「従業員が指示に従わなかった」は免責理由になるか――欧州司法裁判所 C-741/21（2024年4月11日判決）

特集「期待される安全管理措置とは何か」の素材として、欧州司法裁判所（CJEU）の先決裁定を取り上げる。C-340/21はサイバー攻撃という外部からの侵害、C-687/21は店員の誤交付という内部の過誤を扱った。本判決は、その内部の過誤の側で、管理者が「措置は整えていた、違反したのは従業員だ」と主張したときに、82条3項の免責が認められるかを扱う。

1. 書誌

項目	内容
事件番号	C-741/21
判決日	2024年4月11日
法廷	第3小法廷（Third Chamber）
付託国・付託裁判所	ドイツ・ザールブリュッケン地方裁判所（Landgericht Saarbrücken）
当事者	GP（自然人） 対 juris GmbH（以下「juris」）
ECLI	ECLI:EU:C:2024:288
法務官意見	なし（Campos Sánchez-Bordona法務官の意見を聴いたうえで、意見なしに判決）
手続言語	ドイツ語

2. 関係条文

本判決が「法的枠組み」として引用するGDPRの条文のうち、判断に関係するものを掲げる。原文は判決6段・8段・10段・11段・14段の引用により、「…」は判決による省略である。判決は前文85項・146項・148項、4条、25条1項、79条1項、83条、84条1項も引用している（3段・4段・9段・13段・15段・16段）。

条文	原文（英語版）	訳文（AI訳）
第21条3項	Where the data subject objects to processing for direct marketing purposes, the personal data shall no longer be processed for such purposes.	データ主体がダイレクトマーケティング目的の処理に対して異議を述べた場合には、当該個人データは、もはやその目的のために処理されてはならない。
第24条1項	1. Taking into account the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for the rights and freedoms of natural persons, the controller shall implement appropriate technical and organisational measures to ensure and to be able to demonstrate that processing is performed in accordance with this Regulation. Those measures shall be reviewed and updated where necessary.	1　管理者は、処理の性質、範囲、状況及び目的、並びに自然人の権利及び自由に対する、発生可能性及び重大性の異なるリスクを考慮して、処理がこの規則に従って行われることを確保し、かつ、それを証明できるようにするため、適切な技術的及び組織的措置を実施しなければならない。当該措置は、必要に応じて見直され、更新されなければならない。
第29条	The processor and any person acting under the authority of the controller or of the processor, who has access to personal data, shall not process those data except on instructions from the controller, unless required to do so by Union or Member State law.	処理者、及び管理者又は処理者の権限の下で行動する者であって個人データにアクセスするものは、EU法又は加盟国法により義務付けられる場合を除き、管理者の指示によらなければ当該データを処理してはならない。
第32条4項	4. The controller and processor shall take steps to ensure that any natural person acting under the authority of the controller or the processor who has access to personal data does not process them except on instructions from the controller, unless he or she is required to do so by Union or Member State law.	4　管理者及び処理者は、管理者又は処理者の権限の下で行動する自然人であって個人データにアクセスするものが、EU法又は加盟国法により義務付けられる場合を除き、管理者の指示によらなければ当該データを処理しないことを確保するための措置を講じなければならない。
第82条1項	1. Any person who has suffered material or non-material damage as a result of an infringement of this Regulation shall have the right to receive compensation from the controller or processor for the damage suffered.	1　この規則の違反の結果として物質的又は非物質的損害を被った者は、被った損害について、管理者又は処理者から賠償を受ける権利を有する。
第82条2項	2. Any controller involved in processing shall be liable for the damage caused by processing which infringes this Regulation. …	2　処理に関与した管理者は、この規則に違反する処理によって生じた損害について責任を負う。…
第82条3項	3. A controller or processor shall be exempt from liability under paragraph 2 if it proves that it is not in any way responsible for the event giving rise to the damage.	3　管理者又は処理者は、損害を生じさせた事象について自らに何ら責任がないことを証明した場合には、2項に基づく責任を免れる。

