情報漏えいで集団訴訟はなぜ起きる？企業が知るべき対応と対策

「サイバー攻撃を受けた企業が、なぜお客様から訴えられるのだろうか」。個人情報を扱う企業の社長にとって、気になる問題ではないでしょうか。

2026年10月26日、カーシェアリングサービス「タイムズカー」の情報漏えい問題をめぐり、利用者らによる集団訴訟を準備している弁護士が記者会見を開きました。報道によると、1人当たり3万〜5万円の損害賠償を求める方向で、年内の提訴を目指すとしています。

タイムズカーを運営するパーク24は、10月23日に一定の対象者へ3,000円相当の見舞金を渡すと発表していました。しかし、見舞金の公表と損害賠償請求は別の問題です。企業が第三者によるサイバー攻撃を受けたという事実だけで、損害賠償責任が自動的に決まるわけでもありません。

この記事では、今回の集団訴訟に向けた動きと、情報漏えいが裁判に発展する理由を整理します。さらに、中小企業の社長が知っておきたい法的責任の考え方、事故発生時の対応、今から準備できる対策を解説します。

1．タイムズカーの集団訴訟とは

2026年9月25日、パーク24はタイムズカーのWebシステムで異常なアクセスを検知しました。その後の調査で、第三者による不正アクセスと個人情報の漏えいが確認され、10月23日に調査結果と今後の対応が公表されています。

この事件をめぐり、影響を受けた利用者らが運営会社側に損害賠償を求める集団訴訟を準備しています。2026年10月26日には、訴訟への参加を呼びかけている弁護士が記者会見を開き、提訴の方針を説明しました。

ここで注意したいのは、2026年10月27日時点では、報道で確認できるのは提訴に向けた準備と方針の発表だということです。裁判所が運営会社の損害賠償責任を認めたという意味ではありません。

公式発表：パーク24｜情報漏えいに関する第5報（2026年10月23日）

2．2026年10月26日に何が発表されたのか

10月26日の記者会見では、集団訴訟を呼びかけている牧野裕貴弁護士が、パーク24や関係者を相手取り、損害賠償を求めて提訴する方針を明らかにしました。報道によると、専用サイトには10万人以上の登録があり、年内の提訴を目指すとされています。

ただし、専用サイトへの登録人数が、そのまま正式な原告人数として確定したわけではありません。実際の原告数、請求内容、提訴時期については、今後の発表を確認する必要があります。

関連報道：ITmedia NEWS｜タイムズカー流出で顧客らが損害賠償を求め提訴へ

3．なぜ情報漏えいで集団訴訟が起きるのか

情報漏えいで集団訴訟が検討される背景には、複数の事情があります。例えば、同じ企業のシステムから多数の利用者情報が漏えいした場合、利用者ごとに事情が異なっていても、情報管理の状況や事故原因などに共通する問題が存在する可能性があります。

また、情報漏えいによる不安は、実際に金銭被害が発生した場合だけに限られません。氏名、住所、本人確認書類などが外部へ送信された場合、将来のなりすましや不正利用を心配する利用者もいます。

今回の訴訟を呼びかける側は、情報漏えいによる精神的苦痛などを理由として損害賠償を求める方針を示しています。ただし、その主張がどの範囲で認められるかは、法的な判断を待つ必要があります。

集団で請求する理由

• 同じ事故によって多数の利用者が影響を受けている
• 事故原因や企業の情報管理について共通する論点がある
• 個人では進めにくい法的手続きを共同で行いやすくなる場合がある
• 企業の説明や対応について、法的な判断を求めたい利用者がいる

4．集団訴訟とはどのような仕組みなのか

一般に集団訴訟とは、共通する事実関係や問題を持つ複数の人が、共同で訴訟を進めることを指します。日本では、複数の原告が共同で訴える民事訴訟などの形があり、海外の制度と同じ仕組みがそのまま適用されるわけではありません。

集団で提訴したからといって、参加者全員に同じ金額の賠償が認められるとは限りません。漏えいした情報の種類、個別の事情、損害の有無などが判断に関係する可能性があります。

