相次ぐ個人情報流出　急激なAIの進歩のせいだけにしていないか

ネットニュースをみるたびに次から次に起こっている個人情報流出。

今朝も「カプコン、1177万件の情報漏えいを発表」なんてタイトルの記事。もう何回目だっけ。あまりに見慣れすぎて、もはや個人情報が漏れることは当たり前のようで麻痺してきました。

「いつの間にか漏れている」という日常

2026年の秋。私たちの暮らしにめちゃくちゃ密着しているはずの企業から、信じられない規模のデータ流出が相次いでいます。

焼肉きんぐのアプリで約1,079万件。 タイムズカーで約660万件。 ローソンで約215万件。 さらにソースネクストでは約2,252万件――。

（いや、数字が大きすぎて、国民の何人に一人レベルの話がごろごろ……たぶんその中には自分の情報もあるんじゃなかろうか）

本来、個人情報って「外部には絶対に漏らしません」っていう、企業と私たちの確かな約束のうえに預けた、大切な情報のはずなんですよね。それなのに、なぜ毎週のようこんな記事が出るのか。そこには、企業の良心や自浄作用がすでにスッカスカに崩壊しているという、なんとも切ない現実があるわけです。

集めすぎ、残しすぎ問題の正体

なぜ、こんなことが起きるんでしょう？ 原因を紐解いていくと、大きくふたつの「怠慢」が見えてきます。

ひとつは、「そもそも必要のない情報まで集めすぎている」ということ。

ちょっと考えてみてください。近所の飲食店でクーポンをもらうためだけに、なぜ私たちの「本名」「生年月日」「電話番号」、果ては「自宅の住所」まで必須項目にしなきゃいけないんでしょう？ どう考えても、ニックネームとメールアドレスだけで十分すぎるはずです。

でも企業側は、集めた情報を「タダで手に入るマーケティング用の美味しい資産」くらいにしか思っていない。（「入力しないなら、このサービスは使わせませんからね」っていう、なかなかの強気スタイルです）。 そうやって根こそぎ集めておきながら、いざハッカーに盗まれると、「いやぁ、うちも高度なサイバー攻撃を受けた被害者なもんで……」って頭を下げる。 ……それ、ちょっと虫が良すぎやしませんかね？

そしてもうひとつの問題が、「とっくに消しておくべき過去のデータを、なぜかずっと放置している」という怠慢です。

たとえばタイムズカーの件なんて、すでに退会した人のデータだけじゃなく、約160万件もの「運転免許証の画像」までゴッソリ残っていたそうなんです。 免許証の画像なんて、入会手続きの瞬間に本人確認ができたら、その場で速攻で消去すればいい。あとに残すべきなのは「確認済み」というシンプルなスタンプだけで十分なはずです。

それなのに多くの企業は、データを安全に消去する仕組みを作るコストをケチって、画面上で見えなくしただけの「裏側の金庫」にずーっと溜め込み続けている。 報道ではよく「AIを悪用した高度なサイバー攻撃」なんてカッコいい言葉が踊りますが、フタを開けてみれば「何年も前に辞めたお客さんの書類を、鍵の壊れた倉庫の奥に山積みにして放置していた」っていう、ただの人災なんですよね。

「損得勘定」が変わらない限り、何も変わらない

昔なら、「プライバシーを漏らした企業は、世間の信頼を失って利用者が減る」っていう、市場の綺麗な自浄作用があったはずです。

でも、インフラやコンビニ、毎日使うアプリから一斉に情報が漏れるようになった今、私たちはもう「じゃあ別の会社に乗り換えます」なんて簡単に言えなくなりました。そのうえ、誰の情報が具体的にどこに漏れたのかなんて、世間には細かく公表されないから、被害者同士で集まって声を上げることもできない。

すると、企業の経営陣の脳内では、こんな恐ろしい「損得勘定」がカチッと作動しちゃうわけです。

「毎年何億円もかけてセキュリティをガチガチに固めるより、万が一漏れたときに、お詫びのメールを一斉送信するほうが圧倒的に安上がりだな」って。

補償のクオカードすら配らなくていい、国からの厳しい罰金もない。そんな状況で、誰がわざわざコストをかけてまで個人情報を守ろうとするでしょうか。

2026年7月にやっと新しい法律（改正個人情報保護法）ができたものの、大人の事情（経済界からの猛反対）によって、「違法に名簿を売っ払って荒稼ぎした悪質業者」くらいしか課徴金の対象になりませんでした。セキュリティ対策をサボってハッカーに侵入された大企業は、「悪くて儲けたわけじゃないからセーフ」って、相変わらずノーガードのままなんです。

欧米の「桁違いの重罰」と、日本の「お湿り程度の罰則」

欧米と日本を見比べてみると、その温度差には思わず絶句してしまいます。EUのGDPR（一般データ保護規則）をはじめとする欧米の法制度では、コンプライアンス違反やデータ流出を起こした企業に対し、「年間売上高の最大4％」あるいはそれに匹敵する巨額の制裁金という、文字通り「会社が傾きかねないレベルの重罰」が容赦なく科されます。経営陣が眠れなくなるほどの致命傷を与えるからこそ、企業はセキュリティ投資を惜しまないわけです。

一方で、我が国の現状はどうでしょう。改正個人情報保護法で導入された課徴金も、ごく一部の悪質なケースに限定されており、セキュリティ対策を怠って数百万〜数千万件もの個人情報を盛大に漏らしてしまった巨大企業にとって、その罰則は海外の基準からすれば「お小遣い程度」か「授業料」にも値しない、あまりにゆるいものです。これでは「本気で守る気になれ」と言うほうが無理な話ですし、海外の厳格な基準を知る身からすれば、日本のデータ保護行政があまりに「ヌルすぎる」と言わざるを得ません。

「必要のない個人情報は、そもそも集めないこと」「用事が済んだデータや退会者のデータは、一瞬で完全消去すること」

自浄作用が働かなくなった今、この当たり前のルールを法律でガッチリ義務づけて、ルールを破って情報を漏らした企業には、セキュリティ対策費なんかとは比べものにならないほどの巨額の罰則金をドーンと徴収する。 「個人情報を雑に扱ったら、会社がガチで傾く」というシンプルな現実を作らない限り、私たちの大切なデータは、これからもコンビニの特売品みたいに切り売りされ続けちゃうんじゃないでしょうか。

……さて、次に個人情報漏洩の記事が出るのは、いったいどこの会社になるんでしょうね。

追記
と、投稿した矢先に佐川急便で5323万件の情報漏洩だそうです。ほぼ利用したことのある人全員の情報じゃないでしょうか。荷物を送るための情報をなぜ運送会社が永久的に保存する必要性があるのでしょうか。