2013年06月27日
■ Tポイントは何を改善しなかったか
さて、昨年9月に、「Tポイントは本当は何をやっているのか」を書いてからもう9か月経った。その後、この件がどうなったかを確認しておく。
まず、問題となった「T会員規約」だが、10月1日に（毎年恒例の）改訂があったが、文言が少し直された程度で、問題とされていた肝心の部分は、何ら修正されなかった。
第4条 （個人情報について）
2. 当社が取得する会員の個人情報の項目
（1）「お客様登録申込書」の記載事項及びT-IDお申し込み時の登録事項（変更のお申し出の内容を含みます）氏名、性別、生年月日、住所、電話番号、電子メールアドレス等
（2）ポイントプログラム参加企業における利用の履歴
（3）T-ID及びＴカードの停止・退会状況その他第3条第2項に関する事項
（4）ポイントの付与又は使用等に関する情報
（5）クレジットカード番号
（6）その他の記述または個人別に付与された番号・記号その他の符号
（7）画像もしくは音声によりその個人を識別できるもの
（8）サービスご利用内容
（9）サイトへアクセスしたことを契機に機械的に取得された、お使いのブラウザの種類・バージョン、オペレーションシステム、プラットフォーム等のほか、閲覧履歴、購入の履歴を含むサービスご利用履歴
（10）お問い合わせなどの情報
（11）会員のコンピュータがインターネットに接続するときに使用されるIPアドレス、モバイル端末でのアクセスによる契約端末情報
（12）モバイル端末による位置情報
（13）新たなサービスご利用の際にご提供いただく一切の事項3. 利用目的
（1）T-IDの入力またはTカードの提示により提供する、第1条第2項記載事項に代表される会員サービス（ポイントプログラムを含みます）の円滑な運営のため
（2）ポイントプログラムの変更等の場合に、後継プログラムへの引継やそれらに関連する業務を行うため
（3）会員のライフスタイル分析のため
（4）会員に対して、電子メールを含む各種通知手段によって、会員のライフスタイル分析をもとに、または当社が適切と判断した企業のさまざまな商品情報やサービス情報その他の営業案内または情報提供のため
（5）会員の皆様からのお問い合わせ、苦情等に対し適切に対応するため
（6）その他上記各利用目的に準ずるか、これらに密接に関連する目的のためなお、個人情報の利用にあたっては会員が退会後も上記�サ�載の利用目的のために利用できるものとします。
「利用の履歴」が商品名を含むか否かは規約からでは読み取れない。後述するが、百歩譲って、もし、類似のサービスがどれもこれも皆同様に商品名を取っていて、それが当たり前な社会になっているのなら、こういう記述も許され得るかもしれないが、そういう事実はない。これをやっているのはTポイントだけであることが確認されている。
「ライフスタイル分析」も何のことだかわからないままだ。9月のときは、テレビ東京の番組に出たCCCの取締役執行役員が、事実に反する嘘の説明をしたと書いた。（以下一部を再掲。）
Tポイントは本当は何をやっているのか, 2012年9月23日の日記
テレビ東京「たけしのニッポンのミカタ！」2012年8月17日放送より
批評に必要な範囲で引用
これは大嘘で、実際には、Tポイントプログラム加盟店で、会員がTカードを出したとき、その会員に最適化されたクーポンが、その加盟店のレジから出てくるようになっている。このことは、9月のとき、以下のように書いている。
これはおかしい。この番組でCCCの取締役執行役員が言ったことは、「履歴は統計的にしか使っていないし、B社の情報はB社に提供しているだけだ。」というものである。つまり、顧客情報分析の受託業務であるかのように説明されていた。仮にそういう契約であるなら問題はないが、実際はそうではないだろう。上記で示した6月に公式に得た回答は何だったのか？ということになる。6月の回答が間違っていて、実際はやっていないというのだろうか？
そういうわけで、再び、Tカードサポートセンターに問い合わせた。前回の担当者に問い合わせたところ、以下の回答が得られた。（8月25日）
前回お預かりしたご質問は、先日のテレビ放映で、ある企業、放映の際にはファミリーマートさんでしたが、そちらでの購買情報を弊社が取得してそちらのマーケティング分析したデータをそのままファミリーマートさんに提供するという放送内容だったが、その放送内容と、以前私から高木様にご案内したPOSクーポンの発券システムによる情報の取り扱いに関するご案内と、このテレビ放送の放送内容が矛盾するのではないかとのご質問であった。
