EUデータ保護当局が指針を発表、Cookieウォールの同意はNG、スクロールで同意もNG

訪問者が自分の個人データの使用を許可しなければ、そのウェブサイトにある自分のコンテンツにアクセスできなくなる。これはいわゆる「Cookieウォールの同意」だ。EUのデータ保護法に従わないなら、そういう目に遭う。

これが、欧州データ保護会議(EDPB)からの明確なメッセージだ。同会議は、個人データの使用をオンラインで同意することに関する規約のための最新の指針を発表した。汎EU法の下では、同意は、データ管理者にユーザーの個人データの利用を許可するための6つの法的根拠の1つとなっている。

ただし、欧州の一般データ保護規則(GDPR)の下で同意が法的に有効と認められるためには、いくつかの特別な条件を満たす必要がある。明確に説明がなされ、個別的に自由意志により提供されなければならないというものだ。

そのため、中に入るための代金として「同意」を請求するCookieウォールは矛盾した存在であり、法律というレンガの壁に衝突していることになる。

Cookieウォールの裏に合意はない

局部的なCookieウォールは、昨年我々が伝えたように、オランダのデータ保護当局(DPA)がCookieウォールを禁止する指導を明確にしたときから、崩壊が続いている。

EDPBの最新の指針は、その要点を理解させることを意図したものだ。この作業部会の目的は、各国のデータ保護当局に、データ保護規則の一貫した適用の推進を指導することにある。

このEDPBの介入により、27のEU加盟国の国家機関から改訂点の解釈のずれが一掃されるはずだ(そうあってほしい!)。ただ、EUのデータ保護法のはまだ完全には準拠されていない。それは短距離走ではなくマラソンだと言われている。だがCookieウォールの問題に関しては「ランナー」はすでにトラックを何周もしている。

オランダの説明を伝える昨年の記事でも指摘したが、Internet Advertising Bureau Europe(欧州インターネット広告協議会、IAB)は立派なCookieウォールを運用し、コンテンツを見たければ個人データの利用規約に「同意」せよと訪問者に求めていた。

我々が指摘した問題点は、それは自由意思による選択ではないということだ。EUの法律も、法的に有効な同意は自由意思によるものでなければならないと定めている。IABが、それ以降のある時点でCookieの同意要求の方法を変更し、Cookieウォールを排除して「統計データ収集」のためのCookieを受け入れるか拒否するかという明確な選択肢を提供(そう言われたのかも知れないが)するようになったのは興味深い。

IAB Europeのウェブサイトでは、豊富で最新の情報を提供でき、ウェブサイトが正常に機能するよう、Cookieを使用しています。あなたの許可のもとに、私たちはその手法を用いて、あなたの訪問に際してデータを収集し、サービス向上のための統計データ収集を行います

その当時我々が伝えたとおり、Cookieウォールへの同意を求める記述がウォールにあった。

EDPBの文書には下の例が含まれており、Cookieウォールへの同意は「サービスの供給が、データ主体による『Cookieを受け入れる』のクリックに依存しているため、有効な同意とはならない。自由意志による選択とは見なされない」という要点を表している。

実際、これ以上わかりやすい説明はないだろう。

40. 用例6a:ウェブサイトの提供者が、Cookieおよび、そのCookieがデータの利用目的をどのように設定するかに関する情報の受け入れ要求に同意が得られない限り、コンテンツを閲覧不能にするスクリプトを実行する。「Cookieを受け入れる」ボタンをクリックしない限りコンテンツにはアクセスできない。データ主体には自由意志で選べる項目が与えられないため、この同意は自由意志によるものとは見なされない
41. サービスの供給が、データ主体による『Cookieを受け入れる』のクリックに依存しているため、これは有効な同意とはならない。 自由意志で決定できる選択肢が示されていない

スクロールは「私のデータを使って」という意味ではない

今回の改訂された指導の注目すべき第二の点に、EDPBがさらなる明確化が必要と判断したことから提示された、スクロールと同意の問題がある。

平たく言えば、ウェブサイトやデジタルサービスでのスクロール操作を、いかなる場合も、同意と見なしてはいけないということだ。

EDPBではこう説明している。「ウェブページでのスクロールやスワイプといった操作、またはユーザーによるそれに準ずる操作は、いかなる状況においても、明確で積極的な行動の条件を満たさない」(太字はTechCrunchによる)

そうした信号の合理的な根拠は曖昧だ(さらに、EDPBが示した例からは、もしそうした信号が有効だった場合にユーザーはどうしたら同意を取り消せるのか、という問題点が浮上する。同じウェブページを反対にスクロールすればよいのか? それは馬鹿げた方法であり、混乱を招くのは必至だ)。

Lukasz Olejnik:GDPRの同意に関して更新された指針の要は、ウェブサイト上での操作が有効な同意を形成するか否かだ。いろいろな意味で、ユーザーのランダムな操作は同意にはならない。最大の根拠となるのは、同様のランダムな操作で同意を取り消せるかどうかだ

EDPBの文書には、それに関連する例が示されている。

86. 用例16:備考32にもとづき、ウェブページでのスクロールやスワイプといった操作、またはユーザーによるそれに準ずる操作は、いかなる状況においても、明確で積極的な行動の条件を満たさない。そうした操作は、ユーザーによる他の操作または対応によって取り消すことが困難であるためであり、従って、明確な同意が得られたと判断することは、同様に不可能である。さらに、そうした場合、ユーザーが同意を取り消すための、同意したときと同程度に簡単な手段の提供が困難である

これもまた、実にわかりやすい。

そのため、訪問者がウェブページをスクロールした瞬間に追跡用Cookieを送り込もうといまだに画策しているウェブサイトは、規制当局による法的措置の危険にさらされる。ちなみに、GDPRの罰金は2000万ユーロ(約23億円)、または全世界での年間収益の4%にものぼる。

それにもかかわらず、最近の調査ではCookieの同意を巡る問題がEUには蔓延し続けているという。しかもそれは「スクロールしたら追跡される」式のやり口に限らない。

言葉巧みな同意のポップアップや、故意にわかりづらくしてユーザーを惑わす「ダークパターン」は今でも大きな問題になっており、そうした手口の蔓延が、EU市民の個人データの法的保護を難しくしている。しかしそんな分野にも、今では規制当局と裁判所からの明確化の光が差すようになり、悪役の出番は次第に狭められている。

例えば、昨年欧州司法裁判所が下した判決により、追跡Cookieにはユーザーの意思による同意が必要であることが明確化された。また、「事前チェック」やその他の条件も、同意を得るための合法的な手段としては認められなくなった。

しかも、GDPRが間もなく2周年を迎えるにあたり、規制当局への現実に法執行せよとの圧力も高まっている。つまり、同意が関係してくるところでは、必要ならば大まかな目安として示すが、同意を盗んだり同意を隠したりしてはいけないと覚えておくといいだろう。それでも近道をして簡単に同意を取りたいときは、A)明確に正確に道案内されていること、そしてB)同意を取り消すための同等に簡単な方法を示していることを絶対に守る。別に難しいことではない。

画像クレジット:  Vinicius Massuela/EyeEm / Getty Images

[原文へ]

(翻訳:金井哲夫)

スマート家電メーカーは見聞きした情報を政府に開示するのか?

