こんにちは。弁護士の浅見隆行です。
個人情報保護委員会は2025年1月29日、建設業界の職業紹介、転職支援などを行うビーバーズが、「偽りその他不正の手段」により個人情報を取得した個人情報保護法違反を理由に行政処分としての勧告等を決定しました。
ビーバーズによる「偽りその他不正の手段」による個人情報の取得方法
個人情報保護委員会のリリースによると、ビーバーズによる個人情報の取得方法とその利用は次のようなものでした。
- 2023年4月頃から、建設現場に掲示されている法定標識や公共工事の入札・落札情報検索サイトなどの公開情報から、建設会社等の従業員の個人情報を入手
- 入手した情報をもとに、その建設会社に電話をかけ、架空の事業者名を名乗って、「貴社の××工事の現場監督である〇〇さんから弊社に電話で問い合わせをいただき、折り返しの電話が欲しいとのことだった」「貴社の工事現場の近くで別の工事をすることになったので、貴社の現場監督である〇〇さんに連絡したいことがある」など虚偽の事実を伝え、建設会社の電話応答者を誘導し、現場監督者等の携帯電話番号を取得
- 1万人以上の個人情報（氏名、携帯電話番号）を取得
- これらの個人情報をデータベース化し、本来の業務である職業紹介や転職支援に利用していた
このうち、架空の事業者を名乗って、建設会社の電話応答者を誘導し、現場監督者等の携帯電話番号を取得した行為が、「偽りその他不正の手段」による個人情報の取得であり、個人情報保護法20条1項に違反すると判断されたのです。
なぜ勧告まで至ったか〜ビーバーズの悪質性
個人情報保護委員会がなぜ行政処分としての勧告まで行ったかというと、ビーバーズによる個人情報の不正取得を「悪質」と判断したからです。
個人情報保護委員会は「本事案の悪質性」として
- 約1年9か月の長期間にわたり
- 架空の事業者を名乗って、虚偽の利用目的を告げて建設会社を騙し
- 1万人以上の個人情報を不正取得して、データベース化し、自らの事業に利用し、利益を得ていたこと
の要素を指摘し、かつ、
- 不正取得は、事業責任者の指示のもと組織的に行われた
- 個人情報保護委員会が2024年2月に聴取した際に「不正取得を行っていない」と虚偽を述べ、不正取得を継続し、かつ、2024年12月に報告を聴取した際にも当初、過少報告をした（その後修正報告した）
- 現在も不正取得を継続している可能性がある
- 不正取得した個人情報を消去せずに保管・利用している
などの事情を挙げています。
これらが真実であるとすれば、個人情報保護法を遵守しようとするコンプライアンス意識がまったくなく、相当に悪質であると言えましょう。
どれくらい悪質かと言えば、そもそも個人情報保護委員会による徴収に対して虚偽の報告をすれば50万円以下の罰金の対象となるくらいの悪質さです（個人情報保護法182条1号、146条1項）。
また、個人情報保護委員会の勧告に従わなければ、1年以下の懲役または100万円以下の罰金です（178条、148条2項3項）。
個人情報保護委員会は、刑事罰を課すことを視野に入れなければ改善されないと判断して行政処分の勧告をしたのかもしれません。
情報の保存管理体制、法令遵守体制に対する株主からのガバナンスは機能するか
ビーバーズが行った長期間にわたる組織的な個人情報の不正取得や、個人情報保護委員会による聴取への虚偽申告、虚偽報告、その後の個人情報の継続利用は、個人情報保護委員会が「悪質」と指摘するほどでした。
ビーバーズにおいて取締役（会）の個人情報に関する情報の保存管理体制、法令遵守体制は構築されていなかった、少なくとも機能していなかったと言えそうです。
ビーバーズの株主が誰であるかは不明ですが、2024年8月には北國フィナンシャルホールディングスグループのファンドがビーバーズの株式の一部を取得したようです。
現在も同ファンドが株式を保有し続けているかはわかりませんが、もし保有し続けているのだとしたら、このような株主からビーバーズの取締役（会）への株主ガバナンスが機能するかどうかも、今後の企業価値の維持・向上には影響するように思います。
最近では、フジメディアHDの株主であるダルトン・インベストメンツが複数回にわたって経営改善等を求める形でガバナンスを機能させようとしています。
そうした海外のファンドの動きと対比することも、株主ガバナンスが機能しているかどうかを評価・判断する材料になるかもしれません。
