個人情報漏えいの損害賠償はいくら？判例と企業の責任を解説

「もし自社から顧客の個人情報が漏えいしたら、損害賠償はいくらになるのだろうか」。顧客情報を預かる企業の社長にとって、気になる問題ではないでしょうか。

2026年10月、タイムズカーの情報漏えい問題をめぐり、利用者らが集団訴訟を準備していることが報じられました。報道では、本人確認書類画像の漏えいに関係する利用者について1人当たり5万円、それ以外の情報漏えいについて3万円を請求する方針が示されています。

一方、パーク24が公表した見舞金は、一定の対象者に対して3,000円相当です。しかし、見舞金、裁判で請求する金額、実際に認められる損害賠償額は、それぞれ意味が異なります。

この記事では、個人情報漏えいの損害賠償額をどのように考えるのか、過去の裁判例をもとに解説します。さらに、企業の責任が認められる条件や、中小企業の社長が事故に備えて確認しておきたい実務的な対策を整理します。

1．個人情報漏えいの損害賠償に相場はあるのか

個人情報漏えいによる損害賠償について、「1人当たりいくら」という全国共通の定額基準が法律で決められているわけではありません。損害賠償の責任や金額は、個別の事実関係に基づいて判断されます。

例えば、氏名や住所などの情報が漏えいした事案と、本人確認書類や健康に関する情報などが問題となる事案では、検討すべき事情が異なります。また、外部へ送信されたことが確認された場合と、実際に第三者へ公開・悪用された場合も区別する必要があります。

過去の裁判例で数千円の賠償が認められた事案があるからといって、すべての事故で同じ金額になるわけではありません。社長が知っておきたいのは、金額の暗記よりも、何が賠償額の判断に関係するかという点です。

2．タイムズカーの3万〜5万円は何を意味するのか

2026年10月26日、タイムズカーの情報漏えい問題について、利用者らによる集団訴訟を準備している弁護士が提訴方針を示しました。報道によると、本人確認書類画像の漏えいに関係する利用者について1人当たり5万円、その他の情報漏えいについて3万円を請求する方針です。

ただし、この3万〜5万円は原告側の請求予定額であり、裁判所が認めた賠償額ではありません。2026年10月27日時点で、今回の集団訴訟について企業の法的責任や賠償額が確定したという事実は確認されていません。

また、訴訟への参加を希望する人の数と、正式な原告人数も同じとは限りません。今後の提訴状況や当事者の主張については、続報を確認する必要があります。

3．見舞金3,000円と損害賠償の違い

パーク24は2026年10月23日、暗号化された運転免許証などの本人確認書類画像データについて、アクセスと外部送信の痕跡が確認された利用者に対し、3,000円相当の現金または金券を渡すと発表しました。

見舞金は、企業が利用者への心配や負担を踏まえて自主的に提示することがあるものです。一方、損害賠償は、法的な責任が認められる場合に問題となります。

見舞金が後の損害賠償や和解にどのように影響するかは、支払いの趣旨や合意内容などによって異なります。必ず差し引かれる、あるいは必ず別に支払われると断定することはできません。

公式発表：タイムズモビリティ｜情報漏えいに関する第5報

4．ベネッセ情報漏えい事件の裁判例

個人情報漏えいの損害賠償を考える際、参考となる過去の事案に、2014年に発覚したベネッセの顧客情報漏えい事件があります。業務委託先のさらに先に関係する従業員が顧客情報を持ち出し、名簿業者へ売却した事案です。

この事件では、情報漏えいによるプライバシー侵害や精神的損害、企業側の責任などが争われ、複数の訴訟で判断が示されました。重要なのは、同じ大規模情報漏えい事件に関連する訴訟でも、裁判の経過や判断が一つではなかったことです。

ベネッセ事件は内部関係者による持ち出しが問題となった事案であり、Webシステムへの外部からの不正アクセスが問題となった今回のタイムズカー事件とは、事故の経緯が異なります。そのため、ベネッセ事件の賠償額を今回の事件にそのまま当てはめることはできません。

