EU諸機関によるAWSとマイクロソフトの各クラウドサービス利用について同プライバシー責任者が調査を開始

欧州の主要データ保護規制当局は、EU機関による米国クラウド大手Amazon(アマゾン)とMicrosoft(マイクロソフト)のそれぞれのクラウドサービス利用について、調査を開始した。欧州の団体、機関、官公庁は、AWSおよびMicrosoftの間でいわゆる「Cloud II」契約を締結している。

欧州データ保護監察機関(EDPS)によると、欧州委員会によるMicrosoftのOffice 365の使用についても、以前の勧告への準拠状況を評価するための独立した調査が開始されたという。

Wojciech Wiewiórowski(ヴォイチェフ・ヴィヴィオロフスキ)氏は、2020年10月に発表されたより広範なコンプライアンス戦略の一環として、EUのクラウドサービスの利用を調査している。当該戦略は、欧州司法裁判所(CJEU)による画期的な裁定(通称Schrems II)を受けたものだ。この裁定は、EU-米国間の「Privacy Shield」データ移転協定を無効にし、EUユーザーの個人データが大規模監視体制によって危険にさらされる可能性のある第三国に流出している場合の、代替的なデータ移転メカニズムの実行可能性に疑問を投げかけるものだった。

EUの最高プライバシー規制当局は去る2020年10月、EU加盟国以外の国への個人データの移転について報告するようEU加盟国の機関に要請した。EDPSが米国時間5月27日の発表したところによると、この分析によってデータが第三国に流れていることが確認されたという。また、特に米国への流入が顕著であり、その理由として、EU機関が大手クラウドサービスプロバイダ(その多くは米国を拠点としている)への依存を高めていることが挙げられる。

驚くことではない。しかしEDPSは、Schrems II判決以前に署名された2社との契約がCJEUの判断に沿っているかどうかを見極めたいと考えており、次のステップは非常に興味深いものになるだろう。

実際、EDPSはその準拠性について懸念を示しており、将来的にはEU諸機関に対して代替のクラウドサービスプロバイダ(法的な不確実性を回避するためにEU内に設置されている可能性が高い)を探すことを要請する可能性もある。今回の調査は、規制当局主導による、EUの米国クラウド大手からの移行の始まりとなるかもしれない。

ヴィヴィオロフスキ氏は声明で次のように述べている。「EUの機関や団体からの報告の結果を受けて、私たちは両社との契約が特別な注意を要するものであることを特定しました。それが今回の2つの調査を開始することにした理由です。『Cloud II契約』は『Schrems II』判決前の2020年初めに署名されたこと、そしてAmazon(アマゾン)とMicrosoftの両方がその判決に沿うことを目的とした新たな措置を発表したことを認識しています。しかし、これらの措置はEUのデータ保護法を完全に遵守するのに十分ではない可能性があり、適切に調査する必要があります」。

AmazonとMicrosoftは、EU機関とのCloud II 契約に適用した特別措置に関する問い合わせに応じているところだ。

【更新1】現在、Microsoftの広報担当者が次のような声明を出している。

当社は、欧州データ保護監督機関から提起された質問に答えるために、EU機関を積極的に支援し、いかなる懸念にも迅速に対応する自信があります。EUのデータ保護要件を確実に遵守し、それ以上の成果を上げるための当社のアプローチに変更はありません。当社の「Defending Your Data」イニシアチブの一環として、EUの公共部門または商業部門のお客様のデータを求める政府の要請に対し、我々に合法的な根拠がある場合はすべて異議を申し立てることを約束しています。また、適用される個人情報保護法に違反してデータを開示し、損害を与えた場合には、ユーザーに金銭的な補償を行います。当社は今後も規制当局の指導に対応し、顧客のプライバシー保護の強化を継続的に図っていきます。

【更新2】Amazonからも次の声明が届いている。

EUの機関は、Schrems IIの要件に準拠してAWSサービスを利用することができ、お客様が欧州データ保護監察機関(EDPS)にそのことを実証してくださることをうれしく思います。顧客データを保護するための当社の強化された契約上のコミットメントは、Schrems II判決で要求されている以上のものであり、法執行機関の要求に挑戦してきた当社の長年の実績に基づいています」と述べている。

EDPSは、EUの機関に模範的な主導を求めていると表明した。欧州データ保護委員会(EDPB)は2020年、Schrems IIの判決の意味するところを実行するための規制猶予期間はないと公に警鐘を鳴らしたが、未だにデータ移転に関する本格的な取り組みがなされていないことを考えると、今回の動きは重要に思える。

対応が遅れていた理由として最も可能性が高いのは、法的基準を満たすことを期待して契約に加えられた、かなりの量の向こう見ずな反応や表面的な変更だろう(ただし規制当局による審査はまだ行われていない)。

EDPBからの最終的なガイダンスも保留中だが、当委員会は2020年秋に詳細な勧告を提示している。

CJEUの判決は、当該領域のEU法は看過されるべきではないことを明確に示した。EUのデータ規制当局がEUのデータを外部へ持ち出している契約を精査し始めることで、必然的にこれらの取り決めのいくつかは不十分であると判断され、関連するデータフローは停止を命じられることになるだろう。

ちなみに、長期戦となっているFacebook(フェイスブック)によるEU-米国間データ移転をめぐる苦情申し立ては、まさにそのような可能性に向けての歩みを遅らせている。申し立ての発端は、EUのプライバシー活動家で弁護士でもあるMax Schrems(マックス・シュレムス)氏によって2013年に提起された訴えにある。

2020年秋のSchrems II判決を受けて、アイルランドの規制当局はFacebookに対し、欧州の人々のデータを海を越えて移動させることはできないとする仮命令を出していた。Facebookはアイルランドの裁判所でこれに異議を唱えたが、今月初めにはその手続きを阻止する試みに失敗した。そのため、数カ月以内に業務停止命令を受ける可能性がある。

Facebookがどう反応するかは誰もが予想しているところだが、シュレムス氏は2020年夏TechCrunchに対し、同社は最終的にEUユーザーのデータをEU内に保存し、サービスをフェデレートする必要があると示唆している。

Schrems IIの判決は、法的な不確実性の問題を解決するために自らを位置づけることができるEUベースのクラウドサービスプロバイダにとって、一般的には朗報になりそうだ(米国ベースのクラウド大手ほど競争力のある価格や拡張性がない場合であっても)。

一方、CJEUの裁判官が繰り返し指摘しているように、EUの人々のデータへの脅威とみなされないようにする目的において、米国の監視法を独立した監督下に置き、市民以外の人々が利用可能な救済メカニズムを確立するには「数カ月」よりもはるかに長い時間がかかる可能性が高いだろう。それも米国当局が自らのアプローチを改革する必要性を確信することができるのならではあるが。

それでも、EUの規制当局が最終的にSchrems IIに対して行動を起こすようになれば、米国の政策立案者の意識を監視改革に集中させるのに役立つかもしれない。そうでなければ、ローカルストレージが将来の新しい標準になることもあり得る。

関連記事
フェイスブックのEU米国間データ転送問題の決着が近い
EUがゲイツ氏のBreakthrough Energyと提携、クリーンテックの開発・浸透加速へ
不正なやり方でCookie同意を求めるウェブサイトの粛清が欧州で始まる
EUの新型コロナワクチン「デジタルパス」が稼働、ドイツなど7カ国が先行導入
【コラム】欧州のAIに必要なのは過剰な規制ではなく、戦略的なリーダーシップだ
英国は大手テック企業を規制するにあたり画一的なアプローチを採用しない方針

カテゴリー:パブリック / ダイバーシティ
タグ:EUAWSAmazonMicrosoftMicrosoft Azureプライバシー欧州データ保護監察機関 / EDPS欧州司法裁判所 / CJEU

画像クレジット:Jason Alden / Bloomberg / Getty Images

原文へ

(文:Natasha Lomas、翻訳:Dragonfly)

EUがゲイツ氏のBreakthrough Energyと提携、クリーンテックの開発・浸透加速へ

欧州委員会は、今後5年間(2022〜2026年)で最大10億ドル(約1095億円)をクリーンテックと持続可能なエネルギープロジェクトへ新たに投資することを目的に、Bill Gates(ビル・ゲイツ)氏の持続可能エネルギー投資ビークルとの提携を発表した

