２０１２年
２０１２年７月２５日
２５日
クレジットカード情報 セキュリティフォーラム

Ｐ Ｃ Ｉ Ｄ Ｓ Ｓへの準拠は加速するか
一般社団法人 金融財政事情研究会
月 刊 「消 費 者 信 用」
編 集 長

浅見淳
1

割賦販売法改正のポイント
個別クレジット
個別クレジット個別クレジットに登録制導入行政の権限強化
個別＆特商法の場合は与信契約の書面交付義務
個別＆特商法の場合は加盟店調査義務
個別＆特商法の場合は、従前の抗弁権の接続に加えて、クレジット契約のクーリングオフ、過量販売時の契約解除、加盟店に不正勧誘販売行為があった場合の契約取消の民事ルールを新設し、被害者救済を可能に（過量販売、不正勧誘の場合は与信契約の禁止規定も）
適合性原則（購入者の知識、経験等）

２００９年１２月１日施行

包括クレジット
包括クレジット

割賦定義の見直し
指 定 商 品 ･ 役 務 制廃 止へ返済可能見込額調査義務と過剰与信防止義務
個人信用情報の利用・登録義務

カード
カード情
カード情報の安全管
理義務（理義務（加盟店・盟店・委託先の監督・監督・指導も指導も）

認定割賦協会設立
加盟店情報の提供義務
業務運営の適正化

2

1

割賦販売法の改正とセキュリティ
第三章の四 クレジットカード番号等の適切な管理等（クレジットカード番号等の適切な管理）第三十五条の十六 包括信用購入あつせん業者又は二月払購入あつせんを業とする者（
以下「クレジットカード等購入あつせん業者」という。）は、経済産業省令で定める基準に従い、その取り扱うクレジットカード番号等（クレジットカード等購入あつせん業者が、その業務上利用者に付与する第二条第三項第一号の番号、記号その他の符号をいう。以下同じ。）の漏えい、滅失又はき損の防止その他のクレジットカード番号等の適切な管理のために必要な措置を講じなければならない。
＜２項以下略＞（改善命令）
第三十五条の十七 経済産業大臣は、クレジットカード等購入あつせん業者又は立替払取次業者が講ずる前条第一項、第三項又は第四項に規定する措置がそれぞれ同条第一項、第三項又は第四項に規定する基準に適合していないと認めるときは、その必要の限度において、当該クレジットカード等購入あつせん業者又は当該立替払取次業者に対し、当該措置に係る業務の方法の変更その他必要な措置をとるべきことを命ずることができる。
3

カード番号等の安全管理
個人情報保護法では、氏名等の個人情報と結びついている場合は、クレジットカード番号等も保護対象。
クレジットカード番号等単体の場合は、通常は「個人情報」にすら該当しないため、個人情報保護法で充分保護されない場合も存在する。

改正割販法３５条の１６
経済産業省令で定める基準に従いクレジットカード等購入あっせん業者（イシュアー）＜１項に規定＞
包括信用購入あっせん業者
ニ月払購入あっせん業者（マンスリー ）＜２項に定義＞

立替払い取次業者（アクワイアラー） ＜３項に規定＞

クレジットカード番号等の漏えい、滅失又は棄損の防止その他のクレジットカード番号等の適切な管理のために必要な措置を講じなければならない＜１項、３項に規定＞
クレジットカード番号等保有業者等の適切な管理が図られるよう、経済産業省令で定める基準に従い、クレジットカード番号等保有業者に対する必要な指導その他の措置を講じなければならない。
＜４項に規定＞42

安全管理義務の対象範囲
義務の義務の主体（主体（カード会社カード会社）会社）

指導等の指導等の対象

イシュアー

加盟店

業務委託先

業務委託先

３５条
３５条の１６第１６第４項１号

業務委託先

業務委託先

３５条
３５条の１６第１６第４項３号

アクワイアラー

加盟店

業務委託先

業務委託先

３５条
３５条の１６第１６第４項２号

5

カード会社の義務の詳細（省令）①クレジットカード番号等単体でも、個人情報と同様の安全管理措置を講ずる（保護法、ガイドライン、自主規制に則って）② 漏洩等が発生した場合、不正使用防止策を講ずる③漏洩等が発生した場合、再発防止のために必要な措置を講ずる法改正
正に伴い省令で省令で定

