マイページ
「例えば『あなたのクレジットカードが悪用されています』と警察官を名乗る人物から連絡があり、言われるがままにクレジットカードを渡してしまう。そうした被害のほうが心配です。また、クレジットカード（国内発行）の不正利用による被害は、年間数百億円規模で、何年も前から続いています。そのため、今回の事件に限らず、不審な利用履歴がないか定期的に確認することが大切です」（徳丸さん）
情報漏えいが判明した場合は、企業からの案内を確認し、パスワード変更やクレジットカードの利用明細の確認を行うことが基本だ。また、不審なメールやSMSには反応せず、公式サイトから直接ログインする習慣も重要になる。
とはいえ、個人情報の管理を利用者側だけに求めることはできない。サービスを利用するには、氏名や住所、身分証明書などの提出が必要になる場合も多く、利用者は企業に個人情報を託しているからだ。
徳丸さんは、企業側の情報管理のあり方を見直す必要があると指摘する。
「今後、企業に求められるのは、当然ながら、情報が漏れにくい仕組みを作ることです。その中でも特に重要なのは、『そのデータを、そこに保管しておく必要があったのか』という視点です」
例えば、本人確認のために利用者に運転免許証の画像を提出してもらうこと自体は、サービスの性質上、必要な場合がある。しかし、本人確認が完了した後も、その画像を長期間保存し続けるべきかどうかは別の問題だ。
「もちろん、法令によって一定期間の保存が義務づけられている場合もあります。ただ、その場合でも、普段は使わない情報をウェブサイト上に置き続ける必要はありません」（同）
実際、「タイムズカー」の運営会社を傘下に置くパーク24は10月16日、本人確認書類の画像の保有ルールを見直すと発表した。
従来は会員期間中に加え、退会後も7年間にわたって画像を保管していたが、今後は登録確認が完了した時点で即時削除する。すでに保有している画像についても、利用者からの申し出の有無にかかわらず、10月末までにすべて削除するという。
不要な情報を持たない
また、スカイチケットの情報流出では、2018年に決済システムを代行会社に移行した後も、過去の会費支払い情報に関する変更履歴ログが自社サーバー上に残っていたことが明らかになっている。
こうした事例は、企業が個人情報を長期間保有することに伴うリスクを浮き彫りにしている。
「企業にとって最も大切なのは、不要な情報を持たないことです。長期間保存する必要のない情報は削除し、どうしても保存しなければならない情報は、安全な場所に移す。まずは、そうした基本的な情報管理を徹底することが重要だと思います」（同）
私たちは、すでに多くの企業やサービスへ個人情報を預けている。そして、その情報が将来にわたって絶対に流出しないという保証はない。相次ぐ個人情報流出事件は、企業が個人情報をどこまで、いつまで保有すべきなのかを改めて問いかけている。
（AERA編集部・古寺雄大）
検索時にプレジデントオンラインに関連する記事が表示されます