1年前、TechCrunchは名の通ったスマートホーム機器のメーカーに対して、ユーザーの個人データを政府に提供するか否かを質問した。その結果はさまざまだった。Amazon(アマゾン)、Facebook(フェイスブック)、Google/Nest(グーグル/ネスト)のビッグ3はみな、政府がユーザーの個人データを求めてきたときの対処法を透明性報告書で公表した。Apple(アップル)は収集したデータは匿名化されるので報告書は必要ないと話していた。残りのメーカーは、政府からの個人データ提出の要求への対応を公表しなかった。

あれから1年が経過し、スマートホーム市場は急成長したが、その残りのメーカーの対応に関する情報公開は、ほとんど、あるいはまったく進展していない。中には以前より悪くなったケースもある。スマートホーム機器に限らず、インターネットに接続できる機器は便利で、どこでも売られているが、それらは私たち自身や私たちの家庭の情報を大量に収集している。スマートロックは、いつ人が家に入ったかを知っている。

スマートドアホンは訪問者の顔をキャプチャーする。スマートTVは、どんなテレビ番組を見たかを知っている。一部のスマートスピーカーは、私たちが何に興味を持っているかを知っている。使われていない間は、スマートホーム機器の多くはデータを集め、メーカーに転送している(なかには、無線ネットワークの情報のような、こちらが思いも寄らない要素のデータ点を収集するものもある)。製品や私たちの家をよりスマートにするためというのが表向きの理由だ。

そのデータはメーカーによってクラウドに保存されるため、警察や政府の役人が犯罪捜査のためにそのデータを提供せよと要求できる。しかし、収集したデータの量が膨大になると、企業の、データの提出要求に関する透明性が低下する。私たちに届くのは事例報告だけだが、その数は非常に多い。警察はAmazon Echoのデータを入手して殺人事件を解決。Fitbitがデータを提出したことにより男を殺人罪で起訴。Samsung(サムスン)は児童虐待画像を見ていた性犯罪者の逮捕に協力。Nestは監視映像を提出してギャングのメンバーの逮捕に協力。そしてAmazon傘下のRingの最近の事例報告では、スマートホーム機器メーカーと警察との密接な関係が露わになった。

各メーカーの回答は次のとおりだ。スマートロックとスマートドアホンのメーカーであるAugustは、去年とまったく同じ声明を返してきた。「現在は透明性報告書を作成していませんが、外国諜報活動偵察法(FISA)に基づくユーザーコンテンツまたは非コンテンツの提供を求める国家安全保障書簡(訳注:FBIからの令状を必要としない情報提供命令書)も命令も受け取たことがありません」というものだ。しかし、Augustの広報担当者Stephanie Ng(ステファニー・エン)氏は、裁判所の召喚状、捜査令状、裁判所命令などの国家安全保障関係以外の要求を同社がどれほど受け取ったかは明らかにしていない。法的な要求があった場合には「あらゆる法律」に準拠するとだけ話している。

ロボット掃除機のRoomba(ルンバ)のメーカーであるiRobotは、去年と同じく、政府からのデータ提出要求は「受け取っていない」と答えた。「現在iRobotでは、透明性報告書を発表する予定はない」が「政府から顧客データの提出を要求された場合」には報告書の公表を検討するとのことだ。

Netgearのスマートホーム部門から2018年に独立したArloは、コメントの求めに応じなかった。今でもスマートホーム技術を所有しているNetgearは「透明性報告書の一般公開はしない」と話している。

Amazonの子会社であるRingは、警察との協力関係が国会議員たちの怒りを買い、ユーザーのプライバシーを守る能力に疑問を持たれているが、去年、時期は明言しないものの、将来的に透明性報告書を公開するつもりだと話していた。今年、Ringの広報担当者Yassi Shahmiri(ヤッシ・シャミリ)氏はコメントを出さず、その後繰り返し送った電子メールへの返信も止まってしまった。

Honeywellの広報担当者Megan McGovern(ミーガン・マクガバン)氏はコメントせず、元Honeywellのスマートホーム部門で1年前に独立したResideoに私たちの質問を投げたが、ResideoのBruce Anderson(ブルース・アンダーソン)氏もコメントしなかった。

また、スマートホーム機器やインターネットに接続できるテレビや家電のメーカーであるサムスンも、昨年とまったく変わらず、コメントの依頼に応答しなかった。

全体として、これらの企業の反応はほぼ去年どおりの回答だった。さらに昨年、「2018年末」の透明化報告書の公開を約束していたスマートスイッチとセンサーのメーカーのEcobeeは、約束を果たさないままだ。理由を尋ね再三コメントを求めたが、Ecobeeの広報担当者Kristen Johnson(クリステン・ジョンソン)氏は応答しなかった。

入手可能な範囲で最も信頼できる情報から判断するに、August、iRobot、Ringそしてその他のスマートホーム機器メーカーは、貴重な個人データが政府に差し出される可能性を秘めたまま、全世界に数億人のユーザーや顧客を擁しているが、ユーザーも顧客も、それに関して一切説明を受けていない。

透明性報告書は完全ではないかも知れない。透明度が他より低いものもある。しかし、メディアで叩かれたり、監視国家への協力を要求された後であっても、大企業がその情報を開示したなら、小さな企業も言い逃れができなくなる。

今年は、ライバルよりもややマシな企業がいくつかあった。しかし、プライバシーに関心の高い人間なら(誰もが高くあるべきなのだが)これでは満足できない。

関連記事:スマートテレビのセキュリティーについてFBIが警告

[原文へ]
(翻訳:金井哲夫)