この提携がフォーカスする欧州連合(EU)ベースのプロジェクトはまず、欧州域内の二酸化炭素排出の大幅削減をもたらす可能性がある以下の4つの部門に絞られる。

  • グリーン水素
  • 持続可能な航空燃料
  • ダイレクトエアキャプチャー(大気中のCO2を直接回収するテック)
  • 長期間のエネルギー貯蔵

化石燃料ベースの既存のテクノロジーと競うには現在あまりにも高価であるテクノロジーを大規模展開するのが目的だ。

両者は今後、11月に開催される国連気候サミットCOP26会議で何か発表することを視野に入れながらプログラムの計画に引き続き取り組むと述べた。

欧州委員会とゲイツ氏のBreakthrough Energy(ブレークスルーエナジー)が持続可能な投資で協業するのは今回が初めてではない。しかし最新の提携の規模は、EUが2019年にBreakthrough Energyのベンチャー投資部門と設置した1億ユーロ(約134億円)のファンドを大きく上回る。

そして今、欧州委員会は低炭素社会を支えるのに必要なテクノロジーの開発と浸透を加速させることを目的とするゲイツ氏のBreakthrough Energy Catalystと提携した。クリーンテクノロジーのための大規模な商業実証プロジェクトを構築するのに、先の基金の10倍超の規模の資金を動員するためだ。

もちろん重要な目標は、パリ協定に沿ってCO2排出を大幅に削減するためにクリーンテックのコストを下げ、展開を加速させることだ。

欧州はCO2排出の主要地域だが、欧州グリーンディールの下で2050年までにネットゼロエミッションを達成することを約束している。

一方、2015年に設立したBreakthrough Energyビークルについてのゲイツ氏の哲学は、壊滅的な気候変動を回避するにはリニューアブル(再生可能)だけでは十分でなく、ハイリスクではあるが大きな効果をもららす可能性のあるさまざまなテクノロジーへの投資も必要、というものだ。

しかしこの手の投資のリターンを得るのは長期戦であることを考えると、官民の提携は資金調達パズルの重要な一部のようだ。

提携発表に関するコメントとして、 欧州委員会の委員長Ursula von der Leyen(ウルズラ・フォン・デア・ライエン)氏は声明文で次のように述べた。「欧州グリーンディールで、欧州は2050年までに初の気候中立大陸になりたいと考えています。そして欧州は気候イノベーションの大陸になるすばらしい機会も手にしています。このために欧州委員会は今後10年で、新しい、そして転換中の産業にかなりの投資を集中させます。だからこそ、Breakthrough Energyと手を組むことをうれしく思っています。提携はEUの企業やイノベーターが二酸化炭素排出を減らすテクノロジーの恩恵を受け、明日の雇用を生み出すのをサポートします」。

別の声明文でBreakthrough Energy創設者であるゲイツ氏は次のように述べた。「世界経済の脱炭素化は世界が今までに目にしてきたイノベーションにおいて最大の機会です。欧州は気候、そして科学、エンジニアリング、テクノロジーにおける長年のリーダーシップに早期から一貫したコミットメントを示してきて、今後も重要な役割を果たします。この提携を通じて欧州はクリーンテクノロジーが皆にとって信頼がおけ、利用可能で、そして利用しやすいものになるというネットゼロの未来のために確固たる土台を築きます」。

EU側では、提携のための資金はEUの主要R&D基金、Horizon Europe、そしてInvestEUプログラムのフレームワーク内の低炭素にフォーカスしたInnovation Fundから拠出される見込みだ。

Breakthrough Energy Catalystはいくつかの選ばれたプロジェクトの資金をまかなうために同額の民間資金と慈善事業基金を注ぐ。

提携はまた、InvestEUを通じてあるいはプロジェクトレベルでEU加盟国による国家の投資にもオープンだ、と欧州委員会は指摘した。InvestEU実行パートナーになるという意思表示は2021年6月まで受け付ける、とも付け加えた。

再生可能エネルギーと(これまで以上に)クリーンな運輸は、欧州委員会が2020年まとめた7500億ユーロ(約100兆3237億円)という巨額の「Next Generation EU」コロナ復興基金においても注力している分野だった。欧州委員会はコロナ復興のために債券発行を通じて金融市場で借金する、と述べた。コロナ復興基金は2021年から2024年の間にEUプログラムを通じて使われる。

欧州議員たちはまた、主要な投資が向かう他のエリアのデジタル化とAIテクノロジーが欧州のグリーン移行において大事な役割を果たすとの考えも示した。

カテゴリー:EnviroTech
タグ:EUビル・ゲイツBreakthrough Energy二酸化炭素

画像クレジット:Mark Lennihan / AP

原文へ

(文:Natasha Lomas、翻訳:Nariko Mizoguchi

不正なやり方でCookie同意を求めるウェブサイトの粛清が欧州で始まる

あなたはCookie(クッキー)のポップアップにうんざりしていないだろうか?欧州では、ウェブサイトの閲覧時に現れる「データの選択」の通知が、オンラインで行おうとしていることを邪魔し、イライラさせられたり、混乱させられたりするため、ウェブが「使いにくい」という苦情が多数のユーザーから寄せられている。

煩わしいから、不気味な広告のような誰も好まないものを動かす必須でないCookieは「すべて拒否」できるボタンがあればいいのに、と思う人もいるだろう。

しかし法規では、ユーザーが明確に「拒否を選択(オプトアウト)する」意思表示がなされるべきだとしている。だからEUの「規制好きな官僚主義」が問題だと訴える人々は、文句をいう対象を間違えている。

Cookieの同意に関するEUの法規は明確だ。ウェブユーザーには「受け入れる」か「拒否する」かというシンプルで自由な選択が提供されるべきというものである。

問題は、単にほとんどのウェブサイトがこれを遵守していないということだ。例えば、それらのウェブサイトは、非常にシンプルな「受け入れる」(すべてのデータを渡す)と、非常に解り難くてイライラする退屈な「拒否する」(場合によっては拒否の選択肢がまったくない)という、歪んだ選択肢を提供しているところもある。これは法規を馬鹿にした行為だ。

勘違いしてはいけない。これは意図的に法律を無視するように作られたのだ。このようなサイトは、あえて非対称な「選択肢」を提供することで、人々を疲弊させ、データを奪い続けようとしているのだ。

しかし、現行のEU規制では、そのようなCookieの同意を求めるやり方は認められていないので、こういうことをしているウェブサイトは、欧州一般データ保護規則(GDPR)やeプライバシー(ePrivacy)指令の下、規則に背いたとして多額の罰金を科せられることになる。

例えば、2020年末にはフランスで、Google(グーグル)とAmazon(アマゾン)が、ユーザーの同意なしに追跡用のCookieを投下したとして、前者に総額1億ユーロ(約134億円)、後者には3500万ユーロ(約47億円)の罰金が科せられた。

罰金は確かに目を見張るほど高額だ。だが、不正なCookie同意に対するEUの取締りは、まだそれほど見られない。

これは欧州各国のデータ保護機関が、ウェブサイトをコンプライアンスに導くために、ほとんどの場合、穏便なアプローチをとってきたためである。しかし、取締りがより厳しくなる兆候もある。その1つは、データ保護機関が、適切なCookieの同意とはどういうものかを詳細に明記した指針を発表したことだ。これで意図的に間違ったことをしても言い訳の余地がなくなる。

一部のデータ保護機関は、企業がCookieの同意フローに必要な変更を加える時間を確保するため、コンプライアンスの猶予期間を設けていた。しかし、今やEUの一般データ保護規則(GDPR)が適用されてから、まる3年が経過している。もはや、いまだにひどく歪んだCookie同意バナーを掲載しているウェブサイトには、正当な理由はない。それはそのサイトが法律を破り、取り締まられない幸運を祈っている状態であることを意味する。

