まず、そもそも、運用事業者が負う義務の内容が問題となります。

実際の裁判では、諸般の事情によって運用事業者の義務の内容が決定されますが、その点を決定するための有用な資料としては、契約書やSLA（Service Level Agreement）等が挙げられます。

SLAとは、サービスを提供する事業者が契約者に対し、どの程度の品質を保証するかを明示したものです。SLAで役割分担や作業の内容、結果の保証（努力義務）をできるだけ詳細に決めておくと義務内容決定の認定の際に有効です。その他、可用性（稼働率）が99％となっていた場合に1％停止したとしても債務不履行はないかとか、可用性のメッシュ（単位）についても合意しておくとよりよいかと思います。

ここで、システム障害について運用事業者の義務違反の内容が争点となった事案として、東京地裁平成25年10月16日判決を紹介します。これは、証券会社（システム運用事業者）との間でNetFX取引を行った際、損失の無制限拡大を防ぐため、あらかじめ設定した為替レートになった場合に強制決済されるロスカットを設定していたユーザーが、各ロスカット発注から約定がなされるまでのタイムラグに伴う各ロスカット設定値と各約定価格とのかい離（スリッページ）により損害を被ったなどとして、その証券会社に対して、損害賠償を求めた事案です。裁判所は、証券会社には、契約上、ロスカット注文を含む取引注文の処理時において相場の急激な変動があり、迅速な注文処理が困難ないし不可能であるなどの特段の事情がない限り、スリッページが合理的範囲に留まるようにシステムを整備すべき義務があったというべきであると示しています。そして、専門委員が提示した「ロスカット設定値到達後10秒以内」とする合理的範囲を逸脱して18秒時点で約定したために、スリッページが合理的範囲に留まるようにシステムを整備すべき義務に違反したとして、運用事業者側に上記義務違反を認めています。

運用事業者に義務違反が認められる場合に、どのような損害について賠償責任が生じるかについては、①ユーザーがその顧客への説明・対応に追われた費用等の障害対応への作業に要した費用、②義務違反が生じた以降にユーザーに生じた業務上損害等の障害が発生して業務ができなかったこと又は収益が挙げられなかったことによる損害、③多数のユーザーが解約したことによる逸失利益等の信頼が失われたことによる損害が考えられます。

この点を判断した裁判例としては、売買停止義務違反が生じた後に約定した買戻し分の差額（約150億円）とした東京高裁平成25年7月24日判決、合理的範囲（10秒以内）時点でのレートと約定時のレートとの差額とした東京地裁平成25年10月16日判決、運用事業者の債務不履行がなかった場合の「想定価格」との差額とした東京地裁平成20年7月16日判決があります。

運用事業者側に責任がある場合でも、責任限定条項が適用されるのかという問題があります。

責任限定条項について具体例を挙げると、「ベンダーは、ユーザーが本件システムの利用に関して損害を受けることがあっても、ベンダーに故意又は重過失が認められる場合を除き、これを賠償する責めに任じない」等と責任を制限しておく条項のことです。

この点、東京地裁平成26年1月23日判決では、「被告が、権利・法益侵害の結果について故意を有する場合や重過失がある場合にまで、同条項によって被告の損害賠償義務の範囲が制限されるとすることは、著しく衡平を害するものであって、当事者の通常の意思に合致しないというべきである」と述べ、重過失の場合には責任限定条項を適用すべきではないと判示しました。

これらの、裁判例等を踏まえると、どちらかの当事者に一方的に有利となる責任限定条項は、その効力を否定されたり、限定されたものとして解釈される傾向にあります。つまり、どちらかに一方的に有利・不利になる条項は、たとえそのような合意が存在したとしても裁判所の解釈によって当初想定していたものと違う効力しか持たないものとされてしまうということです。ただし、具体的にどのような条項が「どちらかの当事者に一方的に有利」なのか否かについては、サービスの性質や料金等によるということになります。

次に、データ消失が発生した場合、システム運用事業者側に賠償義務が発生するかどうか、発生するとしてどの範囲で責任を負うのか、については、これも下記の図に沿って検討していくことになります。

よくあるケースとして、契約条項や利用規約の中に「バックアップ（データ保全）はお客様責任」とされているものがあります。しかし、そのような契約条項や利用規約が存在する場合でも、運用事業者側が責任を問われることもあります。具体的には、①利用者自らバックアップは取れるか、②個別データのエクスポートにとどまるか、③データを元の状態に戻す手段は確保されているか、④有償のバックアップサービスはあるか等を考慮して判断されることになります。

