漏えいへの「不安」は損害か――欧州司法裁判所 C-340/21（2023年12月14日判決）

研究ノート「情報の価値」の素材として、漏えいそのものを扱った欧州司法裁判所（CJEU）の先決裁定を取り上げる。問いは、漏えいした情報がまだ悪用されていない段階で、本人が抱く「悪用されるかもしれない」という不安を損害と呼べるか、である。

1. 書誌

項目	内容
事件番号	C-340/21
判決日	2023年12月14日
法廷	第3小法廷（Third Chamber）
付託国・付託裁判所	ブルガリア・最高行政裁判所（Varhoven administrativen sad）
当事者	VB（自然人） 対 Natsionalna agentsia za prihodite（国家歳入庁。以下「NAP」）
ECLI	ECLI:EU:C:2023:986
法務官意見	Pitruzzella法務官、2023年4月27日
手続言語	ブルガリア語

2. 関係条文

本判決が「法的枠組み」として引用するGDPRの条文のうち、判断に関係するものを掲げる。原文は判決4〜9段の引用により、「…」は判決による省略である。

条文	原文（英語版）	訳文（AI訳）
第4条7号	(7) “controller” means the natural or legal person, public authority, agency or other body which, alone or jointly with others, determines the purposes and means of the processing of personal data; …	（7）「管理者」とは、単独で又は他の者と共同して、個人データの処理の目的及び手段を決定する自然人若しくは法人、公の機関、行政機関又はその他の団体をいう。…
第4条10号	(10) “third party” means a natural or legal person, public authority, agency or body other than the data subject, controller, processor and persons who, under the direct authority of the controller or processor, are authorised to process personal data;	（10）「第三者」とは、データ主体、管理者、処理者、及び管理者又は処理者の直接の権限の下で個人データを処理する権限を与えられた者以外の、自然人若しくは法人、公の機関、行政機関又は団体をいう。
第4条12号	(12) “personal data breach” means a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed;	（12）「個人データ侵害」とは、送信され、保存され、又はその他の方法で処理された個人データの、偶発的若しくは違法な破壊、喪失、改変、無権限の開示又は無権限のアクセスをもたらす安全性の侵害をいう。
第5条1項(f)	1. Personal data shall be: … (f) processed in a manner that ensures appropriate security of the personal data, including protection against unauthorised or unlawful processing and against accidental loss, destruction or damage, using appropriate technical or organisational measures (“integrity and confidentiality”).	1　個人データは、次のとおりでなければならない。…（f）適切な技術的又は組織的措置を用いて、無権限の又は違法な処理に対する保護、並びに偶発的な喪失、破壊又は損傷に対する保護を含め、個人データの適切な安全性を確保する方法で処理されること（「完全性及び機密性」）。
第5条2項	2. The controller shall be responsible for, and be able to demonstrate compliance with, paragraph 1 (“accountability”).	2　管理者は、1項を遵守する責任を負い、かつ、その遵守を証明できなければならない（「説明責任」）。
第24条1項	1. Taking into account the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for the rights and freedoms of natural persons, the controller shall implement appropriate technical and organisational measures to ensure and to be able to demonstrate that processing is performed in accordance with this Regulation. Those measures shall be reviewed and updated where necessary.	1　管理者は、処理の性質、範囲、状況及び目的、並びに自然人の権利及び自由に対する、発生可能性及び重大性の異なるリスクを考慮して、処理がこの規則に従って行われることを確保し、かつ、それを証明できるようにするため、適切な技術的及び組織的措置を実施しなければならない。当該措置は、必要に応じて見直され、更新されなければならない。
第32条1項	1. Taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of processing as well as the risk of varying likelihood and severity for the rights and freedoms of natural persons, the controller and the processor shall implement appropriate technical and organisational measures to ensure a level of security appropriate to the risk, including inter alia as appropriate:	1　管理者及び処理者は、最新技術、実施の費用、処理の性質、範囲、状況及び目的、並びに自然人の権利及び自由に対する、発生可能性及び重大性の異なるリスクを考慮して、リスクに応じた安全性の水準を確保するため、適切な技術的及び組織的措置を実施しなければならない。当該措置には、とりわけ、適切な場合には次のものを含む。
第32条1項(a)	(a) the pseudonymisation and encryption of personal data;	（a）個人データの仮名化及び暗号化
第32条1項(b)	(b) the ability to ensure the ongoing confidentiality, integrity, availability and resilience of processing systems and services;	（b）処理システム及び処理サービスの継続的な機密性、完全性、可用性及び回復力を確保する能力
第32条1項(c)	(c) the ability to restore the availability and access to personal data in a timely manner in the event of a physical or technical incident;	（c）物理的又は技術的な事故が生じた場合に、個人データの可用性及びこれへのアクセスを適時に回復する能力
第32条1項(d)	(d) a process for regularly testing, assessing and evaluating the effectiveness of technical and organisational measures for ensuring the security of the processing.	（d）処理の安全性を確保するための技術的及び組織的措置の有効性を定期的に検査し、評定し、評価する手順
第32条2項	2. In assessing the appropriate level of security account shall be taken in particular of the risks that are presented by processing, in particular from accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to personal data transmitted, stored or otherwise processed.	2　適切な安全性の水準を評価するに当たっては、処理によってもたらされるリスク、特に、送信され、保存され、又はその他の方法で処理された個人データの、偶発的若しくは違法な破壊、喪失、改変、無権限の開示又は無権限のアクセスによるリスクを特に考慮しなければならない。
第82条1項	1. Any person who has suffered material or non-material damage as a result of an infringement of this Regulation shall have the right to receive compensation from the controller or processor for the damage suffered.	1　この規則の違反の結果として物質的又は非物質的損害を被った者は、被った損害について、管理者又は処理者から賠償を受ける権利を有する。
第82条2項	2. Any controller involved in processing shall be liable for the damage caused by processing which infringes this Regulation. …	2　処理に関与した管理者は、この規則に違反する処理によって生じた損害について責任を負う。…
第82条3項	3. A controller or processor shall be exempt from liability under paragraph 2 if it proves that it is not in any way responsible for the event giving rise to the damage.	3　管理者又は処理者は、損害を生じさせた事象について自らに何ら責任がないことを証明した場合には、2項に基づく責任を免れる。

