Teollimi

情報漏洩の補償は国でどう違う？12の国・地域の法律と賠償を比較

2026年11月8日時点。公式資料と報道で確認した内容です。

要点

法律で被害者1人あたりの金額を請求できるのは、韓国（法定損害賠償300万ウォン以下）と米カリフォルニア州（消費者1人・1件あたり107〜799ドル）です。日本には法定損害賠償がなく、補償の多くは企業が自主的に出すお詫びです。企業の自主的な補償は発表から3〜73日、裁判を通じた和解は1年3か月〜3年かかりました。一般的な情報であり、法的助言ではありません。

12の国・地域の法律比較

漏洩報告の期限・制裁の上限・賠償の方法（2026年11月8日時点）
国・法律当局への報告本人への通知制裁の上限被害者が賠償を受ける方法実際の補償
韓国 個人情報保護法72時間以内（1,000人以上・機微情報・外部攻撃など）72時間以内。2026年9月11日から漏洩の可能性だけでも通知総売上高の3%、反復・故意・重過失などは10%（2026年9月11日から）法定損害賠償300万ウォン以下、懲罰的損害賠償5倍以下、紛争調停・集団紛争調停カード3社判決で1人10万ウォン、企業の自主補償（利用券・料金割引）
日本 個人情報保護法速報は速やかに（目安3〜5日）、確報は30日（不正目的は60日）義務あり、法定の期限なし行政上の課徴金なし。命令違反で法人に1億円以下の罰金法定損害賠償なし、民法の不法行為で請求ベネッセ訴訟の下級審で1人1,000〜3,000円、企業のお詫び500〜5,000円
米国 州法・SEC・HIPAA上場企業は重大と判断してから4営業日（SEC）、医療は60日（HIPAA）州ごとに異なる。カリフォルニアは30日（2026年1月1日から）連邦の一般的な上限なし集団訴訟の和解が中心。カリフォルニアCCPAは1人・1件あたり107〜799ドルAT&T和解で多くは6.5〜40ドルの見込み（上限5,000ドル）
EU GDPR72時間以内リスクが高ければ遅滞なく2,000万ユーロまたは全世界売上高の4%第82条の損害賠償（精神的損害を含む）、団体による代理、代表訴訟ドイツ連邦通常裁判所：コントロール喪失で100ユーロ程度
英国 UK GDPR72時間以内リスクが高ければ遅滞なく1,750万ポンドまたは売上高の4%企業に請求し、その後は裁判。監督機関（ICO）は賠償を命じられない。一律の代表訴訟は制限英国航空の集団訴訟が和解（金額非公開）
カナダ PIPEDA・ケベック州法25号重大な被害の現実的なリスクがあれば可能な限り速やかに可能な限り速やかに故意の未報告で10万カナダドル。ケベックは2,500万カナダドルまたは売上高の4%州ごとの集団訴訟、ケベックは懲罰的損害賠償1,000カナダドル以上Desjardins和解で最大2億85万カナダドル
オーストラリア Privacy Act30日以内に評価し、可能な限り速やかに可能な限り速やかに5,000万豪ドル・利益の3倍・売上高の30%のうち最大監督機関（OAIC）の決定による賠償、集団訴訟、プライバシー侵害訴訟（2025年6月10日から、故意・無謀な侵害）初の民事制裁金580万豪ドル（2025年10月）
ブラジル LGPD3営業日3営業日ブラジル国内売上高の2%、違反1件あたり5,000万レアル個人・集団訴訟。一般的な情報の漏洩だけでは精神的損害は推定されない（STJ 2023年）Netshoesが集団的損害50万レアル（基金へ納付）
インド DPDP法2023遅滞なく＋72時間以内に詳細報告（2027年5月施行）遅滞なく安全管理措置違反で25億ルピー（250クロール）法に被害者への賠償の規定なし、罰金は国庫へ確認できず
中国 個人情報保護法直ちに。2025年11月1日から大きな事案は4時間（重要インフラは1時間）直ちに（被害を防げた場合は省略可）5,000万元または前年売上高の5%過失推定の損害賠償、検察・消費者団体による公益訴訟公益訴訟が調停で終結（アプリ改修・削除・謝罪、賠償額なし）
シンガポール PDPA通知対象と判断してから3日以内委員会への通知と同時かその後100万シンガポールドルまたは国内売上高の10%損害を受けた人の民事訴訟（第48O条）確認できず（制裁例：SingHealth 25万シンガポールドル）
トルコ KVKK72時間以内合理的な最短期間2026年は1,709万2,242リラ一般の民事訴訟確認できず（制裁例：Yemeksepeti 190万リラ）
漏洩報告の期限・制裁の上限・賠償の方法（2026年11月8日時点） · 表は横にスクロールできます