3. 事案の概要

法律データベースを運営するjurisの顧客であった弁護士が、ダイレクトマーケティングへの異議を書面で述べた後も、氏名入りの広告チラシを受け取り続けた。jurisは、異議の管理の仕組みは整えていたと主張し、遅れの原因を従業員の指示違反に求めた。判決17〜22段を対訳で掲げる。

段落	原文（英語版）	訳文（AI訳）
17	The applicant in the main proceedings, a natural person practising as a self-employed lawyer, was a client of juris, a company operating a legal database.	本案訴訟の原告は、自営の弁護士として業務を行う自然人であり、法律データベースを運営する会社であるjurisの顧客であった。
18	On 6 November 2018, after learning that his personal data were also being used by juris for the purposes of direct marketing, the applicant in the main proceedings revoked, in writing, all his consents to receive information from that company by email or by telephone, and he objected to any processing of those data, except for the purposes of sending newsletters which he wished to continue to receive.	2018年11月6日、本案訴訟の原告は、自己の個人データがjurisによりダイレクトマーケティングの目的にも使われていることを知り、同社から電子メール又は電話で情報を受け取ることについての同意をすべて書面で撤回し、引き続き受け取りたいと考えていたニュースレターの送付の目的を除き、当該データのいかなる処理にも異議を述べた。
19	Despite that step, the applicant in the main proceedings received, in January 2019, two advertising leaflets sent by name to his business address. By email sent to juris on 18 April 2019, he reminded juris of his prior objection to any marketing, he informed juris that the creation of those prospectuses had given rise to unlawful processing of his data and requested compensation for the damage suffered by him under Article 82 of the GDPR. Upon receiving a new advertising leaflet on 3 May 2019, he reiterated his objection, which was this time served on juris by bailiff.	この措置にもかかわらず、本案訴訟の原告は、2019年1月、事務所の住所宛てに名指しで送られた広告チラシ2通を受け取った。原告は、2019年4月18日にjurisに送った電子メールにより、あらゆるマーケティングに対する先の異議をjurisに念押しし、これらのチラシの作成が自己のデータの違法な処理を生じさせたことを伝え、GDPR82条に基づき、自己の被った損害の賠償を求めた。2019年5月3日に新たな広告チラシを受け取ると、原告は異議を繰り返し、今回は執行官によりjurisに送達した。
20	Each of those leaflets contained a ‘trial personal code’ giving access, on the juris website, to an order form for that company’s products which included information relating to the applicant in the main proceedings, as was established, at the latter’s request, by a notary on 7 June 2019.	これらのチラシにはそれぞれ「お試し用個人コード」が記載されており、それによりjurisのウェブサイト上で、本案訴訟の原告に関する情報を含む同社製品の注文フォームにアクセスすることができた。このことは、原告の求めにより、2019年6月7日に公証人によって確認された。
21	The applicant in the main proceedings brought an action before the Landgericht Saarbrücken (Regional Court, Saarbrücken, Germany), which is the referring court in the present case, seeking, on the basis of Article 82(1) of the GDPR, compensation for his material damage, relating to the costs of the bailiff and notary incurred by him, and for his non-material damage. He submits, inter alia, that he has suffered a loss of control over his personal data as a result of the processing of those data by juris despite his objections, and that he is entitled to obtain compensation on that basis, without having to show the effects or gravity of the infringement of his rights, guaranteed by Article 8 of the Charter of Fundamental Rights of the European Union and specified in that regulation.	本案訴訟の原告は、本件の付託裁判所であるザールブリュッケン地方裁判所（ドイツ）に、GDPR82条1項に基づき、自己が負担した執行官及び公証人の費用に係る物質的損害と、非物質的損害の賠償を求める訴えを提起した。原告は、とりわけ、自己の異議にもかかわらずjurisが自己の個人データを処理した結果、当該データに対するコントロールを喪失したのであり、欧州連合基本権憲章8条により保障され同規則で具体化された自己の権利の侵害の影響や重大性を示す必要なく、それを理由に賠償を受ける権利があると主張する。
22	In its defence, juris dismisses any liability, arguing that it had indeed established a system for managing objections to marketing and that the late taking into account of those of the applicant in the main proceedings was due either to the fact that one of its employees had not complied with the instructions given or to the fact that it would have been excessively onerous to take those objections into account. It claims that the mere breach of an obligation under the GDPR, such as that under Article 21(3) thereof, cannot, in itself, constitute ‘damage’ within the meaning of Article 82(1) of that regulation.	jurisは、防御として、マーケティングへの異議を管理する仕組みを確かに設けていたのであり、本案訴訟の原告の異議の反映が遅れたのは、従業員の一人が与えられた指示に従わなかったか、又はそれらの異議を反映することが過度の負担であったかのいずれかによると主張して、一切の責任を否定する。同社は、GDPR21条3項に基づく義務のような同規則上の義務の違反があったというだけでは、それ自体で同規則82条1項にいう「損害」とはなり得ないと主張する。

