こんにちは。弁護士の浅見隆行です。
「無印良品」を展開する良品計画は2026年10月30日、公式アプリ「MUJIアプリ」への不正アクセスにより、最大約2,726万件の顧客情報が流出した可能性があると公表しました。
同社は11月4日の第二報で、クレディセゾンが発行する「MUJI Card」の会員約109万件についても、カード番号の全桁などが外部からアクセスされた可能性があることを明らかにしています。
対象は2021年7月以前に入会した会員です。良品計画は、当時は会員向けの独自特典を付けるためにカード番号などを取得しており、その情報がシステムに残っていたと説明しています。109万件のうち、現在も有効なカードは約34.5万件です。
無印良品のカード番号とタイムズカーの免許証画像
良品計画がカード番号を特典のために使っていたのは2021年7月までです。それから5年以上、カード番号は使われないままシステムに残っていたことになります。
カーシェアリングサービス「タイムズカー」でも、同じような情報が漏れています。
運営するタイムズモビリティは2026年9月、Webシステムへの不正アクセスにより約660万件のアカウント情報が第三者に取得されたと公表しました。運転免許証などの画像が漏えいしたアカウントは約160万件で、すでに退会した人の分も含まれています。
同社は、本人確認書類の画像を退会後7年間保有していました。漏えいの後、10月16日の第4報で、登録の確認が終わった時点で画像を削除する運用に改めています。
失効したカードの番号も、退会した人の免許証画像も、会社が消してさえいれば、攻撃を受けても漏れることはありませんでした。
使い終わった個人情報が残り続ける理由
個人情報保護法22条は、利用する必要がなくなった個人データを遅滞なく消去するよう事業者に求めています。もっとも、これは努力義務なので、消さずにいても直ちに違法になるわけではありません。
そのため、社内で消去を求める人はほとんどいません。
特典制度を担当していた部署にとっては、制度が終わればその仕事は終わりです。終わった制度のデータを探して消すのは手間がかかるうえ、消したからといって評価されるわけでもありません。後でやろうと思っているうちに担当者が異動すれば、そのデータのことを覚えている人もいなくなります。
消した後に「あのデータはまだあるか」と聞かれることを心配して、残しておく担当者もいるはずです。消して責められることはあっても、残しておいて責められることは、漏えいでも起きない限りありません。
顧客から消してほしいと言われることも、まずありません。顧客は、会社がきちんと管理しているだろうと思っているから何も言わないのですが、会社の側は、何も言われないので問題がないと受け取ってしまいます。顧客の信頼に甘えて、消すべき情報を放っておいていることになります。
無印良品で特典制度の終了後もカード番号が残っていた理由は公表されていません。ただ、こうした事情が重なれば、5年間誰も手を付けずに残っていても不思議ではありません。
タイムズカーが掲げていた保有の目的
タイムズカーの場合は、画像を保有する目的を掲げていました。
同社が公表した「ご質問と回答」には、運転免許情報と画像は成りすまし対策や問い合わせ対応のため、7年間保管していると記載されています。
ただ、同社は漏えいの後、画像を残さない運用に切り替えています。画像がなくても事業を続けられるのであれば、その目的のために退会者の画像まで7年間持ち続ける必要があったのかは、疑問が残ります。
データを消そうとすると、社内では「後で問い合わせがあったら困る」「不正利用の調査に使うかもしれない」という声が出るのが普通です。しかし、成りすましの調査に必要なのが免許証番号や有効期限だけであれば、画像まで残しておく必要はありません。
保有しているデータごとに、掲げた目的のために本当に必要かを確かめておかないと、念のために残したデータに、後から目的が付け加えられるだけになってしまいます。
預かった側も預けた側も消したかどうかを確かめていないこと
取引先から預かった情報についても、同じことが言えます。
