インドにおけるデータ侵害紛争に関する越境保険請求

現代のハイパーコネクテッド経済において、国境を越えるデータの流通は、不正アクセスやデータの持ち出しによるサイバーセキュリティ侵害が発生した際に複雑な法的問題が生じます。

データ主体、処理者および管理者が複数の法域にまたがって活動している場合、個人データに関する法的義務に一貫性がないため、複雑さが生じます。このような多数の当事者・多数の法域が関わる状況では、関係当事者およびそれぞれの保険者や再保険者の間で、適用法や判決・裁定・命令の執行可能性に関する課題が生じやすくなります。

こうした紛争では利害は重大なものとなり、不正なデータ侵害が一度でも発生すると、個人識別情報の国境を越えた取引がダークウェブ上などで連鎖的に広がり、データの完全性や個人の安全が世界規模で脅かされる可能性があります。マルウェアの侵入、ランサムウェア事件、個人情報の盗用、デジタル恐喝など、サイバー犯罪の類型が急増する中、被害を受けたデータ主体はしばしば請求を集約して、推定的集団訴訟によって補償的・懲罰的損害賠償のほか、差止めや衡平的救済を求めることがあります。

インドはITおよびバックエンドサービスの国際的な拠点であり、こうした紛争は、特にインドのサイバー責任および保険契約の文脈において、米国をはじめとする大規模なテクノロジーや金融企業を擁する法域と関割の中で、越境的な側面を帯びることになります。

サイバー責任に関する紛争は、当該分野を規律する特定の法律が存在するため、従来の不法行為訴訟とは異なります。データ侵害を巡る訴訟では、大量の請求、規制上のリスク、評判リスク、さらには訴訟、フォレンジック調査、法定通知、クレジットモニタリングに伴うコストが生じます。

集団訴訟は、賠償責任のリスクや本格的な裁判にかかる時間・コストを考慮して、主に和解に向かう傾向があります。従って、集団全体を対象とした和解が選好されます。実証研究でも、サイバー事件の大半は本格的な裁定ではなく、交渉による和解で解決されていることが確認されています。

インドでは、補償範囲を巡る争いが和解成立後に遅れて発生することが多く、基礎となる保険契約の条項の解釈、補償適用への異議申立て、和解金の償還、さらにはセキュリティ侵害に関する除外条項や補償排除条項に関する請求などを巡って、裁判所や仲裁機関の管轄権に付託されることになります。

争点には、事前承認、和解権限とその上限、防御費用や補償義務の発生なども含まれます。特に保険会社が主要な手続きに参加していなかったことを理由に、いかなる判決や命令にも拘束されないとして、補償責任を否認する場合が問題となります。

インド最高裁判所は、National Insurance Company対Nippon Paper Foodpac Pvt Ltd事件において、保険請求の文脈で争点を分割することは、「これにより必然的に、混乱、複数の訴訟、部分的判断、矛盾した命令が下される可能性を招く」と指摘しました。

越境請求は、国内補償と外国訴訟手続きとの整合をはかる上で課題を生じさせ、しばしば矛盾した判断結果を招き、保険者による請求否認の根拠となります。国外の法域で主たる賠償責任訴訟が終結した場合、インドの裁判所や仲裁機関は、当該外国判決または和解命令の拘束力（または非拘束力）を予備的に判断することが求められます。

補償および保険請求に関する紛争において、特に判決や命令が確定債務に関するものであったとしても、主たる訴訟に保険会社が参加しておらず、同一当事者間のものではなく対人的（personam）な判決であった場合には、それが既判力または証拠力を有するか否かを判断する必要があります。

その確定力を立証する責任は、それを主張する当事者にあります。国際礼譲、既判力（res judicata）、禁反言の法理に基づき、インドの裁判所や仲裁機関は、外国判決や命令で決定された争点や請求に対して「既判力」が及ぶか否かを検討しなければなりません。

この検討事項には、仲裁適格性、承認、適合性、証拠価値、そして外国判決に関する相互承認および一貫性が含まれています。Nippon Paper Foodpacの事件では、インド最高裁判所は、賠償額に関する争いを仲裁適格であるとしつつ、請求の否認や拒絶を範囲外とするインド保険規制開発庁（IRDAI）の方針について疑問を呈しました。このような理解困難な二分法は、仲裁適格性を複雑化し、さらに外国判決の確定力に不確実性をもたらします。

外国判決や命令（和解合意を含む）の取り扱いに関するインドの法制度は、1908年民事訴訟法（CPC）に明文化されています。第13条は、外国判決が「同一当事者間で直接裁定された事項」については確定力を有すると規定していますが、判決がインド法に反する請求を認容した場合など、一定の例外を設けています。

