au PAYの「使えるお店」、個人事業主の店舗情報を本人の認識なく載せていた可能性 最大45万8,508人分 KDDIが公表

KDDIは2026年10月20日、スマートフォンの決済サービス「au PAY」が使える店を地図で探せるサイト「au PAYの使えるお店」に、一部の加盟店の情報を、本人が掲載をはっきり分からないまま載せていた可能性があると発表した。対象は個人事業主の最大45万8,508人分で、店舗名や連絡先、所在地などが載っていた。

何が起きたのか

KDDIの発表によると、「au PAYの使えるお店」には、加盟店の店舗名、連絡先、所在地などを載せている。加盟店は、契約のときに「au PAY加盟店規約」に同意している。

ところが、規約に同意してもらっただけでは、加盟店がサイトに載ることを必ずしもはっきり分かっていない可能性があることが分かった。ITmedia NEWSによると、規約には、サイトに載せることがはっきり書かれていなかった。

KDDIと直接契約した加盟店や、一部の代理店を通じて契約した加盟店には、契約のときなどに、サイトに載せてよいかを確かめていたという。

だれが対象なのか

包括代理加盟店は、クレジットカードやQRコード決済など、いくつもの決済の手段を、店がまとめて契約できるようにする事業者だ。小さな店でも、こうした事業者を通じれば、いくつもの決済にまとめて加われる。

個人事業主は、自宅を店や事務所にしていることもあり、店の所在地や連絡先が、その人の住所や電話番号と重なる場合がある。店舗名が本人の氏名なら、名前と住所が結びついて見えてしまう(TECHNOVAの見方)。

KDDIの対応

KDDIは、次のように対応するとしている。

• 規約を直す: 「使えるお店」のサイトに店舗情報を載せることを、規約にはっきり書く方向で直す
• 載せる人を絞る: 個人事業主の加盟店は、サイトへの掲載をはっきり分かってもらった場合だけ載せる
• サイトは停止中: この件を受けて、2026年8月下旬からサイトをメンテナンスで止めている。再開の時期は決まっていない

ITmedia NEWSによると、日本経済新聞は、8月下旬に外部からの指摘で分かったと報じた。分かってから発表まで約2か月かかった理由について、KDDIは同紙に、対象の範囲の確認や加盟店の調査、対応の方針の検討に時間がかかったためと説明したという。

かんたんに言うと

お店の会員になるときに長い規約に同意したら、知らないうちに自分の名前と住所が、お店の地図に載っていたかもしれない、という話だ。規約に「地図に載せます」とはっきり書いていなかったので、同意しただけでは、載ることを分かっていたとは言えない、とKDDI自身が認めた形だ。

日本ではどうなるのか

個人情報保護法は、個人のデータをほかの人に渡すときに、原則として本人の同意を前もって得ることを求めている。ITmedia NEWSによると、日本経済新聞や読売新聞は、今回の掲載がこの法律に触れるおそれがあると報じた。KDDIの発表は、法律との関係には触れていない。

au PAYで支払う側の利用者にとっては、「使えるお店」のサイトが止まっていて、使える店をサイトで探せない状態が続いている。

まとめ

KDDIは、au PAYの「使えるお店」のサイトに、個人事業主の最大45万8,508人分の店舗情報を、本人が掲載をはっきり分からないまま載せていた可能性があると発表した。うち最大4,417人は、個人の氏名とみられる名前が店舗名として載っていた。サイトは8月下旬から止まっており、KDDIは規約を直して、掲載をはっきり分かった個人事業主だけを載せるとしている。