メールを一斉送信する際、送り先がわからないようにできる「BCC」ではなく、間違えて「TO」や「CC」で送ってしまったことはないだろうか。送信先のアドレスを「TO」や「CC」に入れて送ると、一斉に送った全員にそれらのアドレスが表示されて、送信相手に丸わかりになってしまう。

最近では昨年12月、2020年東京オリンピック・パラリンピック組織委員会が、白紙撤回された「旧エンブレム」の選考に応募した100人にあてて送った電子メールが、ほかの受信者のアドレスが分かる状態で誤送信され、話題になった。

間違えて、他人のメールアドレスがわかる形でメールを送信して、流出させてしまった場合、法的責任を問われる可能性はあるのだろうか。IT問題にくわしい最所義一弁護士に聞いた。

●簡単に個人が特定できるアドレスは「個人情報」

「個人情報保護法にいう『個人情報』（同法第2条1項）とは、生存する『個人に関する情報』であって、特定の個人を識別することができるものと定義されています。

まず、メールアドレスが、この個人情報に該当するのかという点について考えてみましょう。厚生労働省・経済産業省が昨年出した、経済産業分野を対象とするガイドラインでは、特定の個人を識別できるメールアドレス情報は『個人情報』にあたるとされています。例えば、『keizai_ichiro@meti.go.jp』といったように、メールアドレスだけの情報の場合でも、これは『日本の政府機関である経済産業省に所属するケイザイイチローのメールアドレス』ということが見てとれますね。こうした場合です。

しかし、記号や数字等の文字列だけからは、特定個人の情報であるか否かの区別がつかないメールアドレスもあります。例えば、『abc012345@xyzisp.jp』はどこの誰のものだかは、分かりませんから、個人情報には該当しないとされています。ただ、その数字が、例えば学籍番号の可能性があり、メールアドレスに所属先の大学の情報が含まれているような場合（『01234@**.△△-u.ac.jp』等）には、他の情報と照合すれば特定個人の識別が可能ですので、個人情報に該当しうることになります」

では、流出したメールアドレスが「個人情報」に該当する場合、誤送信した個人や組織には、どんな責任が生じるだろうか。

「その法人や個人が『個人情報取扱事業者』（同法第2条3項）に該当する場合は、個人情報保護法上の義務および責任が課されることになります。仮に、主務大臣の命令に違反したとすれば、最悪、6ヶ月以下の懲役または30万円以下の罰金という刑事罰が課されることになります同法56条）。なお、法人格のない、権利能力のない任意団体や個人であっても個人情報取扱事業者に該当し得ますので、責任は個人であっても法人であっても変わりません。

損害賠償請求を受けることになるだろうか。

「そうですね。プライバシー侵害による慰謝料請求が認められる可能性はあります。ただ、裁判例上、個人情報が流失した際に認められた慰謝料金額は、具体的な二次被害等がなければ、5000円～1万円程度に止まっています。また、メールアドレスが一般的には秘匿性の高い情報とまではいえないことからしても、仮に、慰謝料が認められたとしても、その金額は、非常に低額なものとならざるを得ないでしょう。

むしろ、個人情報の漏出が生じた場合には、企業に対するレピュテーションが失われるリスクのほうが大きいと言えます。速やかに、謝罪および被害回復のために必要な対応を講じるとともに、被害者の方の不安を緩和させるためにも、状況説明および再発防止策を講じる必要があるのではないかと思います」

最所弁護士はこのように話していた。

（弁護士ドットコムニュース）