皆さんはTポイントカードをお持ちでしょうか?筆者も持っていますが長らくコンビニなどで買い物をしても出していませんし、レンタルの有効期限も5年くらい前に切れたまま更新していません。以前からTポイントカードを発行・運営しているカルチュア・コンビニエンス・クラブ(CCC)のセキュリティや個人情報保護の姿勢に対する批判が多く、積極的に提示する気にならないというのもあります。そんなTポイントカードを巡って、年明けに過去最大級の炎上騒ぎが起きています。警察など捜査機関からの照会に対し、裁判所が発行する令状がなくても会員の個人情報が提供されていたと報じられています。「またCCCか」という先入観もあり批判が先行していますが、ちょっと複雑な側面もあるので少し整理したいと思います。大前提として個人情報保護法では、本人の同意を得ない第三者への情報提供を禁止している一方、例外として「公的機関等が法令の定める事務を遂行することに対して協力する必要がある場合」は提供を認めています。前者は捜査機関がその必要性を示した上で裁判所に申請をしなければならず、令状を示された側は断ることができない強制力があるものです。一方で後者の方はあくまで捜査協力を求めるもので依頼された側は断ることができます。「限りなく法令に基づくものと考えられます」としています。よる情報提供を行う場合があるとコメントしています。この記事の中で注目すべきはNTTドコモは「通信の秘密に関連する事項については、令状がなければ提供していない」としていたり、Pontaを運営するロイヤリティマーケティングは「『購買履歴』については提供していない」としているところです。各社とも法令に基づく捜査協力は行うものの、プライバシーの度合いが高い情報については令状などの強制力がないと提供しないという一定のコンセンサスが垣間見えます。)(2)ポイント履歴(付与日時、ポイント数、企業名)(3)レンタル日、店舗、レンタル商品名」などを提供していたと報じられている点です。これらの情報からある捜査対象者がほぼ毎日、同じ時間帯に特定のコンビニに来店していると判明し、捜査員が待ち伏せして身柄を拘束した事例もあると報じられていますので、CCCが把握しているかなり詳細な情報が捜査機関に提供されていたと考えられます。利用規約や個人情報保護方針の中で捜査機関への情報提供を明記していないというのが批判に輪をかける格好になったということと思われます。そもそもの批判の源泉は、以前からCCCの個人情報の取扱に批判が多かったという点があります。Tカードの利用規約の中で加盟企業間での共同利用の定義が曖昧で個人情報が相互に自由にやり取りがされるのではないかとの疑念を生んだり、プライバシーマーク(Pマーク)を返上してその管理体制に対する客観的評価を自ら切り捨てたりと、その体制面で本当に十分なのかと以前から言われていました。CCCの祖業であるTSUTAYAはレンタルビデオ店であり、そのノウハウを活用して一部の自治体では図書館の管理運営を受託してTカードと連携させるなどの事業を行っていますが、図書館の存在意義はその歴史的背景から「利用者の秘密」に対して最もデリケートでなければならないはずなのに、この体制や姿勢は大丈夫なのかと批判を浴びたこともあります。そこに来て今回の報道は「またCCCか」と思ってしまうところではありますが、今どきの個人情報を取り扱う企業として、ましてや購買履歴などのデリケートさの高い個人情報を収集している企業として、あるいは図書館の運営まで行っている企業として、もう少し高い志を持てないものなのかと感じずにはいられません。批判を浴びるこれらの姿勢が、CCCの意識の持ち方による問題なのか法制度に対する理解や企業としてのガバナンスなどの問題なのかというのもまた興味深いところです。開示してもよい情報と「令状」が必要な情報の境目についてガイドラインを定めるというのも一案ではないかと思うのですが、難しいのでしょうか。利害を調整するのかという問題はありますが。PDF形式で記事をダウンロードする当サイトについてパイプドHD株式会社が運営しているサイトです。役立つセキュリティ情報を、定期的にお届けします。本サイトの記事に起因して生じた損害・不利益等について、弊社は一切の責任を負いません。当サイト内の文章・画像等の内容の無断転載及び複製等の行為はご遠慮ください。