3. 事案の概要

NAP（国家歳入庁）の情報システムへのサイバー攻撃で600万人超の個人データが流出し、その一人である上告人が非物質的損害の賠償を求めた事件である。判決10〜16段を対訳で掲げる。

段落	原文（英語版）	訳文（AI訳）
10	The NAP is an authority attached to the Bulgarian Minister for Finance. As part of its tasks, consisting, inter alia, of identifying, securing and recovering public debts, it is a controller of personal data, within the meaning of Article 4(7) of the GDPR.	NAPは、ブルガリア財務大臣の下に置かれた機関である。NAPは、とりわけ公的債権の確認、保全及び回収を内容とする任務の一環として、GDPR 4条7号にいう個人データの管理者である。
11	On 15 July 2019, the media revealed that unauthorised access to the NAP IT system had taken place and that, following that cyberattack, personal data contained in that system had been published on the internet.	2019年7月15日、報道機関は、NAPの情報システムへの無権限のアクセスがあったこと、及び、そのサイバー攻撃の結果、同システムに含まれていた個人データがインターネット上に公開されたことを明らかにした。
12	More than 6 million natural persons, of Bulgarian and foreign nationality, were affected by those events. Several hundred of them, including the appellant in the main proceedings, brought actions against the NAP for compensation for non-material damage allegedly resulting from the disclosure of their personal data.	ブルガリア国籍及び外国籍の600万人を超える自然人がこれらの出来事の影響を受けた。そのうち数百人が、本案訴訟の上告人を含め、自己の個人データの開示により生じたとする非物質的損害の賠償を求めて、NAPに対し訴えを提起した。
13	It was against that background that the appellant in the main proceedings brought an action before the Administrativen sad Sofia-grad (Administrative Court, Sofia, Bulgaria) seeking an order that the NAP pay her the sum of 1 000 leva (BGN) (approximately EUR 510) by way of damages, on the basis of Article 82 of the GDPR and provisions of Bulgarian law. In support of that request, she claimed that she had suffered non-material damage as a result of a personal data breach, within the meaning of Article 4(12) of the GDPR, more specifically, a breach of security caused by the NAP’s failure to fulfil its obligations under, inter alia, Article 5(1)(f) and Articles 24 and 32 of that regulation. Her non-material damage consists in the fear that her personal data, having been published without her consent, might be misused in the future, or that she herself might be blackmailed, assaulted or even kidnapped.	このような状況の下で、本案訴訟の上告人は、ソフィア市行政裁判所（ブルガリア）に対し、GDPR 82条及びブルガリア法の規定に基づき、NAPに損害賠償として1,000レフ（BGN）（約510ユーロ）〔約9万円〕の支払を命ずるよう求める訴えを提起した。その請求の根拠として、上告人は、GDPR 4条12号にいう個人データ侵害、より具体的には、NAPが、とりわけ同規則5条1項(f)、24条及び32条に基づく義務を履行しなかったことにより生じた安全性の侵害の結果、非物質的損害を被ったと主張した。上告人の非物質的損害とは、同意なく公開された自己の個人データが将来悪用されるかもしれないこと、又は自分自身が恐喝され、暴行を受け、さらには誘拐されるかもしれないことへの不安である。
