タグ: データ保護（用語）

2001年9月11日朝。米国の成人のほとんどは、自分がその時どこにいたかを鮮明に覚えているだろう。筆者はホワイトハウスのウェストウィング2階で、米国国家経済会議のスタッフ会議に出席していた。シークレットサービスが突然部屋に入ってきて「すぐに部屋を出てください。ご婦人方はハイヒールを脱いで！」と叫んだことは忘れられない。

そのちょうど1時間前、私は全米経済会議のホワイトハウス技術顧問として、9月13日にオーバルオフィスで予定されている大統領との会談に向けて最終的な詳細を副参謀長に説明していた。そして、米国政府のプライバシー保護法案を議会に提出するために、大統領のサインを得る準備が整った。カリフォルニア州のプライバシー保護法の国家版ともいえるこの法案は、それよりも強力で、情報を共有する際には対象となる市民の選択による同意を得て市民のデータを保護するなど、データの収集方法や使用方法を規定するものだった。

しかし、その日の朝、世界は一変した。私たちはホワイトハウスから避難し、その日は悲劇に次ぐ悲劇が発生した。米国、そして世界中に衝撃が走った。あの日、ワシントンD.C.にいた私たちは、悲しみ、連帯感、不信感、力強さ、決意、緊迫、そして希望など、人間の感情のすべてを目の当たりにし、自ら体験することとなった。

当日については多くのことが語られているが、筆者はその翌日のことを少し振り返ってみようと思う。

9月12日、オフィスに国家経済会議のスタッフが集まったとき、当時の上司であるLarry Lindsey（ラリー・リンゼイ、Lawrence Lindsey）が私たちに言った言葉を今でも覚えている。「今ここにいることを不安に思う人がいるかもしれません。私たちは全員が標的なのだから。愛国心や信仰心をアピールするつもりはありません。しかし、この部屋にいる皆が経済学者である以上、私はみなさんの合理的な自己利益に訴えます。今、私たちが逃げ出してしまえば、他の人たちも同じように逃げ出すでしょう。誰が私たちの社会の要を守ることができるでしょうか？私たちは国を守ります。この国の誇りとなるように行動してください。そして、安全と安心という自由への献身を放棄しないでください」。

9.11の悲劇に対して、国が一丸となったこと、そして米国政府の対応については多くのことを誇りに思っている。しかし、私はサイバーセキュリティとデータプライバシーの専門家として、まず、ラリーが言ったこと、その後の数年間で学んだ多くの重要な教訓、特に社会の要を守るということについて振り返りたい。

あの日の記憶は未だに鮮明だが、20年が経過し、9.11同時多発テロに至るまでの数カ月間にデータが果たした（果たさなかった）致命的ともいえる役割が解明されている。不幸なことに、すぐそばにあったはずの情報データはバラバラに保管されており、何千人もの命を救うことができたかもしれない点と点をつなぐことはできなかった。データのサイロ化によって、情報を安全に共有する仕組みがあれば見つけられたはずのパターンが見えなくなっていたのだ。

その後、私たちは「こんなことは二度とごめんだ」と自らに言い聞かせ、当局は、市民の自由だけでなくデータのセキュリティにも重大な影響を与えることを考慮せずに、収集できる情報の量を増やすことに邁進した。そして、CIAや法執行機関による20年間の監視要請が詰め込まれた愛国者法が施行された。司法省とともに愛国者法を交渉する場にいた私がはっきりと言えるのは、次のテロ攻撃を防ぎ、私たちの人々を保護するという意図は理解できるものの、その結果として広範囲に及んだ悪影響は明白であった、ということだ。

国内での盗聴や大規模な監視が当たり前になり、個人のプライバシーやデータの安全性、国民の信頼が少しずつ損なわれていった。これはデータプライバシーに対する危険な前例となったが、その一方で、このレベルの監視ではテロとの戦いにおいてわずかな成果しか得られなかった。