Cookie同意に関する取り締まりがすぐに始まることを予感させる理由は他にもある。欧州のプライバシー保護団体「noyb」は現地時間5月31日、コンプライアンス違反を一掃するための大規模なキャンペーンを開始したと発表。年内に最大1万サイトのコンプライアンスを確認し、違反しているサイトには自動的に苦情を申し立てるソフトウェアを開発したという。このキャンペーンの一環として、noybは違反者が規則を遵守するためのガイダンスも無料で提供している。

まずはその第1弾として、EU全域(33カ国)における大小さまざまなサイトに対し、すでに560件の苦情を申し立てたことが発表された。noybによると、苦情の対象となっているのは、Google(グーグル)やTwitter(ツイッター)などの大手企業から「ある程度の訪問者数を持つ」ローカルなページまで多岐にわたるという。

「コンサルタントからデザイナーに至るまで、業界全体が、仮想の同意率を確保するために、おかしなクリックの迷宮を開発しています。人々をイライラさせて『OK』をクリックさせることは、GDPRの原則に明らかに違反しています。この法律に従い、企業はユーザーの選択を容易にし、システムを公正にデザインしなければなりません。これらの企業は、実際にCookieを受け入れたいと思っているユーザーが全体の3%しかいないことを公に認めています。しかし、90%以上のユーザーは『同意』ボタンをクリックするように誘導することができるのです」と、nybの会長であり、長年にわたりEUのプライバシーキャンペーンに携わってきたMax Schrems(マックス・シュレムス)氏は声明の中で述べている。

「企業は『はい』か『いいえ』という単純な選択肢を与える代わりに、あらゆる手段を用いてユーザーを操作しています。私たちは、15種類以上のよくある悪用を確認しました。最も多く見られる問題は、最初のページに『拒否』ボタンがないことです」と、シュレムス氏は続けている。「私たちは欧州で人気のあるページに焦点を当てています。このプロジェクトで申し立てる苦情は、1万件を容易に超えるだろうと予想しています。私たちの団体は寄付によって運営されているため、法律事務所とは違って、企業に無料で簡単な解決方法を提供しています。ほとんどの苦情が迅速に解決され、バナーがもっともっとプライバシーに配慮したものになることを、私たちは期待しています」。

noybはその活動を拡大するため、Cookieの同意フローを自動的に解析してコンプライアンス上の問題点を特定し(最上層で「拒否」ボタンが提供されていない、ボタンの色がまぎらわしい、偽の「legitimate interest(正当な利益)」によるCookieの受け入れが行われている、など)、違反者にメールで送信できる(noybの法務担当者が確認してから)報告書のドラフトを自動的に作成するツールを開発した。

これは、組織的に行われている悪質なCookie操作に取り組むための、革新的で拡張性のあるアプローチと言える。実際に目立った変化を起こし、おぞましいCookieポップアップを一掃することができるだろう。

noybは、まず違反者に警告を与え、1カ月以内に違反行為を是正させる猶予を与える。それでも改善されなければ、そのサイトが関連するデータ保護機関に正式な苦情を申し立てる(そして違反者には涙が出るほど高額な罰金が課せられるだろう)。

その最初の取り組みでは、この地域で最もよく使用されているテンプレートツールの1つであるOneTrust(ワントラスト)の利用同意管理プラットフォーム(CMP)に焦点を当てている。このツールは、欧州のプライバシー研究者が以前、顧客ベースにプレチェックボックスのような非準拠の選択肢を設定するための豊富なオプションを提供していると指摘していた。困った話だ。

noybの広報担当者は、OneTrustのツールが人気が高いため、今回はそれから始めたと語っているが、将来的には他のCMPにも対象を拡大していくことを認めている。

noybが始めたCookie同意に関する苦情の取り組みは、現在多くのウェブサイトで展開されているダークパターンの腐敗ぶりを露呈させた。noybが確認した500以上のページのうち、81%は最初のページで「拒否する」選択肢を提供しておらず(つまり、ユーザーは拒否オプションを見つけるためにサブメニューを探さなければならない)、73%はユーザーを騙して「同意する」をクリックさせようとする「欺瞞的な色とコントラスト」を使用していたという。

noybの評価では、90%が法律で定められている「容易に同意を撤回できる」方法を提供していないこともわかった。

第1弾の苦情申立て対象となったサイトで見つかったCookie遵守に関する問題(画像クレジット:noyb)

このことは、大規模な法規制の施行がまったく成功していないということの現れだ。しかし、不正なCookie同意の横行も、もはやこれまでといったところだろう。

クロールしたウェブサイトに基づき、EU全域でCookieの不正使用がどの程度蔓延しているかを把握できたかと尋ねられたnoybの広報担当者は、その過程には技術的な問題があるため、判断は難しいと答えたが、しかし最初に収集した5000サイトから3600サイトに絞られたと述べた。そして、そのうち3300サイトがEU一般データ保護規則に違反していると判断できたという。

残りの300サイトについては、技術的な問題があるものと、違反していないものがあったが、やはり大部分(90%)は違反していると判断された。これほど多くの規則違反があるのだから「不正な同意」の問題を改善するには組織的なアプローチが必要だ。つまり、noybによる自動化技術の使用は、非常に理に適っている。

この非営利団体は、他にも革新的な方法を考えている。noybは欧州の人々が「迷惑なCookieバナーを使わずに、バックグラウンドでプライバシーに関する選択を知らせることができる」自動化されたシステムの開発に取り組んでいるという。

この記事を書いている時点では、このシステムがどのように機能するかについての詳細は明らかにされていないが(おそらくブラウザのプラグインのようなものになると思われる)、noybは「今後数週間のうちに」詳細を発表すると語っているので、なるべく早くわかることを期待したい。

「すべてを拒否する」ボタンを自動的に検出して選択することができる(たとえ、最も普及しているCMPのサブセットのみに有効であっても)ブラウザプラグインは「Do not track(追跡するな)」の夢を復活させるかもしれない。少なくとも、Cookieバナーによるダークパターンの弊害に対抗し、不正なCookieをデジタルの塵にするための強力な武器となるだろう。

関連記事
Google AnalyticsはちゃんとCookieがなくなった後に備えている
グーグルが「Cookie廃止後、それに代わる他のユーザー追跡技術を採用するつもりはない」と発言
GitHubがCookie追放を発表、わずらわしいCookieバナーも消える

カテゴリー:パブリック / ダイバーシティ
タグ:CookieヨーロッパGDPREUeプライバシー規則noyb

画像クレジット:Lisa Zins Flickr under a CC BY 2.0 license.

原文へ

(文:Natasha Lomas、翻訳:Hirokazu Kusakabe)

EUの新型コロナワクチン「デジタルパス」が稼働、ドイツなど7カ国が先行導入

欧州連合(EU)の新型コロナウイルスのワクチン接種あるいは検査結果を域内で証明する汎EU「デジタルパス」を支えるシステムの運用が6月1日に始まった。いくつかのEU加盟国がゲートウェイにつながり、7月1日の完全始動までさらに多くの加盟国が加わることが予想されている。

EUの新型コロナデジタル証明は、EU市民の新型コロナステータス(ワクチンを接種したかどうか、最近の新型コロナ検査が陰性だったかどうか、あるいは新型コロナからの回復の証明)を確実に認証しようというもので、EU市民が域内で国境を越えるとき、その旅を安全なものにするのが狙いだ。

デジタルパスは、改ざんを防ぐのに公開鍵暗号方式を使って認証されたQRコードとデジタル署名に頼っている。デバイスへのアクセスを持たない人が使える紙ベースの認証もある。

テクニカルテストを終え、準備の整った加盟国は任意で認証の発行や検証を開始できる、と欧州委員会は6月1日に述べ、現時点で7カ国(ブルガリア、チェコ、デンマーク、ドイツ、ギリシャ、クロアチア、ポーランド)が開始する意向だ。

他の国は、すべての機能が国内全域で展開されてからEUデジタル新型コロナ認証を立ち上げることにしている、と欧州委員会は付け加えた。加盟国のシステムアクティベート状況はこちらのウェブページで確認できる。

