米ＡＴ＆Ｔが280億円支払いへ　日本の情報漏洩「慰謝料3000円」との決定的な差

🟢 2026年の日本は、個人情報漏洩の当たり年になってしまった。東京商工リサーチの集計では、上場企業とその子会社が公表した100万件以上の漏洩は、10月5日時点ですでに10件。2025年の通年6件を、10か月で追い抜いている。1000万件を超える漏洩にいたっては、2012年からの14年間で3回しか起きていなかったものが、2026年だけで3回発生した。

これだけ続くと、「またか」で流してしまう。お詫びのメールが届いて、500円分の電子マネーか、よくて3000円の見舞金。個人情報が漏れるのは天気みたいなもので、自分にはどうしようもない――そう思っている人は少なくないはずだ。筆者も正直、そう思っていた時期がある。

🟢 ところが2026年10月2日、米国の連邦地方裁判所が、その感覚を揺さぶる決定を出した。通信大手ＡＴ＆Ｔの情報流出をめぐる集団訴訟（クラスアクション）で、総額1億7700万ドル――日本円でおよそ280億円の和解に、最終承認が下りたのだ。実損を証明できた人には最大7500ドル、約120万円が支払われる。

同じ「情報が漏れた」という出来事に対して、なぜ日米でここまで金額が違うのか。そして日本でいま、何が動き始めているのか。順番に見ていきたい。

1. 米国で決まったこと ― ＡＴ＆Ｔ和解の中身

🟢 承認したのは、テキサス州北部地区連邦地裁のシドニー・フィッツウォーター判事。73ページにおよぶ意見書と命令で、反対意見を退けたうえで和解を認めた。支払いの原資は2つの基金に分かれており、合計1億7700万ドル。内訳は、2024年3月に公表された流出分に1億4900万ドル、同年7月公表分に2800万ドルだ。

🟡 この2つの基金は「非返還型」とされている。申請が少なくて基金が余ったとしても、会社に戻らない仕組みだ。企業側が「申請が面倒だから誰も請求しないだろう」と高をくくっても、得をしない設計になっている。

🟢 では、1人いくら受け取れるのか。区分はこうなっている。

※円換算は1ドル＝約157円で計算した概算。第1区分は第2区分の5倍という設計になっている。

🟢 支払いのスケジュールも決まっている。承認から30日の不服申立て期間が過ぎ、異議が出なければ、11月12日ごろに和解が効力を持つ。そこから60日以内に、電子送金または小切手で支払わなければならない。早ければ2026年12月、遅くとも2027年の初めには、対象者の手元に届く計算になる。

🟡 なお、ＡＴ＆Ｔは責任を認めていない。同社は「犯罪行為の責任が自社にあるという主張は否定する」としたうえで、長期の訴訟による費用と不確実性を避けるために和解したと説明している。企業が非を認めなくても被害者に金が渡る、という点も、日本の感覚とはずいぶん違う。

2. ＡＴ＆Ｔで何が漏れたのか

🟢 混同されやすいが、これは2つの別々の事件である。しかもどちらも2024年に公表されたもので、「2019年と2024年」と書かれることがあるのは、1件目の流出データが2019年以前のものだったからだ。

【1件目】2024年3月公表 ― 約7300万人分
🟢 ダークウェブ上に、ＡＴ＆Ｔの顧客データが置かれているのが見つかった。同社の説明では、現在の契約者約760万人と、すでに解約した元契約者約6540万人分。中には社会保障番号（ソーシャル・セキュリティ・ナンバー）と、アカウントの暗証番号が含まれていた。米国の社会保障番号は、口座開設からローン審査、納税まで本人確認の土台になる番号で、日本のマイナンバー以上に生活の根幹に食い込んでいる。

【2件目】2024年7月公表 ― 約1億1000万人分
🟢 クラウドのデータ基盤（スノーフレーク社のサービス）経由で、通話とショートメッセージの履歴が抜き取られた。通話の中身や文面そのものではなく、「誰と、いつ、何回やりとりしたか」という記録――メタデータである。

🟢 2件を合わせると、延べ1億1000万人を超える規模になる。米国の人口が約3億4000万人であることを考えれば、国民の3人に1人に関わる事故だったことになる。

3. 日本の「補償」はいま、どうなっているのか

🟢 まず押さえておきたい前提がある。日本には、個人情報が漏れたら自動的に補償金が支払われる法制度は存在しない。個人情報保護法は、企業に安全管理措置や報告・通知の義務を課しているが、漏れた本人への支払いまでは定めていない。金銭を求めるなら、民法の不法行為（709条）や契約上の債務不履行を根拠に、自分で請求するのが原則だ。

