Equifaxの情報漏洩によりデータブローカーセキュリティ法案が成立

Equifaxによる最近のデータ侵害により、数億人の個人情報が漏洩しました。これを受けて、リチャード・ブルーメンソール上院議員（コネチカット州民主党）、エドワード・マーキー上院議員（マサチューセッツ州民主党）、シェルドン・ホワイトハウス上院議員（アイオワ州民主党）、アル・フランケン上院議員（ミネソタ州民主党）は、データブローカー業界に対し、消費者から収集した個人データのプライバシーとセキュリティに対する責任を負わせる「データブローカー責任・透明性法案」を提出しました。

Equifaxのハッキング事件については、すでにご存知かと思いますが、ここで簡単におさらいしておきましょう。5月にApache Strutsの脆弱性により、1億4,300万人の氏名、住所、社会保障番号が漏洩しました。3月にパッチがリリースされましたが、Equifaxはそれを適用せず、それが今回のデータ漏洩につながりました。同社はまた、保護サービスの仲裁条項についても批判を受けています。

通常、影響を受けたサービスに登録した人々の情報が漏洩する他のデータ侵害とは異なり、今回のハッキングは、Equifaxの存在すら知らなかったであろう数億人の人々を危険にさらしました。消費者はEquifaxにとって製品であり、顧客ではありません。つまり、知らず知らずのうちにEquifaxにデータを提供してしまった1億4,300万人が、個人情報の盗難や財産の流出の恐怖に怯えながら生活しなければならないのです。

だからこそ、民主党の上院議員たちはデータブローカーの説明責任と透明性に関する法案を提出したのです。彼らがこの法案で達成したい目標は以下の通りです。

データブローカー責任・透明性法は、消費者が自身の情報にアクセスし、修正することで、最大限の正確性を確保することを可能にします。また、この法律は、データブローカーがマーケティング目的で個人情報を使用、共有、または販売することを阻止する権利を消費者に付与しています。さらに、この法案はデータブローカーに対し、包括的なプライバシーおよびデータセキュリティプログラムを策定し、違反があった場合には合理的な通知を行うことを義務付けています。この法律は、連邦取引委員会（FTC）に、この法律を執行し、1年以内に規則を公布する権限を与えています。これには、対象となるデータブローカーのリストや消費者の権利に関する情報を消費者が閲覧できる一元的なウェブサイトの設置に必要な規則も含まれます。

これらの変更により、Equifaxのような企業が、顧客や、数ヶ月前に発見された脆弱性を悪用したり、世界最悪のユーザー名とパスワードの組み合わせを推測したりするほど賢い人物が覗き見できるブラックボックスとなることはなくなります。これらの企業が保有するデータは、企業が財務上の意思決定を行う際にこのデータに基づいている場合もあれば、盗難によって詐欺のリスクにさらされる場合もあるため、人々の生活に大きな影響を与えます。

念のため、念のためお伝えします。アメリカ人のほぼ半数は、自分の知らないうちに、あるいは同意なしに個人データを収集した企業が、基本的なセキュリティ対策を講じていなかったのではないかと、生涯にわたって疑問に思うことになります。この法案（全文はこちらでご覧いただけます）は、この状況を変える一助となるかもしれません。Equifaxの侵害被害を受けた人々にとって大きな助けにはならないかもしれませんが、同様の事件の再発を防ぐ一助となるかもしれません。