LINEは、3月23日にデータ管理の国内一元化を発表した。3月1日でのZホールディングス(ZHD)との経営統合完了に向けた取り組みの一環として進められていた業務見直しのなかで、中国子会社への管理・開発業務委託と中国からの“個人情報”へのアクセスが判明したことを受けてのものだが、17日には朝日新聞などから韓国を含む国外の関連各社に情報が分散管理されていると指摘を受けて対応に追われていた。
問題の概要については西田宗千佳氏の3月22日掲載の記事でも解説されているが、本稿では連載全体のテーマである「LINE Payなどの決済」「“個人情報”の管理」での視点からこの問題に触れる。
LINE Payの実態
まずLINE Payの話題だ。3月23日の会見で示された資料にあるように、関連データは日本と韓国の両方のデータセンターにまたがっている。スライドの内容から判断する限り、日本側では「本人確認情報」、韓国側では「取引情報」「利用者情報」という風に管理される情報のカテゴリが異なっており、ミラーリングのような処理がされているわけではない。
ここで気になるのは「取引情報」という部分で、入出金や決済など、およそLINE Payの“核”とも呼べる機能のトランザクションはほぼこの「取引情報」に含まれている。また“一部の”という但し書きはあるが、「利用者情報」には「LINE Payカード」の番号と配送先住所、このほか不正検知用の全ユーザーデータと「決済に利用するクレジットカード番号」が含まれている。
本稿執筆時点でLINE Payに同社発行以外のクレジットカードを紐付ける“標準的な”方法はなく、基本的にはLINE関連サービス向けの決済限定のため、ここでいう「利用者情報」とは「LINE Payカードユーザー」または「LINE向けサービス利用のためにクレジットカードなどを登録したユーザー」が対象となる。
一方、「本人確認情報」とは文字通り本人確認のために用いられる情報だ。LINE Payでは「LINE Cash」と「LINE Money」の2種類のアカウントがあり、本人確認を行なうことで前者が後者へと変化する。前者はいわゆる「前払い式」と呼ばれるタイプに近く、アカウントへの入金は行なえるものの、出金や送金などはできず、チャージ可能な残高の上限も低い。後者(LINE Money)はその制限が外れ、残高の上限も大幅にアップしたアカウントだが、これは「資金移動業」におけるサービスの提供にあたって本人確認が必須なことに由来する。
歴史的経緯でいえば、もともとLINE(LINE Pay)は名前や住所など必要情報をフォームに入力しつつ、本人と確認できる写真付き証明書をアップロードすることで、後日確認書類の郵送により本人確認が完了とされていた。ただし、この方法は2017年時点で廃止され、以後は銀行口座の接続をもって本人確認という流れに変わっている。
これはドコモ口座の件でも触れたが、金融庁の資金移動業者における「銀行口座への接続をもって本人確認を完了する」というガイドラインが2016-2017年ごろに出されたことに起因すると考えられる。
とはいえ、LINE Payの残高チャージ手段は銀行口座経由以外にも、コンビニATMやレジ窓口など複数存在している。銀行口座接続を行なわないユーザーのために用意されていたと思われる書類郵送による本人確認サービスは2020年2月に終了してしまったが、より簡単に本人確認を行なうための「スマホでかんたん本人確認」の仕組みが別途提供されるようになった。
それが2019年4月にスタートしたオンライン本人確認(eKYC)で、本人の写真と運転免許証などの顔写真付き身分証明書を指示に従ってスマートフォンのインカメラで撮影し、名前や住所を含む基本情報を入力すると、最短数分で本人確認が完了する(筆者は1週間以上かかったことがあった)。
eKYCの詳細は解説記事を参照いただきたいが、最終確認に人手が介在することを条件にオンラインで短時間で本人確認が完了し、すぐにサービスが利用できるメリットは大きい。この仕組みは最近ではクレジットカード発行や銀行口座設立にも活用されており、業界全体に広まりつつある。