個人データの無断抽出企業にポーランド当局が採った過激な一手と残された謎

ポーランドのデータ保護機関は3月末、EUの一般データ保護規則(GDPR)に基づいて初の罰金を科した後、面白い決定を下した。

表面的には、この措置はさほど大事には見えない。ポーランドの個人データ保護局(UODO)は、同国に支社を置く欧州のデジタルマーケティング企業Bisnode(本社はスウェーデン)に対して、同社がGDPR第14条に定められたデータ主体の権利に対する義務を履行していないことを理由に、わずか22万ユーロ(約2740万円)の罰金を科した。

しかしその決定は、第14条に規定された通知義務による通知を受け取っていない600万人近い人たちに、連絡を取ることも要請している。UODOが同社に与えた猶予は3カ月だ。

Bisnodeは、これだけの数の書留郵便を送るには、そのための経費を一切含めないとしても、およそ800万ユーロ(約99億8500万円)かかると前もって見積もっていた。

つまり、GDPRに基づくデータ保護の強制力は、これまでに科せられた最上級の罰金よりもずっと威力があるということだ。この付随命令には、商習慣を大きく変えてしまう可能性すらある。

ポーランドの報道機関によると、Bisnodeは、違反しているデータを削除すると話しているという。数百万通の郵便物を出さずに済ませるための方策だ。さらに同社は、UODOの決定に対し、まずはポーランドの法廷に異議を訴える構えを見せている。その根拠は、データ主体にそのデータの処理について通知する場合、データ管理者はどこまで努力し、どこまで金銭的な負担をしなければならないかを示した第14条の補足説明にある。

同社は、必要に応じて、欧州の最高裁判所まで行く覚悟だという(我々は、次の対策に関してBisnodeに確認をとった)。

もしこれが欧州司法裁判所にまで持ち込まれることになれば、UODOの決定に対する法的な異議申し立により、個人データを無断で抽出することに関して、制限の範囲が明確化(または規定)されることになる。可能性としては、ビジネスインテリジェンス、広告、サイバー攻撃諜報活動といったいくつもの業界や分野の運営方法に影響を与えることが考えられるるため、プライバシーの保護に携わる人たちは注目している。

「この決定は、第14条を文字通りに適用したという点で過激に思えます」と、サイバーセキュリティーおよびプライバシーの独立系アドバイザーおよびオックスフォード大学Center for Technology and Global Affairs(技術および世界情勢センター)研究員であるLukasz Olejnik博士はTechCrunchに語った。

「UODOは、この企業のビジネスモデルが抽出したデータの処理に完全に依存していて、それを意図的に決断していると、原則論に則って主張しています。UODOはまた同社は義務のことを認識しており、一部の人たちに電子メールで通知しているとも言っています」。

さまざまな業界で活動する個人データ抽出業者には裁判になれば膨大な出費が強いられる可能性が生じるが、Bisnodeの主張が通るかどうかによって分別ある処分が下されることもあるとOlejnikは言い添えた。

このようなデータ保護機関の決定が、無断のデータ抽出を事実上禁止することになるかは定かではない。

しかし、欧州の公的データベースから、人々の個人データを、黙って、取り放題に取っていた業者には、不明瞭な法律上の心配ごとが現れた。個人データを、当初の使用目的とは違う商売に利用しようとすれば、想像を超える大金が必要となるのだ。

知らされる権利

GDPR第14条では、データ管理者は、当事者から直接取得したものでない個人データを使用する際には、その人に通知する義務を負うことになっている。例えば、公的インターネットから個人データを抽出したような場合だ。

これに関連する規制の条項はとても長いのだが、要点を並べると次のようになる。個人データを抽出したときは、データの持ち主であるデータ主体(個人)に、誰がその人のデータを持っているか(それを共有するすべての者、また海外への転送を依頼した者を含む)、どのようなデータを取得したのか、それを何に使うのか、その処理に関する法的根拠を通知しなければならないということだ。

データ主体には、自分のデータの利用を望まない場合に拒否できるよう、苦情を訴える権利があることも知らせる必要がある。

情報に関する義務は、使用目的によって異なる。そのため、データ管理者が、抽出したデータを後に別の目的に使おうとする場合には、新たに第14条に基づく通知をしなければならない。

データ主体には、データを抽出してから(または使用目的を変えるとき)遅くとも1カ月以内に通知しなければならない。そのデータが、データ主体に対する直接的なマーケティングに使われる場合は、最初に接触するときに、即刻その旨を伝えなければならない。

Bisnodeの場合、無数の起業家や個人事業主に関する公的記録やその他の公的データベースから、さまざまな個人データを入手している。それには、氏名、国民ID番号、事業に関連するあらゆる法的事柄が含まれる。

個人事業主や企業の住所は、抽出対象としては一般的なデータのようだが、それ以外の連絡先は違う。Bisnodeが入手した電子メールアドレスは、少数の個人集団のものだけだった。その後、同社はその人たちに、14条に基づく義務としてメールを送っている。

しかし問題となっているのは、電子メールアドレスを知らないその他の人たち、つまり大多数の570万人ほどの人たちに、Bisnodeがテキストメッセージや郵便を送らなかったことだ。同社は彼らに直接コンタクトを取ることを諦め、代わりに同社のウェブサイトに通知を掲示して、第14条の義務を果たしたことにしていた。

「個人事業主には、我々がその人のデータを使わせていただく旨を知らされる権利があることを、私たちは認識しています。今回の場合、BisnodeはGDPR第14条に準拠し、私たちのウェブサイトに情報を掲示しました」と、BisnodeはUODOの決定を受けて発表した最初の声明文に書いていた。これは彼らのウェブサイトにも掲載されている。

さらに、「私たちは、データ保護機関が考えるところの相応の努力というものに疑問を持っています。電子メールアドレスを知っている方々(67万9000件)には、第14条に基づく情報を電子メールにて通知しています。しかし、個人事業主、法人などの570万件の記録に対しても郵便または電話で通知せよとの追加要求は、相応の努力とは思えません」と続く。