第44A条は、相互承認地域の命令の執行を規定しています。1996年仲裁調停法の第19条は、仲裁機関がCPCに拘束されずに、手続きの自律性に基づいて、証拠の許容性および証拠価値を決定することを認めています。

したがって、相互承認地域の裁判所により認可された和解であっても、インドで自動的に確定力を有するとは限りません。その承認はCPC第13条の要件を満たすかどうかに依存し、またその拘束力は同一当事者間の事項に限られ、かつインド法に反しない範囲に限定されます。

これにより、保険紛争において構造的な困難が生じます。最終判決は通常、被告と請求者の間でのみ下され、（他法域の）保険者や再保険者が必ずしも訴訟に加えられていないため、保険者が補償や償還責任を否認する格好の土壌となります。

カナダ最高裁判所は、別々の法域で並行して進行する２つの補償手続きのうち一方の手続きの停止を検討するに当たり、この問題に対処するために複数のアプローチを検討しました。

国際法協会による既判力と仲裁に関する最終報告書（2006年）は、仲裁機関が既判力を「自律的に」取り扱うことを推奨しています。これは、特定の国内法体系における抵触法規則に従うのではなく、仲裁実務のために発展した「国際的な実体的・手続的規則」によって規律されるべきであることを意味します。

インドの保険会社は、特に通知義務や事前承認・同意、除外条項の解釈に関するものなど、保険証券の契約条件の厳格な遵守を頻繁に要求します。たとえ不遵守が（除外規定や曖昧さのために）適用されない場合や、重要性や不利益が認められない場合でも同様です。被保険者に責任を認める判決が存在する場合であっても、保険会社はこれを理由に不当に補償責任や償還責任を否認することがあります。

また、保険会社は権限や承認の付与を不合理に保留したり、防御費用の負担、訴訟・請求への防御・和解に対する同意の付与を遅延させたりする傾向があり、係属中の訴訟が膨れ上がるリスクを招きます。さらに、保険者は明確な陳述や有罪または過失の認定を被保険者に求めることがありますが、これは特に責任の有無を判断する主たる訴訟が係属中の場合、被保険者にとって困難です。

なお、インド最高裁判所は最近、履行が不可能または著しく困難となった保険条件に対する違反を理由に、保険者が請求を拒否することはできないと判示しました。

補償仲裁においては、第三者との私的な和解は一般的に保険者を拘束しません。和解や同意判決において責任や因果関係に関する認定があった場合でも、それは初期段階における説得力を持つにとどまります。しかしながら、請求や補償全体、除外規定、保険条件の履行に関する問題は、仲裁機関が独立して判断する範囲内にとどまります。データ漏洩に起因する国境を越えた集団訴訟の増加は、サイバー保険における重大な不整合の存在を露呈させており、被保険者を壊滅的な責任から保護するはずの保険が機能しない事態をしばしば引き起こしています。外国の原告は通常、企業被告のみを訴え、保険者や再保険者は訴訟から除外されます。

その結果、係争地で既判力を有する判決や和解が成立しても、リスク引受者との間に当事者適格がないことが多くあります。これにより、被保険者は補償を得るために他法域で別途、補償訴訟を提起せざるを得ず、非効率と不確実な状況が生じています。

この問題は、和解への同意、協力義務、「任意支払い禁止」などの標準的な保険条項によってさらに悪化します。これらの条項は、集団訴訟の和解が加速するスケジュールとほとんど合致しません。

認定期限やオプトアウト権の期限が迫る中で、和解が裁判所の承認段階に差し掛かるにつれて、保険者の通知や同意要件はしばしば遅れがちであり、保険会社が自己資金で迅速に対応して和解を成立させる動機もほとんどありません。保険者が同意を保留または遅延させた場合、被保険者は和解のリスクを負うか、保険者の同意なしに手続きを進めるかを選ばざるを得ず、その結果、条件先行条項違反により補償を失う可能性もあります。

このように、保険条件の厳格な執行は、サイバー保険の本質的なリスク移転機能を脅かします。裁判所や仲裁機関は、こうした条項を商業的合理性の観点から解釈し、誠実義務や協力義務を含意して解釈すべきです。

保険者が通知を受け、参加の機会があり、かつ不利益を被っていない場合、技術的な理由による補償否認を認めるべきではありません。裁判所は、保険者や再保険者が最初から訴訟に参加することを求め、その利益が適切に代表されるようにして、後の紛争の可能性を低減すべきです。

承認制度は、保険者が補償義務を直接執行できるようにすべきです。こうした改革がなければ、データ侵害保険は信頼性を欠き、契約者は複数の法域にまたがる紛争にさらされ続けることになるでしょう。

SHARDUL AMARCHAND MANGALDAS & CO
Amarchand Towers 216
Okhla Industrial Estate
Phase III New Delhi 110 020, India
Tel: +91 11 4159 0700
Email: connect@amsshardul.com
www.amsshardul.com