メールで相談
架空の情景
← コラム一覧へ台湾法律情報

海外の会社から漏えい通知が届いたら　台湾に住む日本人が台湾の法律で求められること

約6分

架空の情景

楽天トラベルへの不正アクセスで楽天グループが挙げた対象には、「海外ホテル予約サイトのうち、シンガポール子会社が管理・運営する一部のページ」が含まれていました（ロイター、2026年10月26日）。タイムズカーの会員情報漏えいでは、集団訴訟を準備する弁護士が26日の記者会見で東京地裁への提訴方針を表明したと、27日の読売新聞が報じています（読売新聞）。どちらの報道にも、台湾に住む利用者の数は出てきません。数字はまだないのです。

シンガポールで運営されるページと台湾の法律

台北の自宅から、そのようなページでバンコクのホテルを予約した日本国籍の会社員がいたとしても（架空の例です）、その情報を扱っていたのは国外の会社です。台湾の個人資料保護法で、国外での取扱いに適用を広げる規定は第51条第2項です。対象は、領域外で収集・処理・利用される「中華民国人民」の個人資料に限られます。日本国籍の人は、この文言には入りません。

では、台湾で集められた情報とは言えないのでしょうか。同法の「当事者」は「個人資料の本人」と定義されているだけで（第2条第9号）、台湾国内での収集・処理について国籍を問う条文はありません。予約の操作は台北でしていても、運営会社とサーバーが国外なら、どこで収集されたのかがまず争点になりえます。この点を正面から扱った公表された解釈は、今回確認できませんでした。

情報を扱っていたのが日本の会社で、場所も日本なら、台湾法の根拠はさらに見当たりません。日本での請求の可否は、日本の弁護士に確認することになります。

1人3万〜5万円と、500〜2万台湾ドル

タイムズカーの件で報じられた請求額は、運転免許証などの本人確認書類の画像が漏れた人で1人5万円、それ以外は3万円で、どちらにも実費を加えるといいます。予定されている集団訴訟で、原告側が請求する方針です。提訴時期は決まっていません。

台湾法で請求する場合、会社の責任の根拠は第29条第1項です。法律に違反して個人資料が不法に収集・処理・利用され、そのほか権利が侵害されたとき、会社は賠償責任を負います。故意・過失がなかったと証明できなければ、責任は免れません。証明するのは会社です。

金額の物差しは、台湾ドルの幅です。実際の損害額を証明するのが難しいときは、侵害の程度に応じて1人1事件あたり500台湾ドル以上2万台湾ドル以下で算定するよう、裁判所に求めることができます（第28条第3項）。民間の会社にもこの規定が及ぶのは、第29条第2項が第28条第2項から第6項を適用すると定めているからです。財産上の損害でなくても、相当の金額が賠償の対象になります。

同じ原因で多数の人が被害を受けた事件では、賠償総額の上限が2億台湾ドルで、その事件にかかわる利益がこれを超えるときはその利益が上限になります。総額が上限を超えると、1人500台湾ドルという最低額の定めは適用されません。日本の訴訟で示される請求額と台湾の幅は、物差しが違うのです。

台湾に拠点のない会社なら台北、時効は2年

この法律に基づいて民間の会社に損害賠償を求める訴訟は、その会社の主たる事務所・営業所の所在地の地方法院の専属管轄です（第33条第1項）。台湾に主たる事務所も営業所もない外国法人なら、中央政府所在地、つまり台北の地方法院になります（同条第3項）。

どの国の法律で判断するかは、渉外民事法律適用法第25条が不法行為地法を原則とし、より関係の深い法律があればそれによるとしています。コンピューターネットワークなどを通じた不法行為には第28条の別の定めがありますが、ハッキングによる漏えいがこれに当たるかは争いになりえます。

急ぐ理由もあります。第30条では、損害賠償請求権は損害と賠償義務者を知った時から2年、損害が生じた時から5年で消滅します。会社は、通知のメールが届いた日を「知った時」だと言ってくるかもしれません。

通知に書かれているべきこと

日本の個人情報保護法第26条は、個人の権利利益を害するおそれが大きい漏えいなどが起きたとき、事業者に個人情報保護委員会への報告と本人への通知を求めています。委託先の扱いや、本人への通知が難しい場合の代替措置については例外があります。

いま効力がある台湾の規定は、2023年5月31日改正版の第12条です。法律に違反して個人資料が窃取・漏えい・改ざんその他の侵害を受けたとき、事実を調べたうえで適切な方法で本人に通知するよう定めています。2025年11月11日に公布された改正第12条は、本人への通知と主管機関への通報を分けて定め直しました。ただし施行日は行政院が定めることになっており、確認日の時点でまだ決まっていません（沿革）。

通知の中身は施行細則第22条にあり、侵害の事実とすでにとった対応措置を含めることになっています。費用が過大なら、インターネットや報道による公表で代えることもできます。

台湾の団体訴訟と、その担い手

台湾の団体訴訟で原告になるのは、被害者本人ではなく団体です。その団体には第32条の要件があり、財団法人なら登録財産1000万台湾ドル以上、社団法人なら社員100人以上で、定款の目的に個人資料の保護を含み、設立許可から3年以上であることが求められます。

