誰かが盗んだクレジットカードをあなたの店で使う。カード会員がそれに気づき、警察に届け出て、あなたに書面でこう要求する。不正取引の記録のコピーを送ってください、と。あなたには30日以内に、無料でそれを渡す義務がある。30営業日ではない。弁護士の気が向いてから30日でもない。連邦法により、受領から30日——そして「プライバシー上の理由」は言い訳にならない。法律が明示的にそう定めているからだ。
これはAmazonが徹底的に違反し、連邦取引委員会（FTC）が2026年6月に同社に対して225万ドルの民事制裁金を獲得するに至ったルールであり、この条項の下では史上最高額の制裁金である。そしてこの条項は、Amazonに適用されたのとまったく同じ形であなたのビジネスにも適用される。対価を得て商品やサービスを販売しているなら——つまりビジネスを営んでいるなら——公正信用報告法（FCRA）第609(e)条はすでにあなたを名指ししている。
Amazonが実際に何を間違えたのか
まず、訂正しておく価値がある。この件に関するいくつかの要約は間違っているからだ。この罰金は雇用の身元調査や信用審査とは一切関係がなかった。AmazonはFCRA第609(e)条の下で制裁を受けた。これは、自分の名義で行われた詐欺の背後にある申込書や取引記録を身元詐欺の被害者が入手する権利を定めた法律の部分である。
司法省がFTCに代わってワシントンD.C.の連邦裁判所に提出した訴状によれば、Amazonは「故意に」法律に違反した。アカウントや支払カードの不正について同社に連絡した消費者は、カスタマーサービス担当者から「セキュリティ」または「プライバシー」上の理由で記録を提供できないと言われた。FTC消費者保護局長が「カフカ的な苦行」と呼んだその対応の中で、Amazonは記録を開示する前に、被害者に対して自分の情報を盗んだ犯人を特定するよう要求した——ある事例では、消費者がアカウント上の名前、つまり身元詐欺犯が使った名前を推測しない限り、不正なアカウントに関する記録を共有できないと告げた。消費者は30回試みて失敗した。Amazonはまた、詐欺を調査していた法執行機関への記録提供も拒否した。
この件の2つの詳細は、あらゆる中小企業経営者の心を引き締めるはずだ。第一に、FTC職員は2023年6月に消費者からの苦情を受けた後、Amazonの弁護士に対し、まさにこの条項の順守を検討するよう警告していた。違反は続いた。第二に、Amazonにはこうした要求を処理する書面化された手続きが2025年初頭まで一切なかった——FTCが調査を開始したことを知った後のことである。プロセスの欠如は弁護にはならなかった。それは話の一部だったのだ。和解の一環として、Amazonは身元詐欺の被害者が記録をどのように要求できるかを説明する公開通知を自社ウェブサイトに掲載しなければならない。
2024年にFTCへ110万件を超える身元詐欺の届出が提出され、2025年はそれ以上のペースで推移していることから、被害者の要求があなたの受信箱に届くのは「もし」ではなく「いつ」の問題である。届いたときに法律があなたに何を求めているかを以下に示す。
すべてのビジネスが知るべき30日ルール
第609(e)条は短く、連邦法としては驚くほど簡潔である。
対象となる者。 他人の身元を無断で使用したとされる人物に対して与信を供与し、商品やサービスを販売し、支払いを受け入れ、またはその他対価を得た商業取引を行ったあらゆる事業体。「とされる」に注目してほしい。順守する前に身元詐欺が実際に起きたかどうかをあなたが裁定する権利はない。以下に述べる書類に裏付けられた被害者の主張が、あなたの義務を発生させる。
提供しなければならないもの。 不正とされる取引を証する、あなたの管理下にある申込書および取引記録のコピー——それらの記録をあなた自身が保持しているか、あなたに代わって誰かが保持しているかを問わない。注文記録、アカウント申込書、請求書、領収書、支払承認、取引に紐づく配送先住所などを想定してほしい。法律は、あなたに代わって他人が保持する記録も明示的に含めており、現代の実務では、決済処理業者、eコマースプラットフォーム、POSシステムに存在する記録が、この目的においてはあなたのものとみなされることを意味する。
誰が受け取れるか。 被害者、被害者が要求の中で名指しした連邦・州・地方の法執行機関または執行官、あるいは被害者が記録の受領を許可した、盗難を調査する法執行機関。Amazonが法執行機関への共有を拒否したことは、それ自体が別個の違反だった。
期限。 要求を受領してから30日以内。
価格。 無料。法律は記録を「無償で提供しなければならない」と定めている。
要求の形式。 書面であること、あなたが指定した住所があればそこへ郵送されること——これは、要求が届いてからではなく今すぐ連絡窓口を指定しておくべきもう一つの理由である。あなたが求める場合、被害者は取引を見つけるのに役立つ関連情報を含めなければならない。日付、アカウント番号や取引番号、その他の識別情報だが、被害者が知っているか容易に入手できる場合に限る。この限定を注意深く読んでほしい。「知っている場合」が実際に効いている。記録の所在特定を助けてもらうよう求めることはできる。しかし、詳細を提供できるかどうかを被害者の義務の前提条件にすることはできず、ましてやAmazonのように犯人を名指しするよう要求することは絶対にできない。
