朝、日経紙を開いたら、「個人情報企業利用に指針」という見出しが1面トップに踊っていて、かなりぶったまげた。
中身を読んでも、
「経済産業省は企業が顧客の個人情報を二次利用するための指針をまとめた。物品の購入履歴や性別など消費者が同意した情報に限り、他の企業への販売などを認める。欧米では膨大な個人情報「ビッグデータ」を活用する動きが加速している。日本でもプライバシーに配慮した指針策定で企業の個人情報利用を促し、顧客データの分析を通じた市場開拓を後押しする。」（日本経済新聞2013年5月10日付け朝刊・第1面）
と、あたかも個人情報利用に関する“新ルール”が作られるかのような書きぶりになっている。
これまで、総務省系のワーキング等で、考え方の整理等は進められているものの、全ての産業にあまねく影響を与えうる経済産業省の動きとなれば、影響力は計り知れないものがあるわけで*1、これは大変だ、とばかりに、何が出るか戦々恐々としていたのだが・・・。
出たのは、これである。
ＩＴ融合フォーラムパーソナルデータワーキンググループ報告書
「パーソナルデータ利活用の基盤となる消費者と事業者の信頼関係の構築に向けて」
http://www.meti.go.jp/press/2013/05/20130510002/20130510002-2.pdf
（概要版）http://www.meti.go.jp/press/2013/05/20130510002/20130510002-3.pdf
WGグループレベルの報告書を「指針」ということの当否もさることながら、そもそも、個人情報の取得から利活用までの様々なプロセスにおいて、
「収集フェーズ」
にしか焦点を当てていない（データ管理・解析や利活用場面を対象としていない）この報告書をもって、上記のような大それた記事につなげる、というのは、もはや“誤報”の域すら超えている、と自分は思う。
日経新聞の「ビッグデータ」絡みの報道は、以前から槍玉にあげられることが多いのだが、今回の記事でも、
「海外ではビッグデータの利用が進んでいる。一方、日本ではプライバシー保護の観点から利用が進まなかった」（同上）
といった記述が見受けられたり*2、
「日本は企業の利用促進に重きを置いて制度設計を進める」
といった、個人情報保護法の所管官庁や、一部の筋の方々が聞いたら激高しそうなフレーズが、何の裏付けもなく登場してくる*3、といったあたり、改善される兆しは見受けられない。
日経の記事をいじるのはこのエントリーの本旨ではないので、これ以上の突っ込みはしないでおくが、こういった“報道姿勢”がもたらす問題については、また後程触れることにする。
WG報告書のコンセプト
さて、飛ばし記事でミソが付いた感もあるこの報告書だが、内容的にはいろいろと興味深いところはある。
特に、ふむふむ、と思ったのは、報告書の問題意識を端的に反映した以下のくだり（7頁）。
「実際に事業者がパーソナルデータ*4個人情報保護法に規定する「個人情報」を利活用した際に社会的な批判につながるのは、消費者が「そのような情報を取得されているとは知らなかった」あるいは「そのような目的で利活用されているとは思っていなかった」等の事業者に対する不信感を抱くことに端を発するといわれることがある。即ち、取得する情報項目や利用目的に関し、事業者と消費者の認識にずれがあることに起因する場合が多く、データ取得フェーズにおいて、事業者側の透明性が十分に確保されておらず、さらには、利用規約やプライバシーポリシーといったものが、消費者の理解を得る上での機能を十分に果たしていないことを意味すると考えられる。」
「まず、透明性の確保が不十分な点については、事業者が透明性の確保が重要であることの認識を欠いていることに原因があると考えられる。「余計なことを書いて目立ちたくない」といった考え方の下に消費者に告げないまま消費者のパーソナルデータを取得することが批判につながっている。」