欧州委員会によると、5月10日以来、EUの22カ国がゲートウェイのテストを成功させ、関連する規則が適用される7月1日までに最大のアップデートを行いたい考えだ。

しかしすべてをうまく接続させるのにさらに時間が必要な加盟国のために、認証発行に6週間の「段階的導入期間」が認められている。つまり、最も遅い実行は夏が終わるころになるかもしれないことを意味する(6月までに域内全域で実装するというEU議員らの初期の目標は常に野心的だったようだ)。

欧州委員会は、認証の署名キーは各国のサーバーに保存されると指摘し、新型コロナデジタル認証の検証プロセスではパーソナルデータが「交換されたり保持されたり」することはないと話す。こうしたキーはゲートウェイ経由で各国の承認アプリあるいはEU全域で使われるシステムによってアクセスできる。

関連記事:欧州が推し進める新型コロナ「デジタルパス」に存在する差別や技術的課題の懸念

欧州委員会はまた、EU加盟国による展開をサポートすべく、証明の発行、ストレージ、検証のためのレファレンスソフトウェアとアプリも開発し、GitHubで公開した。同委員会によると、これまでに加盟国12カ国がこのコードを利用した。

EU各国の当局が新型コロナデジタル認証の個人への発行を担当する。市民が認証を取得するには、新型コロナ検査センターや地元の健康衛生当局、あるいは国家eHealthポータル経由など、さまざまなルートがある。

ゲートウェイの立ち上げに関する声明の中で、EUの健康・食品安全担当委員Stella Kyriakides(ステラ・キリヤキデス)氏は実行に取り掛かり、完了するよう加盟国に促した。

「EUデジタル新型コロナ認証は、市民のための効果的なeHealthソリューションに加わった価値です」と同氏は述べた。「システムが休暇シーズン前までに機能するよう、今後数週間で全加盟国が認証の発行、保存、検証を行う自国のシステムの準備を完了させることが重要です。EU市民は再び旅行することを楽しみにしており、安全に旅行したいと考えています。EU認証の取得はそれに向けた重要なステップです」。

新型コロナデジタル認証の立ち上げについては、欧州委員会委員長のUrsula von der Leyen(ウルズラ・フォン・デア・ライエン)氏もコメントし、おそらくパンデミックが2022年夏までに終息すると仮定し、システムは1年間のみ活用されると述べた。

「EU認証は、我々の価値を示すデジタルツールの最たる例です」と2021デジタル会議でのスピーチで同氏は話した。「EUはプライバシーを尊重します。パーソナルデータは交換または保持されません。EUは包括的です。ワクチンを接種していない人は検査や回復のデジタル証明を取得できます。スマートフォンを持っていない人は紙の証明を入手できます。証明でもって我々はパンデミックの中にあっても人々が自由に行き来できるようにしたいと考えています。だからこそこのシステムは1年間のみの活用となっています。欧州はこの分野で先頭に立っており、グローバルレベルで基準を設定できます」。

スピーチの中で同氏はまた、別のデジタル提案についても予告した。別の案とは、信頼できるオンラインIDを欧州の人々に提供するというもので、このIDは厳密に必要なもの以上のデータを提供させられることなく域内の政府や企業とやり取りするのに使えるというものだ。

「欧州の人々に新しいデジタルIDを提供したいと考えています。信頼を保証し、オンライン上でユーザーを守るIDです。案をまさに提示しようとしているところです」と同氏は述べた。「誰もが自分のIDをオンラインで管理し、欧州中の政府や企業とやり取りすることができるようになります。手近な目的のために必要以上に多くのデータを開示することを強制されるべきではありません。オンラインでホテルの部屋を予約するのに、私がどこから来て、誰が私の友達なのかを誰も知る必要はありません。案では大手オンラインプラットフォームのモデルの代替となるものを提案しています。我々は人間中心のデジタルトランジションを信じています」。

関連記事:EUが安全な旅行を支援する新型コロナワクチン接種・検査状況を表示する「デジタルパス」を準備中

カテゴリー:パブリック / ダイバーシティ
タグ:EU新型コロナウイルスワクチンプライバシー個人情報

画像クレジット:Sebastian Gollnow / Getty Images

原文へ

(文:Natasha Lomas、翻訳:Nariko Mizoguchi

EUがTikTokの利用規約を調査、子供の安全に関する苦情を受け

EUは現地時間5月28日、欧州の複数の消費者保護当局が2021年初めにTikTok(ティクトック)に対して提起した懸念に対応するため、同社に1カ月の期間を与えたと発表した。

欧州委員会は、動画共有プラットフォームである同社の商慣行とポリシーに関し、同社と「正式な対話」を開始した。

欧州委員会は特に懸念される領域として、密かなマーケティング、子どもを対象としたアグレッシブな広告手法、TikTokのポリシーの特定の契約条件を挙げた。

司法長官のDidier Reynders(ディディエ・ラインダーズ)氏は声明で「現在のパンデミックはデジタル化をさらに加速させています。これは新しい機会をもたらしましたが、特に脆弱な消費者にとっては新しいリスクも生み出しました。EUでは、動画内のバナーなどの偽装広告で子どもや未成年者を標的にすることは禁止されています。本日開始する対話は、TikTokが消費者保護のためにEU規則を順守するサポートになるはずです」。

背景には、欧州消費者機構(BEUC)が2021年2月、欧州委員会にTikTokのポリシーと慣行に関する多数の指摘を含めた報告書を送付したことがある。指摘事項の中には不公正な条件や著作権に関する取り扱いがある。また、プラットフォーム上で子どもが不適切なコンテンツにさらされるリスクも指摘し、TikTokのミスリーディングなデータ処理とプライバシーの取り扱いについて非難した。

関連記事:TikTokが欧州で消費者、子どもの安全、プライバシーに関する訴えを受ける

EU15カ国の消費者団体がほぼ同時期に苦情を申し立て、各国当局にソーシャルメディアの巨人の行動を調査するよう求めた。

EUの多面的な行動は、TikTokにとって、単に欧州委員会が小さな印刷物の詳細を調べているということではなく、各国の消費者保護当局のネットワークからの質問に直面していることを意味する。ネットワークを共同で主導しているのは、スウェーデンの消費者庁とアイルランドの競争・消費者保護委員会(プラットフォームに関連するプライバシーの問題を扱う)だ。

にもかかわらず、BEUCは欧州委員会がまだ正式な執行手続きを開始していない理由を問いただした。

「私たちは、各国当局がこの『対話』の中で屈服しないことを望んでいますが、これが執行手続きの正式な開始ではないことも理解しています。BEUCが提起したすべての点に取り組む消費者にとって、良い結果につながる必要があります。BEUCはまた、合意に達する前に、事前相談が持ち込まれることを望んでいます」と広報担当者はTechCrunchに語った。

TechCrunchがコメントを求めたところ、TikTokは公共政策ディレクターのCaroline Greer(キャロライン・グリア)氏のコメントとして、欧州委員会のアクションに関して次の声明を送ってきた。

「消費者保護や透明性などの問題に関する規制当局やその他の外部ステークホルダーとの継続的な取り組みの一環として、アイルランド消費者保護委員会およびスウェーデン消費者庁との対話に取り組んでおり、すでに導入した措置について議論することを楽しみにしています。さらに、16歳未満のすべてのアカウントをデフォルトで非公開にし、ダイレクトメッセージングへのアクセスを無効にするなど、若いユーザーを保護する多くの措置を講じています。さらに、18歳未満のユーザーはバーチャルギフトを購入・送受信することはできません。また、デジタルコンセントの年齢未満のユーザーに直接訴えかける広告を禁止する厳格なポリシーもあります」。

同社は、パーソナライズド広告を打つ際、年齢確認を実施していると述べた。ユーザーが広告を受け取るには、13歳以上であることが確認されている必要がある。また、EU各国でデジタルコンセントの年齢を超えていることや、ターゲット広告を受け取ることに同意していることも必要だ。

しかし、TikTokの年齢確認技術は以前から脆弱であると批判されてきた。イタリアのデータ保護当局が最近、子どもの安全を対象とする緊急措置を取ったため、TikTokはイタリア国内での年齢確認プロセス強化を約束することになった。

TikTokは2021年5月初め、イタリアの執行措置を受け、13歳未満のユーザーであるとの疑いがある50万超のアカウントを削除した。さらにこの件は、13歳未満のユーザーが、プラットフォーム上のターゲット広告に日常的にさらされていないと本当に主張できるのかという疑問を投げかけることになった。

