>>974
斜め読みでもよいから一度加盟店とカード会社との契約嫁
そこに加盟店とカード会社、会員以外の第三者を紙に書き出してみろ

本来保持してはならないデータがあったことも、
それを含めて決済承認に必要な個人情報が流出したことも
今回起きた損害全てが、カード会社と契約した会社に一次的な責任がある。

「委託した会社がしていたことです」ってのは身近な例で言えば
「Aさんから家の掃除を頼まれたBが、それをCに委託してたらCがAの家の花瓶を壊した」ってこと
AがCに損害賠償するのではなくAがまずBに損害賠償するよな？

今回の場合だともし、その会社が外部にカード決済の処理手続きを委託していたのであれば
その会社が、委託した会社に損害賠償を請求することになる