もっとも、サーバホスティングサービス提供者については、裁判では、データ消失防止義務までは認められない傾向にあります。実際、レンタルサーバー上のデータが消失した事例（東京地裁平成21年5月20日判決）で、被告の提供する共用サーバホスティングサービスを利用して、ウェブ上のサイトに係るプログラムを運営していた原告らが、同サーバの障害事故によって、原告らのプログラム及びデータが消失したことにつき、被告にはこれらを防止し、損害の拡大防止、残存記録確認・回収義務があるにもかかわらず、被告がこれを怠ったと原告が主張し、不法行為に基づき損害賠償を求めました。これに対し、裁判所は、被告の利用規約中に責任制限規定及び免責規定があることや、プログラムなどのデジタル情報は容易に複製が可能であり、原告らがプログラム等の消失防止策を講じることも容易であったこと等に照らし、原告らの主張する各義務を被告に認めることはできない等として請求を棄却しました。つまり、裁判所は、プログラム作成者ではなく、サーバ上に保存されていたプログラムが消失した場合には、サーバホスティングサービスの提供者に対して消失防止義務までは認められないと判断したのです。

データ消失についてベンダーに責任があるとしても、どのようなものが損害として認められるかは問題となります。損害として認められた裁判例としては、消失したデータの再作成費用として、ウェブサイトの再作成費用（東京地裁平成13年9月28日判決）や審判検索システムの再作成費用は認定困難だとしても、慰謝料算定の際に考慮された例（広島地裁平成11年2月24日判決）、解析用データ作成のためのタグ埋め込み費用（東京地裁平成25年3月13日判決）、再作成までの期間の売上から逸失利益（前掲東京地裁平成13年判決）があります。

さらに、消失についてユーザー側にも過失がある場合、過失相殺による請求額の減額についての問題になります。

ここで、過失相殺について50パーセントの減額が認められた事案として、東京地裁平成13年9月28日判決と広島地裁平成11年2月24日判決の2件の裁判例を紹介します。

東京地裁平成13年9月28日判決では、「本件ファイルの内容につき、容易にバックアップ等の措置をとることができ、それによって損害の発生を防止し、又は損害の発生を極めて軽微なものにとどめることができた」と判断されました。

また、広島地裁平成11年2月24日判決では、「原告はバックアップをとっていなかったところ、業務上不可欠なデータが多量に存する場合、事故の際の復旧に備えてバックアップをとっておき、損害を最小限のものにすることが必要であった」と述べられています。

つまり、ユーザー側がバックアップを一切取っていないとなると、たとえ運用事業者に義務違反があり、ユーザーに損害が発生したとしても、ユーザーは損害の全額を請求できないという結論になります。

まず、情報漏洩について運用事業者の義務違反が認められるか否かを検討するにあたっては、東京高裁平成19年8月28日判決が参考になります。

この裁判例は、システム運用事業者が、ユーザーであるエステサロンの顧客のアンケートや施術内容などの情報を、見ようと思えば第三者の誰しもが閲覧できる状態で保管してあったところ、それが2ちゃんねるのサイトで漏洩した事例でした。

裁判所は、まず、「個人識別情報のほかエステティック固有の事情に関する情報は、全体として、顧客が個人ごとに有する人格的な法的利益に密接なプライバシーに係るもの情報として、法的保護を受ける」と認定しています。さらに、取扱委託先は、「その提供する業務に関する技術的水準として、個人情報を含む電子ファイルについて、一般のインターネット利用者からのアクセスが制限されるウェブザーバの『非公開領域』に置くか、『公開領域』（ドキュメントルートディレクトリ）に置く場合であっても、アクセスを制限するための『アクセス権限の設定』か『パスワードの設定』の方法によって安全対策を講ずる注意義務があったものというべきであるとし、民法709条（※5）の不法行為責任を負う」と判示しています。

その他、情報漏洩について運用事業者の義務違反が認められるか否かが問題となった裁判例として、東京地裁平成25年3月19日判決が挙げられます。これは、クレジットカード情報が漏洩した事例で、不正なアクセスを受けて情報が漏洩した場合に義務違反はあるのか否かが争点となりました。裁判所は、クレジットカードの情報という機密性の高い情報を扱うサイトであるから、それに応じた高度のセキュリティ対策が必要というべきであり、通常のウェブサイトと比べると、費用を要する高度のセキュリティ対策を実施すべきものというべきであると示しました。

上記で紹介した裁判例の事例において、個人情報が漏洩された本人に対する慰謝料相当損害として、エステサロンの事例（東京高裁平成19年8月28日判決）では30,000円、クレジットカードの事例（東京地裁平成25年3月19日判決）では1,000円が認められました。

