ローソン・スカイチケットで情報漏えい――会社に賠償やデータの削除を求められるのか

個人情報の漏えいに関する発表が相次いでいる。ローソンは10月8日、「ローソンID」の氏名やメールアドレスなど215万5345件が漏えいしたと発表した。登録状況によって住所や電話番号なども含まれ、「ローソンアプリ予約」では26件の氏名、電話番号、クレジットカード番号の一部が漏えいしたという。

翌9日には、旅行予約サイト「スカイチケット」の運営会社アドベンチャーも不正アクセスを公表。同社サーバーへの不正アクセスでは約1464万件の情報が流出し、このうち約413万件にはハッシュ化されたログインパスワードも含まれていた。別の経路では、返金先の口座情報などが流出した、または流出したおそれがあるとしている。

第一興商も8日、個人情報の取扱いを委託していた会社の従業員端末がマルウェアに感染し、顧客情報が漏えいしたおそれがあると公表した。こちらは、漏えいが確認された事案とは区別する必要がある。

利用者が知りたいのは、被害を防ぐ方法だけではない。「漏らされた私は、会社に何を求められるのか」。金銭的な補償と、今後の情報の利用停止・消去について考えてみたい。

個人情報が漏えいしたときの4つのポイント　名前や連絡先だけでも危険、免許証流出なら不正契約にも警戒

「二次被害は確認されていない」なら賠償されないのか

ローソンは、公表時点で今回の漏えいに起因すると考えられる不正利用や二次被害は確認されていないと説明している。スカイチケットも、会員1人への不正ログインを除き、流出情報の悪用による二次被害は確認されていないとしている。

ただし、この説明は、会社の賠償責任がないという意味ではない。

個人情報漏えいの損害には、不正利用で失ったお金などの財産的損害と、プライバシーを侵害されたことによる精神的損害がある。知らない第三者に氏名や住所などを渡されたこと自体が、慰謝料の問題となり得るのである。

最高裁は2017年10月23日、ベネッセの情報漏えいをめぐる訴訟で、プライバシー侵害による精神的損害を十分に審理せず、不快感を超える損害の立証がないという理由だけで請求を退けた判断を破棄した。会社の過失や精神的損害の有無・程度について、改めて審理するよう求めた。

もっとも、漏えいした全員に、一定額の慰謝料が自動的に支払われる制度はない。会社の責任を基礎付ける事情や損害などを検討する必要があり、賠償額も、情報の種類、流出先、拡散状況、悪用の有無などによって変わる。

電話番号変更などの費用も、支出しただけで当然に請求できるわけではない。変更が必要だった事情や費用の相当性、漏えいとの因果関係が問われる。不審な連絡の記録、会社からの通知、領収書などは保存しておきたい。

外部の攻撃や委託先の事故でも、会社の責任はあるか

不正アクセスを受けた会社も、犯罪の被害者である。しかし、それだけで利用者に対する責任がなくなるわけではない。

個人情報保護法は、企業に個人データの安全管理措置を求めている。アクセス権限の管理、不正アクセス防止、ぜい弱性への対応などが適切だったかが問題となる。委託先に個人データを扱わせる場合にも、必要かつ適切な監督が求められる。

第一興商のような委託先での事故についても、「別会社で起きたことだから」と説明するだけでは足りない。委託先の選定や契約、安全管理の確認が適切だったか、サービス提供会社自身の対応も検討対象になる。

一方、漏えいという結果だけで、会社の過失や賠償責任が確定するわけでもない。具体的な原因と管理状況を確認する必要があり、今回の各社の責任についても、公表資料だけで断定することはできない。

また、一般に企業からおわびの金券やポイントが提供されても、受け取っただけで当然に賠償請求権を放棄するわけではない。ただし、受領時に「これ以上請求しない」といった条件への同意を求められる場合には、内容を確認する必要がある。

アプリを消したら、会社のデータも消えるのか

「もうこの会社には情報を預けたくない」と考えても、スマートフォンからアプリを削除するだけでは、通常、会社のサーバーに保存された情報まで消えない。

サービスからの退会と、会社が保有するデータの消去も別の問題だ。退会後も、法令上の保存義務や、未処理の決済・返金への対応などのために、一定の情報が残る場合がある。

ローソンの公式FAQも、ローソンIDの退会には、IDのページから「登録解除」の手続きを行うよう案内している。アプリの削除とは別の操作である。

退会を考えるなら、先に漏えい通知や取引履歴などを保存し、退会によって何が消え、何が残るのかを確認したい。

漏えいした情報の利用停止・消去は請求できるか

個人情報保護法35条5項は、会社が保有個人データを利用する必要がなくなった場合や、法律上の報告対象となる漏えい等が生じた場合などに、本人が利用停止・消去や第三者提供の停止を請求できると定めている。

したがって、消去請求は、会社の善意だけに頼るものではない。ただし、漏えいが確認された場合と、そのおそれについて調査中の場合では、請求の前提事実も異なる。まず、自分のどの情報が対象となっているかを確認することが大切だ。

また、請求すれば、すべてのデータを希望どおりに即時消去させられるわけではない。会社は理由のある請求について、権利利益の侵害を防ぐために必要な範囲で対応する。消去等が困難で、本人を保護するための代替措置を取る場合には、例外も認められている。

問い合わせでは、消去を求める情報を具体的に示し、残す情報の種類、保存理由と期間、広告等への利用停止、消去の予定時期まで確認するとよい。

なお、会社側のデータを消去しても、既に流出した情報が第三者の手元から消えるとは限らない。利用停止・消去は、今後の情報の保有や利用を制限するための手段である。

情報漏えいへの対応は、利用者の自衛だけでは完結しない。会社には、原因調査と再発防止に加え、本人への説明や適切な請求対応が求められる。利用者も、自分の情報の流出状況を確認し、賠償と利用停止・消去をそれぞれの条件に沿って検討することが必要だ。

文/松本理平 内外タイムス