タイムズカー660万件流出、集団訴訟に発展も？なりすまし被害のリスク、免許証画像で賠償額は変わるのか
カーシェアサービス「タイムズカー」のウェブサイトが不正アクセスを受けた問題で、運営会社は9月28日、約660万件ものアカウント情報が第三者に取得されたと発表した。
流出した情報は対象者によって異なるが、氏名や住所、生年月日、電話番号などに加え、運転免許証の画像などの本人確認書類も含まれるとしている。クレジットカード情報の流出はなく、現時点で不正利用は確認されていないという。
対象は現在の会員だけではない。すでに退会した人や、入会手続きを完了していない人の情報まで含まれていたとのことだ。
同社は9月29日、本人確認書類の画像が流出したアカウントは約160万件だったと発表。運転免許証のほか、公共料金の請求書や学生証の画像も含まれるという。
同社は対象者へのメールによる個別連絡を始めており、詳細については2週間程度をめどに改めて知らせるとしている。
40代の会社員男性も「1カ月ほど前にタイムズカーのサービスを利用し始めたばかりだった。自分の免許証画像まで外部に漏れていないか心配だ」と語る。
なぜ、退会した人の個人情報や免許証画像まで残っていたのか。そして、情報を流出された利用者や元利用者は、会社にどこまで責任を問えるのか。
ベネッセの情報漏えい事件で集団訴訟を手がけた金田万作弁護士に聞いた。
●退会者の免許証画像、保存し続けてよかったのか
──退会した人の情報や免許証の画像を保存し続けていたことは、法的に問題ないのでしょうか。
個人情報保護法は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求めています（22条）。
この規定には、不要なデータを放置しておくと、漏えいが起きた際に被害を無用に拡大させることになるため、それを防ぐという大きな意味があると指摘されています。
今回、退会者や入会手続きを完了していない人まで漏えいの対象とされています。まさに、その懸念が現実になったものといえます。
仮に利用する必要がなくなったのにもかかわらず、退会した人の情報や免許証の画像を消去せず保存していたとすれば、努力義務ではありますが、同条に違反することになります。
なお、レンタカー型のカーシェアでは、道路運送法に基づく許可の条件として、免許証番号などを記載した貸渡簿を貸渡しの終了日から2年間保存することが求められています。一方で、免許証の画像そのものを保存することまでは求められていません。
こうした保存の必要性や管理体制は、安全管理措置義務（23条）に違反したかどうかを判断するうえでも問題になるでしょう。
●会員や退会者は賠償を求められるか
──会員は会社に損害賠償を求められますか。過去の事例では、どのくらいの金額が認められていますか。
外部からの不正アクセスだったとしても、会社のセキュリティ対策に不備があったとすれば、賠償責任を問うことができます。Yahoo! BB事件でも、不正アクセスを防ぐ措置を怠ったとして会社の責任が認められました。
私が関わったベネッセの事件では、最高裁（平成29年10月23日判決）が、氏名や住所などの漏えいもプライバシー侵害にあたると判断しました。ただ、その後の判決で認められた額は、一人1000円から3300円（弁護士費用を含む）にとどまっています。
最近の東京地裁判決（令和6年3月25日、東京高裁令和7年1月22日判決で維持）も一人3300円でした。
その理由の一つは、氏名や住所は社会生活の中で一定範囲の人に開示することが予定された情報であり、秘匿の必要性が高いとはいえない、という判断です。
──今回は免許証が含まれています。賠償額などに影響する可能性はありますか。
はい。免許証の画像となると、事情が異なってきます。
顔写真と免許証番号、生年月日、住所が一体となった本人確認書類であり、携帯電話の契約のほか、金融機関の口座開設や借入などで「なりすまし」に悪用されるおそれがあります。
しかも、顔そのものは変えることができません。ベネッセ事件の判決の考え方からすれば、今回はより高い慰謝料が認められる可能性は十分にあると考えます。
また、不正利用を防ぐため、信用情報機関などへの本人申告（信用情報に免許証を紛失したなどの情報を登録し、審査時に注意喚起するもの）をした場合、その手数料なども損害として請求できる可能性があります。
●「お詫び」の金券、受け取っても大丈夫？
──会社がお詫びとして金券やポイントを配った場合、受け取ると賠償を求められなくなりますか。
金券やポイントを受け取っただけで、賠償請求ができなくなるわけではありません。
ただし、「これ以上の請求はしない」といった条項がある書面に同意すると、その後の請求ができなくなるおそれがあるので注意が必要です。
過去の裁判例では、Yahoo! BB事件で、現金に換えられる500円分の郵便為替が賠償の一部支払いとして差し引かれました。ベネッセ事件でも、500円相当のお詫びの品が、慰謝料を低く抑える事情として考慮されています。
ただ、500円で十分だと判断した裁判例は見当たりません。
●660万件の流出、集団訴訟に発展する？
──今回の問題が集団訴訟に発展する可能性はありますか。実際に弁護士による呼びかけの動きも始まっています。
約660万件という規模や、流出した情報の重大性からすれば、集団訴訟に発展する可能性は高いと思います。
消費者団体が被害者に代わって訴える「消費者裁判手続特例法」の制度もあります。
しかし、この制度で慰謝料を請求できるのは、慰謝料の算定の基礎となる事実が多数の消費者に共通していることを前提に、財産的な損害の請求とあわせて請求する場合か、事業者に故意がある場合に限られています（同法3条2項6号）。
ですので、会社に過失が認められたとしても、故意ではない情報漏えいについては、財産的な損害が認められなければ、この制度を使えないのが実情です。
そのため、ベネッセ事件と同様、弁護団を結成し、多数の原告がまとまって訴える形が中心になるでしょう。
情報漏えいでは、一人あたりの賠償額が少なく、一人ひとりが訴えると費用倒れになりやすいという問題があります。情報漏えいの慰謝料についても、集団で被害回復を図る制度の対象とする見直しが必要だと考えます。
【取材協力弁護士】
金田 万作（かなだ・まんさく）弁護士
第二東京弁護士会消費者問題対策委員会（電子情報部会・金融部会）に所属。投資被害やクレジット・リース関連など複数の消費者問題に関する弁護団・研究会に参加。ベネッセの情報漏えい事件では自ら原告となり訴訟提起するとともに弁護団も結成し集団訴訟を行った。
事務所名：笠井・金田法律事務所
事務所URL：http://kasai-law.com
