期待される安全管理措置とは何か――漏えい訴訟で裁判所は何を審査するか

個人データの漏えいが起きたとき、事業者が講じていた安全管理措置は「適切」だったのか。漏えいが起きた以上、不適切だったと言えるのか。言えないとすれば、裁判所は何を見て判断するのか。そして、その基準は誰が決め、どの時点のものなのか。攻撃する側がAIを使うようになった今、基準は速く上がっていくのか。

本稿は、これらの問いを、EU法（GDPR）の下での欧州司法裁判所とドイツの裁判所の判決、そして日本の裁判例を素材に整理する。個々の措置の中身（何をすれば足りるか）は扱わない。扱うのは、裁判所がどのような枠組みで措置を審査したかである。

1. 漏えいがあれば、措置は不適切だったことになるのか

欧州司法裁判所の答えは「ならない」である。国の税務当局へのサイバー攻撃で600万人超のデータが流出した C-340/21（2023年12月14日判決）で、裁判所は次のように述べた。

The reference in Article 32(1) and (2) of the GDPR to ‘a level of security appropriate to the risk’ and to an ‘appropriate level of security’ shows that that regulation establishes a risk management system and that it in no way purports to eliminate the risks of personal data breaches.（29段）

GDPR 32条1項及び2項が「リスクに応じた適切な安全性の水準」及び「適切な安全性の水準」に言及していることは、同規則がリスク管理の仕組みを定めるものであって、個人データ侵害のリスクを除去しようとするものでは全くないことを示している。（AI訳）

主文1も、第三者による無権限の開示やアクセスがあったことは「それ自体では」措置が24条・32条にいう「適切」なものでなかったと判断するのに足りないとする。GDPRが求めるのはリスクの管理であって、リスクをゼロにすることではない。

2. EU：措置の適切性は誰が証明するのか

漏えいだけでは不適切と言えないとしても、それで被害者の側が措置の不備を証明しなければならないわけではない。C-340/21は、立証責任を管理者に負わせた。

It is clear from the wording of Article 5(2), Article 24(1) and Article 32(1) of the GDPR that the controller concerned bears the burden of proving that the personal data are processed in such a way as to ensure appropriate security of those data, within the meaning of Article 5(1)(f) and Article 32 of that regulation (…).（52段）

GDPR 5条2項、24条1項及び32条1項の文言から、当該管理者が、個人データが同規則5条1項(f)及び32条にいう適切な安全性を確保する方法で処理されていることの立証責任を負うことは明らかである（…）。（AI訳）

さらに、攻撃者が第三者であっても、管理者は当然には免責されない。免責されるのは、自らにデータ保護義務違反があり得るとしても、それと損害との間に因果関係がないことを証明した場合である（71〜72段、主文5）。

この枠組みは、外部からの攻撃に限らない。店員が契約書類を別の客に誤って渡した C-687/21（2024年1月25日判決）は、従業員の誤交付は措置が不適切であったことを「示し得る」が（41段）、それだけで不適切とはいえず、裁判所は管理者が措置の適切性を証明するために出したすべての証拠を考慮しなければならないとした（44段、主文1）。

逆方向からこれを補うのが C-741/21（2024年4月11日判決）である。広告への異議を無視された弁護士の事件で、事業者は「異議を管理する仕組みは作ってあった。従業員が指示に従わなかったのだ」と主張した。裁判所は、指示を出していたことと従業員がそれに違反したことを証明するだけでは免責されないとした。

Therefore, in order for the controller to be exempted from liability under Article 82(3) of the GDPR, it cannot be sufficient for him or her to demonstrate that he or she had given instructions to persons acting under its authority, within the meaning of Article 29 of that regulation, and that one of those persons failed in his or her obligation to follow those instructions, with the result that that person contributed to the occurrence of the damage in question.（52段）

したがって、管理者がGDPR 82条3項に基づき責任を免れるためには、同規則29条にいう自らの権限の下で行動する者に指示を与えていたこと、及び、それらの者の一人がその指示に従う義務を怠り、その結果その者が当該損害の発生に寄与したことを証明するだけでは足りない。（AI訳）

二つの判決を合わせると、従業員の過誤という事実は、責任の成否をどちらの方向にも決めない。決め手は、管理者が自らの措置について何を証明できるかである。

3. EU：裁判所は措置の何を審査するのか

C-340/21の主文2は、審査の対象を次のように定める。

Article 32 of Regulation 2016/679 must be interpreted as meaning that the appropriateness of the technical and organisational measures implemented by the controller under that article must be assessed by the national courts in a concrete manner, by taking into account the risks associated with the processing concerned and by assessing whether the nature, content and implementation of those measures are appropriate to those risks.（主文2）