関連記事:TikTokがイタリア当局の全ユーザー年齢確認命令を受け50万超のアカウントを削除

TikTokは、スポンサーコンテンツに明確なラベルづけを行っていると主張している。だが、同社はまた、ビデオ広告に付されるラベルを「スポンサー」から「広告」に切り替えてより明確にするなど、最近いくつかの変更を加えたことにも言及した。

また、TikTokによると、新たにトグルを設け、他のユーザーによって広告にさらされる可能性がある場合に、それをはっきりさせるよう取り組んでいるという。トグルにより、そのユーザーが自分のコンテンツに広告が含まれていることを目立つよう開示できるようにする。

TikTokは、このツールは現在欧州でベータテスト中だが、2021年の夏に一般への提供に移行する予定であり、コンテンツに広告が含まれている場合、常にこのトグルを使用するようユーザーに求める利用規約の修正を予定していると述べた。(ただし、適切な強制力がなければ、見過ごされ、簡単に悪用される設定になってしまう可能性がある)

同社は最近、欧州事業に関して提起されている懸念の一部に対処する動きの一環として、欧州に透明性センターを設けると発表した。EUで展開されているすべてのデジタルプラットフォームに対して徐々に強まる監視に備えることも目的としている。EUは現在、デジタルルールブックの更新に取り組んでいる。
関連記事:TikTokが米国に続き欧州に「透明性」センターを設置、専門家に取り組みを開示

カテゴリー:ネットサービス
タグ:EUTikTok子どもSNSBEUC

画像クレジット:Nur Photo / Getty Images

原文へ

(文:Natasha Lomas、翻訳:Nariko Mizoguchi

【コラム】欧州のAIに必要なのは過剰な規制ではなく、戦略的なリーダーシップだ

編集部注:本稿の著者Mark Minevich(マーク・ミネビッチ)氏はGoing Global Venturesの社長であり、Boston Consulting Groupのアドバイザー、IPsoftのデジタルフェロー。また世界的なAIの専門家で、デジタルコグニティブストラテジスト、ベンチャーキャピタリストでもある。

ーーー

EU委員会は最近、緊急の必要性があるとして、AIを規制するための新たな厳格なルールを提案した。AI規制の世界的な競争が正式に始まる中、EUはAIの規制方法についての詳細な提案を発表している。AIの一部の使用を明確に禁止し「高リスク」とみなされる事柄を定義し、人々の権利や安全を脅かすAIの使用を禁止する計画だ。

欧州委員会のMargrethe Vestager(マルグレーテ・ベステアー)副委員長が「人工知能に関しては、信頼はあったらいいなというものではなく、なくてはならないものです」と述べた心情には誰もが同意できるものだが、信頼を確保するための最も効果的かつ効率的な方法は規制なのだろうか。

委員会ではかなり深い見識が得られたが、私が最も同意できたことは、規制されたAIの目指すところは人間の幸福度を高めることであるべきだという主張だ。しかし、規制によってAIシステムの実験や開発を過度に制約するべきではない。

高リスクのAIシステムは、常に変更不可能な人間による監視・制御メカニズムを内蔵すべきである。人との対話やコンテンツの生成を目的としたAIシステムは、高リスクであるか否かに関わらず、特定の透明性の義務を負うべきである。また、公的にアクセス可能な場所に設置されるAIベースの遠隔生体認証システムは、EUまたは加盟国の法律によって認可されたものでなければならず、重大な犯罪やテロの防止、検知、調査の目的に資するものでなければならない。

AIと人類のパートナーシップ

欧州で制定された一連の法律と法的枠組みは、過去10年間にGDPR規制が生み出した効果と同様に、世界中のAI規制に大きな影響を与えることだろう。しかしこれらの法律は、EU全体の行き当たりばったりの規制方法から、単一で共通の分類への移行をサポートするものになるのだろうか?

私は、中国や米国が躍進する一方で、EUのAI開発はこの規制により廃れてしまうと考えている。人工知能のユースケースやイノベーションが制限され、EUは世界的に技術的に劣位に置かれることになるだろう。米国では、企業の収益性と効率性を最大化するためにAIが最適化されている。中国では、政府が権力を維持して国民を最大限支配するために、AIが最適化されている。EUの過剰な規制環境は、EUのさまざまな機関での規制が矛盾し始めると、完全なカオスに陥るだろう。

EUの企業家精神への悪影響

EUが米国や中国にAI競争で負けているのは、EUにおけるAIへの投資不足が大きな要因だ。現在、EUの居住者数は約4億4600万人、米国の居住者数は約3億3100万人だが、EUの2020年のAIへの投資額は20億ドル(約2178億8100万円)だったのに対し、米国の投資額は236億ドル(2兆5710万円)だった。

もしEUが積極的な規制と資金不足を推し進めれば、EUはAI規制において世界的なリーダーシップを享受することにはなるが、多くのヨーロッパの起業家が、よりAIに優しい国でスタートアップ企業を立ち上げるようになってもおかしくない。

イノベーションや起業家に優しいEUを実現するためには、AIのパイオニアが先導する共同ネットワークを作る必要がある。

一方、他の国々は、EUが厳格な規制を推し進めていることを利用して、イノベーションを促進し、世界のテクノロジーの未来をよりしっかりと作り出すだろう。最近の世界銀行の報告書によると、2019年にデータコンプライアンスに関する調査を開始したのは、北米ではわずか12%だったのに対し、EUでは38%だったという。企業にとってこれほどまでに厳しく厄介な負担を強いる政策では、イノベーターや起業家たちが世界でよりビジネスに適した地域に移動し始めても不思議ではない。

規制は降格を招く

今回の規制案では、違反した場合、最大2000万ユーロ(約26億6100万円)、またはAIプロバイダーの年間総売上高の最大4%の罰金が科せられることになっている。これまでのEUの法律とその後のデジタルイノベーションの欠如を考慮すると、この規制案はEU圏におけるデジタルイノベーションと導入の慢性的な停滞を引き起こすだろう。

つまり、これらの規制が法制化されれば、EUはパイオニアになるどころか、ラガードになってしまうのではないだろうか。AIの真の可能性を明らかにする「本当の」ユースケースはまだ登場していない。リスクの高いユースケースに対する大規模な官僚主義は、起業家精神やボトムアップのイノベーションの努力を削ぐことになるだろう。歴史的に見てもEUは不況に向かっている傾向にあり、今はイノベーションを阻害する時ではない。

グローバルAIに人間の顔を持たせ、その価値を示すべき

AIが広く受け入れられるためには、AIが人々の問題や課題の解決に役立つということを示す人間の顔が必要だ。私たちは、事実に基づいた魅力的なストーリーを強調し、その背後にいる実在の人物を見せなければならない。国民全体がAIの可能性を受け入れるためには、自分たちと同じような人がAIの良さの恩恵を受けている姿を目にする必要があるのだ。

AIの資金調達とは、何よりもまずスタートアップ企業の資金調達のことを指す。スタートアップ企業は、破壊的技術の発見や開発と、一般の人々による日常的な使用の橋渡しをする。欧州ではすでにかなりの計画が立っているが、これを加速させなければならない。

欧州のベンチャーキャピタルは、米国のモデルに比べて遅れている。急成長しているスタートアップ企業は、ほとんどが米国やアジアの投資家に依存している。そのためには、機関投資家側の投資制限の緩和など、投資文化を再考し、ダイナミックな投資環境を賢明に推進する必要がある。

今、私たちは「ムーンショット」の時代に生きている。起業家や科学者がこれまで以上に前進することができる時代だ。次の経済で競争するためには、イノベーションを10倍にすることを目標とした新しいイノベーションに挑戦する必要がある。

このレベルに到達するためには、段階的な最適化は役に立たない。大きなイノベーション、つまりムーンショットに焦点を当てる必要がある。リスクを取ることが許容され、大規模でリスクのあるアイデアを実行することが普通になるべきだ。

