Government Accountability Office（GAO）の新たな報告書は、米国民の退職年金プランが、金融商品やサービスの販売に利用できる個人情報を共有または販売している可能性があると警告し、日常的なプラン運営の裏側で機微なデータが扱われている実態を浮き彫りにした。

GAOによると、401(k)や同様の口座を含む雇用主提供の退職年金プランには1億2600万人超の米国人が加入しており、これらのプランの資産総額は9兆ドルを超えている。

これらのプランは通常、外部の金融サービス提供者によって運営されている。報告書は、雇用主が、投資管理や拠出金処理を担う資産運用会社、給与計算業者、記録管理会社などと、一部の個人識別情報を共有していると説明した。

雇用主がこうしたサービス提供者に提供する個人データには、生年月日、Social Security number、口座番号、残高などの情報が含まれる場合がある。

GAOは、サービス提供者がそのデータを金融商品の販売に利用できるほか、場合によっては第三者に販売することもあり、意図しない開示のリスクが高まると指摘した。

GAOの分析では、31のサービス提供者のプライバシー開示を確認した。そのうち29社は、データ共有を明示的に認めていたか、または参加者データをマーケティング目的で共有できるかどうかを明記していなかった。

さらに、31社のうち17社は、参加者データをデータブローカーやその他の第三者に販売する能力について制限を設けていなかった。

加えて、31社のうちプラン参加者にデータ共有のオプトアウトを認めるプライバシー開示を行っていたのは12社のみだった。

GAOは、労働省が退職年金プランの参加者、スポンサー、サービス提供者向けに、データプライバシーに関する追加指針を示すべきだと勧告した。

特にGAOは、労働長官が「参加者情報のうち何が私的情報とみなされるべきか、またサービス提供者がこの情報を使用または共有する前に書面による許可を得るべき状況を明確にすべきだ」と述べた。

GAOはさらに、「そのような指針は、実行可能な範囲で、個々の参加者に対して、個人情報がどのように使用、販売、共有され得るかについて選択肢を与えるためのベストプラクティスも示し得る」と付け加えた。

労働省はGAOの分析に対する回答で、「プランの参加者および受給者の個人情報を適切に保護するという目標を全面的に支持する」と述べたが、報告書の勧告には賛成も反対もしなかった。

同省は、2021年のサイバーセキュリティに関する指針に言及し、その中でデータプライバシーが、プラン参加者に対するサービス提供者の受託責任の一部として議論されており、契約には私的情報を保護する義務を明記すべきだとされていると指摘した。

労働省は、2021年の指針によって受託者に対し、契約にデータプライバシーの考慮を含める義務があることは明確になっていると考えている一方、資源が許す限り、「勧告に沿った補足的指針を発出すべきか、または発出できるかを慎重に検討する」と付け加えた。

MOST AMERICANS STILL TRUST FINANCIAL ADVISORS OVER AI TOOLS FOR MAJOR MONEY DECISIONS, STUDY FINDS

AMERICANS' 401(K) BALANCES HIT RECORD LEVELS IN 2025

FIDELITY ESTIMATES RETIREES WILL SPEND $185,500 ON HEALTHCARE AND MEDICAL EXPENSES IN RETIREMENT