アイフル信用情報94万件を目的外利用｜情シスの教訓

消費者金融大手のアイフルが、指定信用情報機関から取得した顧客の信用情報を、本来の目的である返済能力の調査以外に使い、グループ会社のライフカードへ提供していたことが2026年8月17日に公表されました。対象は重複を除いて94万6056件。外部への漏えいはなく、攻撃を受けたわけでもありません。それでも重大な事案です。

本件が情シスに突きつけるのは、「持ち出し先が社内・グループ内であっても、目的が違えば違法になり得る」という事実です。多くの組織のアクセス制御は「誰が見てよいか」しか見ておらず、「何のために使うか」を判定していません。そこが本件の急所です。

この記事でわかること

  • アイフル／ライフカードで何が起きたのか（時系列と件数）
  • 漏えいゼロでも重大な理由＝個人情報保護法と業法の「二階建て」規制
  • 自社のデータ利用が「目的外」になっていないか点検する着眼点
  • 参照すべき公的ガイドライン

そもそも「信用情報」「指定信用情報機関」とは何か

信用情報とは、個人の借入残高・契約内容・返済状況といった、返済能力を判断するための情報です。これを集約・提供するのが「指定信用情報機関」で、内閣総理大臣の指定を受けたCIC・JICCの2機関が該当します。

貸金業者は、過剰貸付けを防ぐため、法律上この機関への照会を義務づけられています。つまり信用情報は「借り手を守るために、法律が強制的に集めさせている情報」です。目的が法定されているぶん、使い道の縛りも通常の顧客データより強い——ここが本件を理解する前提になります。

金融業以外の情シスにとっても他人事ではありません。健康診断結果、マイナンバー、従業員の勤怠・評価データ、業務委託で預かった顧客データなど、「取得目的が法令や契約で縛られているデータ」は、どの業種の社内にも必ず存在します。本件の構図はそのまま自社に置き換わります。

何が起きたのか

ライフカードの公表資料によれば、経緯は次のとおりです。

時期 行われたこと 件数
2024年6月4日〜7月17日 アイフルが保険商品の案内先を検討するため信用情報を利用（分析） 17万1032件
2024年7月19日〜2026年1月16日 アイフルが案内対象者の情報を作成し、ライフカードへ提供 88万824件
合計（重複除外） — 94万6056件
結果 この案内を通じてライフカードで保険契約を締結した顧客 340人

提供された情報には、本人識別情報のほか、契約内容・返済状況・利用残高などが含まれていたとされます。ライフカードは、提供を受けた情報は同社内でのみ利用され、グループ外への漏えいや第三者による不正利用は確認されていないとし、発覚後ただちに利用停止と削除を行ったと説明しています。発覚の端緒は内部監査だったと報じられています（公表資料に明記はありません）。

原因についてライフカードは、「信用情報の取扱いに関する理解及び適切な実務運用の徹底が十分でなかったこと」「信用情報利用及び受領の可否や範囲を確認する仕組みが十分に機能していなかったこと」を挙げています。悪意ある持ち出しではなく、チェックの仕組みが無かったために誰も止められなかったという説明です。

なぜ「漏えいゼロ」でも重大なのか

結論から言えば、信用情報は個人情報保護法だけでなく業法でも縛られる「二階建て」構造にあり、社内・グループ内での利用でも法令違反になり得るからです。

1階：個人情報保護法（目的外利用・第三者提供）

個人情報保護法は、あらかじめ特定した利用目的の範囲を超えた取扱いを原則禁止し（目的外利用）、本人同意なく第三者へ個人データを提供することも原則禁止しています。ここで情シスが取り違えやすいのが、グループ会社は「第三者」だという点です。親子会社であっても別法人である以上、原則として本人同意か、共同利用（利用する者の範囲・データ項目・管理責任者などをあらかじめ本人に通知または公表しておく仕組み）の手当てが必要になります。「同じグループだから社内移動と同じ」は成り立ちません。

2階：貸金業法41条の38（目的外使用の禁止）

さらに信用情報には上乗せの規制があります。貸金業法第41条の38第1項は、加入貸金業者とその役員・職員に対し、返済能力等調査以外の目的で信用情報の提供を依頼すること、提供を受けた信用情報を返済能力等調査以外の目的に使用すること、第三者に提供することを明確に禁じています。同法第47条の3にはこれに対応する罰則（2年以下の懲役もしくは300万円以下の罰金、またはその併科）も置かれています。