イノベーションと起業家に優しいEUを作るためには、AIの先駆者たちが先導する協力的なネットワークを作らなければならない。起業家やデータサイエンスのリーダーたちは、長期的な視点で世界を良くするためのAI for good(社会貢献のためのAI)に注力し、規制緩和を提唱しなければならない。そのためには、主要な研究機関、企業、公共部門、市民社会からの参加者で構成される「社会貢献のためのAI」に関するグローバルなAIパイオニア協議会を設立し、ベストプラクティスについての共通理解を深める必要がある。

AIはもはや、企業システムや社会インフラを最適化するためのツールではなく、その可能性は、気候変動や制御不能なパンデミックなど、人類が直面するさまざまな危機を解決するための広範囲なものとなっている。世界中のすべての超大国において責任あるAI、そして「社会貢献のためのAI」の導入ができれば、これらの危機を解決することができる。

EUが世界の中でイノベーションを阻害し、起業家精神をくじく地域になるわけにはいかない。EUは、過剰な規制ではなく「社会貢献のためのAI」に基づいたAIの戦略的リーダーシップに移行しなければならない。過剰な規制の道は、停滞の深みにつながる。EUの未来をどうしたいかを決めるのは、EU自身にかかっている。

関連記事
欧州がリスクベースのAI規制を提案、AIに対する信頼と理解の醸成を目指す
EUがプロバイダーによるテロ関連コンテンツの1時間以内の削除を法制化

カテゴリー:人工知能・AI
タグ:EU人工知能コラム

画像クレジット:

原文へ

(文:Mark Minevich、翻訳:Dragonfly)

欧州がリスクベースのAI規制を提案、AIに対する信頼と理解の醸成を目指す

欧州連合(EU)の欧州委員会が、域内市場のリスクの高い人工知能(AI)の利用に関するリスクベースの規制案を公表した。

この案には、中国式の社会信用評価システム、身体的・精神的被害を引き起こす可能性のあるAI対応の行動操作手法など、人々の安全やEU市民の基本的権利にとって危険性の高さが懸念される一部のユースケースを禁止することも含まれている。法執行機関による公共の場での生体認証監視の利用にも制限があるが、非常に広範な免除を設けている。

今回の提案では、AI使用の大部分は(禁止どころか)いかなる規制も受けていない。しかし、いわゆる「高リスク」用途のサブセットについては「ex ante(事前)」および「ex post(事後)」の市場投入という特定の規制要件の対象となる。

また、チャットボットやディープフェイクなど、一部のAIユースケースには透明性も求められている。こうしたケースでは、人工的な操作を行っていることをユーザーに通知することで、潜在的なリスクを軽減できるというのが欧州委員会の見解だ。

この法案は、EUを拠点とする企業や個人だけでなく、EUにAI製品やサービスを販売するすべての企業に適用することを想定しており、EUのデータ保護制度と同様に域外適用となる。

EUの立法者にとって最も重要な目標は、AI利用に対する国民の信頼を醸成し、AI技術の普及を促進することだ。欧州の価値観に沿った「卓越したエコシステム」を開発したいと、欧州委員会の高官は述べている。

「安全で信頼できる人間中心の人工知能の開発およびその利用において、欧州を世界クラスに高めることを目指します」と、欧州委員会のEVP(執行副委員長)であるMargrethe Vestager(マルグレーテ・ベステアー)氏は記者会見で提案の採択について語った

「一方で、私たちの規制は、AIの特定の用途に関連する人的リスクおよび社会的リスクに対処するものです。これは信頼を生み出すためです。また、私たちの調整案は、投資とイノベーションを促進するために加盟国が取るべき必要な措置を概説しています。卓越性を確保するためです。これはすべて、欧州全域におけるAIの浸透を強化することを約束するものです」。

この提案では、AI利用の「高リスク」カテゴリー、つまり明確な安全上のリスクをともなうもの、EUの基本的権利(無差別の権利など)に影響を与える恐れのあるものに、義務的な要件が課されている。

最高レベルの使用規制対象となる高リスクAIユースケースの例は、同規制の附属書3に記載されている。欧州委員会は、AIのユースケースの開発とリスクの進化が続く中で、同規制は委任された法令によって拡充する強い権限を持つことになると述べている。

現在までに挙げられている高リスク例は、次のカテゴリーに分類される。

  • 自然人の生体認証およびカテゴリー化
  • クリティカルなインフラストラクチャの管理と運用
  • 教育および職業訓練
  • 雇用、労働者管理、および自営業へのアクセス
  • 必要不可欠な民間サービスおよび公共サービスならびに便益へのアクセスと享受
  • 法執行機関; 移民、亡命、国境統制の管理; 司法および民主的プロセスの運営

AIの軍事利用に関しては、規制は域内市場に特化しているため、適用範囲から除外されている。

リスクの高い用途を有するメーカーは、製品を市場に投入する前に遵守すべき一連の事前義務を負う。これには、AIを訓練するために使用されるデータセットの品質に関するものや、システムの設計だけでなく使用に関する人間による監視のレベル、さらには市販後調査の形式による継続的な事後要件が含まれる。

その他の要件には、コンプライアンスのチェックを可能にし、関連情報をユーザーに提供するためにAIシステムの記録を作成する必要性が含まれる。AIシステムの堅牢性、正確性、セキュリティも規制の対象となる。

欧州委員会の関係者らは、AIの用途の大部分がこの高度に規制されたカテゴリーの範囲外になると示唆している。こうした「低リスク」AIシステムのメーカーは、使用に際して(法的拘束力のない)行動規範の採用を奨励されるだけだ。

特定のAIユースケースの禁止に関する規則に違反した場合の罰則は、世界の年間売上高の最大6%または3000万ユーロ(約39億4000万円)のいずれか大きい方に設定されている。リスクの高い用途に関連する規則違反は4%または2000万ユーロ(約26億3000万円)まで拡大することができる。

執行には各EU加盟国の複数の機関が関与する。提案では、製品安全機関やデータ保護機関などの既存(関連)機関による監視が想定されている。

このことは、各国の機関がAI規則の取り締まりにおいて直面するであろう付加的な作業と技術的な複雑性、そして特定の加盟国において執行上のボトルネックがどのように回避されるかという点を考慮すると、各国の機関に十分なリソースを提供することに当面の課題を提起することになるだろう。(顕著なことに、EU一般データ保護規則[GDPR]も加盟国レベルで監督されており、一律に厳格な施行がなされていないという問題が生じている)。

EU全体のデータベースセットも構築され、域内で実装される高リスクシステムの登録簿を作成する(これは欧州委員会によって管理される)。

欧州人工知能委員会(EAIB)と呼ばれる新しい組織も設立される予定で、GDPRの適用に関するガイダンスを提供する欧州データ保護委員会(European Data Protection Board)に準拠して、規制の一貫した適用をサポートする。

AIの特定の使用に関する規則と歩調を合わせて、本案には、EUの2018年度調整計画の2021年アップデートに基づく、EU加盟国によるAI開発への支援を調整するための措置が盛り込まれている。具体的には、スタートアップや中小企業がAIを駆使したイノベーションを開発・加速するのを支援するための規制用サンドボックスや共同出資による試験・実験施設の設置、中小企業や公的機関がこの分野で競争力を高めるのを支援する「ワンストップショップ」を目的とした欧州デジタルイノベーションハブのネットワークの設立、そして域内で成長するAIを支援するための目標を定めたEU資金提供の見通しなどである。

域内市場委員のThierry Breton(ティエリー・ブレトン)氏は、投資は本案の極めて重要な部分であると述べている。「デジタル・ヨーロッパとホライズン・ヨーロッパのプログラムの下で、年間10億ユーロ(約1300億円)を解放します。それに加えて、今後10年にわたって民間投資とEU全体で年間200億ユーロ(約2兆6300億円)の投資を生み出したいと考えています。これは私たちが『デジタルの10年』と呼んでいるものです」と同氏は今回の記者会見で語った。「私たちはまた、次世代EU[新型コロナウイルス復興基金]におけるデジタル投資の資金として1400億ユーロ(約18兆4000億円)を確保し、その一部をAIに投資したいと考えています」。

