個人情報流出に伴う金銭的責任を小売業者に求める法整備の動き

米国マサチューセッツ州議会で、個人情報流出によって生じた ID 窃盗被害の金銭的損失の責任を小売業者に科す法案の審議が始まった。

同法案は、マサチューセッツ州下院議員 Michael Costello 氏が提出したものだ。この法案が成立すれば、マサチューセッツ州は消費者の個人情報を保持するすべての営利組織に対し、情報流出の消費者告知義務の域を超え、ID 窃盗に関連した金銭的損失を負担させる最初の州となる可能性がある。

ほとんどの銀行と Visa や MasterCard などのクレジットカード発行会社は、不正な取引や、クレジットカードの停止および新規作成の費用を肩代わりしている。米連邦取引委員会 (FTC) によると、過去5年の ID 窃盗被害額は、一般消費者の損失が総額50億ドル、企業および金融機関の損失が総額480億ドルだったという。

Costello 下院議員のチーフスタッフを務める Adam Martignetti 氏は取材に対し、「ID 窃盗による金銭的損失は、誰かが負担しなければならない。小売業者には、保持しているデータの安全性に責任があると私たちは感じている」と語った。

マサチューセッツ州といえば、先だって大規模な顧客情報漏洩が発覚した小売大手 T.J. Maxx の本拠地でもある。こうした小売業者は、消費者に代わって銀行が負担した ID 窃盗関連の金銭的損失について責任を負うことになるだろう。なお同法案は、マサチューセッツ州内に本拠地を構える組織か否かを問わず、同州在住の消費者を相手に取引するすべての営利組織が対象になる。

同法案では、マサチューセッツ州在住者の姓名に加え、社会保障番号、運転免許証、銀行口座、クレジットカード、デビットカードなどの番号を組み合わせたものを「個人情報」と定義している。

もちろん米国の国政レベルでも、上院と下院双方で、情報流出の通知に関する法案がすでに出ている。しかし、情報流出に伴う金銭的損失を小売業者に求める法案はない。