また、そのテレビ放映は、ファミリーマート様の購買履歴を取得してマーケティング分析した上でお返しする、そのような情報の取り扱いのみだけしかさもしていないかのように放送がされているとのご指摘であったが、まずその点にお答えすると、先日のテレビ放送は、単に一例としてこちらからサービス、情報の取り扱いを放送させて頂いたにすぎず、あの放送内容が全て、サービスの全てということではない。
次に、以前私から高木様にご案内したPOSクーポンの発券システムが、本当は行われいないのではないかとのご質問も頂いたが、間違いなく弊社で行っているサービスである。担当部署に確認の上での正式な回答であり、間違いではない。
また、このテレビ放映の内容が、POSクーポン発券システムの存在と矛盾しているのではないかとのご質問であるが、POSクーポンの発券システムは、収集した情報を弊社で一元的に管理しており、弊社から各加盟店企業に提供するわけではなく、POSの発券システムに情報を組み込ませているだけであるので、一方のアライアンス加盟店の情報を他方のアライアンス加盟店に提供することはしていないので、放送内容との矛盾はない。
まあ、そう言うだろうと思ったが、あのようなテレビの放送内容では、誰もが、顧客情報分析の受託業務であるかのように誤解するだろう。こうやってあえて人々を誤解させ、結果的に騙すことを厭わない。
Tポイントは本当は何をやっているのか, 2012年9月23日の日記
その後、ドラッグストアが、医薬品を販売したときにT会員IDに紐付けて販売した医薬品の品名をCCCに提供している件で、民間の医薬品監視機関である「薬害オンブズパースン会議」が、CCCとドラッグストアに対して、「Tポイントサービスに関する要望書」を提出するという事態になった。
- 「Ｔポイントサービスに関する要望書」を提出 / 回答書受領, 薬害オンブズパースン会議, 2012年11月20日
薬害オンブズパースン会議は、２０１２年１１月２０日、Ｔポイントサービスの運営主体であり、ＴＳＵＴＡＹＡを展開しているカルチュア・コンビニエンス・クラブ株式会社（ＣＣＣ）、医薬品販売業者（ドラッグストア）としてＴポイントの加盟店（ポイントプログラム参加企業）となっている５社、および個人情報保護法違反企業に対して勧告・命令・指導権限を有する厚生労働大臣、経済産業大臣、内閣府特命担当大臣（消費者庁）、消費者委員会に対し、「Ｔポイントサービスに関する要望書」を提出しました。
（略）
しかし、そのような�´↓�のしくみ自体、また、医薬品を購入した場合の情報の扱いについて、会員はその全貌を十分に理解していません。
特に、医薬品情報（医薬品の購入歴）は、患者のプライバシー権保護という観点からも、高度な法的保護を受けることから問題であり、法解釈上、刑法及び個人情報保護法に抵触し得ます。
具体的には、第１に、ドラッグストアが患者の医薬品情報をＣＣＣに提供する行為（� 砲蓮�医薬品情報を扱う「薬剤師」や「医薬品販売業者」が業務上知った秘密（患者の医薬品情報等）を漏らしたとして、刑法（１３４条、秘密漏示罪）に抵触する可能性があります。
第２に、会員が十分に理解しないまま、会員の個人情報を第三者である加盟店との間で利用する行為（�↓�）は、個人情報保護法（２３条１項）に抵触します。
そこで、当会議は、ＣＣＣおよび医薬品販売業者に対しては、医薬品購入歴情報の抹消および加盟店契約自体の解消等を、各担当大臣に対してはＣＣＣおよび医薬品販売業者たる加盟店がかかる情報抹消と加盟店契約解消等を行うよう勧告・命令・指導するよう、要望書を提出しました。
これが、11月24日の朝のNHKニュースで報じられたのだが、そのときの映像が以下である。ここでもまた、CCCの取締役が、「個人が分からない形で統計的に処理しており」、「統計的に処理させてもらっているだけで」などと、虚偽の説明を繰り返していた。
- 利用者購入の医薬品データ収集 懸念の声, NHK総合テレビ おはよう日本, 2012年11月24日
（略）
医薬品の購入データを収集していたことが分かったのは、「Ｔポイント」を運営している「カルチュア・コンビニエンス・クラブ」で、加盟している５社のドラッグストアの店舗でデータを収集し、販売促進の目的などに利用していたということです。