AIの規則を形成することは、2019年末に就任したUrsula von der Leyen(ウルズラ・フォン・デア・ライエン)EU委員長にとって重要な優先事項だった。2018年の政策指針「EUのためのAI(Artificial Intelligence for Europe)」に続くホワイトペーパーが2020年発表されている。ベステアー氏は、今回の提案は3年間の取り組みの集大成だと述べた。

ブレトン氏は、企業がAIを適用するためのガイダンスを提供することで、法的な確実性と欧州における優位性がもたらされると提言している。

「信頼【略】望ましい人工知能の開発を可能にするためには、信頼が極めて重要だと考えます」と同氏はいう。「(AIの利用は)信頼でき、安全で、無差別である必要があります。それは間違いなく重要ですが、当然のことながら、その利用がどのように作用するかを正確に理解することも求められます」。

「必要なのは、指導を受けることです。特に新しいテクノロジーにおいては【略】私たちは『これはグリーン、これはダークグリーン、これはおそらく若干オレンジで、これは禁止されている』といったガイドラインを提供する最初の大陸になるでしょう。人工知能の利用を考えているなら、欧州に目を向けてください。何をすべきか、どのようにすべきか、よく理解しているパートナーを得ることができます。さらには、今後10年にわたり地球上で生み出される産業データの量が最も多い大陸に進出することにもなるのです」。

「だからこそこの地を訪れてください。人工知能はデータに関するものですから―私たちはガイドラインを提示します。それを行うためのツールとインフラも備えています」。

本提案の草案が先にリークされたが、これを受けて、公共の場での遠隔生体認証による監視を禁止するなど、計画を強化するよう欧州議会議員から要請があった。

関連記事
EUがAIのリスクベース規則の罰金を全世界年間売上高の最大4%で計画、草案流出で判明
欧州議会議員グループが公共の場での生体認証監視を禁止するAI規制を求める

最終的な提案においては、遠隔生体認証監視を特にリスクの高いAI利用として位置づけており、法執行機関による公の場での利用は原則として禁止されている。

しかし、使用は完全に禁止されているわけではなく、法執行機関が有効な法的根拠と適切な監督の下で使用する場合など、例外的に利用が認められる可能性があることも示唆されている。

脆弱すぎると非難された保護措置

欧州委員会の提案に対する反応には、法執行機関による遠隔生体認証監視(顔認識技術など)の使用についての過度に広範な適用除外に対する批判の他、AIシステムによる差別のリスクに対処する規制措置が十分ではないという懸念が数多くみられた。

刑事司法NGOのFair Trialsは、刑事司法に関連した意義ある保護措置を規制に盛り込むには、抜本的な改善が必要だと指摘した。同NGOの法律・政策担当官であるGriff Ferris(グリフ・フェリス)氏は、声明の中で次のように述べている。「EUの提案は、刑事司法の結果における差別の固定化の防止、推定無罪の保護、そして刑事司法におけるAIの有意義な説明責任の確保という点で、抜本的な改革を必要としています」。

「同法案では、差別に対する保護措置の欠如に加えて、『公共の安全を守る』ための広範な適用除外において刑事司法に関連するわずかな保護措置が完全に損なわれています。この枠組みには、差別を防止し、公正な裁判を受ける権利を保護するための厳格な保護措置と制限が含まれていなければなりません。人々をプロファイリングし、犯罪の危険性を予測しようとするシステムの使用を制限する必要があります」。

欧州自由人権協会(Civil Liberties Union for Europe[Liberties])も、同NGOが主張するような、EU加盟国による不適切なAI利用に対する禁止措置の抜け穴を指摘している。

「犯罪を予測したり、国境管理下にある人々の情動状態をコンピューターに評価させたりするアルゴリズムの使用など、問題のある技術利用が容認されているケースは数多く存在します。いずれも重大な人権上のリスクをもたらし、EUの価値観を脅かすものです」と、上級権利擁護担当官のOrsolya Reich(オルソリヤ・ライヒ)氏は声明で懸念を表明した。「警察が顔認識技術を利用して、私たちの基本的な権利と自由を危険にさらすことについても憂慮しています」。

ドイツ海賊党の欧州議会議員Patrick Breyer(パトリック・ブレイヤー)氏は、この提案は「欧州の価値」を尊重するという主張の基準を満たしていないと警告した。同氏は、先のリーク草案に対して基本的権利の保護が不十分だと訴える書簡に先に署名した40名の議員のうちの1人だ。

「EUが倫理的要件と民主的価値に沿った人工知能の導入を実現する機会をしっかり捕捉しなれけばなりません。残念なことに、欧州委員会の提案は、顔認識システムやその他の大規模監視などによる、ジェンダーの公平性やあらゆるグループの平等な扱いを脅かす危険から私たちを守るものではありません」と、今回の正式な提案に対する声明の中でブレイヤー氏は語った。

「公共の場における生体認証や大規模監視、プロファイリング、行動予測の技術は、私たちの自由を損ない、開かれた社会を脅かすものです。欧州委員会の提案は、公共の場での自動顔認識の高リスクな利用をEU全域に広めることになるでしょう。多くの人々の意思とは相反します。提案されている手続き上の要件は、煙幕にすぎません。これらの技術によって特定のグループの人々を差別し、無数の個人を不当に差別することを容認することはできません」。

欧州のデジタル権利団体Edriも「差別的な監視技術」に関する提案の中にある「憂慮すべきギャップ」を強調した。「この規制は、AIから利益を得る企業の自己規制の範囲が広すぎることを許容しています。この規制の中心は、企業ではなく人であるべきです」と、EdriでAIの上級政策責任者を務めるSarah Chander(サラ・チャンダー)氏は声明で述べている。

Access Nowも初期の反応で同様の懸念を示しており、提案されている禁止条項は「あまりにも限定的」であり、法的枠組みは「社会の進歩と基本的権利を著しく損なう多数のAI利用の開発や配備を阻止するものではない」と指摘している。

一方でこうしたデジタル権利団体は、公的にアクセス可能な高リスクシステムのデータベースが構築されるなどの透明性措置については好意的であり、規制にはいくつかの禁止事項が含まれているという事実を認めている(ただし十分ではない、という考えである)。

消費者権利の統括団体であるBEUCもまた、この提案に対して即座に異議を唱え、委員会の提案は「AIの利用と問題の非常に限られた範囲」を規制することにフォーカスしており、消費者保護の点で脆弱だと非難した。

「欧州委員会は、消費者が日々の生活の中でAIを信頼できるようにすることにもっと注力すべきでした」とBEUCでディレクターを務めるMonique Goyens(モニーク・ゴヤンス) 氏は声明で述べている。「『高リスク』、『中リスク』、『低リスク』にかかわらず、人工知能を利用したあらゆる製品やサービスについて人々の信頼の醸成を図るべきでした。消費者が実行可能な権利を保持するとともに、何か問題が起きた場合の救済策や救済策へのアクセスを確保できるよう、EUはより多くの対策を講じるべきでした」。

機械に関する新しい規則も立法パッケージの一部であり、AIを利用した変更を考慮した安全規則が用意されている(欧州委員会はその中で、機械にAIを統合している企業に対し、この枠組みに準拠するための適合性評価を1度実施することのみを求めている)。

Airbnb、Apple、Facebook、Google、Microsoftなどの大手プラットフォーム企業が加盟する、テック業界のグループDot Europe(旧Edima)は、欧州委員会のAIに関する提案の公表を好意的に受け止めているが、本稿執筆時点ではまだ詳細なコメントを出していない。

スタートアップ権利擁護団体Allied For Startupsは、提案の詳細を検討する時間も必要だとしているが、同団体でEU政策監督官を務めるBenedikt Blomeyer(ベネディクト・ブロマイヤー)氏はスタートアップに負担をかける潜在的なリスクについて警鐘を鳴らしている。「私たちの最初の反応は、適切に行われなければ、スタートアップに課せられる規制上の負担を大幅に増加させる可能性があるということでした」と同氏はいう。「重要な問題は、欧州のスタートアップがAIの潜在的な利益を享受できるようにする一方で、本案の内容がAIがもたらす潜在的なリスクに比例するものかという点です」。

