LINEヤフーは7月24日、企業向け広告配信サービス「LINE広告」において、個人情報保護法が保存を義務付ける記録を誤って削除していたと発表した。削除された記録の範囲や期間は約3年半に及ぶとみられ、同社は現在、原因の特定と再発防止策の策定を進めている。なお、現時点では記録の削除に伴うデータの漏えいや不正利用は確認されていないという。
約3年半にわたる保存義務記録の誤削除
今回の事案は、LINEヤフーが運営する「LINE広告」をはじめとする法人向けサービスにおいて、個人情報保護法第42条に基づく保存義務が課された記録が、システム上の不具合または運用上のミスにより削除されたものだ。同法では、個人データの取扱いに関する記録の作成と一定期間の保存を事業者に義務付けており、その期間は原則として最後の取扱い日から3年または5年と定められている。
LINEヤフーによれば、削除された記録には、広告配信のターゲティングに用いられたユーザーの属性情報や、広告主からのリクエストに基づくデータ処理の履歴などが含まれている可能性がある。ただし、同社は「当該記録が直接的に個人情報そのものを含むものではなく、データの取扱いの経緯を示すログデータに該当する」と説明している。
なぜ記録削除が問題となるのか
個人情報保護法が保存を義務付ける記録は、いわゆる「トレーサビリティ」の確保を目的としている。万が一、データ漏えいや不正利用が発生した場合に、誰が、いつ、どのような目的でデータにアクセスしたのかを遡及調査できる体制を整えておくことが、企業に求められている。この記録が欠落すると、万が一のインシデント発生時に原因究明や影響範囲の特定が困難になる。
特にLINEヤフーは、日本国内で約9,600万人の月間アクティブユーザーを抱えるLINEを中核としたサービスを展開しており、広告事業は同社の収益の大きな柱の一つである。膨大な量のユーザーデータを取り扱うプラットフォーマーであるからこそ、記録管理の徹底は法的遵守（コンプライアンス）の根幹を成す。今回の誤削除は、その根幹部分に生じた深刻な穴とも言える。
LINEヤフーが講じる対応と今後のスケジュール
同社は事態を重く受け止め、現在以下の対応を進めている。
- 削除された記録の範囲と時期の詳細な特定
- システムログのバックアップからの復元可能性の検証
- 個人情報保護委員会への報告
- 記録保存プロセスの再点検と再発防止策の策定
LINEヤフーは「再発防止策が整い次第、改めて公表する」としているが、具体的な時期は明らかにされていない。記録の復元が可能かどうかについても、現時点では「調査中」との立場だ。
業界に与える影響と信頼回復への課題
この事案は、LINEヤフー1社の問題にとどまらず、日本のデジタル広告業界全体に対して警鐘を鳴らすものだ。個人情報保護法が2022年に改正施行されて以降、データ取扱いの記録管理に対する規制は一段と厳格化されている。今回のケースは、大手プラットフォーマーであっても、法改正後に整備した内部プロセスに想定外の抜け穴が存在することを示した。
特に注目すべきは、誤削除が「発覚」した時期と、削除が行われた「約3年半前」という期間の長さである。つまり、この記録の欠落は長期間にわたって内部の監査プロセスをすり抜けていたことになる。内部統制の実効性を問う声が、投資家や取引先から上がることは避けられない。
ユーザーにとっては、直接的な個人情報の漏えいが確認されていないという点は一定の安心材料と言える。しかし、自らのデータがどのように扱われているのかという「説明責任」の観点からは、LINEヤフーが透明性をもって報告を続ける姿勢が信頼回復の鍵を握る。
個人情報保護法における保存義務とは
個人情報保護法第42条では、個人データの取扱いを委託した場合や、第三者に提供した場合など、一定の行為について記録を作成し、保存することを義務付けている。保存期間は、原則として最後に記録を作成した日から3年間（本人の同意に基づく第三者提供に関する記録は5年間）と定められている。この記録は、個人情報保護委員会の報告徴収や立ち入り検査の際に提出が求められるほか、万が一の漏えい事故発生時に原因究明のための重要な手掛かりとなる。
LINEヤフーは、今回の誤削除がこの保存義務に違反する可能性があることを認めており、個人情報保護委員会への報告を行った上で、行政指導や罰則の対象となるかどうかの判断を待つ見通しだ。
信頼回復に向けたロードマップ
LINEヤフーは、2023年にLINEとYahoo! JAPANの経営統合を完了し、国内最大級のインターネットサービス企業として新たな体制で事業を推進している。そのような中での今回のコンプライアンス上の問題は、企業統治（ガバナンス）の実態を厳しく問うものだ。
同社が今後とるべき対応として、第一に原因の徹底究明と正確な情報開示、第二にシステム面および運用面でのダブルチェック体制の導入、第三に第三者機関による監査の実施が挙げられる。特に、内部監査で長期間見逃されていたという事実を踏まえると、監査プロセス自体の抜本的な見直しが必要となる。
また、同社が運営する「LINE広告」を利用する広告主にとっても、信頼できるデータ管理が行われているかどうかは、自社のブランド価値にも直結する問題だ。LINEヤフーは、広告主向けの説明会を早期に開催し、事態の詳細と再発防止策を丁寧に説明することが求められる。
今回の事案は、大規模なデータを取り扱う企業が、法令遵守の仕組みを「作る」だけでなく、それを「継続的に機能させる」ことの難しさと重要性を改めて浮き彫りにした。LINEヤフーの今後の対応が、業界全体のデータガバナンスの基準を引き上げる契機となるかどうか、注目が集まる。
