個人情報ハッキング|デュオ43万人「人生プロフィール」流出…企業責任リスクの構造が変わる

また、契約終了後に破棄すべき約30万件の情報が保管状態のままであり、これも一緒に流出しました。

結婚情報会社は、サービスの性質上、会員間のマッチングのためにさまざまな情報を収集します。

一般的なオンラインサービスとは異なり、身元確認を超えて個人の生活環境と価値観まで含まれる情報が活用されています。

個人情報保護法第29条は、個人情報処理者が個人情報の流出を防止するために技術的・管理的保護措置を取ることを規定しています。

これには、アクセス権の管理、認証手続きの設定、暗号化措置などが含まれます。

今回の事件では、ログイン認証失敗回数制限が設定されておらず、データベースアクセス制御も不十分だったことが確認されました。

また、パスワードと住民登録番号に適用された暗号化レベルも十分ではなかったことがわかりました。

個人情報保護法第34条は、個人情報が流出した場合、企業が情報主体にこれを通知し、一定基準以上の場合、72時間以内に監督機関に届出するよう規定しています。

しかし、今回の事件では、流出事実を認知した後も定められた期間内に届出が行われず、情報主体への通知も遅れたことが確認されました。

個人情報保護法第24条の2は、住民登録番号の収集及び処理を原則的に禁止しており、法令上明示的な根拠がある場合に限り、例外的に許可します。

結婚仲介業の場合、住民登録番号の収集に対する明確な法的根拠がないにもかかわらず、当該情報を収集・保管した点が問題と指摘されました。

これは、保持期間が設定されているかどうかにかかわらず、実際の破棄手順が実行されていない場合、そのデータ全体が法的リスクに移行する可能性があることを示しています。

当初は、課徴金や過料などの行政制裁が課されますが、その後損害賠償請求につながる場合が一般的であり、ここで企業イメージ毀損と顧客離脱が結合し、実質的な損失規模はさらに拡大します。

特に、今回の事件のように機密情報とプロファイルデータが含まれている場合は、ステップ2以降のリスクが急速に拡大する可能性があります。

また、漏洩事実の通知遅延や内部管理体系の不足が確認された場合、課徴金水準だけでなく民事上責任範囲にも影響を及ぼす可能性があります。

その結果、個人情報ハッキング事件は、行政・民事・事業リスクが連鎖的に発生する仕組みで理解する必要があります。

個人情報ハッキング事件は、発生後の対応より事前的な管理体系の構築の有無によって企業の責任範囲が異なるという特徴を持っています。

また、流出発生時には行政制裁、損害賠償、評判リスクが同時に発生することがあり、総合的な法律検討が求められます。

法務法人大輪は、個人情報保護、 データコンプライアンス、 企業紛争対応経験をもとに、企業の個人情報処理構造全体に対する実質的な法律諮問を提供します。