5．最高裁判所はどのように判断したのか

2017年10月23日、最高裁判所第二小法廷は、ベネッセ事件に関する損害賠償請求訴訟で、原審の判断を破棄し、審理を大阪高等裁判所へ差し戻しました。

この判決では、個人情報の漏えいによるプライバシー侵害が問題となり、精神的損害の有無や程度について十分に審理する必要があると判断されました。実際の金銭被害が確認されていないことだけを理由に、精神的損害の検討を終わらせることは適切ではないという点が重要です。

ただし、最高裁判所がこの判決で「1人当たり何円を支払う」と確定したわけではありません。判決の結論は破棄差戻しであり、具体的な損害についてさらに審理するよう求めたものです。

裁判所の判決資料：最高裁判所第二小法廷・平成29年10月23日判決（平成28年〔受〕第1892号）

6．実際に認められた賠償額の例

ベネッセ事件に関連する裁判では、最高裁判所の差戻し後や別の訴訟で、具体的な慰謝料額が判断された例があります。ただし、請求した金額と認められた金額、慰謝料と弁護士費用相当額を区別して確認する必要があります。

このように、過去の裁判では1,000円や3,300円といった判断が示された例があります。しかし、これらを「個人情報漏えいの相場」として一律に紹介することは適切ではありません。

参考資料：裁判所｜ベネッセ事件に関連する損害賠償請求訴訟の判決

7．損害賠償額を左右する主な事情

損害賠償の金額は、漏えいした情報の種類だけで決まるわけではありません。企業の管理状況、事故の経緯、利用者への影響など、複数の事情が検討される可能性があります。

これらの事情がどのように評価されるかは、事案によって異なります。特定の情報が漏えいしただけで、必ず一定額の損害賠償が認められるわけではありません。

8．実際の金銭被害がなくても賠償されるのか

「顧客の銀行口座からお金が引き出されたわけではないので、損害賠償は発生しない」と考えるのは早計です。個人情報の漏えいでは、財産的な損害だけでなく、プライバシー侵害による精神的損害が問題となる場合があります。

2017年のベネッセ事件に関する最高裁判決も、精神的損害の有無や程度について審理を尽くす必要があるとしたものです。一方、利用者が不安を感じたという事情だけで、必ず賠償請求が認められるわけでもありません。

企業としては、現時点で確認できる二次被害がない場合でも、顧客の不安や問い合わせに適切に対応することが大切です。未確認の被害を断定せず、調査結果に応じて情報を更新しましょう。

9．サイバー攻撃を受けた企業にも責任はあるのか

第三者によるサイバー攻撃を受けた企業は、攻撃者との関係では被害者です。しかし、顧客の個人情報を預かる事業者として、安全管理措置を講じる責任も負っています。

そのため、第三者の攻撃が原因であっても、企業の損害賠償責任が問題となる場合があります。ただし、サイバー攻撃を受けたという事実や情報漏えいが発生したという事実だけで、損害賠償責任が自動的に確定するわけではありません。

一般に、民法上の不法行為責任などを検討する際には、故意・過失、権利侵害、損害、因果関係などが問題となります。個別の事故で責任が認められるかは、具体的な事実関係に基づいて判断する必要があります。

10．企業全体ではどの程度の負担になり得るのか

損害賠償は1人当たりの金額だけでなく、対象者の数によって企業全体の負担が大きく変わる可能性があります。ただし、情報漏えいの対象人数と、実際に賠償を受ける人数は同じとは限りません。

例えば、仮に1人当たり3,000円の賠償が認められ、その対象者が1,000人だった場合、単純計算では300万円になります。1万人なら3,000万円です。これは計算方法を示すための仮定であり、今回のタイムズカー事件の賠償額を予測したものではありません。

さらに、事故の調査、システム復旧、顧客通知、法律相談、訴訟対応などの費用が別に発生する場合があります。企業全体の負担を考える際は、損害賠償だけでなく、事故対応に必要な費用も把握することが重要です。

