わたしたちはずっと前から、グーグルやフェイスブックは何をどれだけ知っているのか疑問に思ってきた。そして自分たち以外に、自分の個人情報にアクセスできるのは誰なのだろうか、と。
だがテック業界の巨人たちは、こうした問いに明確な答えを示すつもりはまったくないようだった。なぜこの広告が表示されているのかといった非常にシンプルなことですら、謎のままだったのだ。
ところが、プライヴァシーを巡る欧州連合（EU）の新しいルールのおかげで、このパワーバランスに変化が生じようとしている。
5月25日に施行された「一般データ保護規則（GDPR）」では、消費者にデータ収集を行なっていることを知らせるだけでなく、どのようなデータを集めているのかを明示し、許可を得ることが求められている。これまでのように細かい字で書かれた利用規約では不十分なうえ、同意しなければサインアップできないようなシステムも許されない。
企業は今後、収集する個人情報の内容とその利用について、明快かつ簡潔に説明しなければならない。氏名、住所、位置データ、IPアドレス、ウェブやアプリの利用を追跡できる情報などを取得する場合、収集を行う理由と、そのデータは個人の行動を記録するのに使われるのかを明確にする必要がある。また、消費者は企業が保管するデータにアクセスする権利、不正確な情報を修正する権利、およびアルゴリズムによってなされた決定を制限する権利を得る。
このルールはデータを処理する場所に関係なく、EU加盟28カ国の個人を保護する。つまり、『WIRED』のようなパブリッシャー、銀行、大学、「フォーチュン500」に名を連ねる大企業の大半、ウェブやデヴァイスやアプリなどを通じてユーザーを追跡するアドテク企業、そしてシリコンヴァレーのテック大手が影響を受けるのだ。
「機密性の高いデータ」の収集に厳格な条件
EUの政策執行機関である欧州委員会はウェブサイトで、規制の適用範囲として以下のような例を示している。
ソーシャルネットワークは未成年のユーザーが投稿した写真について、ユーザーから削除を求める請求があればそれに従い、同時にその写真を使っている検索エンジンやその他のウェブサイトにも削除するよう依頼する必要がある。
また、カーシェアリングサーヴィスを提供する企業は、利用者の氏名、住所、クレジットカード番号、障害の有無といった情報を得ることは構わないが、人種について質問することはできない。GDPRの下では、人種、宗教、支持政党、性的指向といった「機密性の高いデータ」の収集には、より厳格な条件が適用されるからだ。
GDPRは施行前から、企業が行う個人情報の収集やデータの取り扱いに変化を促してきた。グーグルは昨年6月、パーソナライズ広告のために行なっていた「Gmail」のメールスキャンを停止すると明らかにしている（ただし、グーグルはこの決定はGDPRとは無関係で、法人向けの有料サーヴィスとの調和を図るためと説明している）。
なお、GDPRはEU域内の規則だが、たいていの企業は全世界を対象に変更を行なっている。そのほうが地域ごとに異なるシステムを採用するより容易なためだ。
ネットにおける既存の経済システムを覆す好機
影響を受けるのは大手企業にとどまらない。広告分析プラットフォームを提供するDrawbridgeは今年3月、デジタル広告について消費者の同意を得られるかが不透明だとして、EU事業を縮小すると発表した。
データ管理・分析のAxciomは、投票記録から車両登録までさまざまな情報源から集められた7億人以上の個人情報を扱うが、アメリカおよび欧州事業でオンラインポータルを改定している。Acxiomでデータ倫理を統括するシーラ・コルクラシュアは、GDPRは「世界全体の向こう10年のデータ保護に関する方向性を定めるものになるでしょう」と話す。
こうした動きとは別に、同意と管理と説明を重視するGDPRの姿勢を受けて、消費者はオンラインでの“監視”についてより深く考えるようになるだろう。プライヴァシー保護を訴える活動家たちは、企業のやり方を変えさせるための武器として、この新しいルールを使おうとしている。
一言でまとめるとすれば、GDPRはネットの世界における既存の経済システムを覆すチャンスなのだ。インターネットの商業利用が始まって以来、企業はデータ収集とその収益化を熱心に進めてきた。しかし、EUの消費者はここに来てついに、オプトアウトの負担ではなく、オプトインの自由を手にした。GDPRによって、消費者の信頼を築くことに経済的な見返りが生まれるのだ。
