LINEは、同社が提供するコミュニケーションアプリ「LINE」の国内ユーザーの日本国外での個人情報の取り扱いに関する報道について、「LINE」に外部からの不正アクセスや情報漏えいが発生していないと発表した。
また、ユーザーの「LINE」でのトークテキストやプライバシー性の高い個人情報（名前・電話番号・メールアドレス・LINE ID・トークテキストなど、それひとつでユーザー個人を特定できるもの、または金銭的被害が発生する可能性があるもの）は、原則として日本国内のサーバーで安全に管理しているという。
しかし、「LINE」の日本国内ユーザーの一部の個人情報に関して、LINEのグローバル拠点から日々の開発・運営業務上の必要性からアクセスを行っていることについて、ユーザーに説明がなかったことについては、謝罪している。
なお、日本国外での個人情報の扱いについては以下のようになっているとのことだ。
コミュニケーションアプリ「LINE」の国内ユーザーの個人情報の取り扱い
1. 国内ユーザーのデータ管理について
LINEのデータセンターは世界複数箇所に存在。「LINE」上のやりとりに関するデータは、大きくトークテキストと画像・動画等に分類されるが、ユーザーのトークテキストおよび会員登録情報などのプライバシー性の高い個人情報は日本国内のサーバーで管理されており、日本の法規法令に基づく同社のデータガバナンス基準に準拠して適切に取り扱っているという。
加えて、画像や動画などのデータは、韓国のデータセンターにて適切なセキュリティ体制のもとで管理が行われているとのことだ。
【日本のデータセンターで保管されているデータ】
トークテキスト・LINE ID・電話番号・メールアドレス・友だち関係・友だちリスト・位置情報・アドレス帳・LINE Profile+（氏名、住所等）、音声通話履歴（通話内容は保存されません）、LINE内サービスの決済履歴 等
【韓国のデータセンターで保管されているデータ】
画像・動画・Keep・アルバム・ノート・タイムライン・LINE Payの取引情報
ユーザー間のトークテキストや通話の内容については暗号化を行っており、データベースへアクセスするだけではデータの中身を確認することはできないとし、これらについては、LINEが開発した「Letter Sealing」というエンドツーエンド暗号化プロトコルを用いて暗号化されているという。
「Letter Sealing」によって暗号化されたテキストは、同社のサーバー管理者であっても閲覧不可となっており、「Letter Sealing」はデフォルトの設定でオンとなっており、ユーザーが明示的にオフにしない限り有効とのことだ。
また、トークテキスト・画像・動画データ等に関しては、前述の「Letter Sealing」の設定状況に関わらず、通信経路上で暗号化してサーバーに送信されるという。
また、画像・動画データについては複数のサーバーにファイルを分散化して保管を行っているとのことだ。
さらに、LINEのセキュリティチームがネットワーク上のトラフィックを常時監視し、LINEの安全性を脅かす可能性のある全ての動きの分析を実施し、即座に必要な対応を行う。
なお、画像・動画を保管するサーバーに関しては、今後の各国の法制度等の環境変化に合わせて、2021年半ば以降、段階的に国内への移転を行う計画を進めているとのことだ。
2. 国内ユーザーのデータへの国外拠点からのアクセスについて
サービスの開発・提供・運営に関しては、各国の拠点やサービス提供者と一体となって対応しているため、海外での開発やモニタリングといった処理が発生することがあるという。
また、国外のグループ会社の拠点や委託先において、一部の機能や内部ツールの開発およびタイムラインとオープンチャットのモニタリング業務を行っている。
各拠点での業務に伴うデータベースへのアクセス権限については、当社のセキュリティ方針に則り、責任者による承認を経た上で適切な権限付与を行い、厳格に管理を行っているという。
さらに、モニタリングにおいては、ユーザーが「公開」設定で投稿したコンテンツおよびユーザー自身が「通報」機能を利用して報告を行ったコンテンツのみが対象になるとのことだ。
3. 今回の報道において言及されている国外での開発・運用業務について
3-1. 各開発・運用拠点における業務内容
中国においては、LINEの子会社LINE Plus Corporationの子会社であるLINE Digital Technology （Shanghai)）Limited（大連）と、NAVER Corporationの中国法人であり、LINEの業務委託先であるNAVER China（北京）の2拠点で開発業務を行っている。
加えて、LINEの子会社LINE Fukuokaの外部委託先（大連）において、一部公開コンテンツおよびユーザーから「通報」されたトークテキストのモニタリング業務を行っているという。
LINE Digital Technology (Shanghai) Limited（大連）では、内部ツール、AI機能、LINEアプリ内から利用できる各種機能の3つの開発業務を実施。
また、中国拠点で開発しているプログラムに関しては、同社管轄下のサーバー、ネットワーク、PC端末等を監視し、不正アクセスを検知できる体制をとっているという。
また、ソフトウェア開発の過程においては、LINEのセキュリティチームによるソースコードのチェックおよびセキュリティテストによって、不正なプログラムの混入を防止する対策を行っているとのことだ。
NAVER China（北京）においては、「LINE」の国内ユーザーのデータは取り扱っておらず、LINEの主要4カ国である日本・台湾・タイ・インドネシア以外のユーザーから「通報」されたトークテキストやLINE公式アカウントおよびタイムラインのコンテンツのモニタリングなどを実施している。
LINE Fukuokaの外部委託先（大連）においては、タイムライン、オープンチャットのコンテンツのモニタリングを実施。
