ユーザーから個人情報の削除依頼を受けても即刻完全削除が難しい場合があって、その保留期間中にデータ漏洩自己があった場合の賠償は？

このへんの議論を見たことがなかったので、素朴な疑問です。

ウェブサービスを念頭に置きつつ、ITで顧客情報を管理している企業全般について言えること。

ユーザーから個人情報の削除依頼を受けたら、消しますよね。

でも完全に消すことって、けっこう難しい場合がありますよね。

例えば

• データベースから削除したが、HDDの物理的データをフォレンジクス的な手法で読みこめばデータは残っている（いわゆる0と1を何度も書き込んで物理的にリセットするようなことをしないかぎり）
• データベースのテーブルからレコードを削除したが、データベース管理システム(DBMS)のジャーナルファイルにはしばらくデータが残る（設定によっては数ヶ月単位で）

ってことがありますよね。

仕組み的に時系列の差分データだけ取ってるような場合、あるユーザーのデータだけ削除するようなことが難しかったりして。「原理的には可能だけど、そういう機能を実装してないので対応出来ない」とか。

こういう「削除したつもりだけど、しばらく残ってる期間」って、リスクですよね。その期間に当該ユーザーの個人情報が漏洩したら、どうなるんでしょう？

民事訴訟ではやはり通常の漏洩よりも賠償額が高くなるんでしょうかね？

刑事訴訟になって有罪判決が出るリスクもあるでしょうか？