4. 付託された質問

付託された質問は判決27段のとおり4問である。第1問については、jurisが不受理を主張したが、裁判所はこれを退けた（28〜31段）。

段落	原文（英語版）	訳文（AI訳）
27 柱書き	In those circumstances, the Landgericht Saarbrücken (Regional Court, Saarbrücken) decided to stay the proceedings and to refer the following questions to the Court of Justice for a preliminary ruling:	このような状況の下で、ザールブリュッケン地方裁判所は、手続を停止し、次の質問を司法裁判所に付託して先決裁定を求めることとした。
第1問	‘(1) In the light of recital 85 and the third sentence of recital 146 of the GDPR, is the concept of ‘non-material damage’ in Article 82(1) of the GDPR to be understood as covering any impairment of the protected legal position, irrespective of the other effects and materiality of that impairment?	「（1）GDPR前文85項及び前文146項第3文に照らし、GDPR82条1項にいう「非物質的損害」の概念は、保護される法的地位のあらゆる侵害を、その侵害のその他の影響や重大性にかかわらず包含するものと解すべきか。
第2問	(2) Is liability for compensation under Article 82(3) of the GDPR excluded by the fact that the infringement is attributed to human error in the individual case on the part of a person acting under the authority of the processor or controller within the meaning of Article 29 of the GDPR?	（2）GDPR82条3項に基づく賠償責任は、違反が、GDPR29条にいう処理者又は管理者の権限の下で行動する者の個別の事案における人為的な過誤に帰せられるという事実によって排除されるか。
第3問	(3) Is it permissible or necessary [to base] the assessment of compensation for non-material damage [on the] criteria for determining fines set out in Article 83 of the GDPR, in particular in Article 83(2) and 83(5) of the GDPR?	（3）非物質的損害の賠償の算定を、GDPR83条、特に83条2項及び5項に定める制裁金の決定基準［に基づかせること］は、許されるか、又は必要か。
第4問	(4) Must the compensation be determined for each individual infringement, or are several infringements – or at least several infringements of the same nature – penalised by means of an overall amount of compensation, which is not determined by adding up individual amounts but is based on an evaluative overall assessment?’	（4）賠償は個々の違反ごとに決定されなければならないか。それとも、複数の違反――少なくとも同種の複数の違反――は、個別の額を合算して決定されるのではなく、評価的な全体判断に基づく包括的な賠償額によって制裁されるのか。」

