要点：2026 年 10 月 6 日、Absher は携帯電話番号の変更がアプリ内で 5 つのステップで行われ、その最後が生体認証であると説明しました。これに対し、多くの企業では顧客の番号が WhatsApp のメッセージや電話一本で変更されています。しかし、あなたのシステムにおいてその番号は単なる連絡先ではありません。ログインコード、請求書、取引明細が届くアカウントの鍵なのです。確認せずに変更すれば、アカウントを他人に渡してしまうかもしれません。古いまま放置すれば、顧客の請求書が見知らぬ人に届くかもしれません。個人データ保護法施行規則第 22 条は、更新のたびに確認、記録、通知を求めています。

Absher はどのように携帯電話番号を変更するのか？

Absher は公式 X アカウントで手順を公開しました。手順はアプリ内で、ログイン前に始まります：

  1. ログイン前に「デジタルアイデンティティ管理」を選択します。
  2. 「携帯電話番号の変更」を選択します。
  3. ID 番号と生年月日を入力します。
  4. 新しい携帯電話番号を入力し、「携帯電話番号の変更」を選択します。
  5. 生体認証を完了して変更を確定します。

2025 年 1 月にユーザーへ返信した際、Absher は、新しい番号があなたの名義で登録されていればアプリ内で変更でき、そうでなければセルフサービス端末で行うか、旅券局または民事局の登録・有効化担当窓口を訪れて行うと説明していました。サービス画像に表示されている同じメニューには「デジタルアイデンティティの一時停止」というオプションもあります。

経営者の視点で手順を読むと、Absher が新しい番号を受け付ける前に答えている三つの問いが見えてきます。あなたは誰か（ID 番号と生年月日）、本当にアカウント保有者本人か（生体認証）、新しい番号はあなたのものか（あなたの名義で登録されているか、そうでなければ対面で確認）です。公開された手順には旧番号へのコード送信は出てこないため、確認は以前の電話ではなく本人に基づいています。番号を変更する人は旧番号をなくしていることが多いので、理にかなっています。

顧客の携帯電話番号はアカウントの鍵である

POS システムからオンラインストア、ポイントプログラムに至るまで、多くのシステムでは携帯電話番号に連絡手段をはるかに超えるものがぶら下がっています：

  • アクセス：SMS で送られる認証コードさえあれば、顧客はアカウントに入れます。
  • お金：ウォレット残高、ポイント、場合によっては与信限度額。
  • 書類：WhatsApp で送られる請求書、取引明細、見積書。
  • 回収：支払いリマインダーと未払い金額。

そのため、番号変更は二つの形で失敗します。一つ目は確認せずに変更することです。誰かが電話をかけてきて、自分は顧客本人で新しい電話を持っていると言い、従業員が登録情報を更新すると、ログインコードは残高やポイントとともに詐欺師のもとへ届くようになります。二つ目は一度も変更しないことです。顧客があなたに知らせずに旧回線を手放し、その請求書や取引明細が、今は他人のものかもしれない回線に届き続けます。

旧番号は今や他人のものかもしれない

電話回線はいつまでも持ち主のもとにあるわけではありません。通信・宇宙・技術委員会が定め、決定 1-195-2025 により改正された「固定・移動サービス間の番号ポータビリティ規則」は、第 4-14 項で、ポートされた番号のサービスが解約された場合、事業者はその番号を 90 日間保持し、その間は同じ利用者にのみ再発行でき、その後は元々割り当てられていた事業者へ返還すると定めています。第 4-13 項は、事業者が利用者によるポート済み番号の他の利用者への譲渡を受け入れることを認めています。

実際には、顧客が数か月前に手放した回線は今日もはやその人のものではないかもしれず、それを知らないシステムはそこへ送信し続けます。古い連絡先データを保持し続けることは些細な事務ミスではありません。顧客のデータが見知らぬ誰かへ流れ出る扉なのです。

PDPL 施行規則は何を求めているか？

個人データ保護法は 9/2/1443H 付の勅令第 M/19 号により制定され、Umm Al-Qura に掲載されたその施行規則は、第 7 条でデータ主体が訂正を求める権利を定めています。第 22 条は訂正を三種類に分けています。誤ったデータの訂正、不完全なデータの補完、古いデータの更新です。新しい携帯番号は三つ目にあたります。訂正にあたり、管理者、つまりあなたの会社は次の四つを行わなければなりません：