業務委託契約や秘密保持契約には、契約が終わったら預かった情報を返還または破棄するという条項を入れるのが一般的です。顧客の個人情報も、取引先の営業秘密も、契約書の上では消すことが決まっています。それでも、契約が終わった後に情報が残っていた事案があります。
イセトーに残っていた和歌山市の住民税データ
和歌山市は、2023年度の市・県民税特別徴収税額決定通知書の封入封緘の業務を、印刷会社のイセトーに委託していました。
イセトーは2024年5月にランサムウェア攻撃を受け、和歌山市の住民の住所、氏名、課税情報など151,421件が窃取されました。和歌山市は、イセトーがデータを複写して別部門のサーバーに保管し、契約が終わった後も削除せずに保存していたと公表しています。
預かった側と預けた側の事情
預かった側にとって、契約が終わった仕事のデータを消すのは面倒な作業です。委託元から何も言ってこなければ、それで構わないのだと思ってしまいます。
そもそも、実際にデータを扱っている担当者が、契約書に破棄条項があることを知らないことも多いと考えられます。契約は営業や法務が取引先と交渉して締結しますが、データを扱う部署に伝わるのは業務の中身だけで、契約書の条項まで読んでいる担当者は多くありません。条項を知らなければ、守ることもできません。
預けた側も、契約書に破棄条項を入れたことで安心してしまい、契約が終わった後に相手が本当に消したかを確かめることはまずありません。専門の業者なのだから消してくれているだろう、と相手を信頼しているからです。
2019年には、神奈川県庁のハードディスクのデータ消去と廃棄を請け負ったブロードリンクの従業員が、ハードディスクを持ち出して転売していた事案もありました。
預かった側は言われないから消さず、預けた側は消してくれているだろうと思って確かめません。お互いに相手を信頼していることが、かえってどちらも確かめない理由になっています。
使い終わった情報を消すための社内の手順
面倒だから後回しにする、相手を信頼して確かめないという事情は、担当者に注意を促しても解消しません。消す時期と手順を、あらかじめ業務の中に組み込んでおくことが必要です。
情報を受け取る時点で消す時期を決めておくこと
特典のために集めるカード番号なら制度が終わったとき、本人確認書類の画像なら確認が終わったときや退会の手続が済んだときというように、情報を受け取る時点で消す時期を決めておきます。消す時期が決まっていれば、担当者が残すかどうかを迷うことはなくなります。
破棄条項の中身をデータを扱う部署に伝えること
取引先から情報を預かる側は、契約を締結した時点で、返還・破棄条項の中身をデータを扱う部署に伝えておくことが必要です。
契約の終了日と、終了したら何をいつまでに消すのかを伝え、消した後は日付と方法を記録しておきます。取引先から破棄の証明を求められたときに、すぐに出せるようにしておくことが望ましいです。
預けた側から破棄の確認を求めること
預けた側は、契約が終わったら、自分から相手に破棄証明書の提出を求めることを、委託業務の手順に入れておくことが必要です。和歌山市の事案でも、契約が終わった時点で破棄の確認を求めていれば、データが残っていることに気づけた可能性があります。
保有している情報を棚卸しすること
これから受け取る情報は、この手順で消していけます。しかし、すでに社内に残っている情報はそのままです。
経営陣が内部監査部門に依頼して、自社がどのような情報をどれだけ保有しているか、取引先に何を預けたままにしているかを棚卸しすることが現実的です。無印良品やタイムズカーの事案が報じられた今であれば、棚卸しを始める理由も社内に説明しやすくなります。
情報漏えいの対策というと、不正アクセスをどう防ぐかに目が向きがちです。しかし、攻撃を受けたときにどれだけの情報が漏れるかは、それまでに使い終わった情報をどれだけ消してきたかによって変わります。
顧客や取引先が何も言わないのは、会社が使い終わった情報を消しているだろうと信頼しているからです。その信頼に甘えていないかを確かめることが、漏えいの被害を小さくするための実務的な備えになるかもしれません。
企業の不祥事対応や第三者委員会のセカンドオピニオン等のご相談は、アサミ経営法律事務所お問い合わせフォームよりご連絡ください。
