「660万分の1」になってしまった。
タイムズカーから、不正アクセスによって漏れた個人情報に私の情報も含まれていたというメールが届いた。
漏れたのは、氏名、住所、生年月日、電話番号、メールアドレス、そして運転免許情報。幸いにも（と言っていいのかどうか）、運転免許証の画像そのものの漏えいは確認されていない。
今の時代、名前や住所は意図した以外の場所にも漏れているだろう──そう思ってはいた。だが今回は、約160万件のアカウントで、運転免許証など本人確認書類の画像まで漏えいしたという。
私たちは一体、何社に自分の個人情報を預けているのだろう。
名前、住所、電話番号、生年月日。サービスによっては運転免許証の画像も提出する。便利なサービスを使うために必要だから、言われるままに入力し、アップロードする。
そして、そんなことは忘れる。だが、企業側には、情報が残り続けている。
7年保有から「破棄」へ
タイムズカーを展開するパーク24は、9月25日に外部からの不正アクセスを検知。その後、約660万件の会員情報などが第三者に取得されたことを公表した。対象には現会員だけでなく、退会済みの利用者や入会手続きを完了しなかった人も含まれている。
10月16日、パーク24は本人確認書類の画像の保有ルールを見直すと発表。これまでは、登録時に提出された運転免許証などの本人確認書類の画像を、会員期間中だけでなく、退会後7年間保有していたという。
同社は、本人確認、不正利用が疑われる事案への対応、問い合わせ対応などのために保有していたと説明している。だが、今回の事案を受け、今後は会員登録が完了したら画像を保有しないルールに変更する。現在保有している画像についても、10月末までに削除するという。
必要だったから集めた。問題が起きたときのために残しておいた。そして問題が起きた。
想定外の事態だっただろうが、その結果、保有ルールそのものを見直し、データを「持ち続けない」という判断になった。
ならば最初から、持つ必要があったのだろうか。
「どう守るか」の前に、「なぜ持つのか」
実はこのところ、個人情報や本人確認について少し調べていた。ちょうど来週22日に開催するN.Avenue clubの毎月の勉強会のテーマを「AI時代、プライバシーはどう守るのか」としていたためだ。
企業にとって、「集めた個人情報をどう安全に守るか」は重要なテーマだ。だが、どれだけ対策を講じても、サイバー攻撃を完全に防ぐことは難しい。だから暗号化する。アクセス権限を管理する。監視する。
だが、もう1つ方法がある。
そもそも「持たない」ことだ。
必要以上の個人情報を集めなければ、守るべき情報は減り、万一のときに漏れる情報も減る。
「私は18歳以上です」だけではダメなのか
本人確認では、多くの場合、「誰なのか」を証明するために、さまざまな情報を企業などのサービス提供者に渡す。だが、サービス提供者が本人確認書類に含まれるすべての情報を持つ必要があるのだろうか。
サービスを利用する条件が「18歳以上」であることだけなら、相手が知りたいのはその条件を満たしているかどうかだ。氏名、生年月日、住所、顔写真をすべて渡さなくても、「この人は18歳以上だ」という事実が確認できればいい。
DID（分散型ID）やVC（検証可能なデジタル証明書）、ZKP（ゼロ知識証明）などを活用することで、「必要な事実だけを証明する」仕組みも考えられる。
ここでは技術の詳しい話はしない。それよりも改めて考えたいのは、「必要な事実だけを証明する」という考え方だ。
AI時代は、さらに「集めたい」誘惑が強くなる
AIの広がりによって、個人情報／プライバシーの問題はさらに複雑になっている。企業にとって、データはAIを賢くするための原料となる。
ユーザーの属性、行動履歴、購買履歴、位置情報、問い合わせ内容……。データが多ければ多いほど、より利用者にカスタマイズされたサービスを提供できる。だから企業には、「もっと集めたい」というインセンティブが働く。一方で、集めれば集めるほど、リスクも大きくなる。
だが、AI時代のプライバシーを考えるとき、「データをどう守るか」だけではもう足りない。
何を集めるのか。なぜ集めるのか。いつまで持つのか。そもそも、そのデータを持つ必要があるのか。
そんな問いから始める必要がある。
便利さと引き換えに、何を渡しているのか
カーシェアは便利だ。スマートフォンで予約し、街中の駐車場にある車をすぐに使える。
その便利さを実現するために、本人確認は不可欠だろう。だから今回の問題を、「個人情報を企業に渡すべきではない」という話にしたいわけではない。
情報は必要だ。だが、「必要だから集める」ことと「ずっと持ち続ける」ことは別の話だ。
私自身、今回の問題が起こるまで、タイムズカーにどんな情報を渡し、それがいつまで保有されているのかを気にしたことはなかった。
タイムズカーだけではない。もう使わなくなったサービス。昔登録した通販サイトやポイントサービス。何年もログインしていないアプリ。そこに、どれだけ私の情報が残っているのだろうか。
情報漏えいが起きるたびに、「セキュリティを強化します」という話になる。もちろんそれは必要だ。
だが今回、自分自身が当事者になって、もう1つの答えがあることを実感した。
「もっと厳重に守る」だけではなく、「そもそも、情報を持たない」──。AI時代のプライバシーは、そこから始めるべきかもしれない。
【次に読む】
» 企業の顧客データ流出、ブロックチェーンの「情報の持ち方」を考える【記者コラム】
» 金融庁、暗号資産取引所などに免許証画像での本人確認の早期廃止を要請
» 1年で時価総額4.7倍に、プライバシー系銘柄が強い＝Glassnode
｜文：増田隆幸
｜画像：生成AIで作成