これに対し、医師や薬害被害者などで作る市民団体は今週、「医薬品のデータからは利用者の病気なども明らかになりかねず、厳格な取り扱いが求められる。十分な説明をしないまま利用するのは問題だ」として、中止を求める要望書を運営会社などに送りました。
これについて、Ｔポイントを運営するカルチュア・コンビニエンス・クラブの北村和彦取締役は、「規約に基づき、同意を得て情報を提供していただいていると理解しており、データも適切に運用している。個人が分からない形で統計的に処理しており、こうした運用をしていることをしっかり説明していきたい」と話しています。
（略）
この、「統計的に処理しているだけ」というのが嘘で、実際は、「ライフスタイル分析」をして本人にクーポンを渡すことをやっているということが、どのように重要かというのは、今まさに検討が進みつつある、以下の「パーソナルデータ」と関係がある。
- 「パーソナルデータの利用・流通に関する研究会」報告書の公表, 総務省情報流通行政局情報セキュリティ対策室, 2013年6月12日
この報告書は、個人情報保護法の「個人情報」に該当しない（つまり、特定の個人を識別することができるものではない）「個人に関する情報」全般を「パーソナルデータ」と呼び、そのうち、「実質的個人識別性」のあるデータについて、「保護されるパーソナルデータ」と位置付け、何らかの保護の措置をとっていこうという画期的な取組みであり、IT総合戦略本部の「世界最先端IT国家創造宣言」の中でも「年内できるだけ早期に着手する」とされている。
この報告書の目玉となるのが、p.33に書かれている、「本人の同意を得なくても、利活用を行うことが可能と整理できる」とされている米国FTCの3要件なのだが、FTCは、データを再識別化（re-identify）しないと約束し公表することを求めており、ここで言う「識別」は、単に特定の個人を識別という意味だけでなく、特定のコンピュータその他のデバイスを識別することも指している。
つまり、最終的に本人に到達することを予定している利用は、FTCでは「識別する」ことに当たるのであり、Tポイントのように、最終的に本人にクーポンを渡す事業は「識別」に当たる。そのとき、何をもって識別しているかは、Tカードであり、「その他デバイス」に含まれるのではないかと思う。
もっとも、Tポイントの場合、元々、会員情報として住所氏名を取得しているので、現行法の個人情報保護法が適用される状態にあるので、そのこと自体はCCCには関係ない。ただ、CCCは、昨年10月に「株式会社Tポイント・ジャパン」を設立し、Tポイントの運用をCCCから分離した。その意図は不明であるが、もし、会員の住所氏名をCCCだけが持ち、Tポイント・ジャパンはT会員IDに紐付けた履歴だけを持つ構成にして、「T会員IDに紐付けた履歴は個人情報に該当しない」と主張するつもりなのだとしたら、その場合において、今後、それが「保護されるパーソナルデータ」とみなされるかが問題であり、FTCに倣うなら、Tカードで本人に到達している以上、それは「識別」されるデータであり、「匿名化されているから自由に使う」というのは許されないものとなる。
そういう意味で、「統計的に処理しているだけ」というのが嘘で、実際は「ライフスタイル分析」をして本人にクーポンを渡すことをやっているという事実は、重要なのである。
また、このことは、「プロファイリングに基づく措置を受けない権利」（EU個人データ保護規則（案）20条）にも関係するかもしれない。
次に、CCCは、いつ公開したのか不明*1だが、www.ccc.co.jpのサイトに「Tポイントをご利用のお客様へ」というバナーを設け、「よくあるご質問」という説明ページを設けていた。
ここの最後のところに、「お客さまへクーポンをお届けする場合」の説明がある。クーポンについて説明を用意した点は評価できる。しかし、またもや内容に嘘が書かれている。
Tポイントをご利用のお客様へ よくあるご質問, カルチュア・コンビニエンス・クラブ
「お客さま個人を特定しない方法により」などと言っているが、じゃあ、どうやって、クーポンを「お客さま個人」に渡すのかね？ 「コーヒーを5回以上購入」は「お客さま個人」ごとに集計されるのだから、「お客さま個人を特定しない」わけがない。*2
いつまでこういう詭弁を日本の行政は許すのか？ が、今、問われている。
ここの前のところにも、同様の詐欺説明が書かれている。
Tポイントをご利用のお客様へ よくあるご質問, カルチュア・コンビニエンス・クラブ
