RIZAP 情報漏えい、自己申告で発覚

本事案は、RIZAPが受託した特定保健指導の業務中に起きた。つまり対象データは、業務を委託していた健康保険組合の加入者に属するものだった。自己申告を受けてRIZAPは迅速に対応し、24時間以内にチャット履歴とファイルを削除、学習を停止し、AIサービス事業者に照会した。アップロード情報は同事業者以外の第三者に閲覧されておらず、AI学習にも使われていないと説明したが、同事業者の従業員が閲覧し得たかどうかはなお確認中だという。

法的リスクは二つの軸で捉えられる。個人情報保護法上は安全管理措置と従業員の監督が問われ、民事上は委託契約違反と使用者責任が問題となり得る。弁護士は、企業が全く管理できないアカウントにデータが入った以上、ガバナンス面では社内管理アカウントの事案より重く扱われ得ると指摘する。第三者提供に当たるかは、実際に誰がデータを扱うかという事実で判断される。だからこそデータ処理契約の下の社内AI環境は委託とみなされ、本人同意は不要となる。

背景には、2026年7月に公布された改正個人情報保護法がある。受託者が委託目的を超えて個人データを扱うことを初めて明文で禁止し、公布から2年以内の施行が見込まれる。委託契約でAI利用をどう規定するかの重みが増す。今回が単発の事案で終わるか雛形になるかは、受託者が承認済みAI環境と自己申告窓口をどれだけ早く整えるか、契約当事者が通知期限や監査権を書面で厳格化するかにかかっている。