KDDI地図サイトで個人宅の住所・電話番号が「丸見え」…移動販売業者やコミケ参加者多数、弁護士は“法違反の懸念”指摘

7月10日、改正個人情報保護法が国会で成立した（17日公布）。改正法案の審議で注目されたのは、AI開発などの統計作成を目的とする場合、企業が、個人本人の同意なく、氏名、住所などからなる個人情報さらには病歴や犯罪被害歴等の「要配慮個人情報」をも含む個人データを第三者に提供することなどが可能になるという内容だ。
これを受け、「そんなことを認めて、自分のプライバシー情報が、意思に反した形で企業やAIに利用されることにならないのか？」という不安の声が上がっている。
法律の立場は、「統計」とは、大量の情報から得られる物事の傾向や性質の情報のことで、個人との紐づけはされないことが前提なので問題はないというものだ。逆にいえば、企業がこの前提を守り、意図的かそうでないかを問わず、目的外利用をしないという性善説に依存しているともいえる。
だが、一般企業にそのような信頼を寄せてよいのかは疑問である。顧客から多数の個人情報を取得している大企業においてさえ、ずさんな取り扱いによって、消費者に不利益を与える現状が放置されている実態があるからだ。（本文：友利昴）

KDDIの地図サイトに、個人宅の住所と携帯電話番号が……

改正個人情報保護法案の国会審議の最中、KDDIで大規模な不祥事が起きている。
約1223万人分のメールアドレスが外部に漏えい、うち約762万人はパスワードも漏えいしたのだ。以下の行政指導文書によれば、KDDIは、パスワードの保存に際して、暗号化等の安全管理措置を講じていなかったことが明らかになっている。
この結果、約762万人分のメールのやり取りが、パスワードを窃取した第三者から閲覧可能な状態になってしまった。この事態を招いたことについて、KDDIは総務省から「通信の秘密の漏えいにあたる」「利用者の信頼が大きく損なわれた」と、厳重注意の行政指導を受けている。一連の事件で、同社の情報管理体制に不安を覚えたむきは多かったはずだ。
そこで気になって同社の情報管理体制を調べたところ、同社が運営する「au PAYの使えるお店」というサービスで、不自然な個人情報の取り扱いが行われていることが分かった。これは、決済手段としてau PAYが利用できる店舗の住所や電話番号を検索できる地図サイトである。
ところがこの地図サイトには、アパートの一室や住宅街の一軒家など、どう考えても店舗とは考えられない個人宅の住所、個人の携帯電話番号が多数掲載されているのだ。

「au PAYの使えるお店」に掲載された個人のものと思しき住所と電話番号の一例。住所を確認すると住宅マンションだった。

調査を進めると、これらの多くが、常設店舗を持たない個人事業者の「自宅」の住所や電話番号であることが分かった。例えば、移動販売車で弁当などを販売したり、年に数回のイベントや即売会でハンドメイドグッズや同人誌などを販売したりする個人の、プライベートな情報である。
こうした情報が公開されていることで何が起こるか。決済手段としてau PAYが使える移動販売車や即売イベント会場のブースで、屋号やサークル名、個人名を把握し、「au PAYの使えるお店」でその名称を検索すれば、誰でも、売り子本人の自宅住所と電話番号を知ることができてしまうのだ。

ストーカー、強盗、フィッシング詐欺に利用されるおそれも

このような情報を、ウェブ上に広く公開されて歓迎する個人が果たして存在するだろうか。筆者が複数の掲載情報先に確認したところ、当該サイトに住所などが掲載されていることを承知している者は一人もおらず、一様に動揺を隠さなかった。
法人登記しているわけでもなければ、通信販売や訪問販売のような、特定商取引法によって住所等の表示が求められる事業をしているわけでもない個人にとって、企業に自宅の住所や電話番号をウェブ上に公開される筋合いはない。
ストーカー行為やトクリュウによる強盗、SMS機能を利用したフィッシング詐欺といった不正行為を誘発するおそれもあり、本人にとっては不利益でしかない。
そもそも、掲載住所は店舗ではなく、個人宅に過ぎないのだから、「au PAYの使えるお店」に掲載されることは単に間違いでもある。その住所を訪ねても店舗も営業所もなく、au PAYも使えない。消費者にとって知る必要のない情報である。
au PAYを契約する事業者の多くは、飲食店や小売店などの実際の店舗を構えており、地図サイトに店舗情報が掲載されても構わないケースは多いだろう。一方、実店舗を持たずに、個人の住所と電話番号を用いて契約する利用者も少なからずいるのである。
KDDIはそのことを想定せず、契約者が「店舗」か「個人」かを区別することなく、契約者の情報を一緒くたにして、自社サイトに漫然と掲載しているのではないだろうか。