話を本題に戻すと、先ほどのスライドで示された「本人確認情報」とは、資金移動業における“本人確認”作業を行なうために蓄積された情報だ。一方で、「取引情報」「利用者情報」は普段のLINE Pay各機能を利用する際に記録される情報、あるいは機能の利用に必要な情報となる。
つまり、いわゆる「LINE Pay」と呼ばれる機能そのものはすべて韓国側のデータセンターに蓄積されており、その前段となる法令遵守で必要となる部分が「本人確認情報」としてアドオンで載せられた形になっているのが「LINE Pay」というわけだ。
ここは筆者の推測になるが、もともとLINE Payのベースとなる機能は韓国側で開発されており、そのまま韓国側のデータセンターで機能拡張する形で発展してきたのではないかというものだ。一方で、資金移動業に関する事情は日本特有のものであり、この部分はアドオンで日本側の開発チームが「本人確認情報」として日本側で管理を行なっている。これが筆者の推測する「LINE Pay」の姿だ。
実際、LINE PayやLINE Payカードの発行に関して韓国側の担当者の意向がかなり介在していたという話は各方面から聞いており、親会社であったNAVERが何らかの形で関与していた可能性がある。
個人情報保護法とLINE
今回の件に関して、「中国の企業から個人情報にアクセスできたことで情報が漏れたのではないか」「個人情報そのものが韓国などの国外のデータセンターにあることが不安」という懸念を抱いている人は少なからずいると思われる。これが違法かといえば否だが、その理由は、理由なき個人情報の海外移転を規制する「改正個人情報保護法(2020年成立)」の全面施行が2022年4月1日であり、現時点ではまだ規制対象外となるからだ。
もともと改正個人情報保護法適用を前に、LINEを吸収したZHDが業務の見直しを進めていて今回の件が発覚したもので、その意味では法令違反になる前に事前にストップをかけたというのが実態だろう。
とはいえ、この部分を明記したガイドラインによれば、個人情報の国外持ち出しについては「日本と同等の個人情報保護が行なわれていること」「国外移転に際して本人の了承を得ていること」の2つのいずれかの条件が規定されており、少なくとも今回のケースでは後者の「国外移転に際して本人の了承を得ていること」の状況で、「データの移転先の国を明示したうえでの了承」を得られていなかったことが問題だとZHDでは報告していた。
違法ではないから大丈夫という話にはならず、「そもそも信用ならん」という声があるのは当然だ。実際、個人情報の保存場所について「国内管理」と説明していたにもかかわらず、後の調査報告でそれが間違いであると分かり、LINEのサービスを利用する自治体に謝罪と説明に追われたという話も出ている。
個人レベルであれば「気に入らないから使わない」というのも自由だが、LINEの利用を強制されるケースがあるのであればそうもいかない。例えば学校の連絡がLINE必須という話はよく聞くので、子どもを持つ親としては避けて通れないだろう。また重要な自治体などの通知がLINE経由であるというのならば、それに近い状態にあるともいえる。この部分がプラットフォームとインフラの狭間で悩ましいところだ。
ここは筆者の推測だが、3月17日以降に次々と発覚している個人情報管理に関する新事実は「LINEが嘘をついていた」というよりも、「LINEの上層部がサービスの実態を把握できていなかった」という部分に起因すると考えている。つまり、調査を行なえば行なうほどデータ管理の実態が明らかになり、その都度修正と説明を迫られているという状況だ。
個人的意見でいえば、これは「嘘をついていた」という状況よりもはるかに悪く、LINE自体のガバナンスや運用ポリシーがずさんだったことを示しているのではないかとも思う。調査することでさらに新事実が出てくる可能性もあり、当面この問題は収束しないのではとも考える。