5. 判断

主文は次の3点である。

段落	原文（英語版）	訳文（AI訳）
主文1	Article 82(1) of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) must be interpreted as meaning that an infringement of provisions of that regulation which confer rights on the data subject is not sufficient, in itself, to constitute ‘non-material damage’ within the meaning of that provision, irrespective of the degree of seriousness of the damage suffered by that person.	個人データの処理に係る自然人の保護及び当該データの自由な移転に関する、並びに指令95/46/ECを廃止する2016年4月27日の欧州議会及び理事会の規則（EU）2016/679（一般データ保護規則）の82条1項は、データ主体に権利を付与する同規則の規定の違反は、その者が被った損害の重大性の程度にかかわらず、それ自体では同項にいう「非物質的損害」を構成するのに足りない、という意味に解釈されなければならない。
主文2	Article 82 of Regulation 2016/679 must be interpreted as meaning that it is not sufficient for the controller, in order to be exempted from liability under paragraph 3 of that article, to claim that the damage in question was caused by the failure of a person acting under his or her authority, within the meaning of Article 29 of that regulation.	規則2016/679の82条は、管理者が同条3項に基づく責任の免除を受けるためには、問題となる損害が同規則29条にいう自己の権限の下で行動する者の不履行によって生じたと主張するだけでは足りない、という意味に解釈されなければならない。
主文3	Article 82(1) of Regulation 2016/679 must be interpreted as meaning that in order to determine the amount of damages due as compensation for damage based on that provision, it is not necessary, first, to apply mutatis mutandis the criteria for setting the amount of administrative fines laid down in Article 83 of that regulation and, second, to take account of the fact that several infringements of that regulation concerning the same processing operation affect the person seeking compensation.	規則2016/679の82条1項は、同項に基づく損害の賠償として支払われるべき損害賠償額を決定するに当たり、第一に、同規則83条に定める制裁金の額の設定基準を準用すること、第二に、同一の処理作業に関する同規則の複数の違反が賠償を求める者に影響していることを考慮することは、必要でない、という意味に解釈されなければならない。

