無印良品《最高益の裏で痛恨の失策》｢カード情報は含まれません｣から5日で一転…"109万件の番号全桁"が漏洩の可能性

日数だけで不当な遅延とは断じられないが、公表時期の判断も検証が必要だ。調査中なら、確認できた事実と未確認の範囲を分け、その段階で必要な注意を呼びかければよい。早く公表することと、根拠の乏しいまま「含まれない」と言い切ることは別である。

クレディセゾンにも説明責任がある

不正アクセスを受けたのは良品計画のシステムであり、保管と安全管理、公表判断について同社の説明責任は大きい。クレディセゾンのシステムへの不正アクセスや、そこからの流出は現時点で確認されていない。

一方、カード会社側にも、渡した情報の扱いをどう取り決めていたのかを説明してほしい。委託、共同利用、第三者提供といった法的な関係や契約内容によって、検討すべき責任は異なる。

個人情報保護法23条は必要かつ適切な安全管理措置を求め、26条は一定の漏洩等やそのおそれについて、個人情報保護委員会への報告と本人通知を原則として義務付けている。施行規則7条は、クレジットカード番号のように、不正利用によって財産的被害が生じるおそれのある個人データの漏洩などについて、件数にかかわらず報告対象としている。流出が確定するまで待てばよい制度ではない。

割賦販売法も、カード番号などの適切な管理を求めている。実務上の対策は、加盟店が番号を保持しない「非保持化」や、保持する場合の「PCI DSS」という国際的な安全基準への準拠などである。