誰が、どうやって企業に支払わせるか

  • 日本：法定損害賠償がないため、被害者は不法行為として慰謝料を請求します。最高裁は2017年10月23日、ベネッセ事件で氏名・住所などの漏洩もプライバシー侵害になりうるとして審理を差し戻し、その後の下級審は1人1,000〜3,000円を認めました。個人情報保護委員会への報告は、速報が「速やかに」（目安3〜5日）、確報が30日以内（不正の目的が疑われる場合は60日以内）です。
  • 韓国：個人情報保護法第39条の2により、損害額を証明しなくても300万ウォン以下を請求でき、企業側が故意・過失のないことを証明しなければなりません。懲罰的損害賠償は2023年の改正で3倍から5倍になりました。2014年のカード会社の漏洩では、大法院が1人10万ウォンの賠償を確定させています。
  • 米国：連邦の一般的な漏洩法はなく、州法と集団訴訟が中心です。カリフォルニア州のCCPAは、安全管理義務違反による漏洩に消費者1人・1件あたり107〜799ドル（2025年に物価調整）の法定損害賠償を定めています。上場企業は重大と判断してから4営業日以内にSECへ開示しなければなりません。
  • EU：GDPR第82条で精神的損害も賠償の対象です。EU司法裁判所は2023年5月4日のÖsterreichische Post判決（C-300/21）で、違反だけでは足りないが「重大性の基準」は設けられないとし、12月14日の判決（C-340/21）では悪用への不安も損害になりうるとしました。ドイツ連邦通常裁判所は2024年11月18日、フェイスブックのスクレイピング事件（VI ZR 10/24）で、短時間のコントロール喪失も損害であり100ユーロ程度の慰謝料は問題ないと判断しました。
  • 英国：監督機関（ICO）は賠償を命じられません。最高裁は2021年11月10日のLloyd v Google判決で、「コントロールの喪失」だけを理由に全員に同じ額を一括請求する代表訴訟を認めませんでした。
  • オーストラリア：2025年6月10日から、重大なプライバシー侵害を直接訴えられるようになりました（故意・無謀な侵害）。2025年10月8日、連邦裁判所はAustralian Clinical Labsにプライバシー法で初の民事制裁金580万豪ドルを命じました。制裁金は被害者には支払われません。
  • ブラジル・インド・中国：ブラジルの上級司法裁判所は2023年3月7日（AREsp 2.130.619）、一般的な個人情報の漏洩だけでは精神的損害は推定されないと判断しました。インドのDPDP法は罰金を国庫に入れ、被害者への賠償の規定を置いていません。中国の個人情報保護法は第69条で過失を推定し、第70条で検察・消費者団体の公益訴訟を認めています。

実例比較：どれだけ漏れ、補償まで何日かかったか

発表日は企業や当局が初めて公表した日、補償日は企業が補償を発表した日か、裁判所・当局が決定した日です。日数は2つの日付の差です。どちらかの正確な日付を確認できなかったものは「—」としました。

