要約

  • DoorDash が2019年9月に公表した通知は、外部サービス提供者の一社が保管していた情報への不正アクセスを記述し、顧客・Dashers・加盟店あわせておよそ490万人が影響を受けたとしていた。同社はシステムを保護し、セキュリティ手順を強化し、該当者に通知したと述べている。
  • 2024年2月のカリフォルニア州の和解は、加州消費者プライバシー法（CCPA）と加州オンラインプライバシー保護法（CalOPPA）に基づく、同社自身の販売・告知慣行に関する主張を解決したもので、2019年の事案とは無関係だ。
  • 書くべきは「間に取引先がいた」ことではない。公開記録が、失われた管理を誰が持っていたのかを最後まで示さず、ましてやその境界が修復され、修復されたままである証拠を一切出していないことだ。

一文が二つの仕事をしている

2019年9月の通知は、データの種類について異例なほど具体的だった。氏名。メールアドレス。配送先住所。注文履歴。ハッシュ化されたパスワード。一部については顧客の支払いカード下四桁。規模も具体的で、顧客・Dashers・加盟店を合わせておよそ490万人（この発表に基づいて整理された事案の記録）。

そして、以後ずっと説明責任の物語を背負ってきた一文が続く。アクセスは DoorDash の外部サービス提供者の一社で起きた、と。

この一文は、データがどこにあったかについて正直だ。管理がどこで破られたかについての記述ではない。両者は別の事実であり、別の会社が握り、別のログでしか証明できない。取引先を介した漏えいが繰り返されるなかで、広報の現場はこの二つを畳み込むことを覚えた。畳み込んだ方が弁明しやすいからで、管理の持ち主を名指しするのは弁明にならない。

この通知を結論ではなく主張として読むと、問題の形が見えてくる。

宅配プラットフォームとは、アプリの皮をかぶった調達組織である

DoorDash はその提供者を選び、条件を交渉し、アクセス権を与え、請求書を払い、顧客との関係を保持した。配送先住所が提供者の表に座っていた当人は、提供者と何の関係も持っていない。その人にあったのはアプリとの関係で、アプリにはサプライヤーがいた。

したがって事業者は、サプライヤーが持たないもの、すなわち公的な義務を保持する。漏えいが公になったとき、490万人に説明を負っていたのは DoorDash であり、次の一手を負っていたのも DoorDash だった。対応についての自社の説明のなかで、同社はシステムを保護する措置を講じ、セキュリティ手順を強化し、影響を受けた個人に通知したと述べている（同じ事案の記録）。

これは活動の一覧だ。管理マトリクスでも、根本原因の所見でも、独立した検証の結果でもない。この区別が効くのは、サプライヤーの環境で起きた漏えいこそ、事業者の「保証」の仕事が、修復が本物かどうかを決める場面だからだ。自社の外周を固めても、他人のテナントに住む弱点には何の効果もない。他人のテナントを確かめるのは別の技能で、費用も違い、残る紙も違う。

カリフォルニアが実際に追ったもの

2024年2月、カリフォルニア州司法長官は DoorDash との和解を発表した。主張の根拠は加州消費者プライバシー法と加州オンラインプライバシー保護法で、内容は消費者の個人情報を販売する際に告知も拒否の機会も提供しなかったというもの、加えて同社のデータ慣行に関する差止条項だった（司法長官の発表、当時の訴訟報道）。

発表された金額は本稿では採らない。司法長官の発表とその報道は同じ文書を互いに両立しない言葉で説明しており、本稿のために保存したどの文書にも、金額について発行元自身の文言は入っていない。同じ発表を三度読んで三つの数字が出るなら、それは証拠ではなく、プレスリリースの付いた丸め誤差だ。

興味深いのは金額ではなく、対象だ。カリフォルニアが追ったのは、DoorDash が自社のデータ販売をどう説明していたかである。サプライヤーが2019年に DoorDash のデータに対して何をしたかではない。本稿のために確認した2019年の開示記録とカリフォルニアの二文書のなかに、あの事案に紐づく制裁金、命令、義務、契約上の回収は一件も現れない。

