当社開発のウェブブラウザ「Smooz」におけるユーザーデータの取り扱いについて、ご利用者の皆様、関係者の皆様に、多大なるご迷惑とご心配をお掛けしておりますことを深くお詫び申し上げます。当社では2020年12月23日に「Smoozのサービス終了」についてブログにてご案内させていただきました。その後Smoozにおけるユーザーデータの取り扱いに関して、外部専門家とともに調査を実施しましたので、その結果についてご報告申し上げます。
記
- Smoozで取得していたユーザーデータについて
- ユーザーデータの取扱いにおける問題点
- (1) ユーザーデータの容易照合性
- (2) 本文における個人情報の混入可能性
- (3) 第三者への行動履歴情報の提供
- (4) 適切な情報開示の不足
- 本件の対応と再発防止策
- (1) サービスの終了とデータの削除
- (2) 外部専門家による監査
1.Smoozで取得していたユーザーデータについて
Smoozでは大きく分けて、以下の3種類のユーザーデータを取得していました。
①ユーザーID、ブックマークデータ
Smoozをインストールすると、ユーザーIDが自動的に連番で振られ、ユーザーIDとともにご利用者様が登録したウェブページのブックマークのデータが当社サーバーに保存されていました。
＊ユーザーIDはインストールごとに生成され、Smoozアカウントを作成しない限り名前やメールアドレスなどの個人情報は当社サーバーに保存されません。
②閲覧履歴
Smoozでは、閲覧履歴（URL、タイトル、ウェブページの本文の一部等）、検索単語、位置情報、広告識別子等を収集・分析し、おすすめ記事を表示する機能を提供しておりました。検索単語は、Smoozポイントの付与判断にも使用しており、意味をなさない単語で検索された際にはポイントを付与しない等の対応をしておりました。また、位置情報については、ご利用者様が検索を行い、検索結果が表示された直後に、位置情報の取得について、「許可」または「許可しない」を選択するポップアップを表示し、「許可」を選択したご利用者様の位置情報のみを取得していました。
③アナリティクスデータ
Smoozアプリの機能改善を目的に、機能ごとの使用状況などを集計・分析していました。例えば、1日に何個のタブを開いたか、１日に何回設定画面が開かれたか、といった情報です。
2. ユーザーデータの取扱いにおける問題点
調査の結果、Smoozにおけるユーザーデータの取り扱いにおいて、以下の4つの点に問題があったと考えております。
（１）ユーザーデータの容易照合性
Smoozアプリをインストール・利用しただけでは個人情報と紐づくユーザーデータはサーバーに送信されません。しかし、SNSアカウントを使用し、Smoozアカウントを作成すると、メールアドレス等がユーザーIDと紐づき、当社のサーバーに送信される仕組みになっていました。Smoozアカウントを作成していたのは、全利用者のうち3.9%です。
当社では、上記に挙げたユーザーデータのうち、①ユーザーID・ブックマークデータの情報が「個人情報」、②閲覧履歴と③アナリティクスデータが「行動履歴情報」にあたると考え、①・②・③のデータはそれぞれ別のサーバーに保存しておりました。
しかしながら今回の外部専門家による調査では、①・②・③のデータは、それぞれが別のサーバーで管理されていても、各データに共通のユーザーIDが振られており、当社社員が各データにアクセス可能であったことから、②及び③と、①のデータとの容易照合性が否定できず、各データを個人情報として取り扱う必要があったとの指摘を受けました。Smoozのプライバシーポリシーにおいて②及び③のデータについて「行動履歴情報」であると誤った認識し、その取り扱いにおいて不適切であったことをお詫びいたします。
また、当社のプライバシーポリシーでは、②及び③のデータの利用目的につき、正しくは「個人情報」の利用目的として記載すべきであるところ、「行動歴情報」の利用目的として記載しており、閲覧履歴を利用したおすすめ記事表示機能等について、利用目的の記載が不適切であったことをお詫びいたします。
（２）本文における個人情報の混入可能性
