正解：エ
各選択肢の解説
ア責任制限条項がある以上、どのような事情があっても賠償額は委託料の額が上限となる。
誤り。モデル契約では、重大な過失の有無が責任制限条項を適用するかどうかの分かれ目になっています。 上限は通常の過失による損害を想定したもので、重大な過失があれば上限で止まりません。
イ責任制限条項は消費者との契約でだけ効力を持つので、企業間の契約では無効になる。
誤り。逆です。消費者契約法が事業者の責任を免除・制限する条項を制限するのは、消費者との契約の場面です。 企業間の契約では、当事者が合意した責任制限条項は原則として有効で、だからこそ重大な過失の扱いが問題になります。
ウ漏えいを直接起こしたのは攻撃者なので、ベンダは損害賠償の責任を一切負わない。
誤り。攻撃者の行為が介在していても、ベンダが契約上求められる対策を怠ったなら、債務不履行の責任を問われえます。 誰が攻撃したかではなく、ベンダが果たすべき義務を果たしたかで判断します。
エ対策を怠ったことが重大な過失と認められれば責任制限条項は適用されず、上限を超えて請求しうる。
正解。モデル契約は責任制限条項を重大な過失がある場合には適用しない作りで、 SQLインジェクション対策を講じなかったことが重大な過失とされた裁判例もあります。
理解を深めるために
上限は「普通のミス」までの約束
システム開発の契約には、ベンダの損害賠償に上限を設ける条項（責任制限条項）がよく入ります。 システムの不具合による損害は委託料よりはるかに大きくなりうるので、上限がないとベンダは引き受けられないからです。 ただしこの上限は、ふつうの注意をしていても起こりうるミスを想定した約束です。 専門家として当然の対策をしていなかったような場合まで、上限で守られるわけではありません。
モデル契約での扱い
情報システム・モデル取引・契約書（経済産業省の依頼でIPAが取りまとめ）では、 「重大な過失（重過失）」の有無が責任制限条項を適用するかどうかの分かれ目になっています。 第二版の見直しでは、この重過失を契約書で定義できないかが議論されました。
- システム開発で重過失が認められた例はほとんどなく、条文で定義するのは難しいとされた
- その中で、ベンダがSQLインジェクション対策を講じなかったことを重過失とした裁判例（東京地判平成26年1月23日）が挙げられている
- 結論として、条文では定義せず、重過失についての一般的な理解と裁判例を逐条解説に追記した
広く知られた基本的な攻撃への対策を怠ると、上限の外で責任を問われうる、ということです。 発注側の担当者としても、上限があるから安心ではなく、基本的な対策が仕様と検収の確認項目に入っているかを見ておく必要があります。
混同しやすいものとの違い
| 考え方 | 実際の扱い |
|---|---|
| 重大な過失なら上限は適用されない | モデル契約の作り。SQLインジェクションの裁判例がある |
| 事情を問わず委託料が上限 | 重大な過失の場合を見落としている |
| 企業間では責任制限条項は無効 | 消費者契約法の場面と混同している |
| 攻撃者がいればベンダは免責 | 対策の義務を果たしたかで判断する |
責任制限条項を問われたら、「上限があるか」だけでなく「重大な過失のときにどうなるか」まで確かめます。