5．3万〜5万円の請求額は確定しているのか

報道によると、今回の集団訴訟では、利用者1人当たり3万〜5万円の損害賠償を求める方向で調整されています。この数字は、原告側が請求を予定している金額です。

裁判では、請求された金額がそのまま認められるとは限りません。企業の法的責任、損害の内容、因果関係などが検討され、判決や和解によって結果が異なる可能性があります。

企業が他社の事故を参考にする際は、見舞金、請求額、判決で認められた金額を区別する必要があります。いずれか一つを、自社の事故で当然に適用される基準と考えることは避けましょう。

6．サイバー攻撃を受けた企業にも責任が生じるのか

「自社も攻撃の被害者なのに、なぜ顧客に対して責任を負う可能性があるのか」と疑問に感じる社長もいるかもしれません。

サイバー攻撃を受けた企業は、不正アクセスを行った第三者との関係では被害者です。一方で、顧客の個人情報を取り扱う事業者として、安全管理措置を講じる責任なども負っています。

そのため、第三者による攻撃が原因だったという事実だけで、企業の法的責任が必ず免除されるわけではありません。ただし、情報漏えいが起きたという事実だけで、企業に損害賠償責任が必ず生じるわけでもありません。

個別の責任については、事故の原因、当時の安全管理体制、予見可能性、対策の状況、損害との関係などを踏まえた判断が必要です。

7．裁判では何が争点になるのか

今回の訴訟で具体的に何が争点となるかは、正式な訴状や当事者の主張が明らかになってから確認する必要があります。現時点で、裁判所が特定の争点について判断したという事実はありません。

一般的な個人情報漏えいの損害賠償請求では、次のような事項が問題となる可能性があります。

なお、事故後の対応が損害賠償責任の有無や金額にどう関係するかは、事案によって異なります。謝罪や見舞金の支払いだけで、法的な評価が一律に決まるわけではありません。

8．見舞金3,000円を支払っても訴訟になるのか

パーク24は2026年10月23日、暗号化された運転免許証などの本人確認書類画像データへのアクセスと外部送信の痕跡が確認された利用者を対象に、3,000円相当の見舞金を渡すと発表しました。

その3日後に、集団訴訟を呼びかける弁護士が提訴の方針を発表しています。ただし、この時系列だけで、見舞金の金額が集団訴訟の唯一の原因だったと断定することはできません。

見舞金は企業が自主的に提示する対応であり、損害賠償請求は法的な責任に関する問題です。見舞金の支払いが、当然に損害賠償請求をできなくするわけではありません。

また、今回の本人確認書類画像データは暗号化されていたと公表されています。外部送信の痕跡が確認されたことと、画像内容が閲覧・悪用されたことは区別して考える必要があります。

9．企業に生じる可能性がある負担

情報漏えいに伴う企業の負担は、損害賠償の支払いだけとは限りません。事故の内容によっては、原因調査、システム復旧、顧客への通知、問い合わせ窓口の運営、法律相談などの費用が発生する場合があります。

さらに、訴訟に発展した場合には、弁護士への依頼や資料の整理、社内担当者による対応などが必要になる可能性があります。ただし、すべての事故で同じ費用が発生するわけではありません。

社長が備えるべきことは、賠償額を予測することだけではありません。事故が発生した場合に必要な支援を受けられるよう、相談先や社内体制を整えておくことが重要です。

10．情報漏えいが発覚した直後にすべきこと

情報漏えいが疑われた場合、企業はまず被害の拡大防止と事実確認を進める必要があります。原因が分からない段階で、漏えいした情報の範囲や被害の有無を断定することは避けましょう。

初動対応の基本

1. 社内責任者とシステム管理者へ速やかに連絡する
2. 必要に応じて外部専門家へ相談し、被害拡大を防ぐ
3. ログや関係資料などの証拠を適切に保全する
4. 影響を受けたシステムと情報の範囲を調査する
5. 行政への報告や本人通知の要否を確認する
6. 顧客への説明内容と問い合わせ体制を準備する
7. 判明した事実に応じて追加案内と再発防止を進める

個人情報保護委員会は、報告義務の対象となる漏えい等について、発覚後速やかな速報と、その後の確報を案内しています。原則として速報は発覚から3〜5日以内、確報は30日以内、不正な目的によるおそれがある場合は60日以内とされています。具体的な報告義務や期限は、事案に応じて確認してください。