カード会社
カード会社

める主める主な安全管理の安全管理の基準＜事前措置＞① 漏えい等が発生した場合、速やかにクレットカード会社に連絡を取ることが可能な連絡体制の構築、② 当該加盟店に対して、漏えい等の再発防止のために必要な事後措置を講ずることをあらかじめ通知＜事後措置＞• 漏えい等を発生させた加盟店に対して、漏えい等の再発防止のために必要な指導

指導

加盟店
業務委託先

法改正に法改正に伴い省令で省令で定める主める主な指導等の指導等の基準

監督
加盟店の委託先で漏えい等が発生した場合、クレジットカード会社が加盟店に対し行う漏えい等の再発防止のために必要な事後措置を、当該委託先においても当該措置が講じられるよう、加盟店を通じ、指導業務委託先数次委託先も含め、監督する（保護法22条は１次委託先は監督、２次以降は注意を求める）• クレジットカード番号等の一部又は全部の取扱いを委託する場合は、その取扱いを委託されたクレジットカード番号等の安全管理が図られるよう、委託を受けた者（数次委託先を含む）に対する必要かつ適切な監督を行うこと。

63

ＭＥＴＩ「将来像を考える会」
 09年秋、経済産業省の声かけで、主要カード会社のトップが協議 新しい事業戦略を考える趣旨だったが・・・
 数回の会合を行った後、セキュリティに関する問題などをクレジット協会のインフラ部会に投げる
ＷＧ1：本人認証と海外アクワイアラーにおけるトラブル
ＷＧ2：現金化ＷＧ3：ＰＣＩＤＳＳ
ＷＧ4：ＩＣカード化
7「クレジットカード産業の課題（案）」09.11.9
1.カードショッピング
カードショッピング市場及カードショッピング市場及びビジネスモデルの市場及びビジネスモデルの将来
びビジネスモデルの将来
2．
．消費者保護に消費者保護に関する課題
する課題（ａ）セキュリティの（ａ）セキュリティの強化
セキュリティの強化○電子商取引において消費者が安心して安全に用いることができるよう、インターネット上の加盟店のクレジットカードに関するセキュリティの強化を図っていく必要があるのではないか。PCIDSS基準の導入について、どのような取組を行っていくことが求められるのか。中小加盟店のセキュリティ強化のために、より簡易な基準の導入が考えられるか○インターネット上でカード番号と有効期限の入力のみでクレジットカード決済ができることがカード不正利用の被害を拡大させていると考えられるが、電子商取引の推進や利用者利便の確保とセキュリティ保護や消費者保護の双方を両立させつつ、セキュリティ強化の取組を進めていく必要があるのではないか。
○アジア等海外発のクレジットカード、ギフトカード等の偽造問題にはどのような対策が有効か。
（b））加盟店管理○クレジット枠現金化商法など、クレジットカードが消費者に被害を与える商法の手段として悪用されないよ
うに、クレジット業界として加盟店管理の強化をはじめどのような取組みが可能か。
○インターネット上の公序良俗に反する取引について、国際的な連携を図りつつ、悪質加盟店をクレジットカードの取引から排除していくために業界として取り組んでいくことが必要ではないか。
○インターネット上の決済代行業者による加盟店管理上のトラブルが増えてきていると言われているが、決済代行業者をクレジット業界の中でどのように位置付け、規律を働かせていくべきか。
（c））消費者対応（
消費者対応（略）ADRやチャージバックルールの周知方法など
84

ポスト割販法の行政課題は安全・安心
最近の消費者ニーズを踏まえ、消費者を起点にした関係者の取組の方向性を提示できないか。
＜企業の取組と政策の方向性＞
１．製品の製品の安全・安全・安心と安心と使いやすさ
２．快適で快適で便利な便利な消費環境（３）安全・安心で便利なキャッシュレス決済→悪質加盟店対策等の安全・安心を確保する取組、ｲﾝﾀｰﾈｯﾄ決済や多機能携帯等を用いた新たな決済方法に対するｾｷｭﾘﾃｨ向上のための取組、電子ﾏﾈｰの利便性向上のための端末や仕様の共通化を含めた検討などを実施
３．買い物と地域コミュニティ
地域コミュニティ②キャッシュレス決済
キャッシュレス決済の決済の利便性・利便性・懸念点
反面、取引データや個人情報が流出・改竄される恐れがある、非対面取引で消費者が被害にあう恐れがある等の懸念点もある③安全・
安全・安心を安心を確保するための確保するための取組
するための取組
・消費者に対し、適切な与信管理を行っていく
・加盟店管理を徹底すること（現金化業者、決済代行業者）
・消費者教育④セキュリティを向上
セキュリティを向上させるための向上させるための取組させるための取組
・クレジットカード情報の漏洩防止のための体制整備（ＰＣＩＤＳＳ）
・ネット取引における本人確認の更なる強化(3Dセキュア）・ＩＣカード対応