また、事故対応・調査費用として、クレジットカードの事例（東京地裁平成25年3月19日判決）では、事故調査費用等約1,600万円、東京地判平成26年1月23日判決では、コールセンター約500万円、2社への調査費用約400万円が認められました。

そして、情報漏洩についても、2.（2）で説明したとおり、責任限定条項が重過失のある場合でも適用されるか、当該事案で重過失があるか否かが問題となります。

この点を検討するに際しては、東京地判平成26年1月23日判決が参考になります。この裁判例は、ウェブサイトにおける商品受注システムの設計、保守等の委託契約を締結した原告が、被告製作のアプリケーションの脆弱性により本件サイトで商品を注文した顧客のクレジットカード情報が流失したとして、債務不履行に基づく損害賠償を求めた事案です。裁判所は、被告が，権利・法益侵害の結果について故意を有する場合や重過失がある場合にまで同条項によって被告の損害賠償義務の範囲が制限されるとすることは，著しく衡平を害するものであって，当事者の通常の意思に合致しないというべきである（売買契約又は請負契約において担保責任の免除特約を定めても，売主又は請負人が悪意の場合には担保責任を免れることができない旨を定めた民法572条，640条参照。）旨の判示をしています。つまり，責任免責条項は被告に故意又は重過失がある場合には適用されないと解釈したのです。その上で、被告がSQLインジェクション攻撃への対策を講じなかったことに重過失があたるか否かについて、裁判所は、SQLインジェクション攻撃への対策を講じることは専門業者として当然であったことを根拠として、重過失に当たると判断しました。

この判決を一般化すると、①漏洩の原因がわかっているか（予見可能性）、②その原因は業界で認識されているか（予見容易性）、③システム開発・運用の専門事業者か（予見容易性）、④対応策が知られているか（回避可能性）、⑤その対応策は業界で認識されているか（回避容易性）、⑥対応には費用・労力がかかるか（回避容易性）等の場合に重過失が認められうると考えられます。この際、業界ではどの程度認識されているかという、「業界水準」が重視されて判断されるものと考えられます。

まず、システム障害についてですが、ベンダーが負う義務の内容が裁判で判断される際には、契約書やSLA（Service Level Agreement）等が有用です。内容としては、役割分担や作業の内容、結果の保証（努力義務）をできるだけ詳細に決め、可用性の単位も合意おくとよいでしょう。義務違反の際の賠償責任については、①障害対応のための作業に要した費用、②障害が発生して業務ができなかったこと又は収益が挙げられなかったことによる損害、③信頼が失われたことによる損害の賠償が考えられます。損害が発生していても、その発注管理体制に著しい不備があれば、ユーザーの過失による過失相殺の可能性がありますので、その点についても主張していくとよいかと思います。過失がない場合でも、責任限定条項がある場合、その適用が考えられます。ベンダーに故意や重過失がある場合は適用されませんし、条項は合理的に解釈される傾向にあるので、条項があればすべて責任を免れるというものではありませんが、条項を作っておくことは有効な対策であるといえます。

次に、データ消失については、①利用者自らバックアップは取れるか、②個別データのエクスポートにとどまるか、③データを元の状態に戻す手段は確保されているか、④有償のバックアップサービスはあるか等をきちんと考慮しなければ、ベンダーが責任を問われることもありますので、その点について注意して契約すべきと考えます。責任を問われた場合、ウェブサイトの再作成費用や解析用データ作成のためのタグ埋め込み費用、再作成までの期間の売上から逸失利益の損害の賠償の可能性もあります。賠償を負うことになっても、ユーザーが損害の発生を防止し、又は損害の発生を極めて軽微なものにとどめることができたと判断されれば、ユーザーの過失相殺による減額の可能性もあるので、その点主張していくとよいでしょう。

そして、情報漏洩については、プライバシーに関する情報として法的保護を受けるものであれば、契約内容や性質によって、契約締結当時の技術水準に照らした対策や高度のセキュリティ対策を実施すべきものであるとして、そのような対策を施したプログラムを提供する義務が発生します。契約内容や性質をよく精査し、契約当時の技術水準に合わせたプログラムや高度のセキュリティ対策を施して提供をすることがまず肝要です。義務を負う場合、本人に対する慰謝料相当損害、事故対応・調査費用等が請求される可能性があります。責任限定条項があったとしても、①漏えいの原因がわかっているか、②　その原因は業界で認識されているか、③システム開発・運用の専門事業者か、③対応策が知られているか、④その対応策は業界で認識されているか、⑤対応には費用・労力がかかるか等、業界水準も重視されて重過失と認定され、責任を負うこともありますので、その点も注意して条項を作成することが必要です。