残念なことに、個人のプライバシー保護を強固にするはずであった、まさに9月11日の週に議会に提出する予定だった米国政府のプライバシー法案は、頓挫してしまった。

その後数年が経ち、大量の監視データを安価かつ簡単に収集・保管できるようになり、テクノロジー関連やクラウド関連の大手企業が急速に規模を拡大し、インターネットを支配するようになった。官民を問わずより多くのデータが収集されるようになり、個人の機密データが公に晒されるようになったが、このようなアクセスの拡大に対処できる、有効性のあるプライバシー保護措置は講じられなかった。

巨大なテクノロジー企業やIoTデバイスが、私たちの行動、会話、友人、家族、身体に関するデータポイントを集める20年後の現在、私たちは過剰なまでに野放図なデータ収集とアクセスに翻弄されている。原因がランサムウェアであろうとクラウドバケットの設定ミスであろうと、大規模で代償が大きいデータ漏えいでさえも新聞の一面で取り上げられないほど頻繁に発生している。この結果は社会の信頼の喪失だ。人権であるはずのプライバシーだが、それが守られていないことは誰もが知っている。

このことは、アフガニスタンでの人道的危機を見れば明らかだ。一例を挙げてみよう。連合軍を支援したアフガニスタン市民の生体情報データが入った米軍のデバイスがタリバンに奪われてしまった。このデータがあれば、タリバンは対象となる個人や家族を容易に特定し、追跡できる。機密性の高い個人情報が悪人の手に渡るという最悪のシナリオであり、私たちはそれを防ぐための十分な努力をしてこなかった。

決して許されることではない。20年経った今、私たちは再び「こんなことは二度とごめんだ」とつぶやいている。私たちは9.11の経験を、情報データをどのように管理、共有、保護したらいいかを再認識する機会とするべきだったが、未だにそれを正しく理解していない。20年前も現在も、データの管理方法は生死を決する。

進歩がないわけではない。2021年、ホワイトハウスと米国国防総省は、サイバーセキュリティとゼロトラスト（すべてが完全には信頼できないことを前提とする考え方）のデータ保護にスポットライトを当て、米国政府のデータシステムを強化する行動を促す大統領令を出した。私たちには、このような機密データを保護しながら共有もできるようにするために必要な技術がある、というのは良いニュースだろう。データが本来データを持つべきではない人の手に渡ることを防ぐ緊急時対応策も用意されている。しかし、残念なことに、私たちのアクションはまだ十分ではない。データの安全な管理という問題の解決が遅れれば遅れるほど、罪のない人々の命が失われていく。

私たちには、次の20年を見据えて信頼を回復し、データプライバシーの管理方法を変革する機会がある。何よりもまず、私たちは何らかのガードを設置することが必要だ。そのためには、個人に自分自身のデータ管理の自律性をデフォルトで持たせることのできるプライバシー保護の枠組みを構築しなければならない。

つまり、各個人による自らのデータの所有と管理を可能にするためには、公的機関や民間企業がIDとデータを結びつけ、データの所有権を各個人に戻すという技術的な裏方の作業を行う必要がある。簡単にできることではない……しかし、不可能なことではなく、米国市民、米国居住者、世界中の同盟国の人々を守るために必要なことだ。

このようなデータ保護の導入を促進するためには、相互運用性と柔軟性を備えた、無料でアクセスできるオープンソースソリューションのエコシステムが必要である。既存のプロセスやソリューションにデータ保護とプライバシーを重ね合わせることで、政府機関は、個人のプライバシーを損なうことなく、データを安全に収集・集計して全体像を明らかにすることができる。今の私たちはこのような技術がある。今こそそれを活用するときだ。

大量のデータが収集・保管されている現在、米国のデータが悪用される機会は格段に増えている。タリバンに奪われたデバイスは、現在危険に直面しているデータのごく一部に過ぎない。2021年に入ってからも、国家レベルのサイバー攻撃は増加の一途をたどっている。人命を脅かすこのサイバー攻撃は、決してなくなることはない。