  • 必要に応じて裏付け書類を確認し、データが正確で健全であることを確かめる。
  • 顧客データを共有している配送会社など、データを開示した相手に遅滞なく通知する。
  • 訂正が完了したらデータ主体に通知する。
  • データに加えたすべての更新を記録する。

同条はさらに、データが誤っておりそれがデータ主体に損害を与えるおそれがあると判明した場合は、データが更新されるまで処理を停止しなければならないこと、データが古くなったと知った時点で遅滞なく訂正しなければならないこと、データの正確性と最新性を定期的に見直さなければならないことを定めています。

規則第 1 条は、個人データ侵害を、故意かどうかを問わず、個人データの開示、損傷、または不正アクセスにつながるあらゆる事象と定義しています。第 24 条は、侵害がデータまたはデータ主体に損害を与えるおそれがある場合、侵害を認識してから 72 時間以内に所管当局へ通知することを求めています。他人に渡った回線へ送られた取引明細は、この定義に該当する可能性があります。単なる届かなかったメッセージではないのです。

アカウントを渡さずに顧客の番号を変更するには？

  • 新しい番号からの依頼だけで変更を受け付けない。見知らぬ電話から「何某です」と名乗るメッセージは何の証明にもなりません。依頼者が顧客本人であることを示すものを求めましょう。
  • アカウントの中身に応じて確認の強さを変える。残高も与信もない顧客なら、旧番号をまだ持っていればそこへ送るコードで十分な場合があります。残高、与信条件、機微なデータがあるアカウントでは、システムが接続されていれば Nafath で、または店舗での対面の身分証確認で本人確認を行います。Absher が自分名義でない新回線を持つ人を端末や窓口へ案内するのと同じです。連携については Nafath 国家 SSO 連携 で解説しました。
  • 両方の番号に通知する。新しい番号には確認を、旧番号には連絡先が変更されたこと、依頼していない場合の連絡先を伝えるメッセージを送ります。これにより第 22 条が求めるデータ主体への通知を満たし、変更が詐欺だった場合に本当の顧客へ警告できます。
  • 変更後は機微な操作を保留する。このような変更から最初の数時間以内の残高の引き出し、新しい配送先住所、高額の掛け売り注文は、実行前に人の目で確認すべきです。
  • すべての変更を記録する。誰が依頼し、誰が変更し、旧番号と新番号、時刻、確認方法。これが第 22 条のいう更新の記録であり、顧客から苦情があったとき最初に必要になるものです。
  • 番号を定期的に見直す。配信に失敗したメッセージや長期間利用のない顧客については、推測に頼らず、次の接点で番号の確認を依頼しましょう。
  • 携帯電話番号をシステム上の顧客の ID にしない。各顧客に固定の内部 ID を付与し、携帯番号は変更可能な項目にします。携帯番号が識別子だと、変更するにはアカウントと履歴を作り直す必要があり、ミスの代償も大きくなります。

Origami の見解

私たちはこのサービスを、ニュースというよりデザインの教訓として読んでいます。Absher は変更を難しくしたのではなく、アプリへ移しつつ、電話ではなく本人の確認に結び付けました。ここでは利便性と安全性は対立しません。ステップは少なく、確認は正しい場所に置かれています。

企業向けにシステムを構築する際、私たちは携帯電話番号の変更を顧客画面の項目編集としてではなく、権限、ログ、通知を伴う操作として扱います。各顧客に固定の内部 ID を付与し、アカウントの中身に応じて確認を段階化し、両方の番号に自動で通知します。これは 私たちのサービス を通じて提供しているものの一部です。

まとめ

  • Absher はアプリ内で 5 つのステップにより携帯電話番号を変更し、最後に生体認証を行います。自分名義の番号を持たない人はセルフサービス端末や窓口へ案内されます。
  • あなたのシステムでは、携帯電話番号はアカウントの鍵です。ログインコード、残高、請求書がそこにつながっています。
  • 通信・宇宙・技術委員会の規則では、解約されたポート済み番号が持ち主のために保持されるのは 90 日間だけです。旧番号がまだ顧客のものだと決めつけないでください。
  • 施行規則第 22 条は、確認、記録、そして顧客とデータを共有した相手の双方への通知を求めています。第 24 条は、有害な侵害を所管当局へ通知する期限を 72 時間と定めています。
  • アカウントの中身に応じて確認を調整し、両方の番号に通知し、すべての変更を記録し、各顧客に決して変わらない内部 ID を付与しましょう。

あなたの義務の全体像については、個人データ保護法の実践ガイド をお読みください。

出典