「次に、利用規約等が十分に機能を果たさない原因として、そもそも事業者が「サービス提供の前提として消費者の理解を得る」という利用規約等の本質的な目的を十分に認識しておらず、専らコンプライアンス上のリスクを回避するという視点から策定していることが挙げられる。その結果、利用規約等の多くは、情報の重要性に関する濃淡のない冗長な文章となり、消費者が、取得される情報項目に関し十分に理解できないのみならず、そもそも利用規約等を読まないといった事態を招いている。利用規約等は事業者と消費者との間で交わされる契約の一部であり、これを十分に理解しないままにサービス契約を締結することについて、消費者側の意識改善も必要である。しかしながら、このことが事業者に対する社会的な批判につながり、事業者にとっても良い結果を招かないことを考慮すれば、「いかに消費者の理解を得るか」という点について、事業者が高い意識を持ち、具体的な対応を図ることが求められよう。」
この先で「クリックトレーニング」（11頁）といった表現が出てくることからも分かるように、本報告書で主に想定されているのは、インターネット上のサービスを通じた情報収集だと思われるが、「透明性の確保」、「リスク回避的視点の偏重」といった問題は、別にインターネット上の問題に限らず、現在の全ての個人情報収集プロセスに通じるものである。
また、「余計なことを書いて目立ちたくない」という営業サイドの意識と法の要請にどう折り合いを付けるか、というのは、この手の事案に関わる法務部門の担当者が常に頭を悩ませていることだし、2点目の「いかに理解を得るか」という問題は、先日本ブログでもご紹介した、「良いウェブサービスを支える『利用規約』の作り方」*5の中でも描かれていたエッセンスで、これから実務に携わるものとして考えていかなければならない問題であろう。
そして、こういった問題意識を背景として、
・「分かり易さ」に関する手法・アプローチ
・情報提供機関
・消費者による開示情報の選択
の三点に絞って検討を行った、というのは、理解できるところである。
示された具体的処方箋と若干の違和感
そうなると、次に問題になるのは、上記のような問題にどのような処方箋を示すか、ということである。
上記の検討項目のうち、「分かり易さ」に関する手法・アプローチの部分について、内容を大まかに要約すると、概ね以下のようになろうか。
■記載事項に関する留意点 → 記載する事項を敢えて絞り込むことも重要
1つの目安として、以下の6項目が挙げられている。
(1)サービスの概要
(2)取得するパーソナルデータと取得の方法
(3)パーソナルデータの利用目的
(4)第三者提供の有無及び提供先
(5)提供の停止の可否と、停止の方法
(6)問い合わせ先
■表現振りに関する留意点
(1)細分化・具体化
現行の利用規約では、コンプライアンス上のリスクを回避する観点から「なるべく大括りで記述している場合が多い」が、消費者にとっては不透明な記述と映り、不安感を喚起する要因になりうるので、取得する情報項目の種類、利用目的について、可能な限り細分化し、具体的に記述することが望ましい
(2)取得する情報項目の種類と利用目的の紐付け
(3)記載の優先順位付け
消費者が想像しにくいような項目、意外に思うような項目を優先することが求められる。
(4)取得情報の必須度
(5)第三者提供の範囲の明示
■具体的手法の検討
(1)平易で簡潔な表示 表示例は報告書14頁
平易な文言を用い、リンク等を張ることによって詳細情報まで容易にアクセス可能とする。
(2)ラベルによる一覧表示 表示例は報告書15頁
(3)アイコンによる一覧表示 表示例は報告書16頁
「記載する事項を絞り込む」というのは、まぁ理解できるところで、今でも利用規約の中の個人情報に関する項目には、この6項目くらいしか入っていないのだから、その部分を別立ての「規約」として独立させればカバーできるところではあるだろう。
だが、「表現振り」については、ちょっと違和感がある。
例えば「細分化、具体化」が望ましいのは分かるとしても、そもそも、一般の事業者であれば、初めから「個人情報を第三者のために利活用することを想定して」ビジネスを始める、というケースは稀(今後はともかく、少なくともこれまでは）なわけで、氏名、連絡先、といったコテコテの「個人情報」はともかく、“パーソナルデータ”の外延領域にあるような情報については、
