠償は補償的で抑止的・制裁的でなく、過失は推定され、過失の程度は額に影響しないとした。本判決（32段・38段・40段・42段・53〜54段・57〜59段）を82〜85段で引用

8. 出典

• 判決原文（英語版）：欧州連合司法裁判所 InfoCuria C-300/21 判決（出典：Court of Justice of the European Union）
• 通貨換算：欧州中央銀行の参照レート（2026年10月9日、1ユーロ＝177.34円）による（C-340/21のノートと同じレート）。