第2問（従業員の過誤と免責）――44〜54段の全段

特集の主題に直接関わる第2問の理由は、全段を掲げる。

段落	原文（英語版）	訳文（AI訳）
44	By its second question, the referring court asks, in essence, whether Article 82 of the GDPR must be interpreted as meaning that it is sufficient for the controller, in order to be exempted from liability under paragraph 3 of that article, to claim that the damage in question was caused by the failure of a person acting under his authority, within the meaning of Article 29 of that regulation.	付託裁判所は、第2問により、要するに、GDPR82条は、管理者が同条3項に基づく責任の免除を受けるためには、問題となる損害が同規則29条にいう自己の権限の下で行動する者の不履行によって生じたと主張すれば足りる、という意味に解釈されなければならないかを問うている。
45	In that regard, it should be recalled that Article 82 of the GDPR states, in paragraph 2 thereof, that any controller involved in the processing is to be liable for the damage caused by processing which infringes that regulation and, in paragraph 3 thereof, that a controller is exempt from liability under paragraph 2 if it proves that it is not in any way responsible for the event giving rise to the damage.	この点、GDPR82条は、2項において、処理に関与した管理者は同規則に違反する処理によって生じた損害について責任を負うと定め、3項において、管理者は、損害を生じさせた事象について自らに何ら責任がないことを証明した場合には2項に基づく責任を免れると定めていることを想起すべきである。
46	The Court has already held that it is apparent from a combined analysis of Article 82(2) and (3) that that article provides for a fault-based regime, in which the controller is presumed to have participated in the processing constituting the breach of the GDPR in question, so that the burden of proof lies not with the person who has suffered damage but with the controller (see, to that effect, judgment of 21 December 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, paragraphs 92 to 94).	当裁判所は既に、82条2項及び3項を併せて分析すると、同条は過失に基づく制度を定めており、その制度では、管理者は問題となるGDPR違反を構成する処理に関与したものと推定され、したがって、証明責任は損害を被った者ではなく管理者にあることが明らかであると判示している（その旨、2023年12月21日 Krankenversicherung Nordrhein判決、C-667/21、EU:C:2023:1022、92段〜94段参照）。
47	As regards whether the controller may be exempted from liability under Article 82(3) of the GDPR on the sole ground that that damage was caused by the wrongful conduct of a person acting under his authority, within the meaning of Article 29 of that regulation, first, it is apparent from Article 29 that persons acting under the authority of the controller, such as its employees, who have access to personal data, may, in principle, process those data only on instructions from that controller and in accordance with those instructions (see, to that effect, judgment of 22 June 2023, Pankki S, C‑579/21, EU:C:2023:501, paragraphs 73 and 74).	当該損害が同規則29条にいう自己の権限の下で行動する者の違法な行為によって生じたという理由のみで、管理者がGDPR82条3項に基づく責任を免れ得るかについては、第一に、29条から、管理者の権限の下で行動する者、例えばその従業員であって、個人データにアクセスするものは、原則として、当該管理者の指示によってのみ、かつ、その指示に従ってのみ、当該データを処理することができることが明らかである（その旨、2023年6月22日 Pankki S判決、C-579/21、EU:C:2023:501、73段及び74段参照）。
48	Second, Article 32(4) of the GDPR, relating to the security of processing of personal data, provides that the controller is to take steps to ensure that any natural person acting under the authority of the controller, who has access to such data, does not process them, except on instructions from the controller, unless he or she is required to do so by EU or Member State law.	第二に、個人データの処理の安全性に関するGDPR32条4項は、管理者は、自己の権限の下で行動する自然人であって当該データにアクセスするものが、EU法又は加盟国法により義務付けられる場合を除き、管理者の指示によらなければ当該データを処理しないことを確保するための措置を講じなければならないと定めている。
49	An employee of the controller is indeed a natural person acting under the authority of that controller. Thus, it is for that controller to ensure that his or her instructions are correctly applied by his or her employees. Accordingly, the controller cannot avoid liability under Article 82(3) of the GDPR simply by relying on negligence or failure on the part of a person acting under his or her authority.	管理者の従業員は、まさに当該管理者の権限の下で行動する自然人である。したがって、自己の指示がその従業員によって正しく適用されることを確保するのは、当該管理者である。それゆえ、管理者は、自己の権限の下で行動する者の過失又は不履行を援用するだけでは、GDPR82条3項に基づき責任を免れることはできない。
