ベネッセの顧客情報流出事件、まずは、不正競争防止法容疑で捜査が行なわれているようです。刑事罰の要件がはっきりしているので当然と言えます。他にも、個人情報保護法や消費者保護法上の論点はあると思うのですが、ここでは不正競争防止法のみについて考えてみます。
不正競争防止法には営業秘密の不正取得・使用を禁ずる規定があります。営業秘密とは、(1)秘密として管理され、(2)事業活動に有用で、(3)公然と知られていない情報であり、製造ノウハウ等だけではなく、当然に顧客リストも含まれます。
ここで、この事件の登場人物のそれぞれについて不正競争防止法上の責任について考えてみましょう。なお、不正競争防止法という観点では、顧客情報を勝手に使われた消費者は直接的には関係ありません。
１．ベネッセ
営業秘密を不正取得・使用されたことにより、不正競争によって営業上の利益を侵害された「被害者」です（個人情報保護法や消費者保護法上は加害者になる可能性もありますが不正競争防止法上はあくまでも被害者の立場になります）。
２．顧客情報を名簿業者に売った人
まだ誰なのかわかりませんが、不正競争法防止法21条の規定により10年以下の懲役and/or1000万円以下の刑罰の対象になる可能性は高いです（だからこそ警察が動いているわけです）。（下の条文は一例です。実際の流出行為のパターンにより別の条文が適用される場合もあり得ます）。
第二十一条 次の各号のいずれかに該当する者は、十年以下の懲役若しくは千万円以下の罰金に処し、又はこれを併科する。
一 不正の利益を得る目的で、又はその保有者に損害を加える目的で、詐欺等行為(人を欺き、人に暴行を加え、又は人を脅迫する行為をいう。以下この条において同じ。)又は管理侵害行為(財物の窃取、施設への侵入、不正アクセス行為(略)その他の保有者の管理を害する行為をいう。以下この条において同じ。)により、営業秘密を取得した者（後略）
３．名簿業者
当該顧客情報は、ジャストシステムの手に渡るまでに複数の名簿業者を経ているようです。これらの名簿業者は、顧客情報の発生元から自分のところに来るまでの間に一度でも不正取得行為があったことを知って、または、重過失により知らないでその顧客情報を取得した場合には民事上の責を負います（２の人から直接顧客情報を買った人は、条件次第では刑事罰対象になるかもしれません）。逆にいうと、善意無過失であれば不正競争防止法上は責任を負いません。
第二条 この法律において「不正競争」とは、次に掲げるものをいう。
（略）
五 その営業秘密について不正取得行為が介在したことを知って、若しくは重大な過失により知らないで営業秘密を取得し、又はその取得した営業秘密を使用し、若しくは開示する行為
（略）
重過失がないことを立証しなければいけませんので、ただ知りませんでしただけでは不十分で、注意を払っても知り得なかったということまで立証する必要があります。
４．ジャストシステム
基本的には、名簿業者の立場と同じです（ただし、2.の人から直接顧客情報を入手したわけではないので不正競争防止法上の刑事罰対象にはなり得ません、不正競争防止法の営業秘密間連の規定では、不正取得・開示した本人、そして、（条件次第ですが）その取得者から直接営業秘密を入手した人しか刑事罰の対象になりません）。同社がプレスリリースで「当社がベネッセコーポレーションから流出した情報と認識したうえでこれを利用したという事実は一切ございません」と述べたのは、不正競争防止法上の民事責任はないと主張していることになります。ただし、重過失がなかったどうかは、今後裁判等で判断されることになるでしょう。
ところで、不正競争防止法には適用除外規定があって、営業秘密取得時に不正取得行為が介在したことを知らず（かつ、知らないことについて重過失がない）、つまり、善意無過失であった人は、その後、不正取得行為が介在していたことを知っても（これでだけ報道されているのでいやでも知ります）、取得時の条件で営業秘密を使い続けられるという規定があります。
19条1項6号 （略）不正競争取引によって営業秘密を取得した者(その取得した時にその営業秘密について不正開示行為であること又はその営業秘密について不正取得行為若しくは不正開示行為が介在したことを知らず、かつ、知らないことにつき重大な過失がない者に限る。)がその取引によって取得した権原の範囲内においてその営業秘密を使用し、又は開示する行為
まあ、とは言っても今回のケースは個人情報保護法や消費者保護法も関係してきますし、（少なくともジャストシステムの立場としては）企業倫理として仮に法律上の責任がなくても顧客情報は破棄せざるを得ないんじゃなかと思います（追記：報道によれば削除したそうです）。この規定はどっちかというと製造ノウハウ等の営業秘密の場合に意味を持つ規定ですね。
まあ、いずれにせよ、数百万人レベルの子持ち世帯の情報について「不正に取得したんじゃないのか」と気づくのは当然かどうか（それに気がつかないのは重過失か）が重要な争点になるかと思います。
(2014年7月11日「栗原潔のIT弁理士日記」より転載)