「私たちは、電子メール、その他のデジタルチャンネル、全国新聞の広告などが、受け手にとっても、送り手にとっても望ましい手段だと考えます」。

UODOは激しく反論した。それが、この罰則やその他の措置につながった。

UODOは、その決定についてこう説明している。Bisnodeは、第14条に基づく義務について明らかに知っていた。そのため、ビジネスに利用するために取得した個人データの持ち主の大多数には直接通知をしないと、費用の面だけを重視して意識的に決断した。データの取得に関連する法的義務は、事業コストの中核要素だと認識すべきだった。

「UODO局長は、同社が個人事業を運営する個人(現在または過去)の住所情報(一部には電話番号も含む)を取得した場合、決められた情報を郵送する(または電話で知らせる)ことが可能であり、規則2016/679第14条第1項および第2項で要求されている情報を単純に同社のウェブサイトに掲示するだけでは、規則2016/679第14条第1項から第3項の用件を十分に満たしたとは認められないと述べている」と法律用語満載で応じている(ポーランド語の声明をGoogle翻訳で英語に翻訳)。

「こうした活動を本業とする企業として、同社は、事業者としての立場を明確にする必要があり、法的規則(この場合は個人データの保護に関する規則)に確実に準拠するための必要経費を考慮しておかなければならない」と続き、とくに人々の個人データの売買を事業の柱としている企業であるにも関わらず、費用がかかり過ぎるという理由で大多数の個人に通知をしなかったBisnodeの判断こそが問題だと強調した。

UODOの決定はさらに、Bisnodeが電話番号を知っている人たちにショートメッセージを送ることもしなかったと指摘している。これは「そうした行動には多額の費用がかかる」という言い訳への反論だ。

同社は、第14条に基づく通知を570万人に郵送するには800万ユーロかかると見積もっているが、UODOは、書留で送れとはどこにも書かれていないと反論する(Bisnodeの見積もりの根拠は書留のようだ)。実際、どのような通信媒体を使っても構わないことになっている。

従って、(より安価な)普通郵便で送ってもよかった。または従業員(アルバイトなど)に、数日間かけて対象の個人に通知を配らせてもよかった(余談ながら、ロボットやドローンを使って規則に準拠するための通知を配る新しいタイプの事業が成立するかも知れない。第14条配達ロボットがドアをとんとんノックして、権利を読み上げてくれるとか)。

UODOは、GDPR第14条には、通知の義務を果たすための手段は特定していないと指摘する。データ管理者が実際に連絡することだけが求められているのだ。

積極的な姿勢と過大な努力

「義務を果たすことの要点」は「積極的」に行動することにあると、声明文には書かれている。つまり、データ主体に通知をする際には、データ主体が自分のための通知を受け取るために、データ主体自身が手を煩わすことがないようにしなければならない。

そのため、Bisnodeが行ったような、ウェブサイトのタブの中に通知を掲示するという受動的な方法は、その要点に反する。明らかにデータ管理者には、通知すべき人を探し出す努力が求められているのだ。

また、そのデータの持ち主が、自分のデータを抽出されていることすら知らない場合、どこへ見に行けばよいのか。そもそも見に行くのか? Bisnodeのウェブサイトでその通知にたまたま行き当たって、事の経緯を知るなんてことは、まずあり得ない。大々的にマスメディアで放送でもしない限りは不可能だ。

「積極的な通知の必要性が、2017年11月29日に採択された規則2016/679の第29条作業部会ガイドライン(2018年4月11日に改訂)で強調されている」と、UODOの決定に関する文書には書かれている。EU全体を管轄し大きな権限を持つデータ保護監視機構(現在は欧州データ保護会議、EDPB)の基準を示し、欧州全域でGDPRに確実に準拠するよう、継続的に努力する責任があるというのだ。

この決定に関する広報資料でUODOは、通知を直接受け取った後(電子メールなど)、Bisnodeが自分のデータを使うことを拒否した人々の数と割合も示している。「同社がデータの使用を通知したおよそ9万人のうち、1万2000人以上が自分のデータの使用を拒否した」

これは、個人データを商用目的で、あるいはマーケティング関連で使いたいと通知すれば、多くの人から「やめてくれ」と断られる可能性があるという事実を明らかにしている(実際に拒否する人は多い)。この結果は、データベースを最大限に利用したいと考えているはずのBisnodeのようなマーケティング企業の意向に沿っているとは言えない。

しかし、マーケティングデータベースの縮小は、人々のプライバシーを守り、欧州で合法的にビジネスを行うための代償なのかも知れない。第14条で言われている「相応」とはどの程度かに関するBisnodeの解釈は、欧州連合の市民の権利ではなく、自社の事業の利益を基準とした利己的なものと思える。

もし、欧州連合の人たちの、自分のデータがどのように使われるかを知る法的権利が、たとえば、データ管理者がごく限定された連絡先情報しか持たないことを理由に軽視されてしまうのなら、データ保護の枠組みに大きな抜け穴ができてしまう(数年前、UODOは類似のケースで、企業が自由に使える連絡先情報を持っていなかったとして、今回とは異なる決定を下している)。

第14条には免責の条項もある。データ主体への通知義務を果たそうとしたとき、「それが不可能だと証明されるか、過大な努力を要する場合」は免除される可能性があるというものだ。しかしそれは、「とくに、公益のための記録保管、科学的および歴史的研究、統計上の目的において」という非商用目的の例を示した文章に、明確につながっている。

どう見ても、b2bマーケティングの事業にに当てはまらない。

データ主体への通知義務の免責はまだある。「実行がほぼ不可能な場合、またはデータの使用目的の達成を著しく阻害する場合」だ。だがこれも、Bisnodeのようなマーケティング目的に当てはめるのは難しい。

たしかに、第14条に基づき通知した人たちからは苦情があった。そのなかに、自分のデータをマーケティングに使って欲しくないと拒否する人たちが一定数いた可能性がある。とは言え、UODOが調べたところでは、Bisnodeのデータ使用に積極的に反対した人の数は少数(13パーセント以下)であり、同社の事業全体を「著しく阻害する」ほどの破壊的な数ではない。

もちろん、こうした細かい事柄をもとに判断を下すのは裁判官だ。しかし、「相応の努力」とはどの程度のことを言うのか、そしてどのような条件で第13条の免責が適用されるのかが、大きな争点になってゆくだろう。

「第14条(5)の『過大な努力』が問題の根幹です」とOlejnikは認めている。「場合によっては、ウェブサイトに情報を掲載するだけでも十分ですが、それが今回のケースに当てはまるかどうかは不透明です。むしろ、これに関わる人の大多数が、自分のデータが利用されていることを知らないのは明らかです」