被害者があなたに示さなければならないもの
法律はあなたの門戸を大きく開け放っているわけではない。何かを渡す前に、被害者はあなたが選ぶ形式で2つのものを提供しなければならない。
-
身元の証明。 あなたの選択により、政府発行の身分証明書、無断で身元を使用した人物があなたに提供したものと同じ種類の個人識別情報、または新規申込者や新規取引に対してあなたが通常要求する種類の識別情報。
-
身元詐欺の主張の証明。 あなたの選択により、主張を証する警察の報告書のコピーと、適切に記入された標準的な身元詐欺宣誓供述書——FTCのIdentityTheft.govの手続きで生成されるようなもの——、またはあなたが受け入れ可能と判断する別の事実に関する宣誓供述書。
唯一の例外として、被害者が誰であるかを高い確度で既に把握している場合は、本人確認を省略できる。実務では、毎回標準的な書類一式を求め、要求書自体とともに受け取ったもののコピーを保管しておくことだ。一貫したチェックリストは両面であなたを守る。なりすまし者への開示を防ぎ、すべての要求者が同じ扱いを受けたことを記録する。
通用しない言い訳
Amazonの件が有用なのはまさに、225万ドルのコストをかけて、どの拒否が通用しないかを示しているからである。
「プライバシーとセキュリティのため共有できません。」 法律はこの異議を予期し、あらかじめ退けている。通常は第三者への顧客情報の開示を制限する金融プライバシー規定を、被害者への開示を拒否するために使うことはできない。議会は2003年に、自分の名義で行われた詐欺に関する記録を見る被害者の権利が、ビジネスのプライバシーへの反射的本能を上回ると判断したのだ。顧客のメールや電話に対応するすべての人に、この点を具体的に訓練すること。「プライバシー上の理由でアカウントの詳細は共有できません」は、そうでなければまさに正しい反射的反応なのだから。
「まず身元を盗んだのは誰か教えてください。」 被害者はほとんど定義上、自分の身元を誰が盗んだかを知らない人物である。開示を犯人の特定にかからせることは、30日の義務を不可能な義務に変える。だからこそ規制当局はそのように表現したのだ。
「もっと時間が必要です。」 受領から30日が期限である。チャージバック、処理業者との紛争、社内の不正審査はそれぞれ独自の時間で動く。そのどれもこの時計を止めない。
「記録手数料がかかります。」 コピーは無料である。調査費も、複写費も、事務手数料もない。
「記録は当社ではなく処理業者が保持しています。」 あなたに代わって他人が保持する記録は明示的に対象に含まれる。取引データがStripe、Square、Shopify、または銀行のマーチャントポータルにあるなら、それを取得するのはあなたの仕事である。
拒否が認められる場合
法律は絶対的なものではなく、境界を知ることは義務を知ることと同じくらい重要である。条項が実際には開示を要求しない場合、本人確認資料を検討した後もなお要求者の身元について高い確度が得られない場合、要求が事実の不実表示に基づく場合、または要求された資料が取引記録ではなくインターネット上のナビゲーションデータ——ウェブサイトやオンラインサービスへの訪問に関する閲覧履歴——である場合、ビジネスは誠実に拒否することができる。
法律には積極的な抗弁も明記されている。執行措置に至った場合、利用可能な事業記録を合理的に尽力して調査したこと、および要求された記録が存在しないか合理的に入手可能でないことを示せば、請求を退けることができる。この抗弁が何を報いるかに注目してほしい。本物の、記録された調査である。「調べなかった」と「調べるプロセスがない」はその正反対だ。
誠実に順守するビジネスを守る2つの盾がある。第一に、いかなるビジネスも、この条項の下での誠実な開示について、いかなる法律の下でも民事責任を負わされることはない——つまりプライバシーへの懸念はまったく逆方向に働く。順守は保護され、拒否は罰せられる。第二に、この条項は新たな記録保持義務を生じさせない。通常の業務過程や他の法律の下で保持しない記録を取得・保存・維持することを要求しない。あなたがすでに持っている記録だけを規律する。
要求が届く前にプロセスを構築せよ
Amazonの最も応用可能な教訓は最も安価なものである。今すぐ手続きを書き留めよ。1ページのプロセスは225万ドルの場当たり対応に勝る。あなたのプロセスには少なくとも以下を含めるべきだ。
- 指定住所と責任者。 書面による要求の宛先——郵送先住所または監視された受信箱——を公表し、処理責任者を指名する。法律は要求を郵送すべき住所を指定することを認めるが、それは実際に指定した場合に限る。
- 本人確認書類一式。 政府発行の写真付き身分証明書、警察の報告書、記入済みの身元詐欺宣誓供述書を、毎回同じ方法で要求する。
- 30日の時計。 各要求の到着日を記録し、期限を書き留める。営業日ではなく暦日で。
- 検索マップ。 取引記録がシステムごとにどこにあるかを書き留める。処理業者のダッシュボード、eコマースのバックエンド、POSのエクスポート、会計ファイル。検索マップは、慌てふためいた対応を10分の作業に変えるものだ。
- 対応ログ。 何が要求され、何が確認され、何が、いつ、誰に送られたか。規制当局がいつか尋ねてきたら、このログが合理的な尽力の証拠となる。
