カテゴリー: セキュリティマネジメント（ISO27001 , Pマーク）

ＣＣＣというのは、カレー屋さんでもなければ缶コーヒーでもありません。
ちょっと聞きなれないかと思いますが、レンタルビデオで有名な「TSUTAYA」を運営している会社です。
正式には「カルチュア・コンビニエンス・クラブ株式会社」といいます。

TSUTAYAの会員になると発行される "Tカード" は、コンビニなど多くの提携企業でも使えます。
意外なところで会計時に「Tカードをお持ちでしょうか？」と聞かれ、
「こんなところでも使えるんだなぁ」と驚いたことのある方も多いと思います。
本日は、あのTカードの個人情報の管理についてのお話です。

５月４日、佐賀県武雄市の樋渡啓祐市長が、市立図書館の利用者管理に
Tカードを全面導入する計画を発表して話題になりました。
まだ"提携基本合意"という段階なので、具体的にどういう形で運営されるのかは未知数なのですが、
市長の記者会見を報じるネット上のニュースにおいて、少々気になるところがありました。

利用者の個人情報の扱いについて、市長が
「何を借りたかっていうのは、なんでこれが個人情報だ！って思ってる」
と発言したそうです。

市長の構想としては、貸し出し履歴のデータを元に、
amazonのような「リコメンド」をしたいそうです。
「もちろん市民の同意の上」とも言っていますが。

この発言に対し、「貸出履歴が個人情報じゃないわけないだろ！」というツッコミが
ネット上で散見されました。これはまあ、フツーの反応だと思います。

これに対し市長は、５月６日の自身のブログに反論を掲載しました。
曰く、
「具体的に言うと、「樋渡啓祐が「深夜特急」「下町ロケット」「善の研究」を5月６日に借りた。」
この情報が外部に出るとこれは個人情報の関係法令の適用に当たる、これは当然。
僕が言っているのは、「５月６日２０時４０分、４２歳の市内在住の男性が、
「深夜特急」「下町ロケット」「善の研究」」を借りた。」ということそのものについては、
個人が特定できないし、仮にこれが外部に出ても法令に照らし、全く問題がない、これが僕の見解」
とのことです。

たしかに、個人情報保護法における個人情報の定義は「特定の個人を識別することができるもの」です。
なので、個人が容易に特定できないよう加工されたデータは、個人情報ではありません。

どうやら市長が言いたかったのは、人間視点からの「誰が何を借りたか」という情報ではなく、
本の視点からの「この本はどれぐらい借りられているか、どんな本と一緒に借りられているか」
という情報だったようです。
あの言い方（上述）では誤解されても仕方が無いと思いますが。

ですがTカードを利用する以上は、個人を特定できる情報、つまり
「樋渡啓祐が「深夜特急」「下町ロケット」「善の研究」を5月６日に借りた。」という情報は
図書館だけでなくＣＣＣにも共有されます。
少なくとも、「樋渡啓祐が本を３冊借りた」という情報はＣＣＣにも共有されるはずです。
でないとポイントの管理が出来ませんからね。
（厳密に言いますと、ポイントの管理をしているのはＣＣＣの100%子会社である株式会社Tポイントです。）
あるいはもしかしたら、その手のデータは全てＣＣＣ側で集中管理していて、
図書館など提携企業側で自前のデータベースを持つことは無いのかもしれません。

まだ構想段階なので、どのような情報がどういう範囲で共有され、何に利用されるのかは
具体的にはほとんど決まっていませんが、慎重に取り組んでいただきたいと思います。

さて・・・

図書館の話はまだ先のことだとしても、Tカードはすでに多くの企業と提携しています。
私もTカードを持っているのですが、このニュースについて調べているうちに、
私の各種利用履歴がどのように扱われているのか、だんだん気になって来ました。

私がコンビニでシュークリームを買ったのが今日の何時何分なのか、
そんな情報がもし全提携企業間で共有されていたら、さすがにちょっと嫌ですから。
なにしろ４社や５社どころではないので。
そこで、ＣＣＣの問い合わせ窓口に直接聞いてみることにしました。
（問い合わせフォームはこちら）

つづく