パーク24の大規模な個人情報漏えい事件をめぐり、牧野弁護士が集団訴訟に向けて動き始めた。
2026年10月26日の記者会見では、被害者が情報の種類に応じて3万円または5万円の損害賠償を求める方針が示された。
参加登録・委任・提訴は別の手続き
牧野法律事務所の訴訟準備サイトは、提訴することを決めたと案内しています。一方、参加希望の登録と委任契約は別の手続きで、提訴時期や締切は委任手続きの進み具合を踏まえて決めると説明しています。これは訴訟を準備する側の説明です。2026年11月3日に確認した資料の範囲では、提訴済みと裏付ける情報は確認できていません。
請求予定額は、裁判などで認められた賠償額ではありません。参加を決める前に、正式な委任契約で請求の対象、費用、途中で参加をやめる場合の扱いを確認してください。
相談前に残しておく記録
- 会社からの通知と問い合わせ回答を、受信日と本文が分かる状態で保管する。
- 実際に負担した費用があれば、手続きの内容と領収書を対応させて残す。
- 不審な連絡や決済は日時と内容を記録する。ただし、記録だけで今回の漏えいとの因果関係が確定するわけではない。
見舞金などを受け取る際も、同意を求められる文面を保存してください。他の請求への影響が分からない場合は、同意する前に担当弁護士へ確認します。
ここからはLifeXrees編集部の分析です。今回の問題は、見舞金と請求予定額の比較だけでなく、被害者が説明と救済を求められるかという観点から考えます。
問われているのは、個人情報を預かる企業の責任そのものだ。
企業は、顧客から預かった情報をどこまで守るべきなのか。必要がなくなった個人情報を、いつまで保管してよいのか。そして、情報漏えいによって生じた不安や負担を、利用者だけが引き受ける社会でよいのか。
今回の集団訴訟には、日本の個人情報保護とサイバーセキュリティのあり方を問い直す意義がある。
牧野弁護士が問題にしていること
10月26日の記者会見で、牧野弁護士は、漏えいした個人情報が将来悪用されるかもしれないという被害者の不安について言及した。
個人情報は、パスワードのように簡単に変更できるものばかりではない。
氏名、生年月日、住所、顔写真などは、本人の社会生活と深く結び付いている。流出した可能性があると知らされても、利用者が自分の力でできることには限界がある。
だからこそ、被害者が企業に説明を求め、必要に応じて法的な救済を求めることには意味がある。
一人では訴訟の費用や時間が負担になる場合でも、集団で取り組むことによって、企業の情報管理を司法の場で検証する機会が生まれる。
牧野弁護士の取り組みを、単なる賠償金請求ではなく、個人情報を預ける側の権利を守るための行動として考えたい。
なぜ退会後7年間も本人確認書類を保管していたのか
今回の事件で特に注目したいのが、本人確認書類画像の保管期間だ。
パーク24は10月23日の公表資料で、本人確認書類の画像を、会員期間中に加えて退会後7年間保管する社内ルールを設けていたと説明した。
その後、登録完了後は画像を保有しないルールへ変更し、既存画像についても10月末までに削除する方針を示している。
ここで疑問が生じる。
登録完了後に画像を保管しない運用が可能なのであれば、これまで長期間保管していた理由は何だったのか。
もちろん、社内ルールを変更したからといって、それ以前の運用が直ちに違法だったことにはならない。
しかし、個人情報を収集する企業には、その情報を保管し続ける必要性について、定期的に検討することが求められる。
情報を持ち続ければ、それだけ管理すべきデータが増える。サイバー攻撃を受けた際に影響が広がる可能性もある。
セキュリティ対策というと、不正アクセスを防ぐ技術ばかりが注目される。
だが、そもそも不要な情報を持たないことも、極めて重要な対策だ。
情報漏えいを防ぐ責任は、IT担当者だけにあるのか
企業で情報漏えい事故が起きると、システムの脆弱性や不正アクセスの手口に関心が集まる。
もちろん技術的な検証は不可欠だ。
しかし、本当に問われるべきなのは、それだけではない。
セキュリティ対策にどれだけ予算を配分するか。個人情報を何年間保管するか。システムの更新をいつ実施するか。外部専門家による監査をどこまで行うか。
これらはIT担当者だけで決められる問題ではなく、経営判断そのものだ。
情報漏えいが起きたときに現場の担当者だけが責任を問われ、経営陣の判断が十分に検証されないのであれば、同じ問題が繰り返されかねない。
パーク24は今回の事件を受け、社外取締役や外部専門家を交えた調査委員会によって、内部統制とガバナンスを検証する方針を示している。
今後は、その調査結果と具体的な改善策に注目したい。
重要なのは「セキュリティを強化します」という言葉ではない。
何が問題だったのか。何を変えたのか。その対策が機能していることを、どのように確かめるのか。
企業には、可能な範囲で具体的な説明をしてほしい。
集団訴訟は日本のセキュリティ水準を変えるきっかけになるか
日本では、個人情報保護法に基づいて企業に安全管理措置などが求められている。
それでも情報漏えい事故は発生する。
法令やガイドラインが存在することと、実際の企業活動で適切に運用されていることは別問題だからだ。
今回の集団訴訟を通じて、企業の安全管理義務や情報の保管方法が具体的に議論されれば、同じように大量の個人情報を預かる企業にとっても、情報管理を見直す材料となる可能性がある。
特に、AIによるなりすましや詐欺が高度化する時代には、個人情報が漏えいした場合の影響を従来以上に慎重に考える必要がある。
ただし、今回のパーク24事件で、漏えい情報を利用したAI犯罪が発生したと確認されたわけではない。
だからこそ、実際に確認された被害と、将来に備えるべきリスクを分けて考えることが大切だ。
個人情報を守るために必要なのは、事故が起きてから謝罪することだけではない。
事故を防ぐために投資し、不要なデータを減らし、万一のときにも迅速に対応できる組織をつくることだ。
今回の訴訟が、そうした経営判断の重要性を改めて社会に問いかける機会になることを期待したい。
被害者救済を支持することと、責任を認定すること
被害者が説明を求め、救済の手段を検討できることには、金額とは別の意味があります。情報を預けた側が、保管の必要性や事故後の対応について問い直せるからです。
一方で、救済を支持することと、争われる責任を先に認定することは同じではありません。企業側の説明、訴訟を準備する側の主張、今後示される証拠や判断を、それぞれの出所が分かる形で読む必要があります。企業の法的責任も賠償額も確定していません。
他の企業が自社の点検に生かすなら、保管する情報の種類、保管を続ける理由、見直しの担当者、削除を確認する手順を具体化することが論点になります。ただし、訴訟を準備しているという事実だけで、制度改善や再発防止の効果が実現したとは判断しません。
漏えい範囲や会社の対応は、タイムズカー情報漏えいの確認事項で整理しています。本人確認とAIなりすましの一般論は、AI時代の個人情報漏えいリスクで扱います。
LifeXreesでは今後も、訴訟の進展だけでなく、パーク24が公表する調査結果や再発防止策について継続的に確認していく。
本記事は公開資料を基にした独立した解説です。訴訟準備の状況と参加前の確認事項は2026年11月3日に再確認しました。その他の会見・会社説明は各段落に記載した発表日時点の内容です。LifeXreesは訴訟の代理人ではなく、個別の法的助言や勝訴の保証を行うものではありません。