当該モニタリング業務は、タイムラインにおいて約1万8千件/日、オープンチャットにおいては約7万4千件/日の処理を行っているという。
業務は、国内大手業務代行業者のグループ会社の中国現地法人への委託であり、LINE Fukuokaのセキュリティチームにてセキュリティ体制の点検を行っているとしている。
ユーザーのトークのやりとりにおいて発生するスパムを始めとする迷惑行為をLINEが検知するため、ユーザーがトークルーム内から迷惑行為を報告できるよう「通報」機能を提供。
この機能を利用してユーザーが通報を行ったテキストに関しては、ユーザーの端末からサーバーにアップロードされ、アカウント停止等の適切な対応判断のため、暗号化されていない平文のテキストデータでのモニタリングを行う。
ユーザーからの「通報」機能を利用した迷惑行為の報告がない限り、トークのテキストのモニタリングは行わず、トーク内でやりとりされる画像や動画についても同様だという。
なお、国内ユーザーの通報されたトークのテキスト・画像・動画のモニタリングは、LINE Fukuokaにて行っているとのことだ。
タイムラインとオープンチャットについてはLINE FukuokaのみならずLINE Fukuokaの外部委託先（大連）においても行っているという。
3-2. 各開発・運用拠点からのデータアクセスコントロールの強化
LINEでは、国・拠点・職種・業務内容に関わらず、プライバシー性が高いと考えられる情報へアクセスするための権限は、必要最小限の範囲にとどめるべきであるとの考えのもと、各社員からの事前申請を義務付け、責任者の承認を経て発行している。
そのうえで、中国での近年の新法制定や、日本の個人情報保護法の改正等を含む環境変化に合わせた対応、また経営統合を踏まえて個人情報保護にかかる国際的外部認証の取得を検討していく中で、より一層セキュリティレベルを高めるための対応として2021年2月から3月にかけて、アクセスコントロールの強化を実施。
上記の対応においては、LINE Digital Technology Limitedの一部の開発業務でアクセスできた以下のデータへのアクセス権限の削除を行ったという。
これらのアクセス権限は、開発業務においてリリース時の検証または不具合発生時の原因追跡のために、適切に付与されたものとのことだ。
①LINEの捜査機関対応業務従事者用CMSの開発（名前・電話番号・メールアドレス・LINE ID・トークテキスト）
②LINEのモニタリング業務従事者用CMSの開発（通報によりモニタリング対象となったトークのテキスト・画像・動画・ファイル、および、通報または公開によりモニタリング対象となったLINE公式アカウントとタイムラインの投稿）
③問い合わせフォームの開発（名前・電話番号・メールアドレス）
④アバター機能、LINEアプリ内のOCR機能の開発（同機能の利用において明示的に当社のデータ活用についてご同意いただいた顔写真）
⑤Keep機能の開発（ユーザーが同機能を利用して保存したテキスト・画像・動画・ファイル）
4. 「LINE公式アカウント」の開発・運用状況について
4-1. 「LINE公式アカウント」の機能開発業務
日本国内にて提供されている「LINE公式アカウント」の開発・運用に関しては、管理画面やサービスプラットフォームなどは日本国内と韓国にて実施。
またデータについては、「LINE」と同様、ユーザーのトークテキストおよび会員登録情報などのプライバシー性の高い個人情報は日本国内のデータセンター、画像や動画などのデータは、韓国のデータセンターにて適切なセキュリティ体制のもとで管理が行われているという。
Messaging APIを利用して運用されている公式アカウントについては、当該APIを利用するパートナー各社によってやりとりされたデータの保存先が異なるとのことだ。
4-2. 「LINE公式アカウント」に関わるモニタリング業務
「LINE公式アカウント」では、一部のメッセージについて不正監視のためにモニタリングを行っているという。
このモニタリング業務において、「LINE公式アカウント」からの一斉送信メッセージ、タイムライン投稿、プロフィールページはモニタリング対象となるが、以下の条件に当てはまるデータについてはモニタリングの対象外としている。
・チャット、APIを介したトーク、Chatbotへの回答
なお、日本国内の「LINE公式アカウント」のデータはすべてLINE Fukuokaにてモニタリングを行っている。
主要4カ国である日本・台湾・タイ・インドネシア以外のデータは、NAVER Chinaにてモニタリングを実施。
NAVER Chinaから国内の「LINE公式アカウント」のデータへのアクセス権限はないとのことだ。
4-3. 通報対応
ユーザーによって明示的に「通報」が行われた場合は、「通報」前後のチャットのテキストデータのモニタリングを行うという。
この場合も、日本国内のユーザーからの「通報」については、LINE Fukuokaにて行われ、NAVER Chinaからのアクセス権限はない。
今後、各国の法制度等の環境変化に合わせて、さらに先回りした対応や情報開示を実施していくとのことだ。
具体的には、現在、グローバル企業としての開発力における国際競争力を維持することを前提に、国内ユーザーのプライバシー性の高いデータへのアクセスを伴う業務の国内移転を進めているという。
また、データの海外移転に関しては、国名の列挙などを含め、よりユーザーの皆さまにとって明確で分かりやすい説明を行っていくとのことだ。
さらに、グローバルでビジネスを展開する企業として、各種社会情勢などに先回りして対応していくためのデータ・セキュリティのガバナンス体制を強化。
具体的には、セキュリティ・プライバシーの有識者による特別委員会による検証や、米国「NIST」が定めた世界トップレベルのサイバーセキュリティ基準への準拠を進めていくとしている。