その団体が、同じ原因で被害を受けた20人以上から書面で訴訟実施権の授与を受けると、自らの名義で損害賠償を求められます（第34条）。授与は言詞弁論の終結前なら書面で撤回できます。訴額が60万台湾ドルを超える部分の裁判費用は、いったん免除されます。

消費者保護法第50条にも別の道があります。消費者保護団体が20人以上の消費者から損害賠償請求権の譲渡を受けて訴える仕組みで、団体は消費者に報酬を求められません。訴えられる団体は、設立許可から2年以上、専門の人員を置き、行政院の優良評定を受けたもので、弁護士に委任しなければなりません（第49条）。ただし、個人資料保護法による非財産的損害の請求権は、同法第28条第6項（第29条第2項により民間の会社にも適用）により、契約で金額の支払いが承諾されたか、すでに訴えを起こした場合でなければ譲渡できないため、この道で譲渡できる請求の範囲は別に検討が必要です。個人資料保護法の道は書面による授与、消費者保護法の道は請求権の譲渡です。どちらも、黙っていれば対象外です。

不審な請求や連絡が来たら

ローンやカードの取引が台湾にある人は、財団法人金融聯合徴信中心（財團法人金融聯合徵信中心）に「当事者註記」を申し込めます。今後ローンやクレジットカードを申し込まないという註記と、金融機関が報告した資料に争いがあるときの補足説明があり、金融機関が融資やカード、口座開設の審査で参照します。ただしセンターは、この註記は「僅具提示作用」、つまり注意を促す役割にとどまると説明しています（信用資料註記）。

見覚えのない取引がないかは、本人の信用報告で確かめます。統一証番号のある外国人が窓口で申請するときは、居留証・就業金カード・統一証番号基本資料表のいずれかと、パスポート・健康保険カード・台湾の運転免許証のいずれかの、有効な原本が要ります（聯徴中心の窓口申請の案内）。

銀行や予約サイトを名乗る電話・ショートメッセージで送金や認証コードを求められたら、内政部警政署の165全民防騙網と電話165で確認・通報ができます。台湾で発行されたカードの不審な請求は、台湾発行のカードに身に覚えのない請求で手続の流れを扱いました。

台湾の弁護士に任せられること

日本で予定されている集団訴訟に加わるかどうかは、日本の弁護士と相談する事柄です。台湾の弁護士に任せられるのは台湾側の請求で、台北地方法院での訴訟、台湾の団体訴訟に授与する書面の確認、漏えいした会社に台湾法で請求できるか（第51条第2項、収集・処理の場所）の検討、通知文・予約と決済の記録・その後の不審な連絡を証拠として整理する作業、会社への書面での請求と交渉です。会社側の通知・通報の義務は台湾拠点の資安事故、民事の業務範囲は民事事件のページをご覧ください。ご相談はwei@hoveringlaw.com.twへ。昊鼎国際法律事務所 台北事務所：103 臺北市大同區承德路一段35號7樓之2（台北市大同区承徳路一段35号7F-2）。

楽天トラベルのカード情報には、セキュリティコードは含まれていなかったと報じられています。台湾発行のカードに見覚えのない請求が出たときは、2年の時効より先に来る期限があります。銀行の回答を受け取った日、または30日の回答期限が過ぎた日から60日以内が、評議を申し立てる期限です（金融消費者保護法第13条）。

参考にした資料

確認日：2026年10月27日。

よくある質問

タイムズカーの集団訴訟で予定されている1人3万〜5万円のような請求は、台湾の法律ではどう算定されますか。
台湾の個人資料保護法では、実際の損害額を証明するのが難しいとき、侵害の程度に応じて1人1事件あたり500台湾ドル以上2万台湾ドル以下で算定するよう裁判所に求めることができます（第28条第3項。民間の会社には第29条第2項により適用）。同じ原因で多数の人が被害を受けた事件では、賠償総額は2億台湾ドル（その事件にかかわる利益がこれを超えるときはその利益）が上限です。会社は、故意・過失がなかったことを証明しない限り責任を負います（第29条第1項）。
台湾から海外子会社のページで予約していた日本国籍の人は、台湾の法律を使えませんか。
日本国籍の人は第51条第2項の文言には入りませんが、台湾で収集された情報と言えるなら話は別です。同法の「当事者」は「個人資料の本人」と定義されているだけで（第2条第9号）、国内での収集・処理に国籍の要件はありません。ただ、運営会社とサーバーが国外にある場合にどこで収集されたと見るかを正面から扱った公表された解釈は、確認日の時点で見つかっていません。
台湾で発行されたクレジットカードに身に覚えのない請求が来たら、どうなりますか。
まず発行銀行に連絡して利用停止と請求への異議を伝えることになります。金融消費者保護法第13条では、銀行は申訴を受けた日から30日以内に処理して回答しなければなりません。その結果に納得できないときや期限内に処理されないときは、利用者が、結果を受け取った日または期限が過ぎた日から60日以内に評議を申し立てることができます。漏えいした会社への損害賠償の請求は、カードの異議手続とは別に、個人資料保護法第29条などで考えます。

この記事は一般的な情報提供を目的としたもので、個別の事案についての法的助言ではありません。

あわせて読みたい記事