企業法務コラム::企業法務ナビ

ECをやろうとされている方で、個人情報の取り扱いについて懸念をいただいている方は多いと思います。個人情報については、個人情報保護法により不適切な取り扱いをした業者に刑事罰が課されることもありますので注意が必要です。

細かい部分は除きますが、おおむね以下を守ることが必要となります。

また、これは法律上の義務ではありませんが、「プライバシーポリシー」を制定・公開・遵守するという運営が当たり前のものとなっています。上記の「利用目的」などもプライバシーポリシーに含めて記載される例もあります。プライバシーポリシーは、個人情報を取得する際にお客様の目に触れる場所に設置するようにしてください。

個人情報を適正に扱わなかった場合、一定の場合には刑事罰を課されると上記しました。しかし、個人情報を適正に扱うことの意味は刑事罰を避けるということだけではありません。いったん流出してしまうと、それは「事件」として報道され、新規顧客の集客力が弱まるという点だけでなく、既存顧客も離れていきます。一度失った信頼を取り戻すことは非常に大変です。

また、具体的に「損害賠償」を請求される事例もあります。例えば、有名な事例として、Yahoo!BBから個人情報が流出した事例があります。その際、Yahoo!BBは、自主的に損害賠償として流出した450万人に対して500円分の金券を配りました。500円だとしても、被害者が多ければそれだけで倒産しかねないですが、他の個人情報流出事例では一人につき6000円の損害賠償を認めた事例や、10万円の損害賠償を認めた事例もあります。事例により様々ではっきりした基準が確定していない部分ですが、信頼を失うことに加えて、実際の金銭的な問題も発生すると言うことは肝に銘じておく必要があるといえます。

このような状況なので、各保険会社も法人に対し、個人情報流出時に適用される保険を売り出してもいます。

ECでは、順調にいけば非常に多くの個人情報を取り扱うことになります。しかし、たとえ5万人強の個人情報でも単純なファイル形式であれば10MBにも満たない情報となり、持ち運びや転送が容易です。ひとたび流出してしまえばあっという間にどこまでも伝播していってしまうと言えます。

そのような特性を有するECにおいて、「個人情報」をどう管理するかという点は、運営体制を考える上で一つの柱になる部分です。

現在、ECを実現する多くのシステムでは、顧客情報・注文情報とサイトの管理部分が高度に結びついて管理され、これらを分離しているシステムはあまり見受けられません。つまり、公開されているサイトの裏側に顧客情報が眠っているということになります。他方で、サイトから完全に独立した部分に情報をすべて保存しているシステムは見たことがありません。

ということは、サイトの管理部分に問題や不具合があった場合、顧客情報が流出・漏洩してしまう恐れもあるということになります。

このようなシステムですと、何か一つ脆弱性があれば、すべての情報が流出してしまう恐れがあります。もちろん、脆弱性が無いようにしておくことはもちろんですが、完全なシステムは作り得ないことを考えると、流出するという事態についても常に想定して運営をするべきです。

どうシステムを組むかという話になってしまいますが、以下のような体制がより安全と考えます。

例えば、楽天市場においては、店舗側にお客様のメールアドレスが公開されていません。このように、店舗側に不要なデータは分離して保存し、保有させないようにしているわけです。情報を保有しないことが最も有効な流出を防ぐ手段です。

しかし、商品の発送には、どうしても住所と電話番号が必要となります。これについては、そもそも会員登録を必要としない体制とし、注文から発送まですべて完了したら当該情報は別のPCや媒体に移動させてしまうという運営体制も考えられます。

個人情報流出事例でもっとも大きな問題といえるのが「クレジットカード情報が流出した場合」です。流出情報を不正に利用された場合でも、契約者本人へは返金が行われるため実質的な被害が無いという見方もありますが、見知らぬ人に自分のカード番号を使われたという事実や、カードの再発行手続きが必要な点なども含め、流出されたお客様だけでなく他のお客様からしてもイメージは最悪のものとなります。

実際にクレジットカード情報が流出した事例もいくつかありますので以下に参考URLを乗せておきます。

しかし、クレジットカード決済への需要は大きく、導入することを決めている方も多いと思います。そこで、クレジットカードについても、上記２でおすすめした情報を分離して保存するという手法をおすすめします。クレジットカード番号については完全にサイトから独立した場所に保存するサービスを決済代行会社が用意していてくれたりしますので、それを利用するのが利便性と安全性の観点からベストかと思います。

なお、その場合には、利用規約やカード情報入力画面にて「当店ではカード情報を管理しません」「カード情報を○○（決済代行会社）へ送信することに同意してください（したものとみなします）」などの文言を加え、必ず情報を送信する事への同意を得てください。決済代行会社への送信自体が「個人情報流出」となっては元も子もありません。決済代行会社との間で交わされる契約にも、そのような文言を明記するよう指摘があるはずですので、そちらも必ず確認してください。

我々がクレジットカード情報の流出事件をいくつも起こせば、「インターネット通販そのもの」を敬遠されるお客様も増えますし、報道も増え、規制法が制定されるおそれもあります。情報の流出を完全に完璧に防ぐことは難しいということを念頭に置き、二重三重四重の対策をしておくことが、ECでは当たり前になりつつあります。ぜひ、ここは手を抜かず、厳しく対策を行うようにしてください。いざ流出した場合、「正直」に「誠実」に情報をオープンにしていくことが最も優れた対応ですが、きちんと対策を行っていなかった場合に、対応し難くなってしまいます。