LINEヤフーの顧客情報710万件流出 送信された識別子の重要度、関連法令、他社で発生する可能性を弁護士解説

約710万件の内部識別子流出、「社内体制」の課題が露呈

LINEヤフーによる今回の発表について、所感を伺えますか。

本件は、同社の社内体制について多くの課題があることを感じさせるという意味で、重要な事案だと捉えました。外部の広告媒体への情報送信がコントロールできておらず、また誰がツールを管理し、複数の事業部門にまたがる場合はどうするのかなどに課題があったのではないかと思われます。さらに、事象の発生から判明までに約4年を要しています。取り扱いや運用といった観点で、多くの見直すべき点が露呈したといえます。

「識別子」流出時の個人情報保護法上の義務の考え方

本件に関連する法令について、教えてください。

関連する法令は、個人情報保護法と電気通信事業法の2つです。それぞれ説明していきます。

個人情報保護法に関しては、いわゆる「個人データ ²」の漏えいに該当するものと考えられます。LINEヤフーは今回、流出したデータである内部識別子を「LINEヤフー社がシステム上でユーザー個人を識別するためのランダムな文字列」と説明しています。

「ランダムな文字列」だけでは本人を特定できませんが、「ユーザー個人を識別するための」とあることからおそらく「LINE ID」をはじめとするLINEヤフーのアカウントやその他の識別子など、同社で扱う、個人が特定できる様々な情報に紐づいていると推察できます。その場合には、個人情報保護法上の個人情報に該当しますし、データベース化して扱われているはずですから、個人データにも該当します。これが外部に流出していることになるので、今回の事案は、「取り扱う個人データの漏えい」に該当することとなります。

今回漏えいした情報は、クレジットカードの情報や電話番号、メールアドレスなどと違ってすぐ悪用できるものではなく、単純にランダムに割り当てられた「会員番号」のようなものと同様と考えられます。その会員番号のようなものだけが漏えいしたと考えた場合、流出先ではたとえば「鈴木一郎さんです」「田中太郎さんです」と特定することはできません。そのため、今回流出した情報は、クレジットカード情報などと比較した場合、情報単体の重要度は落ちるといえそうです。

個人情報保護法で個人データの漏えい時に当局報告と本人通知 ³ が必要となるパターンとしては、大きく分けて4つあります ⁴。

1つ目は病歴などの機微情報が流出した場合、2つ目はクレジットカード情報のような財産的被害が生じるおそれがあるデータの場合、3つ目は不正アクセスをはじめとする、流出の経緯が不正の目的をもって行われた場合です。４つ目は漏えい等した情報の内容や経緯ではなく、1000件以上という漏えい等の規模に着目した類型です。

今回は①～③のいずれにも該当しませんが、流出したデータはユニークユーザー数でも約610万人ですので、④のパターンに該当し、当局報告や本人通知の対象となったのでしょう。

なお、本件と同様のケースが他社で発生した場合、個人情報保護法に基づいて当局から指導がなされることはあり得ます。ただし、初回であれば、罰金刑などの厳しい処分になることはまずないはずです。あったとしても指導、もしくはその指導内容の公表、などが考えられるところです。

電気通信事業法の外部送信規律と、流出データの重要度

電気通信事業法の観点では、「外部送信規律 ⁵」が関連します。この規律を簡単に説明すると、ウェブサイトやアプリを利用する時に分析サービスや広告媒体に送信される情報の内容や送信先、利用目的などをユーザーに通知せよ、という内容です。

たとえば、私が「UNITIS」のウェブサイトを見る場合、運営会社である弁護士ドットコム株式会社に情報が送信されていることは、容易に把握できます。しかし、その後ろに控えているサービス提供者、つまり、弁護士ドットコムが利用する分析・広告などのサービス運営企業への情報提供となると、どうでしょうか。

LINEヤフーの「プライバシーセンター」には、「利用者情報の外部送信に関する公表事項」というページがあり、外部送信規律に基づく様々な公表情報を記載しています ⁶。一方で、今回のLINEヤフーのお知らせとお詫びでは、本来送信される必要がない内部識別子データを送信していた、また、その旨をプライバシーセンターに記載していなかったとしています。LINEヤフーのプライバシーセンターには様々な記載がありますが、その中に今回流出した内部識別子は含まれていなかったため、公表に至ったという経緯だと思われます。

今回流出したデータの重要度についてはいかがでしょうか。

本件で流出したデータ自体の重要度という意味では、そこまで高くないでしょう。しかし冒頭のとおり、4年間気づけなかったという点で、運用面の問題があったといわざるを得ません。

発表では、パートナー企業が外部の広告ツールを利用していたとあります。その設定は、広告を委託するLINEヤフーが指示していた、連携する外部担当者に任せていた、どちらの可能性もあるでしょう。いずれにせよ、不要な情報送信が4年間ずっと継続していたことにより、対象者数や潜在的なリスクは増えたはずです。その点に誰も気づけなかったことは、チェックする仕組みがなかった、もしくはあったけれども漏れていた・機能していなかったということですので、社内体制や管理・運営の問題としては重要性が高いといえます。