11．中小企業が損害賠償リスクに備える方法

中小企業が最初に取り組みたいのは、将来の賠償額を予測することよりも、情報漏えいを防ぎ、事故が起きた際に適切に対応できる体制を整えることです。

対策1：顧客情報の保存場所を把握する

顧客情報がどのシステムや端末に保存されているかを確認しましょう。古い顧客名簿、本人確認書類の画像、退職者が使用していた端末なども確認対象になる場合があります。

対策2：必要な情報だけを保存する

業務や法令上の必要性を確認し、不要になった個人情報の削除ルールを整えましょう。保管期間が決まっていない情報がないかを確認することが大切です。

対策3：システムの管理責任を明確にする

ホームページや顧客管理システムの更新、脆弱性対策、アクセス権限の管理を誰が担当するか確認しましょう。外部委託している場合も、緊急時の連絡先を把握しておく必要があります。

対策4：事故時の記録を残せるようにする

不正アクセスが疑われた場合、原因調査や影響範囲の確認にはログなどの記録が役立つ可能性があります。保存期間や保全手順を事前に確認しておきましょう。

対策5：専門家への相談体制を整える

事故調査、個人情報保護、損害賠償などについて、相談できる外部専門家を把握しておきましょう。サイバー保険に加入している場合も、事故調査費用や損害賠償、訴訟費用の補償条件、事前承認の要否などを確認することが大切です。

なお、サイバー保険はすべての事故費用を無条件に補償するものではありません。対象となる事故、費用、免責事項などは契約によって異なります。

12．社長が確認したい10項目

今回のタイムズカーのニュースと過去の裁判例をきっかけに、自社の情報管理と事故対応を点検してみてください。すべてを一度に改善する必要はありませんが、未確認の項目を把握することが第一歩になります。

1. 自社で保管している顧客情報の種類を把握している
2. 顧客情報の保存先と管理責任者が分かる
3. 不要な個人情報の削除ルールを決めている
4. Webシステムの更新と脆弱性対策を確認している
5. 顧客情報へのアクセス権限を管理している
6. 不正アクセス発覚時の連絡先を把握している
7. 事故調査に必要なログや記録を管理している
8. 行政報告や顧客通知を判断する体制がある
9. 法律相談や事故調査を依頼できる専門家を把握している
10. 事故対応費用と利用可能な支援を確認している

13．まとめ｜賠償額より先に確認したいこと

個人情報漏えいの損害賠償には、すべての事故に共通する一律の金額があるわけではありません。ベネッセ事件に関連する裁判では、1人当たり1,000円や3,300円の賠償が認められた例がありますが、その判断を他の事故へそのまま当てはめることはできません。

今回のタイムズカー事件では、原告側が1人当たり3万〜5万円を請求する方針を示しています。しかし、2026年10月27日時点で、裁判所がその金額の支払いを命じたわけではありません。また、パーク24が公表した見舞金3,000円とも区別して考える必要があります。

中小企業の社長が最初に確認したいのは、自社がどのような顧客情報を、どこに、いつまで保存しているのかということです。情報管理の状況を把握し、事故発生時に適切な調査と顧客対応ができる体制を整えることが、将来のリスクを減らすための基本になります。

まずは顧客情報の保存先、管理責任者、緊急連絡先の三つを確認してみてください。日頃の備えが、万一の際に顧客の信頼を守ることにつながります。

参考にした一次情報・関連報道

• タイムズモビリティ｜情報漏えいに関する第5報（2026年10月23日）
• 最高裁判所｜平成29年10月23日判決（平成28年〔受〕第1892号）
• 裁判所｜ベネッセ事件に関連する損害賠償請求訴訟の判決
• 個人情報保護委員会｜漏えい等の対応とお役立ち資料
• レスポンス｜タイムズカーの集団訴訟に関する報道（2026年10月27日）

※2026年10月27日時点の公表情報に基づく解説です。過去の裁判例は個別事案に関する判断であり、今回のタイムズカー事件の賠償額を予測するものではありません。個別の法的責任や損害賠償額については、具体的な事実関係に基づく専門的な判断が必要です。