NTTドコモはなぜ34万人分をアマゾンへ無断提供したのか。設定ミスの一部始終を確認する

まず初めに

「同意確認画面が表示されなくなる不具合」という一文で片付けられているが、要するに「同意を取るはずの画面が、4か月間ずっと出てこなかった」という話である。しかも気づいたきっかけは自社の点検ではなく、8月18日になってからの発覚。契約プランの見直し作業のついでに、ユーザーの同意なくデータが他社へ流れ続けていたというのは、通信キャリアとしてはなかなかお粗末な話だ。※個人の感想です

何が起きているのか

NTTドコモは2026年9月15日、一部の利用者の個人情報を、本人の同意を得ないままアマゾンジャパン合同会社へ提供していたと公表しました。

対象となったのは、「ドコモ MAX」「ドコモ ポイ活 MAX」「ドコモ ポイ活 20」「ドコモ mini」のいずれかをオンラインで申し込んだ利用者の一部で、提供された情報は電話番号と契約している料金プラン名です。対象期間は2026年4月21日から8月20日までで、延べ約34万人分にのぼります。

原因は、2026年2月25日に行ったオンライン契約画面の表示変更でした。この変更に伴い、アマゾン側への情報提供について利用者から個別に同意を取得するための確認画面が表示されなくなる設定ミスが発生し、4月21日以降の申し込みに反映されていたとしています。同社がこの不具合を把握したのは8月18日です。

NTTドコモによれば、提供先のアマゾンジャパンは、提供された情報を2026年8月12日までに削除しており、この情報が実際に利用された事実は確認されていないとのことです。同社は9月15日から、対象となった利用者へお詫びの案内を送付しています。なお、今回の件についてNTTドコモ公式サイトの報道発表資料としての掲載は確認できておらず、報道各社によれば、対象者を個別に特定して説明・謝罪ができることを理由に、対象者への直接連絡という形をとったとされています。

なぜ重要なのか

今回の事案が重要なのは、不正アクセスなどの外部からの攻撃ではなく、事業者側の内部的な設定ミスによって、利用者の同意なく個人情報が第三者へ渡っていたという点です。利用者は「同意画面が表示されなかった」という事実を知る術がなく、契約手続きを進めた結果として、意図せず情報提供に「同意した」ことになっていた可能性があります。

また、対象が34万人という規模である点、そして原因の発生(2月25日の変更)から発覚(8月18日)まで約半年近くを要した点も、同社の品質管理・監視体制の観点から見過ごせないポイントです。契約プランに関わる画面の表示不具合が長期間放置されていたことは、同様の設定ミスが他のサービス連携でも起きうることを示唆しています。

私たちへの影響

対象となる「ドコモ MAX」「ドコモ ポイ活 MAX」「ドコモ ポイ活 20」「ドコモ mini」のいずれかを、2026年4月21日から8月20日の間にオンラインで申し込んだ方は、今回の対象に含まれている可能性があります。NTTドコモから9月15日以降にお詫びの案内が届いているかどうかを確認しておくとよいでしょう。

提供された情報は電話番号と料金プラン名にとどまり、氏名や住所、決済情報などは含まれていないとされています。また、アマゾン側での情報の利用は確認されていないとのことです。ただし、今後同様の連携ミスが繰り返されないよう、契約時に表示される同意事項がある場合は、内容を確認する習慣を持っておくことが望ましいといえます。

初心者が知っておくべきこと

「第三者提供」とは、事業者が保有する利用者の個人情報を、別の企業や団体に渡すことを指します。個人情報保護法では、原則として本人の同意を得ずに第三者提供を行うことは認められておらず、事業者は同意取得のための仕組みを契約手続きの中に組み込む必要があります。今回の事案は、この同意取得の仕組み自体が、システムの設定ミスによって機能していなかったケースです。

キャリアとアマゾンなど外部サービスとの連携は、ポイント還元や割引特典といった形で近年広く行われています。こうした連携サービスに申し込む際は、どのような情報が、どの範囲まで連携先に提供されるのかが、契約画面上できちんと説明・確認されているかを意識しておくことが、利用者側にできる自衛策の一つです。

Q. 自分が対象に含まれているかどうかは、どうすれば分かりますか。

A. NTTドコモは対象となる利用者へ、2026年9月15日以降、お詫びの案内を送付しているとしています。該当のプランを対象期間中にオンラインで申し込んだ心当たりがある方は、登録済みの連絡先に案内が届いていないか確認してください。

Q. 提供された情報を悪用されるリスクはありますか。

A. NTTドコモの発表では、提供先のアマゾンジャパンが情報を削除済みであり、実際に情報が利用された事実は確認されていないとしています。ただし、電話番号が第三者に一時的にせよ渡っていたこと自体は事実であるため、身に覚えのない連絡が来た場合は注意してください。

IT Postの見方――「同意ボタンが出なかった」で済ませられる話ではない

IT Postでは、NTTドコモが不具合を公表し、対象利用者への案内を進めている対応自体は妥当だと考えます。一方で、今回の一件を「表示上の不具合」という技術的な言葉だけで片付けてよいのかについては、慎重であるべきだと考えます。

個人情報の第三者提供に関する同意は、利用者がサービスの内容を理解した上で選び取る権利そのものです。その確認画面が4か月にわたって表示されなかったということは、その間にオンラインで契約した利用者は、自分の意思とは関係なく情報提供に「同意させられていた」に等しい状態だったことになります。しかも発覚のきっかけが外部からの指摘ではなく、半年近く経ってからの社内での気づきだった点を踏まえると、IT Postでは、大手通信キャリアが提携先サービスとの情報連携機能を新設・変更する際には、同意取得の仕組みが正しく機能しているかを、リリース前後で継続的に検証する体制が必要だと考えます。※個人の感想です

今後どうなりそうか

NTTドコモは、対象となった利用者への案内を進めるとともに、再発防止策を検討していくとみられます。今回参照した情報源の範囲では、具体的な再発防止策の内容や、同様の連携機能における点検状況までは明らかにされていません。IT Postでは、再発防止策の詳細や、他の提携サービスにおける同種の設定不備の有無について、続報が確認され次第あらためて取り上げます。