| 発覚時期 | 2021年3月 |
|---|
| 種別 | 委託先・データガバナンス（データの取り扱い・管理体制の問題） |
|---|
| 対象組織 | LINE株式会社（当時。国内最大級のメッセージアプリ運営） |
|---|
| 問題の内容 | システム開発を委託していた海外（中国）の関連会社の技術者が、日本の利用者の個人情報にアクセスできる状態だった。また一部のデータが海外（韓国）のサーバーに保管されていた |
|---|
| 性質 | 外部からの「不正アクセス・漏洩」ではなく、「データを誰がどこで扱えるか」という管理体制と利用者への説明（透明性）の問題 |
|---|
委託先アクセス管理の問題
- 1海外委託先が開発：関連会社が担当
- 2個人情報にアクセス可能：誰がどこまで扱えるか不明確
- 3一部を海外サーバ保管：データの所在が問題に
- 4ガバナンス見直し：委託・越境の管理強化
1. 問題の概要
2021年、国内で広く使われるメッセージアプリLINEについて、システム開発を委託していた中国の関連会社の技術者が、日本の利用者の個人情報にアクセスできる状態だったことが報じられました。さらに、写真・動画などの一部データが韓国のサーバーに保管されていたことも明らかになりました。
重要なのは、これは「ハッカーに盗まれた」「情報が外部に漏れた」という事件ではない、という点です。問題の核心は、「利用者のデータを、誰が・どこで・どこまで扱えるのか」を適切に管理し、利用者にきちんと説明できていたかというデータガバナンス（データの統治・管理体制）と透明性にありました。多くの自治体や官公庁もLINEを利用していたため、社会的な影響は大きく、行政サービスでの利用を一時停止する動きも広がりました。
2. 何が問題だったか
- アクセス範囲の管理：海外の委託先技術者が、日本の利用者の個人情報にアクセスできる状態になっていた。
- データの保管場所：一部データが海外サーバーに保管されており、「国内で管理されている」という一般的な期待とずれていた。
- 説明（透明性）の不足：利用者に対し、データの取り扱い・保管・アクセスの実態が十分に説明されていなかった。
社会的な影響
- 多数の自治体・官公庁が、行政サービスでのLINE利用を一時停止・見直し。
- 第三者委員会による検証が行われ、データの国内移管などの対応が進められた。
- 「海外委託」「越境データ移転」を行う企業全体に、管理と説明のあり方を問い直す契機となった。
個人情報保護のルールでは、データを海外に移したり海外から扱ったりする場合、利用者への説明や一定の措置が求められます。「便利だから」と国境を越えてデータを扱うときは、ルールと説明責任がついて回ります。
3. 背景にある原因
図1：問題の構図（外部攻撃ではなく「管理体制」の問題）
1
🌏
海外へ開発を委託
コストや人材の観点から、システム開発・運用を海外の関連会社に任せていた
2
🔓
アクセス範囲が曖昧
「日本の利用者データに、海外の委託先がどこまで触れてよいか」の線引きが不十分だった
3
🗄️
データの所在も不明確
一部のデータが海外のサーバーに保管され、その把握・開示が追いついていなかった
4
📣
説明不足が問題化
利用者向けの説明が実態を反映しておらず、信頼と透明性が問われた
情報が「盗まれた」事件ではありません。「誰が、どこで、どのデータに触れられるのか」を説明できなかったことが問題の本質です。
- グローバルな開発・運用体制：コストや人材の観点から、システム開発・運用を海外の関連会社に委ねていた。これ自体は一般的だが、データへのアクセス管理が伴っていなかった。
- アクセス権限の設計：「日本の利用者データに、海外の委託先がどこまで触れてよいか」の線引きと制御が不十分だった。
- 説明の設計不足：利用者向けの説明（プライバシーポリシー等）が、実態を十分に反映していなかった。
- データ所在の把握不足：どのデータがどこに保管されているかの整理・開示が追いついていなかった。
クラウドや海外委託を使うと、データは簡単に国境を越えます。「自社のデータが、いま物理的にどこにあり、誰が触れるのか」を把握できていないこと自体が、現代のリスクです。
4. 対策と教訓
図2：データを外部・海外に預けるときの分かれ道
❌ あとで問題になりやすい状態
- 委託先が、どのデータにどこまで触れられるか把握していない
- 自社のデータが物理的にどの国のサーバーにあるか分からない
- プライバシーポリシーが実態と食い違っている
- 「便利だから」で外部サービスを増やし、棚卸しをしていない
⭕ 説明できる状態
- 委託先ごとに、アクセスできるデータの範囲を決めて記録する
- 「どのデータが、どこに保管されているか」の一覧を持つ
- 実際の運用に合わせてプライバシーポリシーを見直す
- 利用している外部サービスを定期的に棚卸しする
クラウドや海外委託を使うと、データは簡単に国境を越えます。把握できていないこと自体がリスク——これが現代の情報管理の考え方です。
外部のクラウドサービスや海外のツール・委託先を使う中小企業にも、直接当てはまる教訓です。「漏れなければいい」ではなく「説明できる管理」が求められます。
企業がとるべき対策
- データの所在を把握する：顧客データがどのサービス・どの国のサーバーにあるかを整理する。
- 委託先のアクセス範囲を管理する：外部（特に海外）の委託先が、どのデータにどこまで触れられるかを明確にし、最小限にする。
- 利用者にきちんと説明する：プライバシーポリシーで、データの取り扱い・委託・海外移転の有無を正直に・分かりやすく示す。
- 越境データのルールを確認する：個人情報を海外で扱う場合の法的な要件（本人同意・安全管理など）を確認する。
- 契約で取り扱いを縛る：委託先との契約に、データの保管場所・アクセス制限・再委託の条件を盛り込む。
5. まとめ
LINEのデータ管理問題は、「漏れたかどうか」ではなく「データを適切に管理し、利用者に説明できていたか」を問うた事例でした。教訓は——自社データの所在を把握し、委託先（特に海外）のアクセスを管理し、利用者に正直に説明すること。クラウドと海外委託が当たり前になった今、すべての事業者に通じる課題です。
※本記事は報道・公表資料・第三者委員会報告など一般に公開された情報をもとに、教育・啓発を目的として再構成したものです。経緯の詳細は公式発表をご確認ください。