しばらく前日本の旅行業界で個人情報漏えい事件があり、大手旅行会社から700万人ほどの顧客情報が盗まれるなど複数の会社が被害にあった。この大手の件では実被害は無かったらしいが、規模の小さなある会社ではクレジットカード番号が盗まれて、お客様に被害が出た。
この会社は地方の運送会社の子会社、事実上会社の一部門と思ってもいいような規模である。運送会社が、旅行会社を子会社にしているケースはいくつもある。モノを運ぶかたわらヒトも運ぶので、事業拡大には適当らしい。規模の小さな会社が、十分にICT投資をできないことや要員を確保できないことは衆知の通り。しかしこの時不幸だったのは、旅行業界が関係者の思っている以上にデジタル依存してしまっていたこと。かなり以前から旅行商品の半分がインターネット経由で販売されていたのだ。
当然中小旅行会社もデジタル対応せざるを得ないが、人を十分掛けられずサイバーセキュリティ対策など難しかったわけだ。その旅行・観光業界だが、昨年末には大手ホテルチェーンのマリオットグループから５億件の個人情報が盗まれたとの報道もあった。
何百万人分というだけでも結構驚くし、対象のお客様への迷惑料は日本では300円／件が相場だというが、それでも１億円を超える「慰謝料」になる。それが、５億件というのはさすがにすごい。一体どのくらいの損失になるのだろうか？
これは日本のホテル業界でも、新しいリスクと認識すべきことだと思う。単に慰謝料というだけでは済まず、欧州のGDPR(general Data Protection Regulation）規制に従えば、欧州の市民の個人情報漏えいには、最大€2,000万（約26億円）の罰金が降ってくる。日欧EPAの発効で日本もGDPR対象国になったから、日本企業にも対岸の火事ではない。
まあ普通の国内産業なら欧州市民の個人情報など持たないでも事業ができるのだが、旅行・観光業界はそうはいかない。日本の旅行・観光業界全体で対処しないといけないことになりそうです。
