ECサイトからのクレジットカード情報漏えい事案における法的留意点（上）
ECサイトからのクレジットカード情報漏えい事案における法的留意点（上）（いーしー-じょうほうろう-じあん-ほうてきりゅういてん（じょう））とは、八雲法律事務所に所属する山岡裕明と町田力、柏原陽平が雑誌「ビジネス法務2023年1月号」に寄稿したコラムである。
本文
実務解説
ECサイトからのクレジットカード情報漏えい事案における法的留意点(上)
八雲法律法律事務所 弁護士(2010年登録)。情報処理安全確保支援士。University of California. Berkeley, School of Information修了(Master of information and Cybersecurity(修士))。
内閣サイバーセキュリティセンタータスクフォース構成員(19年～20年、21年～22年)。サイバーセキュリティ協議会運営委員会「サイバー攻撃被害に係る情報の共有ガイダンス検討会」検討委員(22年～)。
山岡裕明
Yamaoka Hiroaki
八雲法律事務所 弁護士(2012年登録)。情報処理安全確保支援士。総合商社を経て現職。企業のサイバーインシデント対応、個人情報保護法対応、システム紛争を専門に扱う。
町田力
Machida Tuyoshi
八雲法律事務所 弁護士(2017年登録) 。情報処理安全確保支援士 総合商社を経て現職。企業のサイバーインシデント対応、個人情報保護法対応、システム紛争を専門に扱う。
柏原陽平
Kashihara Yohei
近年EC市場の拡大を受けて増加しているECサイトからのクレジットカード情報漏えい事案について、インシデント発生時における法的留意点を解説する。 迅速な対応が要求されるインシデントレスポンスの際に必要となるフォレンジック調査、関係者対応、改正個人情報保護法に基づく対応、公表等の各対応段階における基本的な流れや実務上のポイントを筆者らの実務経験に基づき紹介する。
Ⅰ はじめにークレカ情報漏えい事案増加の背景
近年、ECサイトの普及に伴い、クレジットカード(以下「クレカ」という)に係る情報(以下「クレカ情報」という) の漏えい事案が増加している。
新型コロナウイルス感染症拡大の対策として、外出自粛の呼びかけおよびECサイトの利用が推奨された結果、各社はその対応を迫られ、EC事業の開始を検討する企業が増加している。そのような企業の中には手数料を考慮して、大手ECモールに出店するのではなく、比較的容易にECサイトを作成できるソフトを利用し、自社ECサイトを開設する企業も増加している[1]。
これらを背景としてECサイトが増加し、経済産業省の調査結果によると、2013年時点で約11兆円であったEC市場規模 (国内 BtoC-EC市場のみ) は、2021年時点で約20兆円に達している[2]。
そして、ECサイトの増加に伴い、消費者によるクレカ情報の入力機会も増加した結果、ECサイトからのクレカ情報漏えい事案(以下「クレカ情報漏えい事案」という)も増加している[3]。
このことは、ECサイトからのクレカ情報漏えい事案に限らないものの、国内で発行されたクレカの不正利用による被害が2021年に過去最高額の約330億円に上ったという日本クレジット協会の調査結果(【図表1】参照)にも顕著に表れている。
Ⅱ クレカ情報漏えい事案の概要およびその特徴
= 1 クレカ情報漏えい事案の概要
クレカ情報漏えい事案とは、ECサイトで商品を購入する際に、決済画面においてクレカ情報を入力のうえ決済を行うが､その際に入力したクレカ情報が盗み出され、不正に使用されるという事案である。
不正利用分について、クレジットカード会社がその会員規約[4]に基づきクレカの保有者に補償した場合、当該補償額相当額について、クレカ情報の漏えい原因となったECサイトの運営企業(以下「ECサイト運営企業」という)がクレジットカード会社から求償を受けることになる。
2 クレカ情報漏えい事案の特徴
(1)一般的な個人情報の漏えい
一般的な個人情報の漏えいの場合、漏えいした個人情報の主体たる本人から、個人情報の管理者に対し、プライバシー権侵害により精神的損害を被ったとして損害賠償請求が行われることが想定される。その際の認定額については、過去の裁判例が参考になる。
著名な裁判例としては、2014年7月に発覚した大手通信教育事業者からの約2,800万件に及ぶ個人情報の漏えい事件 (いわゆるベネッセ事件) に関する一連の裁判例があげられる。そのうち大阪高等裁判所の令和元年判決では、氏名、住所、生年月日、性別等が漏えいしたところ、損害額として1人あたり1,000円が認定された[5]。
このように、漏えいした個人情報がすでに公となっていることが多く、また、本人自らそれを公表する機会も多いような内容の場合には、プライバシー侵害の程度としては比較的低いと判断され、損害額も低くなる傾向にある。ベネッセ事件に関する東京高等裁判所の令和2年判決でも、上記氏名等のほか出産予定日が漏えいした事業について、1人あたり3,300円(慰謝料3,000円、弁護士費用300円)が損害として認定されている[6]。
 | この節の加筆が望まれています。 |
画像
2022年11月23日、有志によって寄稿部分が開示された[7]。
註釈
- ↑ 1 たとえば、BASE株式会社が提供するネットショップ作成サービスにおける累計ショップ開設数は、2020年2月時点では190万店ほどであったが、2021年3月時点では140万店を超えている(総務省「令和3年版 情報通信白書」(2021年7月))。
- ↑ 2 経済産業省「令和3年度電子商取引に関する市場調査報告書」(2022年8月)
- ↑ 3 なお、ECサイトからのクレカ情報漏えい事案の増加は、磁気ストライプのクレカからICクレカの移行によりクレカ自体の偽造が困難となっていることも一因と考えられる。
- ↑ 4 たとえば、三井住友カード会員規約(個人用)14条項「.....当社は、会員が紛失･盗難により他人にカードもしくはカード情報またはチケットを不正利用された場合であって、前条第2項に従い警察および当社への届出がなされたときは、これによって本会員がるカードまたはチケット等の不正利用による損害をてん補します。」と、一定の場合にクレカ保有者に不正利用分を補償することを規定している(https://www.smbc-card.com/mem/kiyaku/responsive/pdf/smbo-card_kiyaku_kajin.pdf)。
- ↑ 5 大阪高判令元20判時2448号26頁
- ↑ 6 東京高判令2.3.25(判例集未登載)
- ↑ 【山岡裕明】八雲、名古屋・山本法律事務所事実追及スレ【山本祥平】★2>>281(魚拓) - マヨケー