これはごく小さな文書群についての限定的な観察であり、どこかで何も起きなかったという主張ではない。秘密和解はある。保険による回収もある。私的な請求もある。どれも記録には入っていない。引き出しが一つ欠けた記録は、空の記録とは別物だ。

なぜこの分離が本題なのか

日程の限られた規制当局は、企業自身が公表した文書で立証できる違反を追う。「私のデータを売ったのに知らせなかった」は、プライバシーポリシーと突き合わせられる文だ。「あなたのサプライヤーの環境には2019年夏に管理の欠陥があった」は、他人のログ、他人の協力、そして推定管理責任という法理を必要とする。手紙を送り終えた企業に対して、そこまで訴訟に踏み切りたい当局は少ない。

だからインセンティブは逆を向く。通知は安く、速く、法律上必要で、物語として制御できる。手紙一通、謝罪一言、約束一つ。保証は高く、遅く、ほとんどの土地で法的に任意で、物語としては危険だ。書面で間違っていると分かる文書を生むからである。

本媒体は、事案が新しいうちに何が漏れたかを扱い、2026年7月にもう一度扱った。残っている問いは、490万人についての記録に何が書かれていたかではない。その境界について会社自身の記録に何が入っているべきか、そして社外の誰かが修復と広報の一文を見分けられるのか、である。

決着をつける六つの物証

サプライヤーとの境界が本当に修復されていたなら、六つの対象が存在したはずだ。どれも文書であり、著者と日付と読者を持つ。

範囲の記録。 どの提供者か、どのサービスか、触れたシステム、関与したデータの種類、その下の再委託先。全文公開でなくてよいが、規制当局、監査人、保険者が読める形であること。

管理の所有権マトリクス。 境界上の各管理——アクセスレビュー、暗号化、ログ、アラート、資格情報の管理——について、それを保有する企業と、その企業内の責任者。 「セキュリティはベンダーの責任だった」はマトリクスではない。主語を備えた言い訳である。

事案に紐づく根本原因の所見。 アクセス経路、止めるべきだった管理、止まらなかった理由。カテゴリではなく仕組みを名指しする所見。

是正措置の台帳。 各措置、担当者、実施日、そして独立した検証がそれを確認したか。日付が台帳と願望リストを分ける。

歯のある契約条項。 測定可能な通知期限、拒否されても存続する監査権、金銭的帰結を伴う是正期限、そして現に行使されたか信用できる形で突きつけられた交代・解除の経路。

再検証。 同じ管理を、後日、最初の報告書を書いた人に報告しない誰かが検証する。漏えい後の一度のきれいな検証はデータ点だ。一年後のきれいな検証は管理である。

2019年の漏えいについて、これらは一つも公表されなかった。一部は非公開で存在するかもしれない。公表されていないことが所見であり、それは「ベンダーが悪い」という通説より狭く、はるかに使える。ベンダーに非があったかもしれない。社外の誰にも分からない、というのがまさに問題だ。サプライヤーの失守と事業者の統治の失守を見分けられない公衆は、どちらにも値段をつけられない。

次の通知が答えるべきこと

通知はメッセージだ。管理は物証だ。2019年の通知は、490万人に対して、自分についてのファイルに何が書かれていたかを伝えた。ファイルを失った組織が自分の境界を説明できるのか、ましてや直せるのかは伝えていない。そして記録はそれ以降、読者が確かめられる形では一頁も増えていない。DoorDash はBTW のディレクトリにリスクと説明責任の事例として載っている。

次の開示の基準は、サプライヤーを名指しするかどうかであるべきではない。名指しは礼儀であり、進行中の調査と衝突することがある。基準は、事業者が戻って見たことを証明できるかである。誰が管理を持っていたか、何が変わったか、いつ検証したか、検証が何を見つけたか。どんな会社もそれを約束できる。材料を持つ会社だけがそれを示せる。