三菱ＵＦＪ証券情報漏えいで１万円もらえるのはうれしいが、そもそも個人情報を持たない運営は不可能だったか

私の個人情報が１万円となって戻ってくる、ということをニュースで知った。
すでにブログで報告していたとおり、私の情報も漏えいした4万9159人の中に含まれていたのである。

三菱UFJ証券の漏えいで改めて考えるデータ管理。機密データをあえてクラウドに置いてみる？

手順としては先に被害者に連絡をしてからメディア等に発表すべきとも思うが、
何らかオトナの事情があったのだろう。わかっていてもできないことはよくあることだ。
5/8付けで送られてきた封書の中には、Webで公開されている「お客様情報の流出に係る弊社の取り組み」
以上の内容は記載されていなかった。Webとの違いは、「今後の対応」セクションに、
業者に対する訴訟の検討、再発防止策の策定と並んで「お客様へのお詫びのしるし」
という項目が追記されており、検討中で決定次第速やかに連絡するとの旨が記載されている。

ブログネタにしていることで誤解しないでいただきたいが、全体的な対応はきっちり
していただいていると思うし、個人的に怒っているわけではない。
ただ、願わくばキリのよい１万円という価格決定が弁済総予算からの人数割り算
によるものではなく、各人の迷惑を肌で感じた問い合わせ現場担当者のみなさんが
捻り出した、顧客目線で人間味のある数字であってほしいものではあるが。

さて、本件、せっかく報道でも取り上げられているので、忘れ去られる前にここで一度振り返ってみたい。

観点は「そもそも個人情報は必要だったか？」である。

例えば、近所にあるディスカウントスーパーマーケットであるOKストアの取り組みを見てみよう。
OKストアでも他のチェーンと同じようにオーケークラブ制度というポイントカードがあるのだが、
その発行作業はきわめてシンプルで、IDの書かれたカードを渡されるだけである。
申込用紙の記入や提出は必要ない。このカードを提示すると5%割引となるため、
発行の手軽さも相まって、ほぼすべての買い物客がもっているものと思われる。

企業側がポイントカード施策で実現したいのは囲い込みと購買行動分析の２点だろう。
OKストアの場合、囲い込みはEvery Day Low Priceコンセプトのもと、徹底したコスト削減
による低価格戦略で求心力を得ているため、残る購買行動分析だけをどうにかできればよい。

そう割り切ると、実は氏名も、住所も、連絡先も、もちろん年収も個人情報は一切必要ない。
そのIDカードを持った誰かさんが、この商品をこの日、この時間にこの店舗で購入した、
という事実だけで十分である。まっとうなマーケターがいれば、購買履歴から家族構成や
世帯収入などのプロフィールをある程度推測することも可能だろう。

おそらく、スーパーという業態、首都圏であれば多店舗展開しているというあたりから、
各店舗の商圏はそれほど広くなく、住所はだいたいわかってくる。郵送でDMを送ることも
ないので連絡先としての詳細な住所も必要ない。

必要ないから持たない。個人情報の扱いも企業コンセプトさながら合理的である。
Pマーク取得・維持費用も、慰謝料による特損も、そのための準備金も必要ない。

「ちょっと待て、スーパーとオンライン証券を一緒にするな。売り買いしたユーザーの
プロフィール情報は記録としてどうしても必要だ」という声も聞こえてきそうだが、
そう頑なに考える必要はないだろう。例えば、今回の漏えいで個人的にはダメージが
大きかったと思っている勤務先と携帯の電話番号や年収は何のために必要だったのだろうか？
（記憶が曖昧だがおそらくすべてが必須ではないと思うので提供した私ももちろん悪い）
インサイダー規制の関係で、勤務先の確認が取れるようにしておきたいというのはわかるが、
所属確認だけなら、電子メールや郵送でもよかったのではなかろうか。
また、それら属性情報を使った有意義な分析やコミュニケーションが行われていたか、
メンテナンスのためにどの程度の努力をしていたかは謎である。どうしても緊急に
連絡を取らなければならない状況というのは想定しにくいし、年収など取引状況から
推察できそうなものである。

個人情報を必要以上にもたないようにする回避策として、顧客の特定はIDだけでもっておき、
参照が必要になった時点でその情報をユーザーのパーミッション管理下のもと、
キャッシュも残さず送信するような仕組みにはできないものだろうか。
後で述べる郵送で必要な住所氏名をのぞいては、個人情報を見たい人は、おそらく
証券会社自身ではなく金融監督庁やら管理・監視する第三者なのではないかと思われる。
本当に理不尽な制約が発生しているのなら、過干渉をやめて規制緩和すべきなのだろう。

昨今、OpenIDが受け入れられつつある、少なくとも興味を集めている背景には、
サイト運営側に不要な個人情報を持ちたくないという意向もあるのではないだろうか。
有効活用できない個人情報はもはや無駄でしかないと気づきはじめているのである。

ユーザー視点で見ると、OpenIDはID発行者サイトとなっているサイトで作成したIDを、
他の対応サイトでログインにできるようにするための仕掛けである。対応サイト側に
個人を特定できる氏名や住所は必要ない。それでは困る、という状況がもしあれば、
発行者サイトを通じて取得要求を出せばよいだろう。例えば、上記のように書面の
郵送を行いたい場合、書面を郵送したいので住所を送ってほしいというプロセスを
組み込んでおけばよいのではなかろうか。郵送ラベル印刷などの作業はそもそも
外注しているのだろうからそのまま転送してしまえば情報は残らない。

POKENでのプロフィール情報交換の仕組みも今回の観点で考えると近しいものである。
ハイフォーした際に交換されるのはID情報のみで、IDに紐付いたプロフィール情報は、
あとでWebサイトを通じて確認するという、きわめてイベンチュアルコンシステンシーな
アーキテクチャになっている。リアルタイムに整合性を求める必然はない。
何らかの事情でプロフィールを公開したくなくなったら、削除してしまえばよいのである。
コントロールは本人が持ち続けているので安心だ。

業務効率を考慮するとそんな簡単に割り切れるものではない、というご意見もあろうが
頭ごなしに絶対無理、と思考停止に陥るのではなく、どうやったら実現できるかと
自分の頭を回してみるきっかけとなれば幸いである。実は不要な個人情報を抱えている、
最悪の場合には各担当者のノートPCにファイルとして残っているという実態も、
きれいごとではなく現場を見渡せば少なくないだろう。はびこったリスクをきれいに
掃除するには徹底、拘り、執念が必要だ。

顧客の一覧をながめることで得られるなんとなくな安心感もわからないでもないが、
個人情報は徹底して持たない、という方向で一度思考実験してみてはいかがだろうか。