「お客さま個人を特定できる情報は含まれていません」などと言っているが、「T会員番号」と共に履歴情報が渡されてくるのだから、当然、CCCは「お客さま個人」を特定している。
そもそも、CCCは会員の住所氏名を持っているのだから、個人情報取扱事業者なのであり、なぜここまでして、「お客さま個人を特定できる情報は含まれていません」などと嘘の説明をする必要があるのか。CCCにとって、「お客さま個人」を特定するためにT会員番号を使用しているのは明らかである。
おそらく、加盟店が個人情報保護法違反とならないことを言いたいのだろう。たしかに、現行の個人情報保護法の下では、情報の提供元にとって個人識別性がなければ、たとえ、提供先で個人識別性のある情報であっても、提供する行為について個人情報保護法は適用にならないというのが、日本では通説となっているのだが、そういう、保護すべきものは何かという理念から逸脱した馬鹿な解釈がまかり通ること自体、個人情報保護法の欠陥であって、改正されるべきものである。
ここは法律上の解釈の話をする場ではなく、「Tポイントをご利用のお客様へ」と、一般の客に向かって説明をする場なのに、現行法の欠陥を突いて「個人を特定できる情報は含まれていません」などと自慢していったい何がしたいのか。
ただ漠然と「個人情報は含まれません」と言っておけば、客は安心するとでも思っているのだろうか。そういうCCCの企業体質は以下の宣伝動画からも見て取れる。
「通るだけでいいんで」と騙す気満々。そして「大丈夫、僕たち間違ってないから」だそうな。これが公式だというのだから推して知るべしである。
■ Tポイント以外は何をやっていないか
Tポイントが商品名レベルの情報を収集していることについて、「そんなの他でもやっている」と誤解している人が多いようなので、他の共通ポイントサービスと、電子マネー、クレジットカードについて、運営会社に電話取材して確認をした。
電子マネーのひとつとして、Suicaについて、昨年8月、JR東日本の個人情報保護担当窓口に電話して尋ねた。
Suicaでは、駅の券売機で履歴を印刷できるのだが、自販機や売店の利用は「物販」と印字される。この「物販」について、印刷されない何らかの情報（商品名など）を保有しているのではないかと尋ねたところ、商品名はなく、店舗の端末IDのようなものがあるだけとのことだった。それは決済の利用目的でしか使っていないとのことであった。
これは予想通りである。決済という本来目的に必要な情報しか取得していない。
次に、共通ポイントのひとつとして、ローソンとゲオなどが加盟する「Ponta」について、昨年8月21日にPontaの問い合わせ窓口に電話して尋ねた。
Pontaの場合、商品名の記録、保有は、各加盟社で行われているとのことで、つまり、ローソンであればローソン、ゲオならゲオで商品名の販売履歴が管理されているということで、Pontaを運営するロイヤリティマーケティングは、商品名を収集せずに、ポイントの処理をしているとのことだった。
つまり、電子マネーと同じである。これもまた、ポイントサービスという本来目的に必要な情報しか取得していない。
これは大いに意外であった。Tポイントの後発であるPontaは、Tポイントと同じことをやっていると思っていた。何より、Pontaの利用規約に次のように書かれていたものだから、商品名をとっているものと思い込んでいた。
第2条（個人情報の収集、利用、提供・預託）
1.当社及びポイントプログラム参加企業は、本章第3条に定める利用目的のため、例えば、以下のような個人情報につき保護措置を講じた上で適法かつ公正な手段により収集・利用します。
(1) 属性情報 会員が所定の申込書に記載する等により申告した会員の姓名、生年月日、性別、年齢、婚姻の有無、郵便番号、現住所、電話番号、メールアドレス、職業、未成年者の場合、親権者の姓名と親権者等、会員の属性に関する情報（申込後に会員から通知を受ける等により、当社が知り得た変更情報を含みます。以下同じ。）
(2) 契約情報 入会日、入会店舗、会員番号、会員証の状況等の契約内容に関する情報
(3) ポイント情報 ポイントの付与、利用、残高、利用店舗、会員証の利用履歴等のポイントに関する情報
(4) Pontaカスタマーセンター等への問い合わせに関する情報 Pontaカスタマーセンター等への問い合わせの際の音声情報やEメールの情報