14	In its defence, the NAP, first of all, claimed that the appellant in the main proceedings had not asked it for information concerning the precise data that had been disclosed. Next, the NAP produced documents intended to prove that it had taken all necessary measures, in advance, to prevent the breach of the personal data contained in its IT system and, subsequently, to limit the effects of that breach and to reassure citizens. Furthermore, according to the NAP, there was no causal link between the alleged non-material damage and that breach. Lastly, it argued that, since it had suffered a malicious attack by persons who were not its employees, it could not be held liable for the harmful consequences of that attack.	NAPは、防御として、まず、本案訴訟の上告人が、開示された具体的なデータに関する情報をNAPに求めていなかったと主張した。次に、NAPは、自らの情報システムに含まれる個人データの侵害を防止するために事前に、また、その後に当該侵害の影響を限定し市民を安心させるために、必要なあらゆる措置を講じたことを証明しようとする書類を提出した。さらに、NAPによれば、主張される非物質的損害と当該侵害との間には因果関係がない。最後に、NAPは、自らの従業員でない者による悪意ある攻撃を受けたのであるから、その攻撃の有害な結果について責任を負うことはないと主張した。
15	By decision of 27 November 2020, the Administrativen sad Sofia-grad (Administrative Court, Sofia) dismissed the action brought by the appellant in the main proceedings. That court held, first, that unauthorised access to the NAP’s database was the result of software piracy committed by third parties and, secondly, that the appellant in the main proceedings had not proved that the NAP had failed to act as regards the adoption of security measures. In addition, it found that the appellant had not suffered any non-material damage giving rise to a right to compensation.	ソフィア市行政裁判所は、2020年11月27日の決定により、本案訴訟の上告人の訴えを棄却した。同裁判所は、第一に、NAPのデータベースへの無権限のアクセスは第三者によるソフトウェアの不正行為の結果であり、第二に、本案訴訟の上告人は、NAPが安全管理措置の採用に関して不作為であったことを証明していないと判断した。加えて、同裁判所は、上告人が賠償請求権を生じさせるような非物質的損害を何ら被っていないと認定した。
16	The appellant in the main proceedings brought an appeal on a point of law against that decision before the Varhoven administrativen sad (Supreme Administrative Court, Bulgaria), which is the referring court in the present case. In support of her appeal, she submits that the court of first instance erred in law in its allocation of the burden of proof in relation to the security measures taken by the NAP and that the NAP has not demonstrated that it did not fail to act in that regard. In addition, the appellant in the main proceedings claims that the fear of possible misuse of her personal data in the future constitutes actual, and not hypothetical, non-material damage. In its defence, the NAP disputes each of those arguments.	本案訴訟の上告人は、この決定に対し、本件の付託裁判所である最高行政裁判所（ブルガリア）に法律問題に関する上告を提起した。上告理由として、上告人は、第一審裁判所が、NAPの講じた安全管理措置に関する立証責任の配分について法律の解釈を誤ったこと、及び、NAPはその点について不作為がなかったことを証明していないことを主張している。加えて、本案訴訟の上告人は、将来自己の個人データが悪用され得ることへの不安は、仮定的なものではなく現実の非物質的損害であると主張している。NAPは、防御として、これらの主張のいずれも争っている。