「裁判所の判断は、誰にも予測ができません。とても興味深いケースとして注目しています」と彼は話していた。

UODOの決定から、差し迫った現実的な意味が読み取れるかについても、今はまだはっきりわからないとOlejnikは言う。Bisnodeが、欧州司法裁判所まで戦う姿勢を見せているので、なおさらだ(つまり、結論は何年も先になることを意味している)。

「同社は、EU内の他の支社でも同じ対策をとっているが、各国のデータ保護機関には何も言われていないと公表しています」とOlejnik。「しかし、なんらかの形の通知義務は果たさなければなりません。これは興味深い先例になると考えています」

「これを衝撃的と感じる人もいるでしょうが、GDPRを実際に施行すると、こうなるのです。施行前、GDPRの文言の意味がわからないと、多くの人が不安に感じていました。データ保護機関は、私が思うに、文面通りの意味としてとらえているのでしょう」

個人データの膨らむコストとリスク

現在まさに、同じような話が同時進行している。インターネットの広告ターゲティングに関連するGDPRの元での「自由意思とインフォームドコンセント」の問題だ。昨年、GDPRが施行されて以来、大きな法廷闘争を引き起こした。さまざまな広告用データ技術プラットフォームを使ったターゲティングには苦情が絶えない。適切な同意もなく、なかにはデータ保護が十分に行われていない状態で個人データの使用や分配を行う中核的な広告技術のデータ利用への非難も跡が絶えない。

GDPRは施行されてまだ1年も経ってないため、その規制を強要する手段が不足している。だが規制当局は、その境界に、平等でしっかりとした線を引こうとする兆候は見え始めている。

説明を曖昧な文章にしたり、広告技術産業による個人データの露天掘りを合法であるかのように見せかける努力の跡を見れば、こうした高度にシステム化された個人データ収集業者も、同様に、すべての個人に適正に通知するにはコストがかかりすぎると見積もっているのだろう。

また、広告に利用したい個人データの持ち主全員に、完全に丁寧に情報を通知し、拒否する自由を与えてしまえば、広告技術産業は、そのマーケティング力の大きな部分をもぎ取られてしまう。

だからと言って、義務から逃れることはできない。法の目をかいくぐり身を潜めている企業には、かならず手が入る。

視野を広げてみよう。インターネットから個人データが抽出される場合と、利用者から積極的に個人データが提供される場合(自由意思で提供されるものだけでなく、たとえばGDPRが「同意の強要」と呼ぶものも含む)の割合は明らかではない。

「その割合を示すデータを大きな規模で入手するのは困難です」とOlejnikは言う。

インターネット上での「完全に無許可」のデータ収集を行い、違法なスパム広告を流したり、フィッシング詐欺を企むハッカー集団に売却する悪辣な連中が大勢いることはたしかだ。そいつらを確実に封じ込める規制は、公にはまだ存在しない。だが、法的なリスクが高まれば、少なくともサイバー犯罪者たちの動機を奪い、弱体化させることができる。

規制によってさらに厳しい罰則がもたらされる商業分野では、企業はデータの抽出と「提供」との境目を、自分たちの都合のいいように曖昧にしてしまう。法律から逃れるにためにだ。

そこで、ここでもまた、人々の個人データが丁重に扱われるためのはっきりとした定義と線引きが必要となる。それには法学に支えられた、しっかりとした法執行判断が欠かせない。

また、今はなき選挙コンサルティング企業のCambridge Analyticaの不正行為も忘れてはいけない。同社はFacebookのプラットフォームから個人データをこっそり抜き取り、国内の政治情勢を動かそうと、アメリカ人有権者のサイコグラフィックプロファイルを作っていた。これは、明らかに第14条に違反する。データ保護政策が施行されている現在のEUで、市民たちにそのような行為が行われたらの話だ。

Cambridge Analyticaのような悪質な例を見れば、個人データが内密に利用されることから人々を守る枠組みを作ったGDPRの明確な意図がわかる。そこには、好ましくない不正使用を監視する機能が与えられた。Facebookは、利用者のデータを適切に守れなかった残念な失敗の長い歴史を残すこととなった。

GDPRなら、Cambridge Analyticaのような悪役の活動を止められたのかどうかはわからない。しかし、この制度に焼き込まれた多額の罰金は、個人データの抽出が2014年当時のように「タダで取り放題」ではなくなったことを示している。

同時に、欧州ではFacebookのいくつかの事業が捜査を受けている。アイルランドのデータ保護機関は、Facebook所有の複数のプラットフォームで10件の公開捜査を行っている。GDPR違反の疑いだ。注目しておこう(Facebookがプライバシーに関する姿勢を即座に「転換」したこともに注目して欲しい)。

個人データを内密に大規模に収集すれば、少なくとも欧州では、今や大きな法的リスクを負うことになる。

UODOが第14条に関連して強気な姿勢を見せたことで、個人データを掻き集める人たちは、また少しやりづらくなったはずだ。

完全な情報公開

UODOとBisnodeの事件の締めくくりとして、お伝えしておく。奇妙なことに、UODOは同社の名前を公にしないことを決めた。社名には仮称を使い、決定に関する公開文書では、一部の詳細事項が編集されている。

UODOが、なぜそうしたのかは定かではない。なぜ企業名を隠すのかも不明だ。Olejnikは、仮称はすぐに暴けたと話している。だがBisonodeは、その後、自ら名乗り出て異議を唱えた。

欧州の他国のデータ保護機関は、一般原則として違反企業の名前を明かすことにしている。それだけに、ポーランドの保護機関の選択は異様だ。

UODOの報道官は、TechCrunchに対して、違反した法人の名前を常に伏せるわけではないと話した。しかし今回の件は、「行政処分の情報とその正当性は十分に示されている」という大統領の見解を踏まえてのことだという。さらに、市民に伝えるべきもっとも重要な事柄は、決定が下されたことと「彼らの実績」であり、決定に至るまでの過程に関する決定的な論拠も詳細に記されているとのことだ。

しかし、その具体的な正当性に欠け、とくに仮称の不完全さから、Bisnodeの名称を公開しなかった判断には疑問が残るとOlejnikは言う。

「今回の決定に関する情報から、わずかな時間で仮称の解読ができ、企業名が判明しました。このことから、仮称を使った意図が疑われます」と彼は指摘する。「一般市民には、まず第一に透明性を求める権利があります。仮称の使用は、最初に論争を呼びました。控えめに言っても、それは、利用者がこの事件のこと、データの不正使用のこと、さらには自分がそこに関わっているかどうかを知る権利を妨害しています」