規則2016/679の32条は、同条に基づき管理者が講じた技術的及び組織的措置の適切性は、各国の裁判所が、当該処理に伴うリスクを考慮し、かつ、当該措置の性質、内容及び実施がそれらのリスクに照らして適切であるかを評価することにより、具体的に判断しなければならない、という意味に解釈されなければならない。（AI訳）

審査されるのは、措置の「性質、内容及び実施」であり、それが処理に伴うリスクに見合っているかである。措置を規程に書いてあるだけでなく、実施していたかが問われる。また、鑑定書があれば足りるわけでもない。鑑定書は「一律に必要かつ十分な証拠方法」にはならない（主文4）。

ここで、措置の適切性を立証するための証拠の多くは、漏えいの後の調査で作られることに注意したい。フォレンジック調査の報告書がそれである。報告書の開示をめぐる問題は、局面別の論点「調査」で別に扱う予定である。

4. ドイツ：初期設定は措置の問題か

EU法を適用する加盟国の裁判所は、主文2の「具体的な」審査をどう行うのか。ドイツ連邦通常裁判所の VI ZR 10/24（2024年11月18日判決）は、Facebookのスクレイピング事件（約5億3,300万人分のデータの流出）で、一つの答え方を示した。

攻撃者は、連絡先インポート機能に無作為の電話番号を大量に入力し、番号と利用者を結び付けた。この機能が使えたのは、電話番号による検索可能性の初期設定が「全員」になっていたからである。裁判所は、差戻審への指示として、次のように述べた。

Bei der Prüfung eines Verstoßes gegen die Datenschutz-Grundverordnung wird das Berufungsgericht unbeschadet der Frage möglicher weiterer Verstöße jedenfalls zu berücksichtigen haben, dass die von der Beklagten vorgenommene Voreinstellung der Suchbarkeitseinstellungen auf “alle” im Ausgangspunkt nicht dem Grundsatz der Datenminimierung entsprochen haben dürfte, wie er in Art. 5 Abs. 1 Buchst. b und c, Art. 25 Abs. 2 Satz 1 und 3 DSGVO festgehalten ist.（Rn. 86）

GDPRの違反を審査するに当たり、控訴裁判所は、その他の違反があり得るかという問題にかかわらず、少なくとも、被告が検索可能性の設定を「全員」に初期設定していたことは、出発点において、GDPR 5条1項(b)及び(c)並びに25条2項第1文及び第3文に定められたデータ最小化の原則に適合していなかった可能性が高いことを考慮しなければならない。（AI訳）

裁判所が重視したのは、制限するには利用者自身が設定を能動的に変える必要があったこと、より保護的な選択肢がオプトアウトでしか提供されていなかったこと、それがなくてもネットワークは使えた（氏名でも検索できた）ことである（Rn. 90）。攻撃を防げたかという32条の問いの前に、そもそも番号で誰でも検索できる設計にしておく必要があったかという25条の問いが置かれている。もっとも、これは差戻審への指示であり、上告審自身は違反を仮定したにとどまる（Rn. 22）。同意による正当化の余地も残されている（Rn. 91）。

同じ判決は、32条1項の文言をなぞって「最新技術により可能な安全措置」を講じるよう求める差止請求を、不特定として退けた（Rn. 56）。どの具体的な措置が違反だったのか――例えば初期設定の「全員」――を特定すべきだったというのである（Rn. 57）。「最新技術」は事後に措置を評価する基準にはなり得ても、そのままでは将来の行為を命じる内容にはならない。

5. 日本：誰が何を証明するのか

日本には、GDPR 82条のような漏えいの賠償に関する特別の規定はない。本人が事業者に賠償を求めるときは、民法709条（不法行為）や契約上の責任によることになる。不法行為では、事業者の過失は原則として請求する側が主張・立証する。EUのように、措置が適切であったことを事業者が証明しなければならない仕組みにはなっていない。

それでも、措置の水準を時点で測るという発想は共通している。よく引用されるのが、東京地裁平成26年1月23日判決（判例時報2221号71頁）である。ウェブサイトのSQLインジェクションの脆弱性からクレジットカード情報が流出した事件であるが、本人と事業者の間の事件ではなく、サイトの発注者がシステムを開発したベンダに債務不履行責任を問うた事件である。紹介されているところによれば、判決は、ベンダは「その当時の技術水準に沿ったセキュリティ対策を施したプログラム」を提供することを黙示に合意していたとし、経済産業省とIPA（情報処理推進機構）が契約前にSQLインジェクション対策を求める注意喚起をしていたことなどから、対策をする債務を負っていたと判断したとされる（BUSINESS LAWYERS の解説による。判決原文は未確認）。

