ニュルンベルク高等地方裁判所、2024 年 5 月 15 日のニュルンベルク・フュルト地方裁判所の判決 10 O 5225/23 に関する 2024 年 10 月 16 日のプレスリリース (rkr)
ニュルンベルク・フュルト地方裁判所は、データ保護事件を受けて音楽ストリーミングサービスに対する顧客の損害賠償請求を棄却した。データへの不正アクセスの影響を受けたユーザーは、一般データ保護規則 (GDPR) の違反を理由に、ストリーミング サービスに対していかなる請求も行う権利がありません。第三者がデータにアクセスした場合、本人からプラットフォーム運営者に対して損害賠償請求が生じる可能性があります。しかし、特定の事件では、裁判官は、申し立てられた損害がデータ保護規則の違反に因果関係があると判断することはできないと確信した。
被告はヨーロッパで音楽ストリーミングサービスを運営している。過去には、正体不明の第三者が被告のユーザーから個人データを不正に盗み、当初はデータセットをダークネット上で販売し、その後誰でも自由にダウンロードできるようにしていました。
データアクセスの影響を受けた原告は訴訟の中で、データ保護違反の疑いに対する補償金として少なくとも1,000ユーロの賠償金の支払いとその他の請求を主張した。この事件の結果、彼は個人データの管理を失い、悪用の可能性を非常に懸念していました。事件以来、彼の電子メールアドレスにスパムメッセージも受信している。被告がデータアクセスを防ぐために十分な技術的および組織的措置を講じたかどうかについて、当事者間で論争があった。
2024年5月15日付の判決で、地方裁判所は、原告がデータ保護違反の疑いと損害との因果関係を証明できなかったため、訴訟を棄却した。裁判所は、被告は違法なデータ処理によって生じた損害に対してのみ責任を負うと述べた。第三者による個人データの不正開示だけでは、被告がデータ保護に違反したと結論付けるには十分ではありません。本件では、原告は、その後のデータアクセスがまさに被告が講じた不適切な保護措置によるものであることを十分に述べていない。原告は、この文脈において推定に頼ることはできない。スパムメールに関しても、裁判官は因果関係を認定できなかった。原告が自分の個人データを他の場所に渡したか、他の場所でアクセスされた可能性があります。したがって、裁判所は判決において、被告が一般データ保護規則に違反したことに起因するかどうかを未解決のままにすることができた。
原告は、2024年5月15日のニュルンベルク・フュルト地方裁判所の棄却判決に対してニュルンベルク高等地方裁判所に控訴した。高等地方裁判所が控訴が不成功であると指摘したため、原告は控訴を取り下げた。したがって、ニュルンベルク・フュルト地方裁判所の判決には法的拘束力がある。
ニュルンベルク・フュルト地方裁判所はこれまでに同様の訴訟を102件第一審で受理している。すでに判決が確定している訴訟手続きの半分以上（今日現在）は訴訟が棄却されて終了した。一部の訴訟はまだ控訴段階にある。
(2024 年 9 月 19 日のニュルンベルク高等地方裁判所決議 14 U 1227/24)
法的状況に関する注意
一般データ保護規則 (GDPR) の関連規制は次のとおりです。
第 82 条 責任と補償を受ける権利
(1) この規則に違反した結果、重大または非物質的な損害を被った人は、管理者または処理者から損害賠償を請求する権利を有します。
(2) 処理に関与した管理者は、本規則に従わない処理によって生じた損害に対して責任を負うものとします。処理者は、処理者に特に課せられた本規則に基づく義務を遵守しなかった場合、またはデータ管理者によって合法的に与えられた指示に違反もしくはそれに反する行為を行った場合にのみ、処理によって生じた損害に対して責任を負うものとします。
(3) 管理者または処理者は、損害を引き起こした状況に対してまったく責任がないことを証明した場合、第 2 項に従って責任を免除されるものとします。
(…)
出典: バイエルン州法務省、ニュルンベルク高等地方裁判所
#ハッカー攻撃によるデータ漏洩後音楽ストリーミングプラットフォームのユーザーに補償なし #DATEVマガジン