2001年9月12日のラリーの言葉は、今でも心に残っている。今、私たちが手を引いたら、誰が社会の要を守れるだろうか。人々の自由を損なうことなく、プライバシーを守り抜くことができるかどうかは、官民のテクノロジーリーダーである私たちにかかっている。

まずはデータに対する国民の信頼を回復しよう。今からでも遅くはない。20年後、私たちはこの10年間を、個人のプライバシー権を保護・支持する上でのターニングポイントとして振り返ることになるだろうか。それとも、またしても「こんなことは二度とごめんだ」と思っているのだろうか。

編集部注：本稿の執筆者John Ackerly（ジョン・アッカーリー）氏はVirtru Corporationの共同創立者兼CEO。以前は、Lindsay Goldberg LLCの投資家、ホワイトハウスの技術政策アドバイザー、米国商務省の政策・戦略計画ディレクターを務めていた。

画像クレジット：Mark Rainwater/Eye Em / Getty Images

［原文へ］

（文：John Ackerly、翻訳：Dragonfly）

中国で個人情報の保護を義務付ける法案が可決されたと、国営メディアの新華社が報じた。

この法律は「個人情報保護法（PIPL）」と呼ばれ、11月1日に施行される予定だ。

2020年提出されたこの法案は、ユーザー情報の収集に法的な制限を加えることで、商業分野における無節操なデータ収集を厳しく取り締まろうとする中国の共産党指導者の意図を示している。

関連記事：中国のインターネット規制当局は強制的なユーザーデータの収集を標的に

新華社によると、この新法はアプリメーカーに対し、個人の情報をどのように使用するか、あるいは使用しないか、そして使用する場合は個人の特性に基づいてマーケティングを行うか、あるいはマーケティングの対象としないか、といったことについての選択肢を、ユーザーに提供するよう求める。

また、この法律は、生体認証、医療・健康データ、財務情報、位置情報など、センシティブな種類のデータを取り扱う場合、個人から同意を得ることをデータ処理者に要求する。

ユーザーデータを違法に処理したアプリは、サービスの停止または終了を強いられるおそれがある。

中国でビジネスを行う欧米企業が、市民の個人データの処理をともなうビジネスを行う場合、この法律の域外適用に対処しなければならない。つまり、外国企業は、中国国内に代表者を配置し、中国の監督機関に報告しなければならないなどの規制上の要件に直面することになる。

表面上は、中国の新しいデータ保護制度の中核となる要素は、欧州連合（EU）の法律に長年にわたり組み込まれてきた要件とよく似ている。EUの一般データ保護規則（GDPR）では、個人データに深く関係する包括的な権利を市民に提供している。例えば、健康に関するデータなど、EU法が「特別なカテゴリーのデータ」と呼ぶ個人情報を処理する際には、同意に高いハードルを設けている（ただし、どのような個人情報が取り扱いに最も細心の注意を要するとみなされるかについては、各国のデータ法によって違いがある）。

また、GDPRの適用範囲も域外に及ぶ。

しかし、中国のデータ保護法が施行される状況の背景は、当然ながら欧州とは大きく異なる。特に、中国国家が膨大なデータ収集活動を利用して自国民の行動を監視し、取り締まっていることを考えるとなおさらだ。

PIPLが中国政府の各部門による市民のデータ収集に何らかの制限を課すとしても（この法律の草案では、国家機関も対象となっていた）、それはほとんど上辺だけの取り繕いに過ぎない可能性がある。中国共産党（CCP）の国家安全保障組織によるデータ収集を継続させ、政府に対する中央集権的な統制をさらに強化するためであると考えられるからだ。

