今回発生した事件は、両社の複数の社員が、クレジットカードの信用情報を集中的に管理している個人信用情報機関シー・アイ・シー（CIC）とシーシービー（CCB）のシステムにアクセスして特定の個人の信用情報を引き出し、それを外部に販売などしていたということです。

これが日常的に行われ、両社あわせて1000名以上の規模になっていたということです。

これらの行為に対して、経済産業省は「安全管理措置義務違反」、「従業者の監督義務違反」、「利用目的による制限違反」、「適正な取得義務違反」、「取得に際しての利用目的の通知義務違反」及び「第三者提供の制限違反」にあたるとして、両社に改善の勧告を行ったとのことです。

今回、経済産業省が単なる「行政手続法に基づく指導」ではなく、法律施行して以来初めて（と思われます。当Blog調べ）「個人情報保護法に基づく勧告」を行ったことは、個人情報保護法という法律を実効力のあるものにするという点で、評価できると考えます。

しかし、この事件の不可解なことは、情報が大変少ないのにもかかわらず、勧告という重い処置が取られていることです。分かっているのは、両社の社員が端末を操作して個人の信用情報を抜き出し、それを外部に販売したということだけです。

この事件が発覚した経緯は、まだ明らかになっていません。不正に情報を購入した人間も明確ではありません。この情報だけで判断するならば、カード会社に勧告を行うのであれば、個人信用情報機関にも勧告を行わなければフェアではないようにも思えます。

なお、ソニーファイナンスインターナショナルは、対象となった社員を自宅謹慎処分にしており、UFJニコスは、すでに２３日付けで懲戒解雇しているとのことです。

さらなる続報を待ちたいと思います。

http://www.meti.go.jp/press/20070330019/20070330019.html

http://www1.sonyfinance.co.jp/press/2007/press070330.html
http://www1.sonyfinance.co.jp/info/070330_2.html

http://www.cr.mufg.jp/info/2007/070330_02.html