プライバシーを守る側の機関が、下手に企業名を隠し、個人データを密かに盗まれた大勢の人たちに正しい情報が伝えられなかったことは、大きな皮肉だ。

[原文へ]

(翻訳:金井哲夫)

WWWの生みの親が挑戦する社会技術デザイン改革

倫理とインターネットに関する講演で、ワールドワイドウェブ(WWW)の発明者であるTim Berners-Lee(ティム・バーナーズ=リー)卿は、技術業界と大量のプログラマー軍団に対して、技術による人と人のつながりが増え続ける中で、彼らが作るソフトウエアが消費している世界に常に意識を向けるよう伝えた。

コーディングは、プライバシーなどの基本的な人権を尊重するアーキテクチャーシステムに加えて、倫理的な決断を伴いつつ取り組むべき作業であると、彼は指摘している。

「倫理は、技術と同じ、デザインです」と彼は、今週、ブリュッセルで開かれた第40回データ保護とプライバシー担当者のための国際会議「ICDPPC」にて、代表者たちに話した。

「システムをデザインするということは、社会をデザインするということです。どのような倫理的ルールを組み込むか(それが社会に影響を与える)……そこに明確な答はありません。社会を構成する一部として、よいアイデアだと自分で考えたことを、組み込むしかないのです」

もし、みなさんの技術哲学が「敏速に既存のものを破壊する」というものであれば、想像性も革新性も失われ、社会に影響を与える要因となるサービスのポリシーと規約を
、根底からある程度まで、常に見直してゆくことができなくなります」と彼は主張する。

彼は、Wikipediaが、インターネット上で百科事典の内容を編集できる権限を一般ユーザーに与えたあと、すぐにポリシーを変更しなければならなかった事例を挙げてこう話した。「彼らは、そこに山程の煩雑な手続きを持ち込みましたが、それが実際に機能を助けています。最終的に、それはとても機能的なものとなりました」

彼は今日のデジタルプラットフォームを「社会技術システム」と読んでいる。つまり「リンクをクリックするのは、単なる技術的な作業ではありません。そこには、こんなにすごいものは、みんなに教えてあげなければという動機が働いています。さらに、自分が書いたものが他の人に読まれることを知り、喜びが得られるのです」

「私たちは、社会と技術の両方の側面を意識して決断する必要があります」と彼は言う。こうしたプラットフォームは「人為的なものです。人が作ったものです。FacebookTwitterも人工的なものです。人がコーディングました。そして、それをコーディングした人は、それをさらに良いものにしようと、常に考えています」

この基調講演で彼は、Cambridge Analyticaのデータ不正使用スキャンダルを例に出し、あらゆるグループ、さらには社会全体を操作するために転用または利用できるよう、人々のデータを蓄積しリンクしているという簡単なイメージを、社会技術システムが爆発的に広めたと話している。

「私たちのデータは吸い取られ、大勢の人々、実際には何十億という人たちによって混ぜ合わされ、人を操作するために使われています」

「プライバシーとは、自分の知られたくないデータのことばかりではありません。自分で撮影した自分の写真が公開されるといった程度のことではないのです。それも重要なことですが」

インターネットへの接続が拡大し、個人データがますます吸い上げられるようになると、それはそのデータの出どころである本人のまったく知らない場所に蓄積できるようになる。Berners-Leeは、ウェブには「自分のデータを、シェアしたい相手にだけシェアできる権利」が必要だと強調している。

そして「自分のデータをすべて手に入れる権利」だ。AppleやTwitterなどの企業が、自分のデータをどこからでもダウンロードできるようにした努力を紹介し、「自分のデータは自分のものであり、自分で管理する」というそれらの企業の考え方を称賛した。

また彼は、自身のスタートアップSolidについても触れた。非中央集権的に相互運用できる範囲を広げ、自分のデータを管理しシェアする方法を変革することを目標にしている。

Tim Berners-Lee is on a mission to decentralize the web


Tim Berners-Leeがウェブの非中央集権化に挑戦(本文は英語)

「Solidの本質は、ユーザーが自分のデータを完全にコントロールできる新型のプラットフォームです」と彼は説明した。「どのアプリも、どこに自分のデータを置くかを聞いてくれるというのは画期的なことです。自分のスマートフォンで写真アプリを起動したり、または写真を撮影したとき、これをDropboxに保存して、最終的に自分のうちのコンピューターに保存したい、と言えるわけです。これは、あらゆるアプリ、あらゆるストアとの相互運用によって実現する新技術です」

言論の自由を守り、検閲に抵抗する力も、自分のデータを自分で管理することから力を得られると彼は言う。

「これはまだ、みなさんが自宅で利用できる段階ではありません」と彼はSolidについて話した。「私たちと一緒に新しいアプリを生み出し、さらに私たちのサービスをよりパワフルに安全にするための冒険の旅に出られるよう、開発者向けの準備をしているところです」

「このプラットフォームは、プライバシーの世界をひっくり返します。というか、これはプライバシーの世界を正しい向きに置き直します。みなさんは、自分のデータの主導権を握ります。いつ保存しても、いつでも管理できて取り出すことができます」

規制当局が強力な技術プラットフォームへの関心を高める中、さらに大きな社会的課題として、Berners-Leeはこう話した。「私たちは、プラットフォームが構築できるよに企業の協力を引き出し、新技術が人々もたらす利便性を悪用した新しい犯罪が生まれたときに、新しい法律で対処してもらえるよう政府の協力を得ることが大切です。そして、企業のポリシーは、彼らが生み出すあらゆる新技術を考慮したものにしておくことが重要です」

「私たちのやるべき仕事は山積みです。個人、企業、政府の垣根を超えた話し合いも積み重ねなければなりません。しかし、これはとても重要なことなのです」

[原文へ]
(翻訳:金井哲夫)

WWWの生みの親が挑戦する社会技術デザイン改革

倫理とインターネットに関する講演で、ワールドワイドウェブ(WWW)の発明者であるTim Berners-Lee(ティム・バーナーズ=リー)卿は、技術業界と大量のプログラマー軍団に対して、技術による人と人のつながりが増え続ける中で、彼らが作るソフトウエアが消費している世界に常に意識を向けるよう伝えた。