Smoozのおすすめ記事機能の提供開始当初は、ご利用者様の閲覧したウェブページのうち主に「タイトル」と「URL」の情報を用いておすすめ記事を表示しておりました。その後、おすすめ記事の精度をあげるために、ウェブページの本文を先頭から約500文字を取得するように機能変更したところ、精度に大きな改善が見られため、本仕様を採用いたしました。また、ここで取得した情報はSmoozプライバシーポリシーにおいて、「ユーザーの属性やウェブ上の行動に応じたコンテンツの表示等」を行うための、「行動履歴情報」と整理しておりました。しかしながら、今般、ご利用者様からおよび外部専門家から、ウェブページ本文の情報には、氏名・メールアドレスなどウェブサイトのユーザー登録確認画面の表示などの個人情報が含まれる可能性があるとの指摘を受けました。
当社においてウェブページ本文に含まれうる個人情報を取得する意図はありませんでしたが、ご利用者様に適切に通知・説明することなく個人情報を取得してしまった可能性を否定できず、不適切な取扱いであったこと考え、深くお詫び申し上げます。
（３）第三者への行動履歴情報の提供
当社は、マーケティングデータ解析を行う事業者に対して、当該事業者の商品・サービス開発・改良のため、ユーザーIDのハッシュ化、位置情報の削除、ご利用者様が閲覧したウェブページの本文データの削除、などの匿名化処理をした行動履歴情報を提供しておりました。
しかしながら、当社は行動履歴情報は個人情報でないとの誤った整理をしていたために、個人情報保護法の規制の対象外であると考え、個人情報の利用目的としてプライバシーポリシーに記載せず、当該提供行為について利用目的の通知や同意取得を行っておりませんでした。また、個人情報保護法上の「匿名加工情報」の制度に準拠した匿名化処理も行っておらず、「匿名加工情報」の作成・提供に関する公表も行っておりませんでした。
なお、上記の通り、提供されたデータ単体では特定の個人を識別することはできず、また提供先において、特定の個人を識別する方法では当該データを利用していないこと、提供先から別の事業者へのかかるデータの再販売はなされていないことを確認しております。加えて、当該提供先に対しては、すでにかかるデータの利用停止と削除の要請をいたし、全てのデータが削除されたことを確認いたしました。
（４）適切な情報開示の不足
当初、当社においては、ご利用者様から取得した情報が「個人情報」に該当するか否か、という視点に基づきプライバシーポリシーの策定やサービス設計をしておりました。しかしながら、今般の外部専門家からの指導により、本来であればウェブページの閲覧履歴といったご利用者様のプライバシーに関わる情報を利用する場合には、たとえ個人情報に該当しない場合であったとしても、より分かりやく適切な形で情報開示をし、ご利用者様の理解を得ておくべきであったと考えております。
3. 本件の対応と再発防止策
（１）Smoozサービスの終了とデータの削除
Smoozのサービスは情報の取り扱いについて不適切な点が複数見つかったため、2020年12月23日にサービスを終了いたしました。またプレミアムサービス・Smoozポイントの返金に必要なデータ以外は全て削除をいたしました。今後、ご利用者様への返金処理が終了し次第、全てのデータを削除いたします。
（２）社内教育の徹底と外部専門家による監査
これまで当社では、社内でサービスの適法性を検討した上で、顧問弁護士に確認を依頼するというプロセスでサービス開発を進めておりました。しかしながら、このプロセスが十分でなかったと考えております。
まず、経営者を含めた各メンバーの個人情報保護法およびプライバシーに関する理解が十分でなかったため、誤った認識に基づくサービス設計を行っておりました。今後は、個人情報保護法およびプライバシーに関する教育を、経営者及び全社員に対して徹底することで管理体制を強化いたします。
また、ウェブサービスにおける個人情報の取り扱いは専門性が高く、最新の関連法規について常に把握している必要があるため、顧問弁護士のみとの確認では網羅できない点があることが分かりました。今後は、テクノロジー領域の個人情報保護に特に知見を持つ弁護士とともに、取り扱う全ての情報について外部監査を含めた組織的な法的検討を行うことで、再発防止に努めてまいります。
本件につきまして、ご利用者様及び関係者各位に多大なるご心配とご迷惑をおかけ致しましたこと、重ねて深くお詫び申し上げます。また、サービス終了から本調査結果の報告まで多くの時間を要したことにつきましてもお詫びいたします。
【本件に関するお問い合わせ】
アスツール株式会社 Smoozカスタマーサポート( support@smooz.mail.helpshift.com )
2021年2月19日
アスツール株式会社 代表取締役 加藤雄一