ニュースクール大学でメディアデザインを教えるデヴィッド・キャロル准教授は、GDPRは何も考えずにただ利用規約に「同意する」をクリックするのではなく、「ユーザーとデータと企業の関係性を再構築する真のチャンス」を提示するものだと説明する。キャロルは活動家たちが集めたデータに基づいて「調査が行われ、企業は説明責任を果たす必要が出てくる可能性もあります」と話す。
企業は消費者の「価値」を評価する
透明性とアカウンタビリティーの重要性は、かつてないほど高まっている。以前はサーヴィス規約が何を言っているのかまったくわからなくても、それを受け入れるか深く悩む必要はなかった。同意さえすればそれで済むし、ネットを使っているときにいつもわずらわしい広告が付きまとってくるマイナスの側面さえ我慢すれば、あとは特に問題ないように思えたからだ。
しかし、わたしたちはここ数年、個人情報などのデータがさまざまな問題を引き起こすのを目の当たりにしてきた。マイノリティーの抑圧、白人若年層の急進化、社会の分断を招くための政治的信条の悪用──。データをうまく利用すれば、選挙結果すら左右することができるのだ。
デジタル権の活動家で研究者のウルフィー・クリストルは、「日常生活における企業からの監視」と題した報告書のなかで、ユーザーの行動を支配するのにデータがどのように使われているかを図入りで解説している。ネットで目にする商品やアクセスできるサーヴィスは事前に制限され、買い物から金融サーヴィスまで、いくらで利用できるかは消費者の力の及ばない場所で勝手に決まってしまう。クリストルは「企業はクリックごとに、その消費者が価値のある人間かそうでないかを見つけ出そうとしているのです」と言う。
GDPRで保護される権利の大半はEUではすでに確立されたものだが、法的な強制力はなかった。しかし今回の施行により、全加盟国で権利が標準化され、規制当局が違反に目を光らせることになる。
悪質な違反者には、最大で前年の売上高の4パーセントの罰金が課される。フェイスブックなら16億ドル（約1,750億円）、グーグルに至っては44億ドル（約4,813億円）だ。
消費者が支払う“対価”への不安も
もちろん、GDPRへの批判もある。EU流の保護主義の強化で、独占禁止とプライヴァシー保護を理由に巨額の制裁金を課して、アメリカのテック大手を抑え込もうとしているというのだ。
消費者が払うことになるかもしれない“対価”を指摘する声もある。Acxiomのコルクラシュアは、「無料コンテンツと無料の知識」を支えているのはデータ産業だと話す。「サイトの大半を無料で閲覧できるのは広告収入のおかげで、それがなくなれば企業は課金するしかありません」というのだ。
また、潜在的な抜け穴も存在する。企業は「正当な利益」など限られた特定の理由があれば、データ主体の同意なしに個人情報を処理することが認められているのだ。欧州委員会によれば、これには郵便物、電子メール、オンライン広告を通じた「ダイレクトマーケティング」が含まれる。
しかしその場合も、企業側はデータ利用を巡る消費者の希望を尊重し、GDPRで保護されるその他の権利を侵害してはならない。EUは「Eプライヴァシー指令」と呼ばれるデジタルコミュニケーションに関する一連の指針の法制化を進めており、実現すれば、個人情報の収集はデータ主体の同意があった場合のみ、法的に可能になる。
欧州各国の43の消費者団体が加盟する欧州消費者連盟で法務責任者を務めるデヴィッド・マーティンは、テック企業のロビイストたちはGDPRの解釈に影響を及ぼし、法令の文言を弱めようと働きかけていると警鐘を鳴らす。
企業はGDPRを避けては通れない
そうだとしても、GDPRを避けて通ることはできない。欧州におけるフェイスブックのユーザー1人当たりの収入は、昨年に8ドル86セント（969円）となった。前年比での伸びは41パーセントと、世界のほかのどの地域よりも大きい。
フェイスブックの個人情報副責任者であるロブ・シャーマンは『WIRED』US版へのコメントで、「今年はすべてのユーザーがFacebookでのツールやプライヴァシー管理における改善を目にすることになります。ユーザーがより強いコントロールを手にし、データがどのように使われているのか理解するために、フェイスブックは何ができるのか。GDPRを超えたところでも模索しています」と説明している。
一方、グーグルは17年のブログポストを引き合いに出した。ここには検索や「Gmail」、広告およびアクセス解析サーヴィスなど「ヨーロッパで提供するすべてのサーヴィスでGDPRを遵守することに全力を傾けています」と記されている。