公的資料：個人情報保護委員会｜漏えい等の対応とお役立ち資料

11．中小企業が集団訴訟リスクに備えるには

大規模な情報漏えいでは多数の利用者が影響を受ける場合がありますが、中小企業でも顧客情報を取り扱う以上、情報管理と事故対応の備えが必要です。建設業、製造業、小売業、サービス業など、業種にかかわらず共通する課題があります。

対策1：顧客情報の保存状況を把握する

氏名、住所、電話番号、本人確認書類、取引履歴などを、どのシステムや端末に保存しているか確認しましょう。必要以上に情報を保有していないか、保存期間や削除ルールも見直します。

対策2：Webシステムの管理体制を確認する

ホームページ、問い合わせフォーム、顧客管理システムなどの更新担当者を明確にしましょう。外部事業者に委託している場合も、脆弱性対策や緊急時の連絡方法を確認することが大切です。

対策3：事故時の証拠を残せるようにする

アクセスログやシステムの記録が適切に保存されていれば、事故の原因や影響範囲を調査する際に役立つ可能性があります。保存期間や管理担当者を確認しておきましょう。

対策4：顧客への説明手順を決める

誰が顧客へ連絡し、何を説明するのかを事前に整理しておきます。確認できた事実と未確認の事項を分けて伝えることが、誤解を防ぐために重要です。

対策5：外部支援と費用面を確認する

事故調査や法律相談を依頼できる専門家を把握しておきましょう。サイバー保険に加入している場合は、調査費用、訴訟対応費用、損害賠償などの補償条件や事前承認の要否を確認することも考えられます。ただし、補償の有無は契約内容によって異なります。

12．社長が確認したい10項目

今回のニュースをきっかけに、自社の情報管理と事故対応を点検してみてください。集団訴訟を完全に防ぐ方法があるわけではありませんが、事故の予防と適切な対応のために準備できることがあります。

1. 顧客情報を保存している場所を把握している
2. 不要になった顧客情報の削除ルールがある
3. Webシステムの管理責任者を決めている
4. システムの更新と脆弱性対策を確認している
5. 不正アクセスを発見した際の連絡先が分かる
6. 事故調査に必要なログや記録の管理状況を把握している
7. 行政報告や本人通知を判断する担当者を決めている
8. 顧客への説明と問い合わせ対応の手順がある
9. 法律相談や事故調査を依頼できる連絡先がある
10. 事故対応費用や利用できる支援を確認している

13．まとめ｜顧客の信頼を守るために

タイムズカーの情報漏えい問題では、2026年10月26日に集団訴訟へ向けた方針が公表されました。報道では10万人以上が専用サイトに登録し、1人当たり3万〜5万円の損害賠償を求める方向で準備が進められているとされています。

ただし、これは提訴に向けた動きであり、企業の法的責任や賠償額が裁判所によって確定したわけではありません。見舞金3,000円の支払い方針と、利用者側が予定する損害賠償請求も区別する必要があります。

中小企業の社長が今回の事件から学びたいのは、サイバー攻撃の被害に遭った場合でも、顧客情報を預かる企業として適切な対応が求められるということです。事故の予防だけでなく、発覚後の調査、証拠保全、顧客への説明、再発防止まで考えておくことが大切です。

まずは、自社の顧客情報がどこに保存されているのか、事故が起きた際に誰へ連絡するのかを確認してみてください。その準備が、万一の際に顧客の信頼を守るための第一歩になります。

参考にした一次情報・関連報道

• パーク24｜情報漏えいに関する第5報（2026年10月23日）
• 個人情報保護委員会｜漏えい等の対応とお役立ち資料
• ITmedia NEWS｜集団訴訟に向けた記者会見報道（2026年10月26日）
• 弁護士ドットコムニュース｜タイムズカー情報漏えいと集団訴訟の動き

※2026年10月27日時点の公表情報に基づく解説です。訴訟に関する情報は、原告側の発表や報道を含みます。今後の提訴状況、当事者の主張、裁判所の判断によって内容が変わる可能性があります。本記事は個別の法的責任や賠償額を判断するものではありません。