50	In the present case, in its written observations before the Court, juris submits, in essence, that the controller should be exempt from liability under Article 82(3) of the GDPR where the breach which caused the damage in question is attributable to the conduct of one of its employees who has failed to comply with the instructions of that controller and provided that that breach is not due to a failure to comply with the obligations of the controller set out, in particular, in Articles 24, 25 and 32 of that regulation.	本件において、jurisは、当裁判所に提出した書面による意見において、要するに、問題となる損害を生じさせた違反が、管理者の指示に従わなかった従業員の一人の行為に帰せられ、かつ、その違反が、とりわけ同規則24条、25条及び32条に定める管理者の義務の不遵守によるものでない場合には、管理者はGDPR82条3項に基づき責任を免れるべきであると主張する。
51	In that regard, it must be pointed out that the circumstances of the exemption provided for in Article 82(3) of the GDPR must be strictly limited to those in which the controller is able to demonstrate that the damage is not attributable to him or her (see, to that effect, judgment of 14 December 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, paragraph 70). Therefore, in the event of a personal data breach committed by a person acting under his or her authority, that controller may benefit from that exemption only if he or she proves that there is no causal link between any breach of the data protection obligation incumbent on him or her under Articles 5, 24 and 32 of that regulation and the damage suffered by the data subject (see, by analogy, judgment of 14 December 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, paragraph 72).	この点、GDPR82条3項に定める免除の場合は、管理者が損害は自己に帰せられないことを証明できる場合に厳格に限定されなければならないことを指摘しなければならない（その旨、2023年12月14日 Natsionalna agentsia za prihodite判決、C-340/21、EU:C:2023:986、70段参照）。したがって、自己の権限の下で行動する者が個人データ侵害を犯した場合、当該管理者は、同規則5条、24条及び32条に基づき自己が負うデータ保護義務のいずれかの違反と、データ主体が被った損害との間に因果関係がないことを証明した場合にのみ、その免除を受けることができる（類推として、2023年12月14日 Natsionalna agentsia za prihodite判決、C-340/21、EU:C:2023:986、72段参照）。
52	Therefore, in order for the controller to be exempted from liability under Article 82(3) of the GDPR, it cannot be sufficient for him or her to demonstrate that he or she had given instructions to persons acting under its authority, within the meaning of Article 29 of that regulation, and that one of those persons failed in his or her obligation to follow those instructions, with the result that that person contributed to the occurrence of the damage in question.	したがって、管理者がGDPR82条3項に基づき責任を免れるためには、同規則29条にいう自己の権限の下で行動する者に指示を与えていたこと、及びそれらの者の一人がその指示に従う義務を怠り、その結果、その者が問題となる損害の発生に寄与したことを証明するだけでは足りない。
53	If it were accepted that the controller may be exempted from liability merely by relying on the failure of a person acting under his or her authority, that would undermine the effectiveness of the right to compensation enshrined in Article 82(1) of the GDPR, as the referring court noted, in essence, and would not be consistent with the objective of that regulation, which is to ensure a high level of protection for individuals with regard to the processing of their personal data.	管理者が自己の権限の下で行動する者の不履行を援用するだけで責任を免れ得ると認めるならば、付託裁判所が要するに指摘したとおり、GDPR82条1項に定める損害賠償請求権の実効性を損なうことになり、また、個人データの処理に関して個人に高水準の保護を確保するという同規則の目的とも整合しない。
54	In the light of the foregoing, the answer to the second question is that Article 82 of the GDPR must be interpreted as meaning that it is not sufficient for the controller, in order to be exempted from liability under paragraph 3 of that article, to claim that the damage in question was caused by the failure of a person acting under his or her authority, within the meaning of Article 29 of that regulation.	以上に照らし、第2問に対しては、GDPR82条は、管理者が同条3項に基づく責任の免除を受けるためには、問題となる損害が同規則29条にいう自己の権限の下で行動する者の不履行によって生じたと主張するだけでは足りない、という意味に解釈されなければならない、と答える。

