個人情報保護法違反でペルーの銀行最大手に罰則適用を発表（ペルー）

ペルー法務人権省傘下の国家個人情報保護局（ANPD）は2024年12月27日付の決議（110-2024-JUS/DGTAIPD）で、銀行最大手のバンコ・デ・クレディト（BCP）に対し、顧客からのクレーム対応時の個人情報の扱いに重大な違法行為が認められたとして、28万9,800ソル（約1,217万1,600円、1ソル＝約42円）の罰金を科すと発表した。2011年に施行された個人情報保護法に基づく罰則適用では、これまで目立ったものはなく、同法の運用が厳格化されるのか、今後の動きが注目される。

ペルーでは消費者保護のため、商品やサービスを提供する事業者は、消費者がクレームを行うためのクレーム台帳を設置することが義務付けられている。事業者が複数の店舗を有する場合には、それぞれの店舗に同台帳を設置する必要がある。台帳は紙製のものに加え、タブレット端末やウェブページなどの電子媒体のものも認められている。

ANPDによると、女性顧客が2022年にBCPのインターネット上のクレーム台帳を利用して申し立てを行おうとした際、銀行側から同行発行の有効なカードのデータ入力を求められた。その際に女性顧客はカードを所持していなかったため、カメラによる顔写真の撮影のほか、独身か既婚かや、性別、生年月日、国民IDカードなどの情報を求められた。この時に撮影した顔写真は、クレーム対応以外の用途にも使用されている行内のデータベースに保存され、共有できる状態にあった。このことについて、ANPDは個人情報保護法（法律第29733号）と同法規則（大統領令003-2013-JUS）に基づき、機微な情報の取得と保持についての重大な違法行為と判断した。

同法によると、機微な情報には、顔写真のような生体的に人物を特定し得るものや、人種、倫理、政治的思想、宗教、収入、労働組合への加入状況、健康や性に関するものがある。

（石田達也）

（ペルー）