KDDIは本人の同意を得ているのか？

この問題をKDDIはどのように捉えているのだろうか。同社に、サイトに掲載された複数の個人情報を挙げて本人同意の有無について照会すると、それらはいずれも、Squareなどのマルチ決済サービス事業者から提供された情報であるとの回答があった。
なお、KDDIは、マルチ決済サービス事業者との間で掲載について合意しているとのことであったが、個人情報の本人の同意を得ているかどうかについては、明言がなかった。
個人情報保護法に詳しい角川正憲（かくがわ・まさのり）弁護士は、上記ウェブサイトにおける情報の掲載は「個人データの第三者提供にあたる」としたうえで、「原則として、あらかじめ本人の同意を得る必要があり（個人情報保護法27条1項）、万一同意を取得していないとすれば、個人情報保護法の前記法条に違反している可能性がある」と述べる。
問題は、利用規約などにおいて本人同意を取得している可能性だ。筆者は、確認できる限りの規約類、すなわちKDDIのプライバシーポリシー、au PAYの加盟店規約、Squareの利用規約、SquareとKDDIを仲介する決済代行事業者のDGファイナンシャルテクノロジーの利用規約を入手。
しかし、それらを読む限り、不特定多数の第三者への個人情報の提供を明示して許可する条項や利用目的は確認できなかった。また、このような提供行為について、KDDIに同意を与えた覚えがあると証言するユーザーは、ヒアリング範囲にはいなかった。

地図上の個人情報を削除するにはどうすればよいか？

さらに、KDDIに情報の削除を申し入れても、スムーズな対応がなされないという声も聞かれた。マルチ決済サービスを通してau PAYを導入した場合、KDDIは削除対応ができないという立場を取るのだという。しかし自社サイトに掲載されている情報なのに、自ら削除できないという説明は理解しかねる。
KDDIへの取材によれば、個人が掲載情報を削除したいと希望した場合の対応方法については、マルチ決済サービス事業者に要望するか、KDDIに直接相談をすれば「必要に応じて当社にて速やかに非表示対応を行う」、とのことであった。
「非表示対応」については可能である一方、情報の削除について応じるどうかについては、やはり回答はなかった。
角川弁護士は、一般論として、事業者の保有個人データが違法に第三者提供されている場合や、事業者が特定した利用目的の達成に必要な範囲を超えた利用がなされている場合には、それぞれ、保有個人データの第三者提供の停止、利用の停止又は消去を請求することができる（個人情報保護法35条）と助言する。
以上の取材結果を踏まえると、個人情報の掲載に不安を覚えた場合、現状、実務的には以下の対応が望ましいだろう。
まず、情報拡散の被害を早期に防ぐために、Squareなどのマルチ決済サービス事業者もしくはKDDIに対し、ウェブページの非表示化を申し入れる。そのうえで、確実に保有情報の削除や利用停止を履行させたいのであれば、マルチ決済サービス事業者やKDDIに対し、書面で保有個人データの削除等を請求することも考えられる。
KDDIは、そのプライバシーポリシーにおいて、「法令により認められる範囲で、お客さまからの同意を得ることなく、パーソナルデータを〔…〕利用し、また第三者に提供することがありますが、その場合も当社はお客さまの権利利益に十分に配慮します」と謳う。
同社には、その言葉の重みを自らかみしめ、法令遵守はもちろんのこと、個人情報の不適切な取り扱いによって、顧客の平穏な生活を送る権利利益を決して脅かすことのないよう、顧客に寄り添った誠実な対応を期待したい。
■友利昴（ともり・すばる）
作家。企業で知財実務に携わる傍ら、著述・講演活動を行う。ソニーグループ、メルカリなどの多くの企業・業界団体等において知財人材の取材や講演・講師を手掛けており、企業の知財活動に詳しい。『明治・大正のロゴ図鑑』『知財部という仕事』『エセ著作権事件簿』の他、多くの著書がある。1級知的財産管理技能士。