コーディングは、プライバシーなどの基本的な人権を尊重するアーキテクチャーシステムに加えて、倫理的な決断を伴いつつ取り組むべき作業であると、彼は指摘している。

「倫理は、技術と同じ、デザインです」と彼は、今週、ブリュッセルで開かれた第40回データ保護とプライバシー担当者のための国際会議「ICDPPC」にて、代表者たちに話した。

「システムをデザインするということは、社会をデザインするということです。どのような倫理的ルールを組み込むか(それが社会に影響を与える)……そこに明確な答はありません。社会を構成する一部として、よいアイデアだと自分で考えたことを、組み込むしかないのです」

もし、みなさんの技術哲学が「敏速に既存のものを破壊する」というものであれば、想像性も革新性も失われ、社会に影響を与える要因となるサービスのポリシーと規約を
、根底からある程度まで、常に見直してゆくことができなくなります」と彼は主張する。

彼は、Wikipediaが、インターネット上で百科事典の内容を編集できる権限を一般ユーザーに与えたあと、すぐにポリシーを変更しなければならなかった事例を挙げてこう話した。「彼らは、そこに山程の煩雑な手続きを持ち込みましたが、それが実際に機能を助けています。最終的に、それはとても機能的なものとなりました」

彼は今日のデジタルプラットフォームを「社会技術システム」と読んでいる。つまり「リンクをクリックするのは、単なる技術的な作業ではありません。そこには、こんなにすごいものは、みんなに教えてあげなければという動機が働いています。さらに、自分が書いたものが他の人に読まれることを知り、喜びが得られるのです」

「私たちは、社会と技術の両方の側面を意識して決断する必要があります」と彼は言う。こうしたプラットフォームは「人為的なものです。人が作ったものです。FacebookTwitterも人工的なものです。人がコーディングました。そして、それをコーディングした人は、それをさらに良いものにしようと、常に考えています」

この基調講演で彼は、Cambridge Analyticaのデータ不正使用スキャンダルを例に出し、あらゆるグループ、さらには社会全体を操作するために転用または利用できるよう、人々のデータを蓄積しリンクしているという簡単なイメージを、社会技術システムが爆発的に広めたと話している。

「私たちのデータは吸い取られ、大勢の人々、実際には何十億という人たちによって混ぜ合わされ、人を操作するために使われています」

「プライバシーとは、自分の知られたくないデータのことばかりではありません。自分で撮影した自分の写真が公開されるといった程度のことではないのです。それも重要なことですが」

インターネットへの接続が拡大し、個人データがますます吸い上げられるようになると、それはそのデータの出どころである本人のまったく知らない場所に蓄積できるようになる。Berners-Leeは、ウェブには「自分のデータを、シェアしたい相手にだけシェアできる権利」が必要だと強調している。

そして「自分のデータをすべて手に入れる権利」だ。AppleやTwitterなどの企業が、自分のデータをどこからでもダウンロードできるようにした努力を紹介し、「自分のデータは自分のものであり、自分で管理する」というそれらの企業の考え方を称賛した。

また彼は、自身のスタートアップSolidについても触れた。非中央集権的に相互運用できる範囲を広げ、自分のデータを管理しシェアする方法を変革することを目標にしている。

Tim Berners-Lee is on a mission to decentralize the web


Tim Berners-Leeがウェブの非中央集権化に挑戦(本文は英語)

「Solidの本質は、ユーザーが自分のデータを完全にコントロールできる新型のプラットフォームです」と彼は説明した。「どのアプリも、どこに自分のデータを置くかを聞いてくれるというのは画期的なことです。自分のスマートフォンで写真アプリを起動したり、または写真を撮影したとき、これをDropboxに保存して、最終的に自分のうちのコンピューターに保存したい、と言えるわけです。これは、あらゆるアプリ、あらゆるストアとの相互運用によって実現する新技術です」

言論の自由を守り、検閲に抵抗する力も、自分のデータを自分で管理することから力を得られると彼は言う。

「これはまだ、みなさんが自宅で利用できる段階ではありません」と彼はSolidについて話した。「私たちと一緒に新しいアプリを生み出し、さらに私たちのサービスをよりパワフルに安全にするための冒険の旅に出られるよう、開発者向けの準備をしているところです」

「このプラットフォームは、プライバシーの世界をひっくり返します。というか、これはプライバシーの世界を正しい向きに置き直します。みなさんは、自分のデータの主導権を握ります。いつ保存しても、いつでも管理できて取り出すことができます」

規制当局が強力な技術プラットフォームへの関心を高める中、さらに大きな社会的課題として、Berners-Leeはこう話した。「私たちは、プラットフォームが構築できるよに企業の協力を引き出し、新技術が人々もたらす利便性を悪用した新しい犯罪が生まれたときに、新しい法律で対処してもらえるよう政府の協力を得ることが大切です。そして、企業のポリシーは、彼らが生み出すあらゆる新技術を考慮したものにしておくことが重要です」

「私たちのやるべき仕事は山積みです。個人、企業、政府の垣根を超えた話し合いも積み重ねなければなりません。しかし、これはとても重要なことなのです」

[原文へ]
(翻訳:金井哲夫)

Facebookよ、本気なのか?

Facebook はビデオカメラを作っている。同社はそれを家庭に設置して、きょろきょろと落ち着きがないながらも瞬きは一切しない目玉で周囲を見回し、いくつもの耳を持つパネルに向かってユーザーが、愛する家族や友人への個人的な見解を話して欲しいと考えている。

その名はPortal。キッチンのカウンターの上やリビングルームや、友人や家族とおしゃべりをしたい場所ならどこにでも置くことができる。Portalは対象人物が動いても常に画面に収まるように追跡をして、気楽なビデオチャットが続けられるようにしてくれる。背景の雑音もカットされるので、会話がクリアーに聞こえる。気の利いた道具だが、目からウロコというほどではない。それでも便利そうではある。あなたの知っている人は、みなFacebookに登録している。または登録していたか。いずれにせよ、そうなると話が違ってくる。

