割賦販売法 第35条の17（改善命令）

解説

カード情報の漏えいが起きると、まず報道されるのは「お詫び」と「被害件数」だ。だが法律の世界で問われるのは別の点である。漏えいが起きたかどうかではなく、守るための措置が国の基準に届いていたかどうか。割賦販売法35条の72は、カード番号を扱う事業者（ECサイトの加盟店、決済代行会社など）に情報管理の措置を義務づけている。本条はそれを裏づける監督権限である。措置が基準に届いていないと経済産業大臣が認めれば、業務の方法の変更などを命じることができる。命令（役所が特定の事業者に直接下す、従う義務のある決定）であるから、違反すれば罰則の対象になる。押さえるべき点は二つ。第一に、命令の引き金は「事故」ではなく「基準不適合」である。漏えいがゼロでも、カード番号を自社サーバーに平文で保存していれば対象になり得る。第二に、命令は「その必要の限度において」と縛られている。過大な命令には、法的に争える足場がある。

法的な位置づけ

割賦販売法35条の73は、クレジットカード番号等取扱業者（前条第一項第二号該当者を除く）が講ずる前条第一項または第三項の措置が同条の基準に適合しないと認めるとき、経済産業大臣がその必要の限度において、当該措置に係る業務の方法の変更その他必要な措置を命ずることができる旨を定める監督規定である。

こんなときに使う

• ネットショップを始めて3年。気づかないうちに決済画面が改ざんされ、入力されたカード番号が外部に送られていた。カード会社から連絡が来た時点で、あなたの店はすでに経産省の監督対象の真ん中にいる
• 経産省から報告を求める文書が届いた。回答期限まであと10日。システム構成図、カード情報の保持の有無、脆弱性診断の記録、すべてを今週中にそろえる必要がある。ここで「把握していない」と答えれば、改善命令への距離は一気に縮まる
• 決済代行会社の担当者として、加盟店から「カード番号を自社DBに残したい、リピート購入が楽になるから」と相談された。応じれば、その運用が基準適合の問題として加盟店側に跳ね返ってくる
• もし、あなたが改善命令を受けた会社の取締役だったら、命令に従わないまま営業を続けると何が起きる？ 罰則の対象になるだけでなく、カード会社との加盟店契約の解除という、売上の蛇口を止められる事態が現実味を帯びる
• 友人が個人で通販サイトを運営していて、「うちは小さいから関係ない」と言う。規模による一律の免除はなく、カード決済を受け付ける時点でクレジットカード番号等取扱業者になり得る

取るべき行動

被害を受けた側：1. カード明細に身に覚えのない請求を見つけたら、すぐカード会社に連絡し利用停止と再発行を依頼する2. 多くのカード会員規約には一定期間さかのぼった不正利用の補償があるため、届出日が重要になる3. 漏えい元の事業者から通知が来たら保管しておく4. 事業者の対応に問題があると感じたら、消費生活センターや経済産業省の相談窓口に情報提供する。本条の命令は当局の権限であり、利用者が直接命令を求める権利ではない点に注意

訴えられた側：1. 報告徴収や行政指導の段階で、カード情報の保持状況、システム構成、診断記録を即座に棚卸しする2. 非保持化（カード番号を自社で保存・処理・通過させない方式）への移行、または国際基準準拠など、基準適合の道筋を具体的に示す3. 弁明の機会では、既に講じた措置と期限つきの改善計画を書面で出し、命令の範囲を必要の限度に絞らせる4. 命令の内容が過大なら、審査請求または取消訴訟を検討する

時効（請求できる期限）：改善命令を不服として争う場合、審査請求は処分があったことを知った日の翌日から3か月以内（行政不服審査法18条）、取消訴訟は処分があったことを知った日から6か月以内（行政事件訴訟法14条）。命令そのものに関する時効の定めはない

学説

通説（行政法）：本条の「必要の限度において」は比例原則の明文化であり、命令の内容は基準適合を回復するのに必要な範囲に限られる。過大な命令は裁量の逸脱として違法となり得る

改正の年表

1. 1.平成28年（2016年） 改正：割賦販売法改正により、加盟店を含むカード番号等を取り扱う事業者に適切な管理措置を義務づける規律が整備された
2. 2.令和2年（2020年） 改正：割賦販売法改正により、カード番号等の適切な管理義務の対象となる事業者の範囲が拡大された