《タイムズカー流出》慰謝料は過去事例で数千円　免許証を作り直しても消えない不安…被害者の“終わりなき後始末”

　カーシェアリング大手「タイムズカー」で、退会者や関連サービスの会員分も含め、約660万件ものアカウント情報が漏洩する重大事件が発生した。運営会社のタイムズモビリティ(パーク24グループ)は9月25日に不正アクセスを検知し、28日、ユーザーの氏名や住所、生年月日、電話番号、メールアドレス、運転免許情報などが第三者に取得されたと発表。翌29日には、このうち約160万アカウントで運転免許証画像なども漏洩したことを明らかにした。

■免許証画像を使って「なりすまし借金」されたらどうなる？　 　今回の事件でとりわけ深刻なのは、約160万アカウントで運転免許証画像などの本人確認書類が漏洩したことである。この数字には免許証以外の書類も含まれるが、極めて大きな規模だ。 　しかし、今回漏洩した情報の危険性は、氏名やメールアドレスの漏洩とは次元が異なる。運転免許証は、公的な本人確認書類として社会で広く使われている。顔写真や氏名、生年月日、住所、免許証番号が一体となった画像が第三者の手に渡れば、本人になりすますための有力な材料となり得る。しかも、パスワードと違って、生年月日や顔写真を変更することはできない。

　最も心配されるのは、免許証情報を利用したなりすまし犯罪である。例えば、第三者が漏洩した免許証画像を使い、本人になりすまして消費者金融から借金をしたらどうなるのか。 　法律上、本人が契約しておらず、第三者に代理権も与えていなければ、原則として借金の返済義務はない。本人確認を十分に行わずに融資した金融会社が、当然に本人へ返済を求められるわけではない。 　しかし、問題はそれほど簡単ではない。金融会社から督促が届けば、本人は契約していないことを説明しなければならない。信用情報に誤った記録が登録されれば、その訂正を求める必要もある。場合によっては弁護士への相談や裁判対応を余儀なくされる。

　もちろん、免許証画像だけで容易に借金ができるわけではない。金融機関には本人確認義務がある。それでも、情報漏洩によって犯罪の危険にさらされ、その後始末を本人が負わされかねないこと自体が問題なのである。 ■退会者の個人情報まで漏洩していた 　今回、もう一つ驚かされたのは、すでにタイムズカーを退会した人や、入会手続きを完了しなかった人の情報まで漏洩したことである。同社の説明によれば、氏名や住所、生年月日は税法等に基づき、運転免許情報と画像はなりすまし対策や問い合わせ対応のため、退会後も7年間保存していたという。

　実は筆者もかつてはタイムズカーの会員で、数年前に退会した。同社の問い合わせフォームに問い合わせてみたが、返答には2週間以上を要するとのことだった。 　取引記録やユーザーの情報は、一定期間の保存が必要である。しかし、それは免許証画像そのものを長期間保存する必要があることを意味しない。免許証画像を退会後7年間保存することは、法令によって一律に義務づけられているのではなく、同社が説明する「なりすまし対策などを目的とした判断」である。

　退会した消費者は、企業との関係が終了したと思っている。それにもかかわらず、自分の免許証画像などが企業に保存され続け、何年も後に漏洩する。これは消費者にとって予想しにくい事態だ。 　個人情報保護法22条は、利用する必要がなくなった個人データについて、遅滞なく消去するよう努めることを企業に求めている。もっとも、これは努力義務であり、退会後の保存が直ちに違法になるわけではない。問われるべきは、保存する情報の種類と期間、そしてその必要性である。

■「いつ悪用されるかわからない」免許証を作り直しても消えない不安 　今回の事件の最大の特徴は、被害がいつ発生するかわからないことだ。情報が漏洩しても、直ちに悪用されるとは限らない。半年後、1年後、あるいは数年後に犯罪に使われる可能性も否定できない。 　被害者は、その間ずっと自分の情報が悪用されないか気にし続けることになる。身に覚えのない請求が届かないか、知らないうちに借金をされていないか。不安は長期間続く。何も悪いことをしていない消費者が、今後何年も自分の信用情報を確認し続けなければならないとすれば、その時間的・精神的負担を誰が引き受けるべきなのだろうか。