4. 付託された質問

付託された質問は判決21段のとおりである（第3問は二つの部分からなる）。

段落	原文（英語版）	訳文（AI訳）
21 柱書き	In those circumstances, the Varhoven administrativen sad (Supreme Administrative Court) decided to stay the proceedings and to refer the following questions to the Court of Justice for a preliminary ruling:	このような状況の下で、最高行政裁判所は、手続を停止し、次の質問を司法裁判所に付託して先決裁定を求めることとした。
第1問	Are Articles 24 and 32 of [the GDPR] to be interpreted as meaning that unauthorised disclosure of, or access to, personal data within the meaning of point 12 of Article 4 of [the GDPR] by persons who are not employees of the controller’s administration and are not subject to its control is sufficient for the presumption that the technical and organisational measures implemented are not appropriate?	［GDPR］24条及び32条は、管理者の組織の従業員でなく、かつ、その管理下にもない者による、［GDPR］4条12号にいう個人データの無権限の開示又はアクセスがあれば、講じられた技術的及び組織的措置が適切でないと推定するに足りる、という意味に解釈されるべきか。
第2問	If the first question is answered in the negative, what should be the subject matter and scope of the judicial review of legality in the examination as to whether the technical and organisational measures implemented by the controller are appropriate pursuant to Article 32 of [the GDPR]?	第1問に否定的に回答される場合、管理者が講じた技術的及び組織的措置が［GDPR］32条に照らして適切であるかの審理において、適法性に関する司法審査の対象及び範囲はどのようなものであるべきか。
第3問	If the first question is answered in the negative, is the principle of accountability under Article 5(2) and Article 24 of [the GDPR], read in conjunction with recital 74 thereof, to be interpreted as meaning that, in legal proceedings under Article 82(1) of [that regulation], the controller bears the burden of proving that the technical and organisational measures implemented are appropriate pursuant to Article 32 of that regulation?	第1問に否定的に回答される場合、［GDPR］前文74項と併せて読んだ同規則5条2項及び24条に基づく説明責任の原則は、［同規則］82条1項に基づく訴訟手続において、講じられた技術的及び組織的措置が同規則32条に照らして適切であることの立証責任を管理者が負う、という意味に解釈されるべきか。
第3問後段	Can the obtaining of an expert’s report be regarded as a necessary and sufficient means of proof to establish whether the technical and organisational measures implemented by the controller were appropriate in a case such as the present one, where the unauthorised access to, and disclosure of, personal data are the result of a “hacking attack”?	個人データへの無権限のアクセス及びその開示が「ハッキング攻撃」の結果である本件のような事案において、管理者が講じた技術的及び組織的措置が適切であったかを立証するために、鑑定書を取得することは、必要かつ十分な証拠方法とみなされ得るか。
第4問	Is Article 82(3) of [the GDPR] to be interpreted as meaning that unauthorised disclosure of, or access to, personal data within the meaning of point 12 of Article 4 of [the GDPR] by means of, as in the present case, a “hacking attack” by persons who are not employees of the controller’s administration and are not subject to its control constitutes an event for which the controller is not in any way responsible and which entitles it to exemption from liability?	［GDPR］82条3項は、本件のように、管理者の組織の従業員でなく、かつ、その管理下にもない者による「ハッキング攻撃」を手段とする、［GDPR］4条12号にいう個人データの無権限の開示又はアクセスが、管理者が何ら責任を負わない事象であって、管理者に責任の免除を認めるものに当たる、という意味に解釈されるべきか。
第5問	Is Article 82(1) and (2) of [the GDPR], read in conjunction with recitals 85 and 146 thereof, to be interpreted as meaning that, in a case such as the present one, involving a personal data breach consisting in unauthorised access to, and dissemination of, personal data by means of a “hacking attack”, the worries, fears and anxieties suffered by the data subject with regard to a possible misuse of personal data in the future fall per se within the concept of non-material damage, which is to be interpreted broadly, and entitle him or her to compensation for damage where such misuse has not been established and/or the data subject has not suffered any further harm?	［GDPR］前文85項及び146項と併せて読んだ同規則82条1項及び2項は、「ハッキング攻撃」を手段とする個人データへの無権限のアクセス及びその拡散からなる個人データ侵害が問題となる本件のような事案において、将来の個人データの悪用の可能性についてデータ主体が被る心配、恐れ及び不安が、それ自体として、広く解釈されるべき非物質的損害の概念に含まれ、そのような悪用が立証されていない場合、又は、データ主体がそれ以上の損害を被っていない場合（若しくはその双方の場合）であっても、損害賠償を受ける権利を与える、という意味に解釈されるべきか。

