6月5日、読売新聞の夕刊が「楽天が上新電機を含む複数の出店企業に商品購入者などのクレジットカード番号とメールアドレスを1件10円で提供していた」と報じた。
楽天はこれに対して、「楽天市場からのお知らせ」の中で「上新電機様をはじめ9社の企業様に対しては、お客様が購入されます買い物かごのステップで、『例外的にクレジット番号の開示を受け、独自に決済処理を行なっております。詳しくはこちら』というお断りをさせて頂いた上で、店舗様において独自に決済を行なっております。」と説明し、「個人データ提供は規約で説明しており問題ない」という立場を示している。
しかし、楽天は2005年、楽天市場への出店企業元従業員が不正アクセスをし、個人情報36239件・クレジットカード番号1万件が流出するという事件を受け、それまで企業側に提供をしていたカード番号とメールアドレスの提供をやめ、商品発送に必要な「住所」「氏名」「電話番号」に限定する方針を打ち出していた。
いくらサイト上の規約で断り書きがあるとは言え、一度は店舗へ提供しないと公式に発表している以上、今回の情報提供は利用者にとって「寝耳に水」のはず。誤解を与える対応だと言っても過言ではない。楽天は、サイト上の規約の断り書きだけで、利用者への十分な説明責任を果たしていることになるのだろうか。
配慮に欠ける楽天の説明
個人情報保護法は、「個人情報取扱事業者は、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならない」と定めている（同法23条1項）。しかし、何をもって「同意」とするのかは具体的に定められているわけではない。
楽天は、個人情報保護方針の「5．個人情報等の取り扱いについて」のなかで、「その取引に必要な範囲で、お客様の個人データをサービス提供者に提供します」と説明し、個別の同意がなくても利用すると断っている。