　こうした不安から、各地の公安委員会には運転免許証の再交付に関する相談や申請が相次いでおり、十数県で特例的な再交付も認められている。 　しかし、免許証を再交付すれば安心できるのだろうか。すでに漏洩した顔写真や氏名、生年月日、住所などはそのまま残る。新しい免許証を取得しても、古い免許証画像が第三者の手から消えるわけではない。 　さらに問題なのは、一般の企業が、提示された免許証画像が再交付前の古い免許証であると必ずしも確認できないことだ。免許証番号の照合やICチップを利用した本人確認などを行わず、画像だけで本人確認を済ませる仕組みであれば、古い画像が利用される危険が残る。つまり、再交付の手間や費用を消費者に負わせても、根本的な解決にはならないのである。

■金銭的な実害が生じる前でも、損害賠償請求はできるのか 　こうした状況を受け、被害者が共同で損害賠償を求める集団訴訟の動きが始まっている。弁護士が開設した専用サイトには、10月中旬時点で8万人超が登録しているという。 　しかし、実際に借金をされたり、金銭を奪われたりした被害が確認されていない段階で、何を損害として賠償請求するのか。考えられるのは、プライバシー侵害による精神的苦痛に対する慰謝料である。金銭的な実害が確認されていなくても、精神的損害が問題になり得る。

　2014年に発覚したベネッセの個人情報漏洩事件では、17年に最高裁が個人情報の漏洩によるプライバシー侵害を認め、精神的損害について審理を尽くすよう求めた。その後の関連訴訟では、1人当たり1000円の慰謝料や、委託先の関連会社に対し弁護士費用相当額を含めて3300円の賠償が認められた例がある。 　今回も、免許証画像の漏洩による精神的苦痛について慰謝料請求が認められる可能性はある。ただし、実際に認められるか、金額がいくらになるかは裁判所の判断による。仮に過去の例と同じく数千円の慰謝料を得るために個人で裁判を起こすことはコストを考えると現実的ではなく、集団訴訟ということになるが、たとえ勝訴しても個々人が得る賠償額は微々たるものになる可能性が高い。

　しかも、免許証を再交付する際の手数料は1500〜2700円程度とされる。再交付費用だけで、慰謝料の過去事例と同程度か、それを上回る。また、タイムズモビリティは補償について「調査の結果を踏まえて、全体方針を決定する予定」としており、具体的な内容は未定だ。 ■そもそも企業は個人情報を集めすぎていないか 　今回の事件を機に、より根本的な問題を考える必要がある。現在、インターネットでサービスに入会したり、商品を一度購入したりするだけでも、生年月日や性別を求められることが少なくない。場合によっては婚姻の有無や年収まで質問される。しかも、これらの項目が「必須」とされ、回答しなければサービスの利用や購入ができないこともある。

　もちろん、年齢確認が法令上必要な商品や、収入情報が必要な金融取引などもある。しかし、通常の商品購入やサービス利用に、正確な生年月日や婚姻状況まで必要なのだろうか。 　企業にとって個人情報は、顧客分析やマーケティングに利用できる価値ある資源である。一方、消費者にとっては、情報を提供するほど漏洩時の危険が増大する。個人情報保護法は利用目的の特定や適正取得などを求めているが、事業者がどこまで情報を集め、どれほど長期間保存するかについて、消費者が実質的に選択できる機会は乏しい。

　必要のない個人情報は最初から集めない。必要がなくなれば速やかに削除する。この原則を徹底することが、最も確実な漏洩被害の防止策である。 　今回の事件は、単なる一企業のセキュリティー問題ではない。個人情報を過剰に収集し、長期間保有する社会の仕組みそのものが問われている。企業の利益のために収集された個人情報の漏洩リスクを、なぜ消費者がいつまでも負わなければならないのか。今こそ、その責任のあり方を問い直すべきである。