パートナー企業が利用するツールに起因するセキュリティリスクは増加している印象です。これまでに類似事例などはあるのでしょうか。

まず、LINEヤフーでは以前にも、インターネットオークションサービス「ヤフオク！（現 Yahoo!オークション）」において社内識別子の漏えいのおそれが発生した事案があり、個人情報保護委員会から指導を受けています ⁷。規模の大きい企業で管理・把握の難しさがあるとはいえ、同種の事案が繰り返されています。なお、同社では、2024年3月5日及び2024年4月16日に総務省より指導を、2024年3月28日に個人情報保護委員会より勧告及び報告等の求めを受けたことにともない、様々な再発防止策を講じており、着実に社内対応を進めているとはいえそうです ⁸。

また、国内の類似事例について、実際に詳細な調査をしたわけではありませんが、少なくない企業で起こり得る事案だと感じました。たとえば、外部の広告サービスやマーケティングのコンサルタントを使う企業の中で、自分たちがどの識別子を送信しているのかを厳密に把握、コントロールしていると自信を持って言い切れる企業は、そう多くないでしょう。

特に規模が小さい企業などの場合は、それらの設定は外部事業者にお願いしているだけで、そもそも外部送信規律の話を知らないというケースもありそうです。そういった観点では、今回の事案で「こんな法律が存在するのか」とか「これは駄目なのか」と気づくケースは、潜在的にかなり多い気がしています。

外部送信規律のわかりにくさの原因

外部送信規律は2023年6月16日施行の改正電気通信事業法で設けられた、比較的新しい規律という認識です。一般企業への実際の浸透度についてはどう感じていますか。

建前として「そういう規制がある以上、守らなければならない」といわざるを得ませんが、実のところは、違反した際のリスクはそこまで大きくないといえるかもしれません。

たとえば、同じ広告に関わる問題であっても表現面についてであれば、一般消費者への影響が大きく、また、景品表示法 ⁹ 上にもとづく違反措置や課徴金があることから、企業として対応優先度が高くなるでしょう。

一方で、外部送信規律に関しては、ダイレクトに誰が影響を受けるのかがわかりづらい面があります。感覚的には「クッキー規制」といった方がわかりやすいかもしれませんね。

ただし、クッキー規制については、個人情報保護法の「個人関連情報 ¹⁰」に関連する内容と、電気通信事業法の外部送信規律の内容、どちらも含みます。一般的にクッキー規制という用語が使われる場合、具体的にどちらの法律のことを指しているのかわかりにくいことが多く、事業者や担当者の方への響きづらさを感じています。「最近、クッキー規制が厳しいから外部のコンサルティング会社に対応を頼みました」という時に、それが個人情報保護法の文脈なのか、電気通信事業法の文脈なのかによって、その後のメンテナンス方法は変わります。

本来、このクッキー規制は、各企業の担当者が把握しているべきかもしれません。しかし、先述のとおり正確に把握することがなかなか難しいですし、クッキーの設定などには技術的な要素も入ってきます。外部の方にお任せする、というところに落ち着いてしまうのは避けられないような気もします。

また、一般消費者としても、いわゆる個人情報の漏えい事案であればその企業に悪印象を抱くでしょうが、クッキーについては詳しく理解している消費者が少なく、反応は限定的になりがちです。また、違反時の制裁もそれほど大きくないとなると、企業の中での優先度が低くなることも理解できます。

実際に、プライバシーテックの関連企業の方と話していると、「意識が低いことが問題であり、改善を図る必要がある」と耳にします。この辺りが実情といえるかもしれません。

有効な対策は部門間連携と定期的な棚卸し

本件は、LINEヤフー以外でも少なくない企業で起こり得るということでしたが、対策を検討する場合、どういった点を注意すべきでしょうか。

少なくとも、法務部門・マーケティング部門の対応は必須でしょう。法規制の話なので、「いつ、何をすべきで、どんなドキュメントを整備するのか」という法律レベルの話は、当然に法務が行うべきです。

ただし、法務部門がシステム上の実態まで把握できるかというと、かならずしもそうではないはずです。このサービスではこういう広告タグ・分析タグを使っているといった実務面は、サイトの運営やクッキー、分析ツールの設定などを行うマーケティング部門やIT部門が把握し、法務部門と連携しているケースが多いと推察します。そういった実務畑と法務部門の連携は必須でしょう。

各社の具体的な取組みの詳細までは把握していませんが、チェックリストの運用や、従業員教育といった一般的な施策を採用している企業が多いように感じます。

また、何らかのツールを導入する際には、IT・セキュリティ部門がセキュリティチェックやアカウントチェックを行うと思います。あらかじめ法務部門からチェックを行う部門に、外部送信規律というものがあるということを連携できていれば、気づいて対応できるかもしれません。

このように、関係部門を巻き込んでいくことが、運用上は効果的です。情報をどう管理し、どう把握し続けるのか、ということが組織の一番の課題といえます。

定期的なチェックを行う場合にはどのくらいの頻度が望ましいでしょうか。

運用体制の整備という観点では、半年・1年といった単位で見直していくべきです。理想をいえば、マーケティングに関するツールや広告施策は、その都度で変わっていくものですので、本来はもっと短いスパンで、適時に把握することが望ましいです。

ただ、会社の規模が大きくなればなるほど、また扱うプラットフォームやアプリが多くなればなるほど、その辺りは現実的に難しいと思います。定期的に──四半期、半年、1年といった期間で棚卸しし、整合性を図っていくことが重要です。