au PAY「使えるお店」に個人事業主最大45万人の店舗情報 掲載の認識なく

KDDIは2026年10月20日、スマートフォンの決済「au PAY」が使える店を探せるサイト「au PAYの使えるお店」で、一部の加盟店の情報を、本人が掲載を明確に認識しないまま載せていた可能性があると公表しました。対象は個人事業主の加盟店で、最大45万8508人です。外から盗まれた件ではなく、「規約に同意してもらえば、公開のページに載せてよいか」という、同意の取り方の問題です。

何が起きたか

KDDIのお知らせによると、「au PAYの使えるお店」には、加盟店の店舗名・連絡先・所在地など(店舗情報)を載せていました。加盟店はau PAYの加盟店規約に同意していますが、KDDIは、規約への同意だけでは、加盟店が必ずしもサイトへの掲載を明確に認識していなかった可能性があると判断しました。

KDDIと直接契約した加盟店や、一部の包括代理加盟店(複数の決済の手段を、加盟店がまとめて契約できるサービスを提供する事業者)を経由した加盟店には、契約のときなどに、サイトへの掲載の意向を確かめていたとしています。対象になったのは、それ以外の包括代理加盟店を経由して加盟した、個人事業主の一部です。

対象と件数

個人事業主の店では、店の名前に自分の氏名を使っていたり、所在地や電話番号が自宅や個人の携帯電話だったりすることがあります。KDDIが、個人の氏名と推測される名前の人を別に数えているのは、このためとみられます(当社の見立て)。

時系列

• 時期の記載なし: 包括代理加盟店を経由した個人事業主の店舗情報を、サイトに載せていた
• 2026年8月下旬: サイトのメンテナンスを始める(KDDIの発表)。ITmediaは、日本経済新聞の報道として、きっかけは8月下旬の外部からの指摘だったと伝えている
• 2026年10月20日: KDDIが公表
• 2026年10月21日: サイトは「メンテナンス中」の表示のまま(当社が確認)

ITmediaによると、日本経済新聞と読売新聞は、今回の掲載が個人情報保護法に触れるおそれがあると報じています。判明から公表まで約2か月かかった理由について、KDDIは日本経済新聞に、対象の範囲の確認や加盟店の調査、対応の方針の検討に時間がかかったと説明したとしています。KDDIの発表そのものは、法律との関係には触れていません。

KDDIの今後の対応

KDDIは、加盟店規約を、サイトに店舗情報を載せることをはっきり書く形に直すとしています。また、個人事業主の加盟店は、掲載を明確に認識してもらった場合だけ、店舗情報を載せる予定です。サイトの再開の時期は、まだ決まっていません。

影響する会社・しない会社

• 影響する: 包括代理加盟店(決済の代行会社など)を経由してau PAYの加盟店になっている個人事業主です。自分の店舗情報が載っていた可能性があります。
• 影響する: 取引先や加盟店、会員の店の情報を、自社の公開のページに載せている会社です。同意の取り方が今回と同じ形になっていないかを確かめる機会です。
• 影響する: 包括代理加盟店として、加盟店の契約をまとめている会社です。加盟店に、どこに何が載るかをどう伝えていたかを見直します。
• 影響しない: au PAYで支払う利用者です。今回の公表は、加盟店の店舗情報の掲載についてのものです。
• 影響しない(書かれていない): 法人の加盟店は、対象として書かれていません。

情シスが今日やること

1. 自社の店舗がau PAYの加盟店かを確かめる。 店舗や営業所でau PAYを受け付けている場合、契約がKDDIと直接か、決済の代行会社(包括代理加盟店)経由かを、経理や店舗の担当と確かめます。個人事業主の代理店やフランチャイズの店があれば、そちらにも伝えます。
2. 公開のページに載る情報を確かめる。 サイトの再開のあと、自社の店舗情報がどう載るかを確かめ、載せたくない連絡先(個人の携帯電話など)が出ていないかを見ます。KDDIは、個人事業主は掲載を明確に認識した場合だけ載せるとしています。
3. 自社の「載せる」仕組みを見直す。 取引先の一覧、加盟店や代理店の検索のページ、導入事例など、他社や個人の情報を公開している仕組みを洗い出します。規約への同意だけで載せていないか、載せる項目と場所を相手に具体的に示しているかを確かめます。
4. 個人事業主の情報は個人情報として扱う。 個人情報保護委員会は、登記簿などで公開されている情報でも個人情報であることに変わりはないとしています。個人事業主の氏名や連絡先を載せる場合は、目的と掲載先をはっきり伝え、外す手続きも用意します(当社の見立て)。
5. 代理店や委託先を通した同意を点検する。 今回は、代理店を経由した契約で、掲載の意向の確認が抜けていました。自社でも、代理店や販売店を経由して集めた同意が、直接集めたものと同じ中身になっているかを確かめます。