- 条件なしのルール。 手数料なし、被害者に犯人を特定させる要求なし、確認済みの被害者やその指定する法執行機関への「プライバシー」を理由にした拒否なし。
年に一度、バックアップの手順を見直すのと同じように、このページを見直すこと。身元詐欺の件数は増え続けており、FTCは609(e)の事案を記録的な制裁金まで進めることを今や示している。
あなたの帳簿がコンプライアンス・ファイルになる
ここがあなたの簿記に直接関わる部分である。上記の検索マップは、基礎となる記録がしっかりしているからこそ機能する。609(e)の要求は、特定の取引を証するあらゆる記録を提示するよう求める——つまり、取引データが、数か月後でも注文、アカウント、顧客、日付で検索可能でなければならない。帳簿が個々の注文へのリンクを持たない処理業者の支払記録の束に過ぎないビジネスは、どれほど意欲があっても30日で答えられない。
これは、処理業者のダッシュボードを帳簿代わりにせず、自前の台帳を保持する静かな論拠の一つである。各販売が注文識別子とチャネルをメタデータとして記録されていれば、係争中の取引の全記録を引き出すのは発掘作業ではなく単一のクエリになる。Beancountでは、トランザクションのメタデータがまさにこの役割を果たす。
2026-01-02 open Assets:Checking:Operating USD
2026-01-02 open Income:Sales:Online USD
2026-01-02 open Expenses:Chargebacks:Fraud USD
2026-03-14 * "Online order #48210" "Card payment - J. Rivera"
order-id: "48210"
channel: "online-store"
Assets:Checking:Operating 189.99 USD
Income:Sales:Online -189.99 USD
2026-03-20 * "Chargeback - order #48210" "Issuer fraud dispute"
order-id: "48210"
Assets:Checking:Operating -189.99 USD
Expenses:Chargebacks:Fraud 189.99 USD販売と後日のチャージバックの両方に注文識別子があれば、1つのクエリで完全な証跡——販売、反転、日付、金額——が数秒で浮かび上がる。それが609(e)対応記録の形である。あらゆる取引がその元の文書まで追跡可能で、あらゆる反転がその原本にリンクしている。現在の帳簿がそれができないなら、修正はコンプライアンス上の見返りを伴う簿記のプロジェクトであって、その逆ではない。仕組みを知りたい読者は、/docs/でクエリのドキュメントを見つけられる。
別のFCRA義務:雇用の身元調査
この件がしばしば誤って説明されるため、求職者に対して身元調査や信用調査を行う雇用主のために簡単に説明しておく。それは確かにFCRAの義務だが、法律の別の部分にあり、第609(e)条とはまったく異なる仕組みである。FTCとEEOCの共同の雇用主向けガイダンスによれば、経歴情報を収集する事業を営む会社から報告書を取得する前に、報告書を取得する可能性がある旨を明確な書面による開示として（単独の文書で）応募者に渡し、書面による承認を得なければならない。その後、採用しないなど、報告書に基づいて不利な措置を取る場合は、まず報告書のコピーとFCRA上の権利の要約を添えた不利措置前の通知を提供し、合理的な期間待ってから、報告会社の連絡先と応募者の異議申立ての権利の説明を記載した最終的な不利措置通知を送らなければならない。
2つの義務、1つの法律、正反対の方向。第609(e)条は詐欺被害者に渡す記録についてであり、雇用に関する規定は応募者について受け取る報告書についてである。一方をもう一方を引用して満たすことはできない。
避けるべき間違い
- 被害者の要求を顧客からの苦情として扱う。 それは30日の時計を伴う連邦法上の要求であり、サポートチケットではない。届いたその日に指定の責任者へ回すこと。
- 最前線のスタッフに回答を自由に任せる。 「プライバシー上の理由で共有できません」は自然な反応であり、違法な反応である。スタッフに台本を渡すこと。受領を確認し、本人確認書類一式を要求し、日付を記録する。
- 自社のシステムだけを検索する。 あなたに代わって保持される処理業者、プラットフォーム、POSの記録も対象である。検索マップにはそれらを含めなければならない。
- 法執行機関からの要求を放置する。 被害者が指定または許可した機関は被害者の立場に立つ。それを拒否することは被害者を拒否することである。
- 中小企業は免除されると仮定する。 第609(e)条には企業規模に関する規定は一切ない。カードを取り扱う街角の店も、兆ドル企業と同じ義務を負う——そして今回は、それを示すために代償を払ったのがその兆ドル企業のほうだった。
最後の有用な一歩は小さなものだ。白紙のページを開き、プロセスのセクションにある6つの箇条書きを、あなたのビジネスの実際の名称と住所を記入して書き、封筒が届いたときに見つけられる場所に保存せよ。30日は受領から始まる。そして苦しむビジネスは、決して準備したビジネスではない。