5. 判断

主文は次の6点である。

段落	原文（英語版）	訳文（AI訳）
主文1	Articles 24 and 32 of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) must be interpreted as meaning that unauthorised disclosure of personal data or unauthorised access to those data by a ‘third party’, within the meaning of Article 4(10) of that regulation, are not sufficient, in themselves, for it to be held that the technical and organisational measures implemented by the controller in question were not ‘appropriate’, within the meaning of Articles 24 and 32.	一般データ保護規則（規則（EU）2016/679）24条及び32条は、同規則4条10号にいう「第三者」による個人データの無権限の開示又は個人データへの無権限のアクセスがあったことは、それ自体では、当該管理者が講じた技術的及び組織的措置が24条及び32条にいう「適切」なものでなかったと判断するに足りない、という意味に解釈されなければならない。
主文2	Article 32 of Regulation 2016/679 must be interpreted as meaning that the appropriateness of the technical and organisational measures implemented by the controller under that article must be assessed by the national courts in a concrete manner, by taking into account the risks associated with the processing concerned and by assessing whether the nature, content and implementation of those measures are appropriate to those risks.	規則2016/679の32条は、同条に基づき管理者が講じた技術的及び組織的措置の適切性は、各国の裁判所が、当該処理に伴うリスクを考慮し、かつ、当該措置の性質、内容及び実施がそれらのリスクに照らして適切であるかを評価することにより、具体的に判断しなければならない、という意味に解釈されなければならない。
主文3	The principle of accountability of the controller, set out in Article 5(2) of Regulation 2016/679 and given expression in Article 24 thereof, must be interpreted as meaning that, in an action for damages under Article 82 of that regulation, the controller in question bears the burden of proving that the security measures implemented by it are appropriate pursuant to Article 32 of that regulation.	規則2016/679の5条2項に定められ、24条に具体化された管理者の説明責任の原則は、同規則82条に基づく損害賠償訴訟において、当該管理者が、自らの講じた安全管理措置が同規則32条に照らして適切であることの立証責任を負う、という意味に解釈されなければならない。
主文4	Article 32 of Regulation 2016/679 and the principle of effectiveness of EU law must be interpreted as meaning that, in order to assess the appropriateness of the security measures implemented by the controller under that article, an expert’s report cannot constitute a systematically necessary and sufficient means of proof.	規則2016/679の32条及びEU法の実効性原則は、同条に基づき管理者が講じた安全管理措置の適切性を評価するにあたり、鑑定書が一律に必要かつ十分な証拠方法となることはできない、という意味に解釈されなければならない。
主文5	Article 82(3) of Regulation 2016/679 must be interpreted as meaning that the controller cannot be exempt from its obligation to pay compensation for the damage suffered by a data subject, under Article 82(1) and (2) of that regulation, solely because that damage is a result of unauthorised disclosure of, or access to, personal data by a ‘third party’, within the meaning of Article 4(10) of that regulation, in which case that controller must then prove that it is in no way responsible for the event that gave rise to the damage concerned.	規則2016/679の82条3項は、データ主体が被った損害が同規則4条10号にいう「第三者」による個人データの無権限の開示又はアクセスの結果であるということのみを理由として、管理者が同規則82条1項及び2項に基づく損害賠償義務を免れることはできず、その場合、管理者は、当該損害を生じさせた事象について自らが何ら責任を負わないことを証明しなければならない、という意味に解釈されなければならない。
主文6	Article 82(1) of Regulation 2016/679 must be interpreted as meaning that the fear experienced by a data subject with regard to a possible misuse of his or her personal data by third parties as a result of an infringement of that regulation is capable, in itself, of constituting ‘non-material damage’ within the meaning of that provision.	規則2016/679の82条1項は、同規則の違反の結果として第三者により自己の個人データが悪用されるおそれについてデータ主体が抱く不安は、それ自体で、同項にいう「非物質的損害」を構成し得る、という意味に解釈されなければならない。