ここでの「当時の技術水準」は、契約の解釈を通じて債務の内容に取り込まれている。GDPR 32条1項が「最新技術」を条文に書き込んでいるのと、入り口は違うが、措置の水準を時点で測るという点では同じ方向を向いている。

日本の裁判例は、判決原文を確認したうえで、別稿で改めて取り上げる。

6. 基準は時とともに上がる――AIの時代に

GDPRは、措置の水準を固定していない。32条1項は「最新技術」（the state of the art）を考慮要素の第一に挙げ、24条1項は、措置は「必要に応じて見直され、更新されなければならない」とする。条文の構造上、ある時点で適切だった措置が、後の時点でも適切であり続ける保証はない。

攻撃の側の速度は上がっている。英国の国家サイバーセキュリティセンター（NCSC）は、2025年5月7日の評価「Impact of AI on cyber threat from now to 2027」で、次のように述べた。

The time between disclosure and exploitation has shrunk to days and AI will almost certainly reduce this further.

脆弱性の公表から悪用までの時間は数日に縮まっており、AIはこれをほぼ確実にさらに短縮する。（AI訳）

ここから、パッチの適用や脆弱性への対応にかけられる時間の「適切さ」の基準も短くなっていく、と考えることはできる。ただし、これは条文の構造と公的機関の評価から導いた推論であり、裁判所の判断ではない。2026年11月時点で、AIによる攻撃の高速化を理由に措置を不適切とした判決は、本稿の調査では見つかっていない。

反対の方向の要素もある。C-340/21の29段のとおり、GDPRはリスクをなくすことまでは求めていない。基準が上がるとしても、それは「リスクに応じた」水準が上がるということであり、AIによる攻撃をすべて防げなかったことが、それだけで不適切さを意味するわけではない。

7. 比較と残る問い

法域	誰が何を証明するか	基準の手がかり	本稿で扱った素材
EU（GDPR 82条）	管理者が、措置の適切性を証明する（C-340/21 52段・主文3）。従業員の過誤を援用するだけでは免責されない（C-741/21 主文2）	32条1項の「最新技術」、24条1項の「見直し、更新」。措置の「性質、内容及び実施」を具体的に審査（C-340/21 主文2）	C-340/21、C-687/21、C-741/21
ドイツ（EU法の適用）	違反・損害・因果関係は請求者が主張・立証するが、過失は推定され、免責の証明は管理者が負う（VI ZR 10/24 Rn. 21）	25条2項の初期設定の義務（Rn. 86〜90）。「最新技術」の文言だけでは差止めの内容にならない（Rn. 56）	VI ZR 10/24
日本	不法行為では、原則として請求する側が過失を主張・立証する	「当時の技術水準」（東京地判平成26年1月23日。判決原文は未確認）	東京地判平成26年1月23日（紹介による）

残る問いを三つ挙げておく。

第一に、立証責任が管理者にあるとして、管理者は「どの時点の」最新技術に照らして措置の適切性を証明すればよいのか。処理を始めた時点か、漏えいの時点か。24条1項の見直し義務は、その間の更新を求める。

第二に、ドイツ連邦通常裁判所の判決が示したように、措置の審査が「攻撃を防げたか」から「そもそも危険な設計にしていなかったか」へ広がるとすれば、25条（データ保護バイデザイン・バイデフォルト）は、漏えい訴訟の中でどこまで独立の争点になるのか。

第三に、AIによる攻撃の高速化が、裁判所の判断理由に取り込まれる日は来るのか。来るとすれば、それは「最新技術」の解釈を通じてか、それとも24条1項の見直し義務を通じてか。

関連する判例ノート

• 漏えいへの「不安」は損害か――欧州司法裁判所 C-340/21（2023年12月14日判決）
• 読まれずに戻った書類と「不安」――欧州司法裁判所 C-687/21（2024年1月25日判決）
• 「従業員が指示に従わなかった」は免責理由になるか――欧州司法裁判所 C-741/21（2024年4月11日判決）
• 初期設定は「全員」だった――ドイツ連邦通常裁判所 VI ZR 10/24（2024年11月18日判決）

出典

• CJEU C-340/21 判決（英語版）：InfoCuria
• CJEU C-687/21 判決（英語版）：EUR-Lex
• CJEU C-741/21 判決（英語版）：EUR-Lex
• ドイツ連邦通常裁判所 VI ZR 10/24 判決（ドイツ語）：Bundesgerichtshof
• NCSC, “Impact of AI on cyber threat from now to 2027″（2025年5月7日）：ncsc.gov.uk
• 東京地判平成26年1月23日の紹介：BUSINESS LAWYERS