「ビジネスをしているうちに、何となく使えそうな履歴情報が蓄積されてきた」
「それなら個人情報保護法に抵触しない形で（匿名化して）使える方法を考えてみよう」
というのが、従来型ビジネスをやっている事業者の大方の発想だから*6、“コンプライアンス”云々の問題を持ち出すまでもなく、ドラフト技術的に、最初の時点ではどうしても漠然とした記載にならざるを得ない（利用目的についても同様である）。
報告書の趣旨としては、それでも、最初からシステム上蓄積される（使うかどうかも良く分からない）情報を、個別具体的にくまなく記載したり、考えられる利用のパターンを網羅して記載せよ、ということになるのかもしれないし、あるいは、利用目的が変わるたびに規約変更で対応せよ、ということになるのかもしれないが、前者のようなやり方が「分かり易さ」につながるとは到底思えないし、後者についても、やり方如何によっては、かえって混乱をもたらす。
それならばいっそ、最初から包括的に項目を網羅しておいた上で、「それが嫌なら契約しない」という利用者の判断に委ねる方が、事業者としては誠実なのではないか、とすら思う。
また「意外に思うような項目を優先」というのも妙な話で、多くの利用者にとっては、「「氏名」や「住所」、「メールアドレス」が変な使われ方をすること」が最も現実的かつ深刻な脅威なのだから、当たり前のことでも、「住所は商品の発送のために使います(それ以外の目的のためには使いません）」と明確に書いておくことが欠かせないし、それよりも「嗜好分析によるマーケティング活動」の方を“優先すべき”とするのは、ネット上で活躍されている一部の識者をあまりに意識し過ぎた見解ではないだろうか。
「第三者提供先を具体的に明示する」という点については、まぁ確かに、というところはあって、提供先との間の契約に変な秘密保持条項が入らないように注意した上で、提供先と、それぞれの提供先の利用目的等を記載する、というやり方はあると思うが、「それを晒されるくらいなら、お宅の情報なんていりません」って会社もまだまだ多いんだけど大丈夫かなぁ・・・？ と老婆心ながら。
で、最も違和感があったのは、最後の「具体的手法の検討」のくだり。
「平易で簡潔な表示」については、報告書の中でも書かれているとおり、「定型的な文章ではないので、表現によっては、逆に消費者に不安を与える可能性もある」（13頁）という、“分かり易さゆえの誤解”が気になるところだし*7、ラベルにしても、アイコンにしても、同じことは言える。
そして、いずれの方法を用いるにしても、「見る人は見るが、見ない人は見ない」という状況には、ほとんど変わりはないと思うのだ*8。
この章の最後に書かれている、
「分かり易い形での情報提供は、必要十分なものに絞り、全体を簡潔なものとすることが必要であるため、それのみで詳細な情報までも十分に提供することには向かない。そのため、消費者が詳細な情報についても十分に把握したいと思ったときに、正確に詳細な情報
を知ることができるよう、高い透明性を確保し、説明責任を果たすことが求められる。また、インターネットサービス事業者やスマートフォンアプリ事業者は、消費者に対して無料でサービスを提供する代わりに、事業者が当該サービスを通じて取得するパーソナルデータの利活用による収益化の仕組みを、消費者と直接接点を持たない形で行っている場合がある。こうした場合、パーソナルデータの利活用の仕方を消費者に適切に理解してもらうことは難しい面もあり、「消費者が想像しづらいものから記載」、「取得する情報項目と利用目的を紐付けて表示」といった表示手法は、消費者の直感的な不信感を招く可能性は否めない。しかしながら、このような場面においてこそ、透明性確保がもっとも強く求められるのであり、それなくしては、消費者と事業者間の信頼関係の構築は実現できないことに留意すべきである。」（16頁）
といった記載からもうかがえるように、この報告書は極めて高い理想に基づいて作られたものだと思われるし、そのような理想を追い求めること自体の素晴らしさは自分も否定しない。