主要な理由を、段落番号とともに掲げる。

段落	原文（英語版）	訳文（AI訳）
29	The reference in Article 32(1) and (2) of the GDPR to ‘a level of security appropriate to the risk’ and to an ‘appropriate level of security’ shows that that regulation establishes a risk management system and that it in no way purports to eliminate the risks of personal data breaches.	GDPR 32条1項及び2項が「リスクに応じた適切な安全性の水準」及び「適切な安全性の水準」に言及していることは、同規則がリスク管理の仕組みを定めるものであって、個人データ侵害のリスクを除去しようとするものでは全くないことを示している。
52	It is clear from the wording of Article 5(2), Article 24(1) and Article 32(1) of the GDPR that the controller concerned bears the burden of proving that the personal data are processed in such a way as to ensure appropriate security of those data, within the meaning of Article 5(1)(f) and Article 32 of that regulation (see, by analogy, judgments of 4 May 2023, Bundesrepublik Deutschland (Court electronic mailbox), C-60/22, EU:C:2023:373, paragraphs 52 and 53, and of 4 July 2023, Meta Platforms and Others (General terms of use of a social network), C-252/21, EU:C:2023:537, paragraph 95).	GDPR 5条2項、24条1項及び32条1項の文言から、当該管理者が、個人データが同規則5条1項(f)及び32条にいう適切な安全性を確保する方法で処理されていることの立証責任を負うことは明らかである（類推として、2023年5月4日 Bundesrepublik Deutschland（裁判所電子私書箱）判決、C-60/22、EU:C:2023:373、52段及び53段、並びに2023年7月4日 Meta Platforms ほか（ソーシャルネットワークの一般利用規約）判決、C-252/21、EU:C:2023:537、95段参照）。
71	Where, as in the present case, a personal data breach, within the meaning of Article 4(12) of the GDPR, has been committed by cybercriminals, and therefore by a ‘third party’, within the meaning of Article 4(10) of that regulation, that infringement cannot be attributed to the controller, unless the controller has made that infringement possible by failing to comply with an obligation laid down in the GDPR, and in particular the data protection obligation to which it is subject under Article 5(1)(f) and Articles 24 and 32 of that regulation.	本件のように、GDPR 4条12号にいう個人データ侵害がサイバー犯罪者、すなわち同規則4条10号にいう「第三者」によって行われた場合、当該侵害は管理者に帰責されない。ただし、管理者が、同規則に定める義務、とりわけ同規則5条1項(f)、24条及び32条に基づき負うデータ保護義務を遵守しなかったことにより、当該侵害を可能にした場合はこの限りでない。
72	Thus, in the event of a personal data breach by a third party, the controller may be exempt from liability, on the basis of Article 82(3) of the GDPR, by proving that there is no causal link between its possible breach of the data protection obligation and the damage suffered by the natural person.	したがって、第三者による個人データ侵害の場合、管理者は、自らにデータ保護義務違反があり得るとしても、その違反と自然人が被った損害との間に因果関係がないことを証明することにより、GDPR 82条3項に基づき責任を免れ得る。
