前回は，研究目的の投資履歴提供に顧客から懸念の声が上がって頓挫した，産学協同研究のケースを取り上げた。研究のためにインターネット経由で収集した履歴データを公開して問題化した事例としては，第65回で取り上げた米America Online（AOL）における検索履歴情報の掲載事件がある。

　ユーザーIDが匿名化されていても，検索クエリーに関するデータをひも付けすれば，特定の個人を識別できる可能性があるとして，AOLはプライバシー保護団体などからの反発を受け，CTO（最高技術責任者）の引責辞任と関係した従業員2人の解雇に至っている。法令やガイドラインをクリアしさえすればよいという「法令遵守」の考え方は，顧客に通用しなくなっている。注意が必要だ。

　さて今回は，ポイントカードをめぐる個人情報流出事件を取り上げてみたい。

店舗の外で発覚したポイントカード情報の流失

　2007年6月23日，名古屋市を本拠地とするスーパーのパレと松坂屋ストアは，それぞれの会社のポイントカード会員の個人情報が，業務委託先のパソコンウイルス感染により，インターネットに流出したことを発表した（パレ「お客様個人情報の流出に関してのお詫び」，松坂屋ストア「お客様個人情報の流出に関するお詫び」，東芝テック「お詫びとお知らせ」参照）。

　パレは2006年7月～10月の間，現金ポイントカード会員の新規登録やカードの切り替えを申し込んだ顧客の情報入力作業を，東芝テックに委託していた。また，松坂屋ストアは，2006年8月～10月の間にポイントカード会員の新規登録や切り替えを申し込んだ顧客の情報入力作業を，同じく東芝テックに委託していた。

　新聞報道によると，両社からの委託を受けた東芝テックは，名古屋市の情報システム会社エステックに再委託し，エステックはさらに三重県の個人業者に再委託していた。この個人業者のパソコンがウイルスに感染し，ファイル交換ソフト「share」を介してスーパー2社のポイントカード会員データがインターネット上に流出したという。会員データには，会員カード番号，名前，住所，電話番号などの個人情報（パレ2万9281件，松坂屋ストア1620人件）が含まれていた。

　情報入力作業の終了後しばらく経ってから，再委託先のパソコンにインストールされたファイル交換ソフトを介して個人情報が流出した。こうした経緯は，第92回で取り上げた一連の住基情報流出事件の時にそっくりだ。

データが消去・廃棄されなければ監督責任は残る

　流通業にとって，ポイントカードは今やマーケティング／販促に欠かせないツールである。そして，クレジットカード，共通マイレージサービス，電子クーポン，電子マネーなど，様々な機能が付加されるにつれ，一企業の枠を越えた異業種連携ビジネスのインフラに成長しつつある。

　ポイントカードの発行は，個人情報ライフサイクル管理の起点にもなっている。だが，委託元と外部委託先，再委託先では，ライフサイクルの終点が異なることを忘れてはならない。例えば，登録情報のデータ入力を受託した企業では，入力作業を完了して委託元に納品した時点で情報ライフサイクルは終わる。しかし，委託先企業に預託したデータが消去・廃棄されていなければ，委託元企業には委託先の監督責任という潜在的リスクが残り続けることになる。この潜在的なリスクは，ポイントカードが多機能化して会員数が増えれば増えるほど，委託元企業のみならず連携するパートナー企業にも広がっていく。

　委託先で何も起きなければ問題ないが，ファイル交換ソフトを標的にしたウイルスによって，リスクがいったん顕在化したら，取り返しの付かない損害を被ることになる。予防医学の世界では「小さなリスクを背負った大規模な集団から発生する症例数は，大きなリスクを抱えた小規模な集団からの症例数よりも多い」という原理原則がある。これは，ポイントカードの個人情報管理にも当てはまる。委託先からの情報漏えいリスクを減らしておくことは，生涯顧客価値を後々高めることにもつながる。

　次回は，個人情報漏えい事件に遭遇した企業の株主総会について取り上げてみたい。


→「個人情報漏えい事件を斬る」の記事一覧へ

■笹原 英司 (ささはら えいじ)

【略歴】
IDC Japan ITスペンディングリサーチマネージャー。中堅中小企業（SMB）から大企業，公共部門まで，国内のIT市場動向全般をテーマとして取り組んでいる。

【関連URL】
IDC JapanのWebサイトhttp://www.idcjapan.co.jp/