9

非対面取引における不正利用が増加

日本クレジット協会統計より作成

105

セキュリティ強化の両面作戦
加盟店のカード決済システム

ＰＣＩＤＳＳ

３Ｄセキュア
カード情報

３Ｄセキュアについては、２０１２年４月２日に「インターネッ
ト上での取引時における本人なりすましによる不正使用防止のためのガイドライン」を制定

11

PCIDSSに対する関係者の姿勢
 割賦販売法で義務付けられたカード情報の安全管理を徹底するための方法論として経済産業省も奨励
 基準は共通だが、運用は各国際ブランドの裁量なので、イシュ
アー、アクワイアラー、加盟店のスタンスには温度差が目立つ（ビザ、マスターカードは「義務付けている」「しなければならない」、ＪＣＢは「推奨している」。期限についても
ビザは０８年１１月にレベル１加盟店について、アクワイアラーが完全準拠した証明書を１０月年９月までに提出する義務を課したが、マスターカードはレベル１の準拠期限を０５年６月３０日としていた）

 マルチアクワイアリング方式のため、アクワイアラーの姿勢に差があると、加盟店の重い腰も上がらない そもそも加盟店のクレジットカードの処理件数が正確に把握できない。オンアスは国際ブランドには見えない。
 加盟店にしてもカード会社にしても、コスト負担が大きく、経済環境が不安定ななか、踏み切りにくい（米国では、米国最大手レベルの加盟店で準拠時に平均約3億円の投資が必要となった。うち9割は審査費用以外のシステム改修や構築やそれに伴うコンサルティング費用。年間処理件数が600万件を越えるレベ
ル1加盟店においても、平均約1億円以上の投資）
126１０年９月を巡る攻防
対加盟店（対加盟店（アクワイアラー）
アクワイアラー）・ビザが０８年１１月１３日に、ＰＣＩＤＳＳ遵守の義務化に向けたグローバルフレームワークを発表。
年間取扱件数がレベル１加盟店とレベル２加盟店について、アクワイアラーに０９年９月までに、加盟店がオーソリゼーション後にセンシティブデータを保管していないことを確認、報告する義務を課す。
・さらに、レベル１加盟店について、アクワイアラーはレベル１加盟店がＰＣＩＤＳＳに完全準拠した証明書を１０年９月までに提出する義務を課した。
・報告・提出がなかった場合は、アクワイアラーに対し「罰金が科せられることもある」ことを示唆。
対カード会社
カード会社
・ビザは１１年に、新たな業態区分を設定。ビザネットにダイレクトに接続しているカード会社を「ＶＮＰ」（ビザ・ネット・プロセッサー）と定義し、このうち、他のカード会社の受託業務を行っている会社を「メンバーＶＮＰ」とし、１０年９月までの完全準拠を求めた。メンバーＶＮＰに該当するのは、三井住友カード、三菱ＵＦＪニコス、ユーシーカード、クレディセゾンの４社。
・ＶＮＰではあるが、メンバーＶＮＰに該当しない企業はメンバーアクワイアラーＶＮＰと位置づけ、１１年９月を期限に、遵守証明書の取得を義務づけた。このメンバーアクワイアラーＶＮＰに属するのが、イオンクレジット、セディナ、トヨタファイナンスなど６社。
13

ＰＣＩＤＳＳのナショナルプラン
日本クレジット協会は１２年５月３１日に、「日本におけるクレジットカード情報管理強化に向けた実行計画」を公表

147

実行計画の持つ意味
業界統一の計画でブランド間、カード会社間の温度差を解消
国際ブランドの圧力を回避するのが本当の狙いという見方も日本の決済カード産業は、さまざまなソリューションを活用し、創意工夫しながら準拠に近付ける時間を買うことができた逆に実行計画の期限内に実行できなければプレッシャーが高まるおそれも
15

8