80	Therefore, the wording of Article 82(1) of the GDPR does not rule out the possibility that the concept of ‘non-material damage’ in that provision encompasses a situation, such as that referred to by the referring court, in which the data subject invokes, in order to obtain compensation on the basis of that provision, the fear that his or her personal data will be misused by third parties as a result of the infringement of that regulation that has taken place.	したがって、GDPR 82条1項の文言は、同項の「非物質的損害」の概念が、付託裁判所が述べるような状況、すなわち、データ主体が同項に基づく賠償を得るために、既に生じた同規則の違反の結果として第三者に自己の個人データを悪用されることへの不安を援用する状況を包含する可能性を排除していない。
82	Furthermore, the first sentence of recital 85 of the GDPR states that ‘a personal data breach may, if not addressed in an appropriate and timely manner, result in physical, material or non-material damage to natural persons such as loss of control over their personal data or limitation of their rights, discrimination, identity theft or fraud, financial loss, … or any other significant economic or social disadvantage to the natural person concerned’. It is apparent from that illustrative list of types of ‘damage’ that may be suffered by the data subjects that the EU legislature intended to include in those concepts, in particular, the mere ‘loss of control’ over their own data, as a result of an infringement of that regulation, even if there had been no misuse of the data in question to the detriment of those data subjects.	さらに、GDPR前文85項第1文は、「個人データ侵害は、適切かつ適時に対処されなければ、自然人に対し、自己の個人データに対するコントロールの喪失若しくは権利の制限、差別、なりすまし若しくは詐欺、金銭的損失、…又は当該自然人に対するその他の重大な経済的若しくは社会的不利益など、身体的、物質的又は非物質的損害をもたらすおそれがある」と述べている。データ主体が被り得る「損害」の類型を例示したこの列挙からは、EUの立法者が、これらの概念に、とりわけ、同規則の違反の結果としての自己のデータに対する単なる「コントロールの喪失」を、当該データがデータ主体の不利益に悪用されなかった場合であっても、含める意図であったことが明らかである。
84	However, it must be pointed out that a person concerned by an infringement of the GDPR which had negative consequences for him or her is required to demonstrate that those consequences constitute non-material damage within the meaning of Article 82 of that regulation (see, to that effect, judgment of 4 May 2023, Österreichische Post (Non-material damage in connection with the processing of personal data), C-300/21, EU:C:2023:370, paragraph 50).	もっとも、GDPRの違反によって自己に不利な結果を被った者は、それらの結果が同規則82条にいう非物質的損害を構成することを証明しなければならない（その旨、2023年5月4日 Österreichische Post（個人データの処理に関連する非物質的損害）判決、C-300/21、EU:C:2023:370、50段参照）。
85	In particular, where a person claiming compensation on that basis relies on the fear that his or her personal data will be misused in the future owing to the existence of such an infringement, the national court seised must verify that that fear can be regarded as well founded, in the specific circumstances at issue and with regard to the data subject.	とりわけ、同条に基づき損害賠償を請求する者が、そのような違反があったことにより将来自己の個人データが悪用されることへの不安を援用する場合、事件が係属する国内裁判所は、当該不安が、問題となる具体的状況において、かつ当該データ主体との関係で、十分な根拠のあるものとみなし得るかを確認しなければならない。