だが、そこに辿り着くまでのアプローチが、「実務的に大きな労力を要する割に、得られる社会的効用が乏しい（むしろ逆効果にすらなりうる）」というものになってしまうと、報告の説得力も自ずから乏しくなってしまうわけで、これだけ名立たる企業の実務家がメンバーに入っているのだから、もう少し、現実の幅広いユーザーを意識した、現実的な議論をしても良かったのではないかなぁ、という気がした*9。
「ビッグデータ」ビジネスが不幸な道を辿らないようにするために。
今回の報告書の趣旨を否定するわけではないが、「ビッグデータ」活用を妨げないようにするための最良の方策は、「利用規約」云々といったテクニカルな話よりも、まず先に、
「位置情報や購買履歴をどんなにかき集めても、それを集積したり、解析したりすることによって出てくる情報の商業的価値には、自ずから限界があるから、今日明日に、取得された自分の情報があちらこちらに大量流通するような事態になることは考えられないし、仮にそうなったとしても、情報の流通が個々人の“プライバシー”の琴線に触れるような事態になることは、ほとんど考え難い」
という冷静な現実を社会が共有することではないか、というのが、自分の持論である。
かつての“ユビキタス”とか“マルチメディア”がそうだったように、新しい概念に基づくビジネスや技術開発、というのは、どうしても“盛られて”語られる傾向があり、今の「ビッグデータ」もまさにそんな状況になりつつある。
それは、開発者やビジネスをやろう、と思っている人が壮大な夢を語ることが多い*10、ということもあるが、それを膨らませて報じようとするメディアや、“盛ったところで金を稼ごうとする”一部の人々の“勇み足”によるところも多いのではないかと思う。
だが、そういった過熱した報道やアジテーションが世の中で広くなされた結果、「プライバシー」等々の対抗利益を主張する人々と真正面からぶつかることになり、「現在のビジネスモデルに照らして本当に問題があるのか？」ということが十分検証されないまま、結果的に、“胡散臭いもの”というレッテルを張られてしまうことになれば、かえって逆効果だろう*11。
この国は、「一枚のクレジットカードで日用品から贅沢品までの全ての買い物をする」というような世の中ではないし、「一台の端末に向き合って、一日24時間、仕事から身の回りのことまであらゆることをこなす」という世の中にもなっていないから、どの切り口で「履歴」を切り取っても、中途半端なものにならざるを得ない（その分、商業的価値は乏しい）、というのが現状だ。
それゆえ、仮に特定の事業者に自分の行動にかかわる何らかの情報が取得されたとしても、それを幅広い「第三者」が使うような時代は当分来ることはない（というか、一生来ないかもしれない）。
もちろん、「いやいや、そんなこと言ったって、自分が購入した、○○とか○○のような商品の購買履歴を取って、○○に使うことは簡単にできるだろうし、そうすればプライバシーにかかわるではないか」といった反論はあるだろう。
だが、特定個人にターゲットを絞って、その行動に合わせた広告やDMを出す、といった、既存のビジネスモデルと何ら変わらない古典的手法ならまだしも*12、今、取り沙汰されているような「不特定多数のユーザーの情報を集積してその動向を分析して・・・」というビジネスモデルにおいては、ユーザー一人ひとりが「誰」であるか、ということは、ほとんど意味を持たない。
仮に、世の中の傾向が変わって情報が特定の事業者に大量集積されるようになり、集積された情報そのものに価値が出てくるようなことになったとすれば、そこでビジネスのネタとして流通に供される情報には、もはや“個のカケラ”すら存在しないことだろう*13。
言い換えれば“個”の要素が捨象されるレベルにまで、不特定多数の大量の情報が蓄積されて初めて、「流通」に値する商業的価値が生じることになる、ということで、事業者側から見た「情報に価値を見いだせる部分」と、履歴等を取得される側のユーザーが「気にしている部分」というのは、ここでは全くかみ合わないのである。