(5) 当社のWeb（当社のWebの広告主、広告サービス配信事業者等を含む）及びポイントプログラム参加企業のWebサービスを利用・閲覧した場合の、閲覧したページ、広告の履歴、閲覧時間、閲覧方法、端末の利用環境、クッキー情報、IPアドレス、位置情報、端末の固体識別番号等の情報
(6) モバイル端末による位置情報
Ponta会員規約, 株式会社ロイヤリティ マーケティング
ここの、「利用履歴」というのが商品名のことだと思ってしまったのだが、そうではなく、これは、あくまでも「会員証の利用履歴」であって、会員証を利用した事実（0ポイントのこともあるため）を指すもので時刻を含むものと説明された。
なるほど、言われてみれば、「会員証の利用履歴」と書かれていて、商品名が含まれると思う方がどうかしている。そう、私はすっかり、Tポイント会員規約の「利用の履歴」の表記に毒されていたのだ。
いかに、Tポイントの会員規約の表記が異常で、常識ハズレかということだ。
次に、クレジットカードのひとつとして、三井住友カードに電話して尋ねた。
クレジットカードが商品名を取得していないことは、以前からわかっている。クレジットカードの端末にそういう機能がないことは、関係業務に携わったことのある何人もの人から聞いていた。
しかし、三井住友カードの「お客様の個人情報の取り扱いについて（公表事項）」に、次のように書かれていることが気になっていた。
1．個人情報の利用目的について
(1) 利用目的 クレジットカード事業、キャッシング・ローン等の金銭貸付事業および包括信用購入あっせん事業における与信判断および与信後の管理（※） （なお、下記6もご参照ください）
個人情報
（c）お客様のクレジットカード、キャッシング・ローン等のご利用に関する申込日、契約日、ご利用店名、商品名、契約額、支払回数等のご利用状況および契約内容に関する情報(2) 利用目的 クレジットカード関連事業における
・ポイント付与やカード付帯保険等の付帯サービスの提供
・新商品情報のお知らせ、関連するアフターサービス
・市場調査、商品開発
・宣伝物・印刷物の送付、電話及び電子メール送信等その他の通信手段を用いた営業活動
・クレジットカード利用加盟店等その他当社の提携する者等の営業に関する宣伝物・印刷物の送付、電話及び電子メール等その他の通信手段を用いた送信個人情報
上記（1）（a）から（e）の情報お客様の個人情報の取り扱いについて（公表事項）, 三井住友カード
「商品名」とある。これについて尋ねると、次の理由から書いているとのことであった。
(1)の利用目的では、与信判断のため、実際に商品名を本人や店舗から聞き出すことがあり、それを想定しているとのこと。それは何ら問題ないであろう。
(2)の利用目的にも商品名が含まれている点について、宣伝物の送付が利用目的にあるわけで、実際に、クレジットカードでの買い物履歴に基づいて宣伝物を送ることがあるとのことだったが、商品名を取得しているかというと、店によっては、利用店名が得られた時点で商品名まで判るも同然な場合があるため、念のためこのように書いてあるとのことであった。なるほどである。
ただ、ここは、商品名と書かずに、直接的な事実のまま「利用店名」と書いておくべきではないかと、意見を述べておいた。
このように、尋ねた先は、Tポイント同様にサードパーティ型の情報取得*3の形態をとるところであるが、いずれの場合も、本来の業務に必要な情報だけが取得されていた。
これらは、コンテキストに沿った情報取得であり、仮に利用規約の説明が不十分だとしても、利用者に予見できる範囲の情報しか使用されておらず、ビッグデータに利活用されるとしても問題は（比較として）小さいと言える。
それに対して、Tポイントが商品名を取得するのは、本来業務に必要とは言えない、コンテキストに沿わない情報取得であり、利用者には意外であって、予見が容易でないものであるのだから、利用規約だけでなく、利用者に理解させるだけの十分な説明が必要とされると言うことができる。
*1 archive.orgの記録では、2012年8月27日が初出となっている。
*2 そもそも、ここで「お名前やご住所などお客さま個人を特定しない」などと、個人情報保護法の「個人情報」該当性を否定したところで、何の意味があるのかわからない。何を言いたいのだろうか。嘘くさい説明をして、何もかも信用されなくなるだけなのに。
