2025年3月の調査で、貯金の顧客情報を同意なく保険や投資信託などの勧誘に使っていたとわかった。対象は延べ約1000万人に広がった。
- 問題視されたこと
- 郵便局で、貯金や資産の情報が本人の同意なく保険や投資信託の営業リストに使われていた。
- その後
- 2025年3月、各社の社長を含む役員14人の報酬減額を決めた。
預金や資産などの非公開の金融情報を、本人の同意なく別商品の営業リストに使わない。
出典：nikkei.com（報道）、nikkei.com（報道）
確認の問い
個人情報・プライバシーの確認の問い
個人情報・プライバシーで過去に批判された事例から、出す前に確かめる問いを8個にまとめました。
-
委託先や内部者が、監視や制限のないまま個人データにアクセスしたり持ち出したりできる状態になっていないか
内部者や無断の再委託先がUSBメモリー・私物PC・私用メールなどで大量の個人データを持ち出し、長期間気づけずに流出させた。
-
利用者データを、本人への説明や同意・拒否の機会なしに第三者へ提供したり別目的に使ったりしていないか
移動履歴や購買履歴、預金情報などが本人の知らないうちに外部提供や営業に使われ、規約や説明に書いていなかったことが批判された。
-
個人データを置くクラウド・リポジトリ・ネットワーク機器の公開設定や脆弱性を、点検しないまま運用していないか
クラウドの誤設定、公開リポジトリのアクセスキー、委託先のVPN機器やグループ会社の回線を起点に、長期間の公開状態や大規模な侵入・流出を招いた。
-
二段階認証・本人確認・パスワードの安全な保存といった基本的な認証対策を欠いたまま、サービスや基盤を運用していないか
本人確認の甘い口座連携や二段階認証のない決済・ログイン経路が狙われ、不正利用や乗っ取り、平文パスワードの流出につながった。
-
スコアリング・顔認識・公開情報の再編集などで、本人が気づかないうちに個人を評価・監視・さらす設計になっていないか
初期設定オンの信用スコアや無告知の顔認識監視、破産情報の地図化、生活空間の一律撮影が、本人の不利益や私生活の侵害として強く反発された。
-
情報漏えいの可能性を把握したあと、利用者への通知や公表を遅らせていないか
大規模な会員情報の流出で公表が遅れ、自治体の住民など関係者にまで被害が広がったことが問題視された。
-
氏名と生年月日だけの照合や、全体点検をしていない改修のまま、別人の情報が出たりひも付いたりする運用になっていないか
別人の住民票の誤交付や別人の医療情報の誤登録が公表され、行政や医療の信頼を損なった。
-
用が済んだ本人確認書類や委託業務の個人データを、必要な期間や契約の範囲を超えて保管していないか
長期間保管していた本人確認書類の画像や、委託終了後も残っていたデータが流出し、保管していたこと自体が疑問視された。
似た事例 企業名は伏せています
2024年5月、印刷業務の受託会社がランサムウェア攻撃を受け、約100団体から預かった個人データが漏えいした。
- 問題視されたこと
- 委託先に預けた住民の税情報などが漏えいし、委託元の自治体や金融機関が次々に公表した。
- その後
- 国の個人情報保護の機関から指導を受けた。契約に反する保管を理由に、委託元の市へ損害賠償を支払った。
委託業務が終わった個人データを、契約で認められていない場所に複製・保管したまま放置しない。
出典：webtan.impress.co.jp（報道）、city.toyota.aichi.jp（行政の発表）
2024年、乗合代理店や代理店への出向社員が、他社と契約した顧客の情報を損保会社に共有していたことが分かった。
- 問題視されたこと
- ある損保社員が、代理店からのメールに他社の契約者データが含まれていると指摘して発覚した。
- その後
- 出典に会社の対応の記載はない。監督官庁が4社に業務改善命令を出し、個人情報の監督機関も指導した。
出向先や代理店で知った他社の顧客情報を、本人の同意なく自社に送らない。
出典：nikkei.com（報道）、scan.netsecurity.ne.jp（報道）
2024年6月、グループのデータセンターがランサムウェア攻撃を受け、動画配信などのサービスが長く止まった。従業員や生徒などの個人情報が流出した。
- 問題視されたこと
- 盗まれた従業員アカウントを起点に侵入され、生徒を含む個人情報の流出とサービス停止を招いた。
- その後
- 謝罪して調査結果を公表した。サービスの復旧には約2か月かかった。
従業員アカウントの多要素認証やバックアップの分離をせずに、重要な基盤を運用しない。
2023年11月、不正アクセスで個人情報が漏えいしたと公表した。大株主で業務委託先でもある海外企業側とシステムがつながっていたことが問題になった。
- 問題視されたこと
- 相次ぐ漏えいに対し、国が委託先でもある海外の大株主との資本関係の見直しまで求めた。
- その後
- 国から2度の行政指導を受け、大株主側に資本関係の見直しを要請していると報告した。
利用者データを扱うシステムを、管理の及ばないグループ会社のネットワークとつないだままにしない。
出典：watch.impress.co.jp（報道）、watch.impress.co.jp（報道）