漏洩の規模と補償までの日数（2026年11月8日時点）
企業（国）漏洩の規模発表日補償・賠償補償日日数
タイムズカー（日本）6,628,007件2026-09-25本人確認書類の画像が送信された顧客（1,464,800件分）に3,000円相当2026-10-2328日
お名前.com デスクトップクラウド（日本）影響の可能性があるサーバー26,739台2026-10-21利用中の全顧客に一律5,000円2026-10-243日
ベネッセ（日本）3,504万件2014-07-09500円の金券（または寄付）2014-09-1063日
クーパン（韓国）3,370万アカウント2025-11-291人5万ウォン相当の利用券4枚、総額1兆6,850億ウォン2025-12-2930日
SKテレコム（韓国）2,324万人2025-04-22約5,000億ウォンの顧客感謝パッケージ。紛争調停の1人30万ウォン（2025-11-03）は11-20に拒否2025-07-0473日
KT（韓国）16,647人（当局の処分ベース）2025-09-11約4,500億ウォン規模（データ・保険・違約金免除）2025-12-30110日
AT&T（米国）約7,300万人＋通話記録2024-03-30集団訴訟の和解1億7,700万ドルの予備承認（最終承認は2026年10月）2025-06-20447日
Equifax（米国）約1億4,700万人2017-09-07FTCなどとの和解、最低5億7,500万ドル（消費者向け最大4億2,500万ドル）2019-07-22683日
Desjardins（カナダ）290万人以上2019-06-20発表当日に信用監視12か月。集団訴訟の和解（最大2億85万カナダドル）承認2022-06-141,090日
Optus（オーストラリア）約950万人2022-09-22影響の大きい顧客に信用監視12か月無料2022-09-264日
Medibank（オーストラリア）970万人2022-10-13身分証の再発行費用・本人確認監視・生活支援・メンタルヘルス相談2022-10-2512日
Australian Clinical Labs（オーストラリア）22万3,000人以上2022年2月（発生）裁判所の制裁金580万豪ドル（被害者への賠償ではない）2025-10-08—
英国航空（英国）429,612人2018-09-06ICOの制裁金2,000万ポンド（2020-10-16）。集団訴訟が和解、金額非公開2021-07-061,034日
フェイスブックのスクレイピング（ドイツ）全世界で約5億3,300万人2021年4月（公開）連邦通常裁判所：コントロール喪失で100ユーロ程度の慰謝料は可能2024-11-18—
Netshoes（ブラジル）1,999,704人2017〜2018年検察との合意で集団的損害50万レアル（基金へ、個人への支払いなし）2019-01-16—
漏洩の規模と補償までの日数（2026年11月8日時点） · 表は横にスクロールできます

2つの傾向が見えます。企業の自主的な補償は早く、お名前.comは3日、Optusは4日、タイムズカーは28日、クーパンは30日でした。ただし多くは現金ではなく金券・サービスで、金額も企業が決めます。一方、裁判を通じた補償は遅く、米国・カナダ・英国の和解は発表から1年3か月〜3年かかり、オーストラリアのOptus・Medibankの訴訟は2026年11月時点で終わっていません。

あなたがやること

  • 日本：お詫びや補償の対象と申請期限は、企業の公式発表で確認します。発表済みの補償はお詫び・補償の一覧にまとめています。相談は消費者ホットライン188や個人情報保護法相談ダイヤルへ。お知らせが本物か確かめる方法は対処法にあります。
  • 韓国：法定損害賠償（300万ウォン以下）は損害額の証明がいりません。企業が拒否した場合は個人情報紛争調停委員会の調停や訴訟を検討できます。
  • 米国：集団訴訟の和解には請求期限があります。通知の手紙を保管し、裁判所が承認した公式サイトだけで請求してください。
  • EU・英国・カナダ・オーストラリア：まず企業に書面で賠償を求め、必要なら監督機関に苦情を申し立てます。オーストラリアのOAICは決定で賠償を命じられます。
  • どこでも：請求の代行をうたって手数料やパスワード・カード番号を求める連絡には応じないでください。大きな漏洩の後は「補償のご案内」をかたる詐欺メッセージが増えます。

2026年11月8日までに確認した公開資料をまとめた一般的な情報で、法的助言ではありません。法律や判例は変わることがあるため、実際に請求する前に各国の公式案内や専門家に確認してください。

XLINEはてブ

出典

一般的な情報であり、法的助言ではありません。Teollimiは請求の代行や、請求代行業者の紹介はしていません。