加えて、個人情報保護委員会・金融庁の「金融分野における個人情報保護に関するガイドライン」第12条第2項も、個人信用情報機関から得た返済能力に関する情報を返済能力の調査以外の目的に使用しないよう慎重に取り扱うことを求めています。

つまり本件は、仮に共同利用の枠組みを整えて個人情報保護法の側をクリアしていたとしても、業法の側で許されないという構造です。「法務が同意文言を見てOKと言ったから大丈夫」で済まないケースが実在する、という具体例として押さえておく価値があります。

現場目線の課題：システムは「目的」を知らない

率直に言って、この事故は技術的には非常に防ぎにくい類のものです。

アクセス権限は正しく付与されていたはずです。データを見た人は業務上その権限を持つ従業員で、取り出した先も社内の分析基盤かグループ会社。DLPも異常検知も、まず鳴りません。権限管理システムは「この人がこのデータを見てよいか」は判定できても、「いま見ている目的が適法か」は判定できない——これが本質的な限界です。

そして現場の感覚として、こういう依頼は本当に自然な顔でやってきます。「保険商品の案内先を絞りたいので、既存顧客のデータから条件に合う人を抽出してほしい」。マーケティング施策としてはごく普通で、情シスやデータ基盤担当が「その抽出元データは、そもそも何の目的で集めたものでしたか」と切り返すには、相応の知識と気合いが要ります。約1年半にわたって誰も止められなかったという事実は、個人の資質の問題というより、止める手続きがフローに埋め込まれていなかったことを示しています。

もう一つ現実的な難しさがあります。1年半で88万件が流れた、という期間の長さです。単発の抽出であれば依頼書のレビューで止まるかもしれませんが、いったん定期バッチや自動連携として組まれてしまうと、以後は誰の目にも触れずに動き続けます。「作った時に一度だけ承認され、その後は誰も見ていないデータ連携」が、どの組織にも何本か眠っているはずです。

情シスはどうすべきか

自前の長大なチェックリストを作るより、公的な指針を土台にするのが確実です。以下を出発点にしてください。

そのうえで、情シスの立場で明日から効く着眼点を挙げるなら次の3つです。第一に、データカタログや管理台帳に「取得時の利用目的」を項目として持たせること。目的が記録されていなければ、目的外かどうかは誰にも判定できません。第二に、データ抽出・連携の依頼フローに「利用目的の適合性」を確認する欄を作ること。承認者が法務・コンプライアンス部門になるべき依頼を仕分けられるようにします。第三に、既存の定期連携ジョブの棚卸しです。稼働中のバッチについて、送信元データの取得目的と送信先での用途が今も一致しているかを、年1回でよいので見直す仕組みを持たせてください。

中長期の視点

データ活用が進むほど、この種の事故は増えます。社内にデータ基盤が整い、部門横断で「持っているデータを使い倒そう」という空気が強まるほど、取得時の目的という制約は忘れられやすくなるからです。攻撃を防ぐセキュリティとは別に、自分たちの正当な業務がどこで一線を越えるかを見張る仕組み——いわゆるデータガバナンス——が、情シスの守備範囲に入りつつあります。

本件が内部監査で見つかったこと自体は、機能した点として評価されるべきでしょう。裏を返せば、内部監査に引っかかるまで1年半かかったということでもあります。日次・週次で動く仕組みの側に検知を寄せられるかが、次の課題です。

まとめ

  1. アイフルが信用情報94万6056件を返済能力調査以外の目的で利用し、うち88万824件をグループ会社ライフカードへ提供。グループ外への漏えいはないが、法令上は重大な問題です。
  2. 信用情報は個人情報保護法に加えて貸金業法41条の38でも目的外使用・第三者提供が禁じられており（罰則あり）、社内・グループ内の利用でも違反になり得ます。グループ会社は法律上「第三者」です。
  3. アクセス権限は「誰が見てよいか」しか判定できません。データ台帳に利用目的を持たせ、抽出・連携の依頼フローで目的の適合性を確認し、既存の定期連携を棚卸しすることが実務的な打ち手になります。

関連記事

出典

タイトルとURLをコピーしました