また、中国共産党がこの新しいデータ保護規則を利用して、どのように国内のハイテク部門の力をさらに規制しようとする（「飼いならす」と言ってもいい）かも注目される。

中国共産党は、規制の変更をTencent（テンセント）のような大手企業に対する影響力として利用するなど、さまざまな方法を使ってこの分野を取り締まってきた。例えば今月初め、北京市はTencentのメッセージングアプリ「WeChat（ウィーチャット）」の青少年向けモードが、未成年者保護法に準拠していないと主張し、同社に対し民事訴訟を起こした。

PIPLは、中国政府に国内のハイテク企業に制約を加えるための攻撃材料を豊富に提供することになる。

また、欧米の大手企業では当たり前のように行われているが、中国国内の企業が行うと摩擦が大きくなりそうなデータマイニングの実行に対しても、一刻の猶予も与えず攻撃している。

Reuters （ロイター）によると、全国人民代表大会（全人代）は同日、この法律の成立を記念して、国営メディア「人民法院報」に論説を掲載した。この論説では、この法律を称賛するとともに、レコメンドエンジンのような「パーソナライズされた意思決定」のためのアルゴリズムを使用する事業者は、まずユーザーの同意を得るよう求めている。

論説には次のように書かれている。「パーソナライズはユーザーの選択の結果であり、真のパーソナライズされたレコメンデーションは、強制することなくユーザーの選択の自由を確保しなければならない。したがって、ユーザーにはパーソナライズされたレコメンデーション機能を利用しない権利が与えられなければならない」。

中国以外の国でも、アルゴリズムによるターゲティングに対する懸念は、もちろん高まっている。

欧州では、議員や規制当局が行動ターゲティング広告の規制強化を求めている。欧州委員会は、デジタル市場法（Digital Markets Act）とデジタルサービス法（Digital Services Act）という、この分野を規制する権限を拡大する新たなデジタル規制案を2020年12月に提出し、現在協議を行っている過程にある。

インターネットの規制は、明らかに新しい地政学的な戦いの場であり、各地域はそれぞれの経済的、政治的、社会的な目標に合ったデータフローの未来を形作るために争っている。

関連記事：EUの主管プライバシー規制当局が行動監視に基づくターゲティング広告の禁止を求める
画像クレジット：George / Getty Images

［原文へ］

（文：Natasha Lomas、翻訳：Hirokazu Kusakabe）

民主党のKirsten Gillibrand（カーステン・ギリブランド）上院議員は、テック企業が自分の庭で行う自由な侵入行為から米国人を守るべく、新たな連邦政府機関を設立する法案を再提出した。

ギリブランド議員（民主党・ニューヨーク州）は2020年、データ保護法を提案した。プライバシーおよび既存政府機関が十分に対応できないことがわかっているテック企業に関する法的措置を講じるための法案だ。

「米国はプライバシーとデータ保護のための新しいアプローチを必要としています。そして議会は、人命より利益を重んじる民間企業から米国人を守る有効な解決策を見つける努力をする義務があります」とジリブランド議員は言った。

改定された法案は「データ保護局」の新設を約束した主旨を維持しており、オハイオ州のSherrod Brown（シェロッド・ブラウン）民主党上院議員との共同提案で、いくつかの修正が加えられた。

現在進行中のあらゆるテック企業反トラスト規制を巡る議論の精神を受け、2021年バージョンの同法案は、大手テック企業によるデータ収集業者の関わる合併や、5万人以上のユーザーデータの移動をともなうその他の取引を審査する権限をデータ保護局に与えようとしている。

他に「データの正義を前進させる」公民権機関の設立や、アルゴリズム、バイオメトリック・データの利用、子どもなど立場の弱い人々からデータを収集するなどの高リスクなデータ利用行為を、同局が審査、処罰できる権利が追加されている。

ギリブランド議員は、最新技術に対応した規制改革を「極めて重要」と述べており、それは彼女だけではない。2021年に民主党と共和党はほとんど一致点を見つけていないが、数多くの超党派反トラスト法案は、テック業界で最強の諸企業を抑制することがいかに重要であり、さもなくば止めようがなくなることを、ようやく議会が認識したことを示している。