「実際に使われるかどうかはともかく、誰かに自分のプライバシーにかかわる情報を取得されて、保有されること自体が嫌なのだ」という感情を持つ人はいるだろうし、（それが法的保護に値するかどうかはともかく）それを全く無視してこの種の話を考えることはできないのも事実だが、今、騒ぎになっている事例の多くは、「取得された後の利用の懸念」が発端になっていることを考えれば、「ビッグデータ」の利用をめぐる等身大の姿を明らかにすることで、根拠のない不安はかなりの部分解消されるのではないかと思われる*14。
*1:現在でも、一部業界を除けば、個人情報保護法の運用に関してよりどころになっているのが経済産業省のガイドラインである、ということは周知の事実だろう。
*2:国内の今の状況が海外との相対的な比較で「進んでいない」と捉えるのが適切かどうか、という問題はさておき、仮に進んでいないとしても、それは「プライバシー」云々以前に個人情報保護法の存在がある、というのが一番大きいし、そもそものビジネスの前提となる「収集されたデータ自体の価値」が高くない、という根本的な理由も忘れてはならないだろう。いずれにせよ、「プライバシー保護の観点」が前面に出てのことではないのは間違いない。
*3:少なくとも、今回の報告書は上記のような制度設計の方向性を示したものではない。経産省筋の一部関係者がそういう発言をしているのかもしれないが、それをもって方向性を断言するのは、大新聞が一面に載せる記事としてはあまりにリスキーだし、本当にそれでビジネスをしようと思っている人々にとっても決して良い影響をもたらさないと思う。
*4:この「パーソナルデータ」という用語は、位置情報や購買履歴、といった従来の「個人情報」の定義よりも広い概念の用語として用いられている。報告書の1頁目の脚注1）参照。「個人情報保護法に規定する『個人情報』に限らず」というフレーズを敢えて入れたところが経産省の報告書らしいところか（笑）（これらの情報が、「個人情報」に該当するか否か、というところも議論があるところなので）。
*5:http://d.hatena.ne.jp/FJneo1994/20130501/1367820586参照。
*6:そもそも利用履歴の類は、意図的に取得する、というものではなくて、サービスの遂行に伴って必然的に蓄積されるものであり、かつ、それを事業者が持っていないと、利用者側も困る（利用に応じた請求等の妥当性が担保されない）という代物である。
*7:14頁の図8の例にしても、「操作時刻情報」を「あなたの一日のライフサイクルを知るために利用します」というくだりなのは、分かり易く書こうとしてかえって大袈裟になってないか・・・と思ったりする。
*8:例えば、「食」に関わる食品表示のラベルですら、「賞味期限」以外の表示を念入りに見ている人がいったいどれだけいるのか、という話で、ましてや「情報」の話でそれがどこまで…といえばかなり疑問であろう。
*9:何となく、特定の企業の事象と、それを批判する「第一人者」の方々を意識した議論のように思えるので・・・。
*10:そして、それくらいのスケールを持って夢が語れる人でないと、世の中を変えるようなものはなかなか生み出せない。
*11:最近では、一時、“クラウド”がそういう運命を辿りそうになりかけていた時もあった・・・。
*12:ちなみに、このタイプの「個人情報利用」は、法の規制もかなり厳しいし、かえって広告宣伝上逆効果になるケースも多いので、今後、爆発的に市場が拡大する、なんてことはありえないだろう、と自分は思っている。現行法の下でも、得られる商業的価値に比して、リスクが大きすぎるので。
*13:もちろん、ストーカー的に、特定個人にピンポイントで食らいつくような使い方をすれば別だが、現行法の下でも、それは明らかに法が許容する領域を超えているし、そういった特殊な事例（合理的な事業者であれば到底行わないような事例）のために制度設計をする、というのも、ちょっと違う気がする。
*14:そして、敢えて、ルールメイクすべき部分を挙げるならば、それは取得場面よりもむしろ、管理・分析と利活用に係る部分ではないか、と自分は思っている。