🟢 では実際、裁判所はいくらを認めてきたのか。主な裁判例を並べてみる。

※同じベネッセ事件でも、東京高裁2021年5月27日判決のように4000円を認めたものなど、判断にはばらつきがある。

🟢 弁護士の解説記事でも、センシティブな情報を含まず、迷惑メールなどの二次被害も生じていない場合、慰謝料の相場はおおむね3000円から5000円とされている。氏名と住所と電話番号が丸ごと流出しても、裁判で勝って、3000円。これが日本の現在地だ。

🟢 ただし、重要な転換点はすでに起きている。2017年10月23日の最高裁判決（ベネッセ事件）は、氏名や住所のような基本的な情報であってもプライバシーとして法的保護の対象になると認め、「迷惑行為や財産的損害といった、不快感や不安を超える損害が立証されていない」という理由だけで請求を退けることはできないと判断した。「実害がないなら0円」という門前払いは、もう通らない。

🟢 一方、裁判とは別に企業が自主的に出す「見舞金」もある。こちらは裁判所の判断ではなく、企業が決める金額だ。

🟢 制度面では大きな動きがあった。いわゆる「3年ごと見直し」にもとづく改正個人情報保護法が、2026年7月10日に成立し、同月17日に令和8年法律第56号として公布された。目玉は課徴金制度の新設だ（改正後148条の3）。不正な取得や違法な第三者提供によって事業者が対価を得た場合、その利益に相当する額を国が徴収する。対象となる本人の数が1000人以下なら課されない、という下限も置かれた。罰則の強化は2027年1月17日に先行して施行され、主要部分は公布から2年以内に施行される。

4. 日本でも訴訟は起きるのか ― いま動いている案件

🟢 起きている。しかも、この記事を書いている時点で、まさに進行中の案件がある。カーシェア「タイムズカー」の情報漏洩だ。

🟢 請求額は、運転免許証など本人確認書類の画像が漏れた人が5万円、その他の個人情報の場合が3万円。信用情報機関へ本人申告をした人や、免許証を再交付した人は、その実費が上乗せされる。訴訟への参加費用は1000円程度とされている。被告は運営会社のタイムズモビリティと親会社のパーク24、そして両社の社長2人だ。年内の提訴を目指すという。

🟢 背景には、2026年の異常な漏洩ラッシュがある。主なものを挙げておく。

🟢 個人情報保護委員会への漏えい等の報告処理件数は、2025年度で1万7139件。警察庁の集計では、2026年上半期のランサムウェア（身代金要求型ウイルス）被害の報告は123件で、半期として統計開始以来最多となった。中小企業が79件を占めている。

🟢 集団的な被害回復の受け皿も、少しずつ整ってきた。2023年10月1日に施行された改正消費者裁判手続特例法により、特定適格消費者団体が起こす訴訟の対象に、一定の要件を満たす慰謝料が加えられ、被告として事業監督者である個人も含められるようになった。ただし拡大損害や逸失利益、一部の慰謝料は依然として対象外で、米国型の集団訴訟（クラスアクション）とは設計思想が違う。

🔵 日米の違いを整理すると、こうなる。

5. 自分の情報が漏れていたら、何ができるのか

🔵 「どうせ3000円」で終わらせるかどうかは、結局のところ、漏らされた側がどう動くかにかかっている。ＡＴ＆Ｔの280億円も、誰かが訴訟を起こし、連邦地裁が2年かけて審理した結果として出てきた数字だ。最後に、現実的にできることを挙げておきたい。

🔵 ① 公表資料で、自分が対象か確認する。　退会済み・解約済みの顧客が対象に含まれる事例は多い。「もう使っていないサービスだから関係ない」は通用しない。

🔵 ② 見舞金を受け取る前に、条件を読む。　受領と引き換えに、それ以上の請求権を放棄する条項が付いている場合がある。訴訟への参加を考えているなら、受け取る前に確認したほうがいい。

🔵 ③ 実害の記録を残す。　米国の和解で最大額に届いたのは、被害を書面で証明できた人だけだった。不審な請求、不正ログインの通知、再発行の手数料、問い合わせに費やした時間――日付入りで残しておけば、根拠のある請求ができる。

🔵 ④ 本人確認書類が漏れた場合は、信用情報機関への本人申告を検討する。　身に覚えのない契約の審査時に、確認の連絡が入るようにできる。

🔵 ⑤ パスワードの使い回しをやめる。　漏洩情報は売買され、他サービスへの総当たり攻撃に使われる。メールアドレスだけの流出でも、同じパスワードを使っていれば連鎖的に破られる。