カード番号を持っていない会社から、カード番号は漏れません──必要な情報も「自社で抱えない」という守り方

Q01「必要な情報」と「自社で持つ情報」は、分けて考えられますか？

分けられます。決済・配送・本人確認のように、どうしても必要な情報はあります。でも、必要なことと、自社で保存し続けることは別です。持たなくていいなら、その道の専門の事業者に任せ、自社には最小限だけ残す。これが被害を小さくする二の手です。

Q02クレジットカード番号を自社で保存せずに決済できますか？

できます。Stripeのような決済サービスを使えば、カード番号を自社のサーバーで受け取らずに決済できます。決済画面そのものを向こうに用意してもらう方式なら、月額課金の管理まで任せられます。自社に残すのは、会員ID・決済側の顧客ID・契約の状態・注文番号が基本です。

違いははっきりしています。自社でカード番号を保存していれば、データベースが破られたとき、カード番号も漏れるかもしれません。自社のデータベースにカード番号がなければ、そこからカード番号が漏れることはありません。

日本のネットショップは、割賦販売法のもとで、カード情報を「持たない」か、国際的な安全基準を満たすかが求められています。持たないほうが、守る仕事そのものが減ります。

Q03決済サービスに任せれば、それだけで安全になりますか？

なりません。決済サービス側にはお客さまの決済情報が保存され、自社の管理者が管理画面やAPIから見られる情報もあります。鍵（APIキー）が漏れれば勝手に操作される恐れがあり、決済画面へ案内する自社サイトが改ざんされれば偽の決済画面に誘導されます。持たなくても、入口は狙われます。

Q04配送先の住所や本人確認の電話番号は、どこまで自社で抱えずに済みますか？

住所は「その時だけ」、電話番号は「結果だけ」にできます。商品を送る以上どこかで住所は必要ですが、会員データベースにずっと置く必要はありません。購入のときだけ入力してもらい、配送事業者のシステムに渡し、自社では注文番号と配送状況だけを管理する。電話番号も、確認の処理を認証サービスに任せ、自社では「確認できた」という結果だけを扱えます。

Q05外部サービスに任せれば、会社の責任もなくなりますか？

なくなりません。個人データの取扱いを外に任せる（委託する）ときは、任せた先を監督する義務があります。個人情報保護法の第25条です。「任せる」は責任を手放すことではなく、責任の範囲をはっきりさせて専門家の力を借りることです。

Q06顧客データベースを守れば、個人情報は守れますか？

守りきれません。データベースをきれいにしても、情報は別の場所に残っていることがあります。個人のPC、メールの添付、紙のファイル棚、複合機のスキャン、USBメモリ、委託先、そしてAIに送った会話。特にAIに送った会話は、ここ数年で急に増えた置き場所です。大事なのは、システム全体のどこに情報があるかを知り、必要以上に写さないことです。

「この問い合わせに返信を書いて」と、お客さまのメールをそのまま貼る。便利なぶん、気づかないうちに個人情報が積み上がっていきます。

今日の15分でできるのは、「個人情報の置き場所マップ」を紙1枚で作ることです。上の7か所に、顧客名簿のExcelと共有フォルダの申込書を足して9行の表にし、それぞれに「ある／ない／わからない」を書くだけ。「わからない」が付いた場所が、今いちばん危ない場所です。最後に1つだけ、いちばん使っているツールの管理画面で「保存期間」の設定を開いてみてください。

よくある質問（FAQ）

Q. 決済サービスは、Stripe以外でも同じ考え方で選べますか？

A. 選べます。大事なのは特定のサービス名ではなく、「カード番号を自社のサーバーで受け取らない方式か」「決済画面を向こうが用意してくれるか」という選び方です。どの決済サービスでも、自社に残すのは会員ID・決済側の顧客ID・契約の状態・注文番号を基本にし、カード番号そのものは抱えない設計にします。

Q. Webサービスを持っていない会社でも、自社で抱えない工夫はできますか？

A. できます。たとえば社員の給与や勤怠の情報を外部の専門サービスに任せ、自社のPCやExcelに写しを残さない。考え方は決済や配送と同じです。必要な情報と、自社で保存し続ける情報を分けて、持たなくていいものは専門家に任せます。

Q. AIにお客さまのメールを貼って返信を書かせても大丈夫ですか？

A. AIに送った会話も、個人情報が残る置き場所のひとつです。お客さまの氏名や連絡先を含むメールをそのまま貼れば、気づかないうちに個人情報が積み上がります。会社で利用を認められたAIを使い、個人を特定できる部分は伏せるなど、社内のルールを決めてから使ってください。

Q. 「個人情報の置き場所マップ」は、どうやって作ればいいですか？

A. 紙1枚で十分です。顧客データベースのほか、個人のPC・メールの添付・紙のファイル棚・複合機のスキャン保存先・USBメモリ・給与計算などの委託先・AIに送った会話を並べ、顧客名簿のExcelと共有フォルダの申込書を足して9行ほどの表にします。各行に「ある／ない／わからない」を書き、「わからない」が付いた場所から手をつけます。