Hlib Chabaniuk

KDDI、au PAY加盟店情報掲載で個人情報管理リスクが浮上

KDDI、au PAY加盟店情報掲載で個人情報管理リスクが浮上
Au PAY情報管理リスク

KDDIはau PAYの加盟店検索サイトで、一部加盟店情報を本人の明確な同意なしに掲載していた可能性があると発表した。対象は個人事業主の住所や電話番号など最大約46万人分に及ぶ可能性があり、個人情報保護法に抵触するおそれが出ている。

ハイライト

  • KDDIは10月20日、au PAY加盟店情報公開で規約不備により最大45万8508人分の個人データを無許可掲載した可能性を発表。
  • KDDIは外部指摘を受け8月下旬から加盟店検索サイトの公開を停止し、明確な同意を得た場合のみ情報掲載する方針へ転換。
  • 今回の事案は同意取得プロセスの不備が問われ、他の決済・プラットフォーム事業者にも規約見直し圧力を与える見通し。

掲載経緯と対応方針

Nikkeiによると、KDDIは10月20日、公式ウェブサイトで公開していたau PAY加盟店情報について、加盟時の規約に不備があり、店舗情報の掲載に関して加盟店が明確に認識していない可能性が判明したと明らかにした。これにより、個人事業主の住所や電話番号など最大45万8508人分、氏名は最大4417人分が許可なく掲載された可能性がある。

問題は8月下旬に外部からの指摘で判明した。KDDIは規約を修正し、今後は明確な同意を得られた場合に限って店舗情報を掲載する方針で、加盟店検索サイトは8月下旬からメンテナンス中となっており、再開時期は未定としている。

公表まで約2カ月を要した理由について、KDDIは対象範囲の確認、加盟店調査、対応方針の検討に時間がかかったと説明している。関係者に多大な迷惑と心配をかけたとして、同社は謝罪コメントを出している。

通信・決済業界の情報管理課題

個人情報保護法では、個人データを第三者に提供する際、原則として本人の同意が必要となる。今回の事案は、不正アクセスではなく情報掲載ルールの設計や同意取得プロセスの不備が問われるケースであり、通信・決済事業者の加盟店管理体制に対する監督責任が改めて焦点となる。

スマートフォン決済サービスでは加盟店網の拡大と利便性向上のために店舗情報の公開が広く行われているが、個人事業主を含むデータの取り扱いでは、規約の明確性と同意管理の厳格化が一段と重要になる。KDDIの対応は、同様の加盟店情報を扱う決済・プラットフォーム事業者の実務見直しにも影響を与える可能性がある.

当サイトの以前の記事では、ブックオフグループホールディングス子会社の会員管理システムへの不正アクセスにより、最大約642万件規模の会員データが外部流出した可能性があると公表した件を整理しました。決済情報や本人確認書類の流出は確認されていない一方、対象者への個別連絡やパスワード変更の案内など、信頼回復に向けた初動対応と再発防止策の実効性が焦点になる点を解説しています。

この資料には第三者の意見が含まれている場合がありますが、このウェブページ上のデータおよび情報は、当社の免責事項に従って投資アドバイスを構成するものではありません。厳格な編集上の誠実性を遵守していますが、この投稿にはパートナーの製品に関する言及が含まれている場合があります。