*3 消費者から見て、商品を買う相手の店が履歴を取得する場合を「ファーストパーティ型」、買う相手の店以外の事業者が、複数の加盟店にまたがって履歴を取得する場合を「サードパーティ型」と呼ぶ。
- はてなブックマークコメント ×12 : 8, 4 (2019-09-18)
- https://www.google.com ×5 (2019-08-08)
- https://magic3.net ×9 (2018-10-21)
- NAVERまとめ [2139605661644962101] ×50 : 26, 6, 6, 4, 4, 2, 1, 1 (2018-07-12)
- https://tyoro--ge-hatenablog-com.cdn.ampproject.org/ ×6 (2018-07-07)
- はてなブックマークコメント [s/ameblo.jp/naka2656/entry-12347869912.html] ×11 (2018-01-27)
- https://tyoro--ge-hatenablog-com.cdn.ampproject.org/v/tyoro-... ×4 (2017-03-24)
- Seesaaブログ [googlme] ×4 : 2, 2 (2016-06-12)
- https://www.bing.com/ ×6 (2016-03-18)
- BLOGOS [147198] ×33 : 31, 2 (2015-11-30)
- http://synodos.jp/society/15633 ×27 (2015-11-27)
- はてなダイアリー [ichi-nagoyajin 20100905] ×6 : 3, 2, 1 (2015-10-10)
- https://www.google.co.jp ×69 (2015-08-26)
- Twitter [1] ×9 : 2, 2, 1, 1, 1, 1, 1 (2015-06-15)
- fc2 blog [nosoftbankno.blog84] ×170 : 160, 10 (2015-03-30)
- http://qa.crefan.jp/qa5403.html ×9 (2014-12-12)
- http://cgi.din.or.jp/~behemoth/cgi-bin/lncb.cgi ×234 (2014-11-07)
- ２ちゃんねる掲示板 [newsplus 1414797280] ×5 : 4, 1 (2014-11-02)
- http://tyoro-ge.hatenablog.com/entry/tpoint-personal-nformat... ×767 (2014-10-29)
- はてなブックマークコメント [cards.hateblo.jp/entry/ccc-tpoint-kojinjyoho/] ×4 (2014-10-29)
- https://duckduckgo.com/ ×7 (2014-10-28)
- http://chimtty.blogspot.jp/2013/07/suica-suica.html ×6 (2014-10-14)
- Togetter [655267] ×6 (2014-09-29)
- http://google-and.meblog.biz/article/20721873.html ×36 (2014-09-04)
- http://iiyu.asablo.jp/blog/2013/12/27/7157583 ×6 (2014-09-03)
- Togetter [527526] ×29 (2014-08-29)
- キーワード不明 ×48 / Tポイント 問題 ×15 / Tポイント ×13 / Tカード 問題 ×8 / tポイント 問題 ×7 / tポイント ×6 / ポンタ 個人情報 ×4 / tカード 問題 ×4 / Tポイント 退会 ×3 / ポンタカード 個人情報 ×3 / ponta 個人情報 ×3 / 北村和彦 ×3 / tポイント 購入 ×3 / ポンタ 退会 ×3 / Ponta 個人情報 ×3 / Tポイントカード 問題 ×2 / ポンタカスタマーセンター ×2 / Tカード 登録 詐欺 ×2 / T会員規約改訂 高木浩光 ×2 / Tポイント 本人 ×2 / 高木カード 履歴 ×2 / t point 問題 ×2 / Tポイント退会 ×2 / Tポイント問題 ×2 / Tカード問題 ×2 / Ｔポイント ×2