プライヴァシーの保護を訴える団体は、GDPRによって自分たちが必要としているさまざまなデータを入手することが可能になると考えている。
法のもつ拘束力により、企業のデータ関連の活動が制限された例は過去にもある。オーストリアの弁護士でデータ保護の活動を続けるマックス・シュレムスが13年にフェイスブックを相手に起こした集団訴訟では、欧州司法裁判所は企業がEUから米国に個人情報を移送する際に根拠としていた「セーフハーヴァー協定」について、無効との判断を示している。
この裁判はまだ係争中だが、シュレムスは昨年11月に「None Of Your Business」という非営利団体（NPO）を立ち上げた。これはGDPRの導入を追い風とした動きだ。団体のホームページには「高度な専門知識と強い意欲をもつ弁護士およびIT分野のエキスパートからなるチームで、フェイスブックやグーグルといった大手テクノロジー企業に立ち向かう」とある。
消費者は権利をどこまで行使できるのか
一方、数学者で個人情報管理をサポートする「PersonalData.IO」の共同創設者のポール・オリヴィエ・ドゥヘイエは、イギリスのデータ保護法を利用して、Facebookユーザーがケンブリッジ・アナリティカの入手した個人情報にアクセスするのを手助けした。ドゥヘイエはGDPRが施行されたことで、この問題についてさらに多くの情報を得ることができると期待している。
GDPRの影響は究極的には、消費者がどれだけ積極的に新しい権利を行使するかにかかっている。プライヴァシーへの関心は高まる一方で、広告除去ソフトやVPNの利用は米国だけでなく世界的に広まりつつある。
そして企業は、この動向に敏感に対処している。Mozillaは昨年8月、プライヴァシーを強化したモバイル向けブラウザ「Firefox Focus」の提供を開始した。9月にはアップルが「Safari」にトラッキング防止機能を追加している。
市場調査会社フォレスター・リサーチの主任アナリスト、ファテメ・カティブルーは、データ収集を巡る慣行はさらに革新的になっていくだろうとの見方を示す。ウェブサイトに仕掛けられているクッキーやトラッカー、広告サーヴァーの数を知れば、消費者は大きなショックを受けるだろうと、彼女は言う。
昨年8月にイギリスの消費者を対象に行われた調査では、51パーセントが「GDPRが施行されれば何らかのかたちで新しい権利を行使する」と回答した。そのうち最も多かったのは、データの削除要請だ。カティブルーは「消費者は個人情報を削除するよう求めることで、攻撃的に侵略してくる企業を“罰する”ことができると感じているようです」と話す。
企業はいかに消費者の合意を得るのか
ただ彼女は同時に、GDPRによって人気のあるネットサーヴィスからユーザーが離れていくような事態は起こらないだろうとも指摘する。消費者は無料サーヴィスと引き換えに自分に関するデータを差し出す必要があることを理解しており、ネットでの利便性を犠牲にするつもりはないというのだ。
「GDPRによって、消費者がこれまで知らなかった個人情報を巡る策略が浮き彫りになるでしょう。ただ、フェイスブックのような企業が大きな報いを受けることはないと思います」
企業がどのような内容の同意を得ようとするかも重要だ。パブリッシャー向けにアドブロックの回避サーヴィスを提供するPageFairは9月、トラッキングに関するアンケートを行なった。「サイト運営者によるトラッキングのみは認める」「自分が利用するサーヴィスにどうしても必要でない限り、すべてのトラッキングを拒否する」といった選択肢があったが、参加した300人のうち、すべてのトラッキングを受け入れると回答したのは5パーセントにとどまったという。
マーケティング会社のCriteo（クリテオ）は、はるかに控えめなものを計画しているようだ。デジタルマーケティングメディア「Digiday」のある記事では、Criteoが試験的に運用しているトラッキングに関する告知バナーが紹介されている。それによると、「ページ上のどのリンクでもクリックすれば、自動的にCriteoのユーザーフレンドリーでサイトをまたいだトラッキングテクノロジーに同意したことになる」という内容の（もちろん実際の文言は異なるが）小さなポップアップがページの下の方に表示されているという。
「GDPR」を理解するための関連記事
TEXT BY NITASHA TIKU
EDITED BY CHIHIRO OKA