※英語版は翻訳であり、正文はブルガリア語である。訳文は生成AIによる。

6. コメント

本判決は、損害賠償請求の入口を広げつつ、絞り込みを事実認定に委ねる構造をとっている。漏えいがあったことだけでは措置の不適切さは推定されない（主文1、29段）。他方で、措置が適切であったことの立証責任は管理者が負い（主文3、52段）、第三者による攻撃であっても当然には免責されない（主文5、71〜72段）。そして、悪用のおそれへの不安は損害になり得るが、その不安が十分な根拠をもつかは国内裁判所が確認する（主文6、85段）。

読みどころは、82段と85段の関係である。82段は、前文85項を手がかりに、悪用がなくても「コントロールの喪失」それ自体が損害に含まれ得るとする。これは本人の外側にある状態である。これに対し85段は、本人の内側にある「不安」について、具体的状況と「当該データ主体との関係で」根拠があるかを問う。コントロールの喪失と不安は同じものを別の側から見ているのか、それとも別の損害なのか。判決はこの点を明示していない。

また、本判決は、同じ年の5月に出された C-300/21（Österreichische Post）を繰り返し引用している。82条1項の損害・違反・因果関係の3要件が累積的であること（77段）、損害に一定の重大性を求める国内法は許されないこと（78段）、他方で損害の存在は請求者が証明すること（84段）である。重大性の閾値を否定したうえで、「不安」をどこまで損害として認めるかを、根拠の有無という別の軸で調整しているように読める。

実務上は、漏えい後の訴訟で、管理者が事前のリスク評価と、講じた措置の性質・内容・実施・実際の効果を示せるかが争点になる（46段・47段）。鑑定書があればよいわけでもない（主文4、62〜63段）。

7. 関連判決

• CJEU 2023年5月4日判決 C-300/21 Österreichische Post（ECLI:EU:C:2023:370）――82条1項の損害に重大性の閾値を設けることの可否
• CJEU 2023年7月4日判決 C-252/21 Meta Platforms ほか（ECLI:EU:C:2023:537）――本判決52段が立証責任について類推参照
• CJEU 2023年12月14日判決 C-456/22 Gemeinde Ummendorf（ECLI:EU:C:2023:988）――同日に同じ第3小法廷が言い渡した判決。本判決を「本日の判決」として引用し（14段・16段・19段・21段）、数日間のインターネット公開による短期間のコントロールの喪失について、「僅少性の閾値」は設けられないが、軽微であれ現実の損害の証明は必要であるとした（研究ノート第2回「不安」は損害か）
• CJEU 2024年1月25日判決 C-687/21 MediaMarktSaturn（ECLI:EU:C:2024:72）――本判決を引用したうえで、書類が誤って第三者に渡っても、その第三者がデータを知らなかった場合は、悪用への不安だけでは非物質的損害にならないとした（研究ノート第2回「不安」は損害か）
• CJEU 2023年12月21日判決 C-667/21 Krankenversicherung Nordrhein（ECLI:EU:C:2023:1022）――82条は証明責任を管理者に負わせる過失責任であるとした。本判決（30段・56段）を96段・99段で引用

8. 出典

• 判決原文（英語版）：欧州連合司法裁判所 InfoCuria C-340/21 判決（出典：Court of Justice of the European Union）
• 通貨換算：欧州中央銀行の参照レート（2026年10月9日、1ユーロ＝177.34円）による。