第1問・第3問・第4問（損害と賠償額）

段落	原文（英語版）	訳文（AI訳）
34	The Court has already interpreted Article 82(1) of the GDPR as meaning that the mere infringement of that regulation is not sufficient to confer a right to compensation, since the existence of ‘damage’, material or non-material, or of ‘damage’ which has been ‘suffered’ constitutes one of the conditions for the right to compensation laid down in Article 82(1), as does the existence of an infringement of that regulation and of a causal link between that damage and that infringement, those three conditions being cumulative (see, to that effect, judgment of 25 January 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, paragraph 58 and the case-law cited).	当裁判所は既に、GDPR82条1項を、同規則の違反があったというだけでは損害賠償請求権を与えるのに足りないという意味に解釈している。物質的若しくは非物質的な「損害」又は「被った」「損害」の存在は、同規則の違反の存在及び当該損害と当該違反との間の因果関係の存在と同様に、82条1項に定める損害賠償請求権の要件の一つであり、これら三つの要件は累積的だからである（その旨、2024年1月25日 MediaMarktSaturn判決、C-687/21、EU:C:2024:72、58段及び引用判例参照）。
35	Thus, the person seeking compensation for non-material damage on the basis of that provision is required to establish not only the infringement of provisions of that regulation, but also that that infringement caused him or her such damage (see, to that effect, judgment of 25 January 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, paragraphs 60 and 61 and the case-law cited).	したがって、同項に基づき非物質的損害の賠償を求める者は、同規則の規定の違反だけでなく、その違反が自己にそのような損害を生じさせたことをも立証しなければならない（その旨、2024年1月25日 MediaMarktSaturn判決、C-687/21、EU:C:2024:72、60段及び61段並びに引用判例参照）。
36	On that point, it should be noted that the Court has interpreted Article 82(1) of the GDPR as precluding a national rule or practice which makes compensation for non-material damage, within the meaning of that provision, subject to the condition that the damage suffered by the data subject has reached a certain degree of seriousness, while emphasising that that person is nevertheless required to demonstrate that the infringement of that regulation caused him or her such non-material damage (see, to that effect, judgment of 25 January 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, paragraphs 59 and 60 and the case-law cited).	この点、当裁判所は、GDPR82条1項を、同項にいう非物質的損害の賠償を、データ主体が被った損害が一定の重大性に達していることを条件とする国内の規定又は実務を排除するものと解釈しつつ、それでもなお当該データ主体は、同規則の違反が自己にそのような非物質的損害を生じさせたことを証明しなければならないことを強調したことに留意すべきである（その旨、2024年1月25日 MediaMarktSaturn判決、C-687/21、EU:C:2024:72、59段及び60段並びに引用判例参照）。
37	Even if the provision of the GDPR which has been infringed grants rights to natural persons, such an infringement cannot, in itself, constitute ‘non-material damage’ within the meaning of that regulation.	違反されたGDPRの規定が自然人に権利を付与するものであるとしても、そのような違反は、それ自体では、同規則にいう「非物質的損害」を構成し得ない。
42	In that regard, it should be noted that recital 85 of the GDPR expressly mentions ‘loss of control’ among the damage that may be caused by a personal data breach. In addition, the Court has held that the loss of control over such data, even for a short period of time, may constitute ‘non-material damage’, within the meaning of Article 82(1) of that regulation, giving rise to a right to compensation, provided that the data subject can show that he or she has actually suffered such damage, however slight (see, to that effect, judgment of 25 January 2024 in MediaMarktSaturn, C‑687/21, EU:C:2024:72, paragraph 66 and the case-law cited).	この点、GDPR前文85項は、個人データ侵害によって生じ得る損害の中に「コントロールの喪失」を明示的に挙げていることに留意すべきである。加えて、当裁判所は、そのようなデータに対するコントロールの喪失は、短期間であっても、データ主体が、軽微であれそのような損害を現に被ったことを示すことができる限り、同規則82条1項にいう「非物質的損害」となり、損害賠償請求権を生じさせ得ると判示している（その旨、2024年1月25日 MediaMarktSaturn判決、C-687/21、EU:C:2024:72、66段及び引用判例参照）。
57	It follows that the criteria set out in Article 83 of the GDPR for the purposes of determining the amount of administrative fines, which are also mentioned in recital 148 of that regulation, cannot be used to assess the amount of damages under Article 82 thereof.	したがって、制裁金の額を決定するためにGDPR83条に定められた基準は、同規則前文148項にも掲げられているが、同規則82条に基づく損害賠償額の評価に用いることはできない。
60	Furthermore, the Court inferred from the fact that the right to compensation provided for in Article 82(1) of the GDPR does not fulfil a deterrent, or even punitive, function that the gravity of the infringement of that regulation that caused the alleged material or non-material damage cannot influence the amount of the compensation granted under that provision. It follows that that amount cannot exceed the full compensation for that damage (see, to that effect, judgment of 21 December 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, paragraph 86).	さらに、当裁判所は、GDPR82条1項に定める損害賠償請求権が抑止的機能、さらには制裁的機能を果たすものではないことから、主張される物質的又は非物質的損害を生じさせた同規則の違反の重大性は、同項に基づき認められる賠償の額に影響し得ないと導いた。したがって、その額は当該損害の完全な賠償を超えることができない（その旨、2023年12月21日 Krankenversicherung Nordrhein判決、C-667/21、EU:C:2023:1022、86段参照）。
64	Next, in view of the compensatory rather than punitive function of Article 82 of the GDPR, which is recalled in paragraphs 60 and 61 of the present judgment, the fact that several infringements have been committed by the controller in relation to the same data subject cannot constitute a relevant criterion for the purposes of assessing the compensation to be awarded to that data subject under Article 82. Only the damage actually suffered by that person must be taken into consideration in order to determine the amount of the monetary compensation due by way of compensation.	次に、本判決60段及び61段で想起したGDPR82条の制裁的ではなく補償的な機能に鑑みれば、管理者が同一のデータ主体に関して複数の違反を犯したという事実は、82条に基づき当該データ主体に認められる賠償を評価するための関連する基準とはなり得ない。賠償として支払われるべき金銭賠償の額を決定するためには、その者が現に被った損害のみが考慮されなければならない。