さらにまずいことに、データセンターで管理されていた個人情報や活動情報がどのように活用されていたのかも、現時点では不明のままだ。3月23日の会見でLINE Payの韓国側で管理されていたデータの利用状況と、NAVER PayやWeChat Payなどアライアンスを組んでいる海外の決済サービスとのデータ連係状況について質問したところ、「調査して後日改めて回答する」とのことだった。仮にだが、韓国側のデータセンターで保管されていた取引情報に関するデータを基に行動解析が行なわれ、このデータが第三者に渡っている可能性についても、現時点では公式に否定されていない。
将来のデータビジネスに禍根
いまの時点で“まずい情報”が大々的に出てきたのは、改正個人情報保護法が施行される前の段階での出来事であり、将来的にはLINEとZHDにとってプラスだったと考えるが、一方で「データビジネス」という観点から考えると、かなり最初の段階で出鼻をくじかれたともいえる。
一般に「モバイル決済は儲からないビジネス」だともいわれる。Apple PayやGoogle Payのようなものがあるが、それはAppleやGoogleがそもそもこのサービス自体で稼ぐつもりがないからこそ成り立っている。システム維持費もあり、仮にインターチェンジフィーのような手数料を徴収してもトントンがいいところだろう。あとはSamsung Payのようなサービスだが、こちらもビジネスとしては非常に厳しい。関係者らの話によれば、あまりにも儲からないのでアプリ上に広告を表示させてなんとか……ということだ。
むしろ、行動データを積極的に取得してマーケティング向けの分析を行ない、メーカーにデータを再販した方が手数料商売よりもはるかに実入りがいい状態だという。昨今、大量に「○○Pay」の決済サービスが日本国内にも誕生しているが、PayPayを筆頭に中小加盟店向けの手数料無料などの施策を打ち出したり、大手チェーンなどであってもクレジットカードや電子マネーに比べて大幅に安価な手数料を提示したために、将来的な収益の芽が断たれつつある。遠からず、収益確保のためにアプリを使ったマーケティング施策やデータビジネスの立ち上げを迫られると予想しており、その点で今回のように個人情報に関する警戒感を利用者に先行して与えてしまったのは大きくマイナスに作用する。
まとめると、将来的なビジネスの成長に向けて、ZHDならびにLINEは信頼回復に向けた取り組みやアピールが必須になった。特にLINE Payを含む金融サービスではそれが顕著だと筆者は考える。実際、LINEの金融関連サービスでも割とコアなものが今回のケースでは中国への外注であったり、国外のデータセンターで管理されていたりする。モニタリング業務など、中国で行なわれていたサービスは九州にあるLINE Fukuokaの拠点への移管が予定されている。現時点では追加人員の配置など目立った動きはLINE Fukuoka内ではみられないが、内部調査を含む対応にまだLINE本体が追われていることも影響しているかもしれない。
現在福岡市では「実証実験フルサポート事業」と題して、さまざまなIT技術を使った実証実験を関連各社と行なっている。特にLINEはこの分野で福岡市とキャッシュレス対応を含む、さまざまな実証実験で同市に協力している。今後こうした行政サービスとの連携をうたうなかで、今回の問題は越えなければならない壁だ。
個人的意見でいえば、データが国外にあったという事実よりも、企業のガバナンスに対する不安を抱いており、これは例えば「国外でなくても、社内の人間の情報アクセスがきちんと管理されていなければ情報は漏洩する」という部分に由来する。LINEがまだスタートアップ的な企業として活動していた間は問題なかったことも、プラットフォームが拡大してやがて行政サービスにも使われるようなインフラとなったとき、同じ立ち位置ではいられない。ユーザーの意識としてはもちろん「情報はつねに漏れる可能性がある」ということを念頭に置いておいてほしいが、他方でサービス提供者側はインフラの意義について改めて考えてみる機会かもしれない。
からの記事と詳細
https://ift.tt/3d876xV
ビジネス
Bagikan Berita Ini
0 Response to "LINEの個人情報問題と決済・データビジネスへの影響 - Impress Watch"
コメントを投稿