NTTドコモの個人情報第三者提供に関する同意取得不備（2026年）
2026年10月、NTTドコモは、携帯電話の新規契約手続きにおいて、本来必要な説明や第三者提供に関する同意確認が行われないまま、一部の利用者がメッセージサービスを利用できる状態になっていたことを公表しました。
影響件数は約1万6,000件。このうち225件では、サービス利用に伴う情報が提携先企業へ送信されていました。
今回の事例は、外部からの不正アクセスやサイバー攻撃によるものではありません。契約手続きに使用するシステムの不備によって、必要な同意確認が行われなかったことが問題となりました。
個人情報の適切な管理には、情報漏えいを防ぐ技術的な対策だけでなく、利用目的の説明や本人同意の取得など、日常業務における適正な取扱いも重要です。
今回は事件の概要や企業の対応を整理し、個人情報管理における教訓を考えます。
事件の概要
2026年10月4日、NTTドコモは、RCSサービスの利用に関する重要事項説明および第三者提供同意の取得が、一部の契約手続きで実施されていなかったことを公表しました。
RCSとは、電話番号を利用してメッセージを送受信できるサービスで、従来のSMSを発展させた仕組みです。
今回の問題が発生したのは、2026年9月17日から9月25日までの期間です。
ドコモショップや家電量販店、一般販売店などの店頭で、他社からの乗り換え（MNP）によって新規契約した一部の利用者が対象となりました。
通常、RCSの利用にあたっては、サービス内容や利用規約、第三者提供に関する説明を行い、利用者の同意を確認する必要があります。
しかし、店頭手続きシステムの不備により、これらの説明や同意確認の画面が表示されず、同意を取得しないままRCSを利用できる状態になっていました。
公表された影響件数は次のとおりです。
- 重要事項説明および第三者提供同意確認が実施されなかった件数：約1万6,000件
- 上記のうち、RCSメッセージの送受信が行われた件数：225件
225件については、サービス提供に必要な送受信に関する情報が、提携先のGoogle Asia Pacific Pte. Ltd.へ送信されていました。
なお、ドコモは、メッセージ本文は暗号化されており、同社がその内容を閲覧することはないと説明しています。
問題が発生した原因
今回の問題は、店頭で契約手続きを行うシステムの不備によって発生しました。
本来表示されるべきRCSの重要事項説明や第三者提供同意の確認画面が表示されず、必要な手続きが完了しないままサービスが利用可能になっていました。
つまり、個人情報の管理に関する問題が、システムへの不正侵入ではなく、通常の契約業務の中で発生したことになります。
企業では、個人情報を取り扱う際に、利用目的を説明したり、必要に応じて本人の同意を取得したりすることが求められます。
こうした手続きをシステム上で管理している場合、そのシステムが正常に動作していることも、個人情報保護の重要な要素となります。
今回の事例は、個人情報を安全に保管する仕組みだけでなく、取得・利用・提供に至る業務プロセス全体を適切に管理する必要性を示しています。
NTTドコモの対応
NTTドコモは、今回の事象について公式サイトで公表し、対象となる利用者に謝罪しました。
公表資料では、影響が発生した期間や対象件数、原因、第三者へ送信された情報の取扱いについて説明しています。
また、同社は今回の事象を踏まえ、適切なサービス提供と再発防止に取り組む姿勢を示しています。
今回のような事例では、システムの不備を修正するだけでなく、同意取得の状況を確認し、同様の問題が他の手続きでも発生していないかを点検することが重要です。
事件による影響
今回の問題では、約1万6,000件の契約手続きにおいて、必要な説明や同意確認が実施されていませんでした。
ただし、約1万6,000件すべてについて、実際に情報が第三者へ送信されたわけではありません。
ドコモの発表では、このうちRCSメッセージの送受信が行われ、サービス提供に必要な情報が提携先へ送信されたものは225件とされています。
また、メッセージ本文については暗号化されており、提携先が内容を閲覧することはないと説明されています。
今回の問題を考えるうえでは、同意取得に不備があった件数と、実際に第三者への情報送信が行われた件数を区別することが重要です。
一方、情報が第三者に提供される場合には、利用者がその内容を理解し、必要な同意を行える状態になっていることが求められます。
今回の事例は、本人の意思を確認する手続きが、個人情報保護において重要な役割を持っていることを示しています。
この事件から学ぶべきこと
今回の事例から学びたいのは、個人情報保護は情報漏えいを防ぐことだけではないという点です。
企業が個人情報を取得・利用・提供する際には、その目的や提供先などを適切に説明し、法令上必要な場合には本人の同意を取得しなければなりません。
特に、顧客情報を外部のサービスや提携企業と連携させる場合には、情報の取扱いについて十分な確認が必要です。
企業が見直しておきたい項目として、次のようなものが挙げられます。
- 個人情報の利用目的を適切に説明しているか
- 第三者提供に本人同意が必要な場合、その同意を確実に取得しているか
- 同意取得の記録を適切に管理しているか
- システムの不具合によって同意確認を省略できる状態になっていないか
- 新しいサービスの導入時に個人情報の取扱いを確認しているか
- 外部サービスとの情報連携について、提供する情報や目的を把握しているか
- 業務手順やシステムの変更後も、必要な確認が行われているか
これらは通信事業者だけに求められるものではありません。
例えば、医療機関が患者情報を外部システムと連携させる場合や、中小企業が顧客情報を外部のマーケティングサービスに提供する場合にも、同様の確認が重要になります。
個人情報の適正な取扱いを組織として徹底するために
NTTドコモの事例が示しているように、個人情報に関する問題は、外部からの不正アクセスだけで発生するものではありません。
日常業務で使用するシステムの不備や、必要な説明・同意確認の漏れによっても、個人情報の適正な取扱いが損なわれる可能性があります。
そのため企業には、技術的なセキュリティ対策に加え、個人情報の取得から利用、第三者提供、保管、廃棄に至るまで、適切な管理体制を整えることが求められます。
また、こうした取組みを担当者個人の判断に任せるのではなく、組織として継続的に運用できる仕組みにすることが重要です。
個人情報の取扱いルールや管理体制を整え、第三者の視点から確認する方法の一つが、JAPHICマークです。
JAPHICマークは、個人情報保護に関する管理体制を整備し、適切な取扱いを継続するための仕組みづくりに役立ちます。
JAPHICマークで備える安心
JAPHICマークを取得した事業者には、情報漏えい保険（サイバーリスク保険）が自動付帯されます。
- 賠償責任支払限度額：500万円（免責0円）
- 情報漏えい対応費用支払限度額：200万円（免責0円）
（※売上5億円以下は自動付帯、5億円超は任意加入）
取引先からの「個人情報保護の証明」に応えるだけでなく、万が一のリスクにも備えられるのがJAPHICマークの大きなメリットです。
実際の導入を検討されている場合は、以下のページも参考にしてみてください。
▶JAPHICマーク取得支援コンサルティングの詳細はこちら
▶他の記事も読む：JAPHICコラム一覧ページへ
参考資料
株式会社NTTドコモ「【お詫び】RCS利用における重要事項説明および第三者提供同意取得未実施に関するお知らせ」（2026年10月4日）
※本記事はNTTドコモの公式発表に基づき、個人情報の適正な取扱いに関する教訓を紹介することを目的としています。今回の事案は、外部からの不正アクセスによる情報流出事件ではありません。
