退会者についても、すべての情報を即時削除する法律上の一般原則はない。だからといって、期限も目的もあいまいなまま残してよいわけではない。対象の約7割は失効・解約済みのカードであり、利用を終えた人にも管理の問題が及んでいる。
個人情報保護法22条は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求める。努力義務であり、長期保管だけで直ちに違法とはいえない。しかし法の趣旨に照らせば、業務上の必要性と保管を続けるリスクを比べ、必要以上の長期保管は避けるべきだ。
今回、保管に合理的な理由がなく、削除の点検も行われていなかったとすれば、ずさんな情報管理との批判は免れない。両社は、特典のために全桁を共有した必要性と、終了後の保存・削除の取り決めを明らかにすべきだ。
一般向けに第2報を出すまでの「2日間」に何があったのか
第1報の「クレジットカード情報、氏名、住所、電話番号等の情報は含まれません」という説明も看過できない。事故直後に全容がわからず、追加調査で対象が広がることはあり得る。新事実の公表は必要だが、それだけで最初の断定が正当化されるわけではない。
確認した範囲で番号が見つからなかったことと、番号が対象に含まれないと確認できたことには違いがある。過去の特典制度で取得した情報まで調べたのか。対象外と言い切った根拠を説明してほしい。クレディセゾンによると、良品計画のシステムへの不正アクセスは10月29日に発生した。第1報は攻撃からわずか1日ほどで出されている。たった1日の調査で、なぜカード情報は含まれないと言い切れたのか。
第1報を信じた利用者が、カードの明細を確認する必要はないと受け止めた可能性もある。公表の正確性は企業の評判だけでなく、消費者が被害を防ぐ機会にも関わる。
クレディセゾンは、番号も対象となった可能性について、11月2日に良品計画から報告を受けたとしている。一般向けの第2報は11月4日である。この間に何を確認し、どのような被害防止策を講じたのか。
※ログイン後、コメント入力が可能です。