いつも間が悪いFacebook

多くのユーザーがFacebookの利用を限定または縮小したいと考えている今、Facebookは家庭にその居場所を求めている。Portalは音声で起動するため、つねにキーワード(この場合はHey Portal)に聞き耳を立てている。Amazon Alexaの音声コマンドにも対応する。問題は、Alexaがつねに聞き耳を立てている機能上の性質と、隣の部屋の会話の断片まで聞き取ってしまうという悪い癖のために、すでにかなりの数のユーザーが「気味が悪い」と感じていることだ。Facebookは世界最大のソーシャルグラフを持っているのだろうが、2018年にはFacebbokの利用を抑えようとしている。増やそうとは思っていない。

FacebookはF8でPortalを発表する予定だったのだが、Cambridge Analyticaを始めとする数々のスキャンダルが持ち上がったために中止したという。大量のデータ流出事故の直後にこの製品をリリースしたことから、今出さなければ、これ以上この製品を持ちこたえることができなくなり、葬り去るよりほかになく、暗雲から抜け出すチャンスをしばらく失うことになるからだと読み取れる。FacebookのPortalは、ユーザーが毎日歩き回りながら、互いにつながれるというFacebookの新しい道を切り開くものだ。しかし、当初の出荷予定日から数カ月が経過したが、依然として最悪に間の悪い状態は続いている。

(本文は英語)

この8年間、Facebookは折あるごとに、自分たちはハードウエア企業ではなく今後もそうなるつもりは一切ないと主張してきた。
私は、5年前、あの謎多きメンローパークの記者会見で前から2列めに座っていたときのことを憶えている。記者たちは、ついに伝説のFacebook Phoneが登場するとささやきあっていた。しかし、Mark Zuckerbergが紹介したのはGraph Searchだった。2003年と比べて、市場のタイミングが改善されたかどうか、はっきと述べるのは難しい。プライバシー擁護の問題で、Facebookは警告を受けてきた。それでも、ユーザーはあまり深く考えることなく、日常的にFacebookに出入りしている。Facebook中毒を断ち切った友人は、いまだに異例な存在だ。容赦なく社会的行動に影響を与えるソーシャルメディアの分析が、日常の気楽な会話の話題になることはない。それを話し合っているのは、幻滅した技術系記者だけだ。

Facebookを信じる(か否か)

Onion紙の大見出しを飾るこのタイミングはともかく、Facebookもどうやら自覚しているようで、Portalは「プライバシーとセキュリティーを重視して作られている」と話している。さらに、いくつかの約束も明言している。

「Facebookは、みなさんのPortalによるビデオ通話を聞いたり、見たり、記録したりはしません。Portalでの会話は、あなたとあなたの相手の外に出ることはありません。また、Portalの会話は暗号化されます。そのため、あなたの会話は常に安全が保たれます」

「セキュリティーを高めるために、AI技術を利用したSmart CameraとSmart Soundは、Facebookのサーバーではなく、Portal本体の中で実行されます。Portalのカメラは顔認証を行いません。あなたが誰であるかを特定しません」

「音声で利用する他の機器と同じく、Portalは、あなたがHey Portalと言ったあとの声による命令のみをFacebookのサーバーに送ります。Portalの音声履歴は、Facebook Activity Logでいつでも消去可能です」

まともに見えるが、普通の内容だ。どの製品も、最初に動向を伺っておいて、後になって広告の蛇口を全開にしてきたFacebookのことなので、いつこれが変わるとも知れない。たとえば、Portalのカメラは顔を識別しないが、Facebookには強力な顔認証エンジンがあり、主要製品の境界線が曖昧であることでも知られている。こうした性質は、監視役がいなくなることで、さらに悪い方向に進む恐れがある。

Facebookの信頼は、標準レベルに達していない。このところ失墜した信頼を取り戻すためには、かなりのレベルでのユーザーの信頼を築かなければならない。非現実的な信頼レベルだ。そこで、新たな生きる道へと舵を切ったわけだ。

ハードウエアは難しい。Facebookはハードウエアのメーカーではないし、同社が扱っているOculusが、唯一、製造、マーケティング、そしてセキュリティーという難題に挑戦したソーシャル・アプリ以外の製品、つまりハードウエアだ。2012年、Zuckerbergは、Facebookにとってハードウエアは「いつだって間違った戦略」だと宣言した。その2年後、FacebookはOculusを買収したが、それは、初期のモバイルブームが去った後、船を失った将来のためのプラットフォームを確保しておくのが目的だった。Facebookがハードウエア企業になりたがっているサインではない。

念のため:Facebookの存在理由は、ユーザーから個人情報を抽出することにある。そのため、ビデオチャット、メッセージ、キッチンに馴染む全展望監視システムといった個人生活に密着した製品は、ユーザーのプライバシーと真逆の方向性のビジネスモデルを持つ企業に依存するのがいちばんだ。そうした企業はFacebookだけではない(Googleもだ)が、ユーザーを惑わして過度な信頼を持たせるに値するものとして、Facebookの製品は決して特別ではない。

意識調査

現在、消費者である私たちの力は限られている。Facebook、Apple、Amazon、Google、Microsoftといった一握りの巨大な技術系企業は、表面上は便利な製品を作っている。私たちは、それがどれほど便利か、その便利さと引き換えに、どれだけのプライバシーを提供できるかを決断するようになっている。これは駆け引きだ。嫌な駆け引きだ。

消費者として、それには受け入れるだけの価値がある。いちばん信用ならない企業はどこだろうか。その理由は?

もし、Facebookが、その主力製品(つまりFacebookそのもの)にたしかなセキュリティーを施すことができないとなれば、まったく異質な製品、つまり物理的な製品への実験的な進出も信頼性を失う。22億3000万人のユーザーを抱えるソフトウエア・プラットフォームのセキュリティーを確保することは、非常に難しい。そこへハードウエアを加えれば、今のその心配を複雑化させるだけだ。

安全な選択を行うために、セキュリティーの一部始終を知る必要はない。信用が力になる。自分の感覚を信じることだ。その製品が簡単なテストに合格しなかったなら、その気持を信じて、使うのを止めよう。その前に、キッチンのカウンターに置かないようにしよう。

もし、安全にウェブサイトにログインしたり、ストーリーをシェアできるという信頼感をFacebookが与えてくれないならば、つねにカウンターの上に置かれ、極めて機密性の高いデータを収集できる能力を持つスピーカーを、Facebookが我が家に持ち込むことを許せるはずがない。長くなったが、早い話が、止めておけ、ということだ。信頼すべきではない。もう、みなさんはお気づきだろうが。

[原文へ]
(翻訳:金井哲夫)