2つのデータベースで情報漏洩、インディテックスにGDPR制裁金の懸念

ザラの親会社であるインディテックスは、2026年4月16日に大規模な情報漏洩が発生したことを明らかにしました。これは顧客の取引データベースへの不正アクセスによるもので、欧州の厳格な一般データ保護規則（GDPR）に基づき、数十億ユーロ規模の制裁金が科される可能性が浮上しています。

「インディテックスのような消費者向け企業にとって、顧客の信頼失墜は、いかなる制裁金よりも直接的な影響を及ぼす可能性があります」と、独立系小売アナリストのマリア・ロドリゲス氏は述べています。「今後数週間でどれだけ透明性を確保できるかが鍵となるでしょう。」

漏洩は匿名のサードパーティ・プロバイダーで発生し、顧客の取引情報を含むデータベースが影響を受けました。現在、全容を調査中ですが、GDPRでは深刻な違反に対して世界売上高の最大4%の制裁金を認めているため、インディテックスの2025年度売上高359億5,000万ユーロがリスクにさらされています。理論的には、最大で14億4,000万ユーロの制裁金が科される可能性があります。

インディテックスが直面している当面の課題は、技術的な漏洩の封じ込めと、ブランドへのダメージを防ぐための広報管理の2点です。投資家は、影響を受けた顧客数に関する開示内容や、将来の制裁金に備えた見積引当金に注目しており、これらは次回の決算報告における主要な議題となる見通しです。

この事件は、巨大なサプライチェーンとベンダーネットワークが多くの潜在的な脆弱性を生み出している小売セクターにおいて、サードパーティ・リスクが常に脅威であることを改めて認識させるものとなりました。GDPRによる制裁金以外にも、フォレンジック調査、システムの修復、影響を受けた顧客へのクレジットモニタリングなどのコストは数千万ユーロに達する可能性があり、同社の営業利益率を圧迫することになります。

本記事は情報提供のみを目的としており、投資勧誘を目的としたものではありません。