データ保護法は、一連の新テック法案のような超党派の支持を受けていないが、史上最高値のビッグテックとの戦いへの関心の高さから、多くの支持を得られる可能性がある。テック業界を標的にした法案が数多く進められ中、超党派の支持を増やすことなく本法案が前進することは考えにくいが、だからといってこの考えが考慮に値しないわけではない。

議会で検討中の他の提案と同じく、本法案はFTC（連邦取引委員会）がビッグテック企業の不品行に対して意味のある罰を与えていないことを認識している。ギリブランド議員の構想では、データ保護局はFTCにできなかった規制強化を実現できるという。別の法案では、FTCに新たな強制力を与えられたり、吠えるだけでなく噛み付くための資金を注入して強化しようとしている。

連邦政府機関の使える道具を現代風に変えるだけでは十分でないかもしれない。テック業界のデータ巨人たちが10年以上をかけて異常増殖させたものを削減するのは容易ではない。これらの会社をここまで裕福にした米国人データの備蓄は、すでに野に放なたれているのだからなおさらだ。

強力なテック企業の持つそのデータを規制する戦に特化した新たな政府機関は、欧州独自の強力なデータ保護法とこれまで米国に欠けていた連邦規制のギャップを埋めるかもしれない。しかし、何かが起きるまでは、シリコンバレーのデータ亡者たちが熱心にその権力の真空を埋めようとするだろう。

カテゴリー：パブリック / ダイバーシティ

タグ：プライバシー、データ保護、アメリカ、民主党、独占禁止法

画像クレジット：Jaap Arriens / Getty Images

［原文へ］

（文：Taylor Hatmaker、翻訳：Nob Takahashi / facebook ）

中国の最高規制機関である国家インターネット情報弁公室、工業情報化部、公安部、国家市場監督管理総局が共同で発表した文書によると、2021年5月1日以降、中国のアプリはユーザーに過剰な個人データの提供を強制できなくなる。

中国では、アプリがユーザーに機密性の高い個人情報の提供を求め、共有を拒否したユーザーはアクセスを拒否されることがよくある。ナビゲーションマップを使用するための位置情報のように正当なものもあるが、モバイル決済を行うための生体認証など不要なものも多い。

TechCrunchで報じたように、中国当局は2020年12月に、さまざまなアプリが収集する権利を持つデータの許容範囲を示した。

関連記事：中国のインターネット規制当局は強制的なユーザーデータの収集を標的に

新たな文書によると、人気が高まっている「ミニプログラム」など、あらゆる形態のアプリがこの要件の対象となっている。「ミニプログラム」とは、アプリストアをインストールしなくてもWeChatやAlipayといった包括的なネイティブアプリを通じてアクセスできるライトアプリのことだ。

現在のところ、この文書はガイドラインに過ぎず、規則をどのように施行するか、違反者をどのように処罰するかについては明記されていない。この文書は、データ保護に関して中国が少しずつ前進していることを示しているが、人々の日常生活が急速にデジタル機器と結びついているため、規制当局は規則を更新し続けなければならないだろう。

ここ数カ月の間、中国は、かつて同国が誇っていたテクノロジーの寵児たちを厳しく取り締まっている。中国は「プラットフォーム経済」を抑制するために包括的な独占禁止法を導入し、Ant GroupのIPOは失敗、AlibabaとTencentは反トラスト的だと罰金が科されている。

関連記事
・中国が独禁法違反でアリババとテンセント子会社に罰金処分
・Antの超大型IPOが延期、中国当局がアリババ創業者から事情聴取

カテゴリー：パブリック / ダイバーシティ

タグ：中国、アプリ、個人情報、データ保護

画像クレジット：Alibaba

［原文へ］

（文：Rita Liao、翻訳：Katsuyuki Yasui）