※英語版は翻訳であり、正文はドイツ語である。訳文は生成AIによる。

6. コメント

第一に、安全管理措置と免責の関係について。jurisの主張は、異議を管理する仕組みは整えており、違反は従業員が指示に従わなかったことによる、というものであった（22段・50段）。裁判所は、29条と32条4項を手がかりに、指示が従業員によって正しく適用されることを確保するのは管理者であるとし（47〜49段）、指示を与えていたことと従業員がそれに従わなかったことを証明するだけでは免責されないとした（52段、主文2）。32条4項は、指示を「与える」ことではなく、指示によらない処理がされないことを「確保する」措置を求めている。本判決は、この文言の差を免責の要件に結び付けたものと読める。

第二に、免責の要件の立て方について。免責は、5条・24条・32条に基づく義務の「いずれかの違反」と損害との間に因果関係がないことを管理者が証明した場合に限られる（51段）。ここで引用されているのはC-340/21の70段・72段で、同判決はサイバー攻撃という第三者の行為の事案であった。本判決は、それを「類推として」（by analogy）内部の従業員の行為に及ぼしている。外部の攻撃者であれ内部の従業員であれ、他人の行為が介在したというだけでは足りず、管理者は自らの措置の側に損害につながる欠陥がなかったことまで示さなければならない。

第三に、C-687/21との関係について。C-687/21は、従業員の誤交付という事実だけでは措置が不適切だったとはいえないとした（同判決主文1）。本判決は、従業員の指示違反を援用するだけでは免責されないとする。前者は違反の認定の段階、後者は免責の段階の話であり、両者は矛盾しない。もっとも、二つを並べると、従業員の過誤は、原告にとって措置の不適切さを推認させる決め手にならない一方、管理者にとっても免責の決め手にならない。いずれの段階でも、裁判所が見るのは管理者の措置そのものである。

第四に、損害と賠償額について。違反だけでは損害にならず（主文1）、83条の制裁金の基準は賠償額の算定に使えず、複数の違反があったことも考慮されない（主文3、57段・64段）。異議を繰り返し無視されたという事情は、それ自体としては賠償額の算定基準にならず、考慮されるのは現に被った損害のみである（64段）。

なお、本判決は、措置の「適切さ」の水準そのもの（どのような措置を講じていれば免責され得たか）には立ち入っていない。jurisの仕組みが5条・24条・32条の義務を満たしていたか、その違反と損害との因果関係がないといえるかの当てはめは、付託裁判所に残されている。

7. 関連判決

• CJEU 2023年12月14日判決 C-340/21 Natsionalna agentsia za prihodite（ECLI:EU:C:2023:986）――外部攻撃と安全管理措置の立証責任、82条3項の免責。本判決51段が引用
• CJEU 2024年1月25日判決 C-687/21 MediaMarktSaturn（ECLI:EU:C:2024:72）――従業員の誤交付と措置の適切性、非物質的損害の証明。本判決34〜36段・42段・58〜59段が引用
• CJEU 2023年12月21日判決 C-667/21 Krankenversicherung Nordrhein（ECLI:EU:C:2023:1022）――過失の推定と証明責任、補償的機能。本判決46段・58段・60〜61段が引用
• CJEU 2023年6月22日判決 C-579/21 Pankki S（ECLI:EU:C:2023:501）――29条と従業員の処理。本判決47段が引用
• CJEU 2023年5月4日判決 C-300/21 Österreichische Post（ECLI:EU:C:2023:370）――先決付託の受理可能性（関連性の推定）。本判決29段が引用
• 特集 期待される安全管理措置とは何か――漏えい訴訟で裁判所は何を審査するか

8. 出典

• 判決原文（英語版）：EUR-Lex C-741/21 判決（出典：Court of Justice of the European Union／EUR-Lex）