その他のテック系ロビー団体は、AIを包み込む特注のお役所仕事を期待して攻撃に出るのを待っていたわけではないだろうが、ワシントンとブリュッセルに拠点を置くテック政策シンクタンク(Center for Data Innovation)の言葉を借りれば、この規制は「歩き方を学ぶ前に、EUで生まれたばかりのAI産業を踏みにじる」ものだと主張している。

業界団体CCIA(Computer & Communications Industry Association)もまた「開発者やユーザーにとって不必要なお役所仕事」に対して即座に警戒感を示し、規制だけではEUをAIのリーダーにすることはできないと付け加えた。

本提案は、欧州議会、および欧州理事会経由の加盟国による草案に対する見解が必要となる、EUの共同立法プロセスの下での膨大な議論の始まりである。つまり、EUの機関がEU全体のAI規制の最終的な形について合意に達するまでに、大幅な変更が行われることになるだろう。

欧州委員会は、他のEU機関が直ちに関与することを期待し、このプロセスを早急に実施できることを望んでいると述べるにとどまり、法案が採択される時期については明言を避けた。とはいえ、この規制が承認され、施行されるまでには数年かかる可能性がある。

【更新】本レポートは、欧州委員会の提案への反応を加えて更新された。

カテゴリー:パブリック / ダイバーシティ
タグ:EU人工知能チャットボットディープフェイク透明性GDPR欧州データ保護委員会生体認証顔認証

画像クレジット:DKosig / Getty Images

原文へ

(文:Natasha Lomas、翻訳:Dragonfly)

EUがプロバイダーによるテロ関連コンテンツの1時間以内の削除を法制化

欧州議会は現地時間4月28日、テロリストのコンテンツ取り締まりに関する新しい法律を承認した。1時間以内のコンテンツ削除が欧州の法定基準となる。

「テロリストコンテンツのオンラインでの拡散に対処する」規則は欧州連合(EU)の官報掲載後すぐに発効し、12カ月後に適用が始まる。

規則の導入で、欧州でユーザーにサービスを提供しているプロバイダーは加盟国当局からの通知を受けて1時間以内にテロリストコンテンツの削除を行うか、あるいはなぜ削除できないのかを説明しなければならない。

教育、研究、文化、報道のコンテンツは例外とし、ソーシャルメディアサイトのようなオンラインプラットフォームで拡散しているテロリズム宣伝を標的とすることを目的としている。

この規則で当局が迅速に削除したいコンテンツの種類は、テロ犯罪を扇動、勧誘したりテロ犯罪に貢献するようなもの、犯罪のインストラクションを提供するもの、あるいはテロリストグループに参加するよう人々をそそのかすものだ。

爆発物や銃器、テロ目的の他の武器の作り方や使い方を案内するコンテンツも対象となる。

しかしながら、オンラインの表現の自由への影響について懸念が示されてきた。ここには、削除対応に必要なタイトな時間のためにプラットフォームがリスクを低減しようとコンテンツフィルターを使うのではないか、というものが含まれる。

この法律はプラットフォームにコンテンツを監視したり、フィルターにかけたりすることを義務付けていないが、テロの宣伝を防ぐための方策をとらなければならないとして、禁止されたコンテンツの拡散を防止するようプロバイダーに求めている。

どのように対応するかはプロバイダー次第だ。自動化ツール使用の法的義務はない一方で、大手プロバイダーがおそらく活用することになるのは、不当に言論を黙らせるリスクをともなうフィルターとなりそうだ。

もう1つの懸念は、法律のもとでテロリストのコンテンツがどれくらい正確に特定されるかだ。市民権グループは欧州の権威主義的な政府が欧州のあちこちを拠点とする批判的な人々を追跡するのにこの法律の使用を考えるかもしれない、と警告している

法律は透明性の義務を含む。つまり、プロバイダーはコンテンツ特定と取り締まりについての情報を毎年公開しなければならない。

罰則に関しては、加盟国が違反に規則を適用するが、繰り返し順守しなかった場合に科す罰金の上限はグローバル年間売上高の最大4%と規則に盛り込まれている。

EU議員はこの法律を、オンラインでのISISコンテンツ拡散に関して懸念が高まっていた2018年に提案した。

同年3月にプラットフォームは非公式の1時間内削除ルールに従うよう迫られた。しかしそれから数カ月して欧州委員会が「オンラインでのテロリストコンテンツの拡散を防ぐ」ことを目的とする、より広範な提案を行った。

提案をめぐっては、調整のための交渉が欧州議会議員と加盟国の間で繰り広げられた。たとえば欧州議会議員は、所管官庁に削除命令を1度も受け取ったことのない企業に対し、コンテンツを削除する初の命令を発行する少し前に手順と締切についての情報を提供するために連絡をとることを求める提案を推進した。これは企業が完全に法律を適用されることがないようにという意図だ。

ただ、小規模のコンテンツプロバイダーへの影響は批判的な人にとって引き続き懸念となっている。

欧州理事会は3月に最終提案を採用した。4月18日の欧州議会による承認には共同立法プロセスも含まれる。

声明の中で欧州議会議員で報告担当官のPatryk JAKI(パトリック・ジャキ)氏は次のように述べた。「テロリストはインターネットでリクルートし、プロパガンダを共有し、攻撃のための調整を行います。今日我々は、加盟国がEU中で1時間以内にテロリストコンテンツを削除できるようにする効果的なメカニズムを確立しました。セキュリティとインターネット上の言論と表現の自由のバランスを取り、合法のコンテンツとEU全市民のための情報へのアクセスを守る一方で、加盟国間の協力と信頼を通じてテロリズムと戦うものとなっていて、良い成果をあげたと強く確信しています」。

カテゴリー:パブリック / ダイバーシティ
タグ:EUテロ

画像クレジット:picture alliance / Getty Images

原文へ

(文:Natasha Lomas、翻訳:Nariko Mizoguchi

EUがAIのリスクベース規則の罰金を全世界年間売上高の最大4%で計画、草案流出で判明

人工知能の利用をめぐる規則草案を作成中の欧州連合の議員らが、違反したユースケースについて全世界の年間売上高の最大4%(もしくは2000万ユーロ[約26億円]のどちらか高額な方)を罰金として検討していることがわかった。公式の発表が見込まれるAI規則の草案が流出し、Politico(ポリティコ)が報じたことで判明した。

AI規制をめぐる計画はしばらく前から予想されていた。2020年2月には欧州委員会がホワイトペーパーを公開し「高リスク」とされる人工知能の利用を規制する計画の概略を発表した。

当時、EUの議員は分野ベースでの検討を進めていた。エネルギーや人材採用といった特定の分野をリスク領域と想定していたのだ。しかし、流出した草案を見るとこのアプローチは見直されたようで、今回、AIリスクに関する議論は特定の業界や分野には限定されていない。

焦点は代わりに、分野に関係なく高リスクのAI利用に関するコンプライアンス要件に向けられている(武器や軍事的な利用は明確に除外されているが、それはこの領域がEU条約の対象から外れているため)。とはいえ「高リスク」の定義については、この草案だけではまだ不明瞭だ。

ここでの欧州委員会の最大の目標は、AIの社会的信用を高めることにある。そのために「EUバリュー」に染まったシステムによってコンプライアンスチェックと均衡化を図り、いわゆる「信用できる」 「人間主体」のAI開発を促進するという。そこで「高リスク」と見なされていないAI応用のメーカーも、本委員会の言葉を借りると「高リスクのAIシステムに適用される必須条件の自発的な適用を促進するため」に行動規範を導入することが推奨されている。

本規則のもう1つの焦点は、連合内のAI開発を支える方策の制定だ。加盟国に規制のサンドボックス制度を定めるよう迫ることで、スタートアップや中小企業が市場展開前の段階で優先的にAIシステムの開発とテストの支援を受けられるようにする。

草案では、所轄官庁が「当局の監督と是正に全面的に従いながらも、サンドボックスに加わる事業体の人工知能プロジェクトについて自由裁量権と均整化の権限を与えられる」としている。

高リスクのAIとは?

計画中の規則では、人工知能の利用を予定する事業体が、特定のユースケースが「高リスク」かどうかを見極め、それゆえ市場展開前に義務付けられているコンプライアンス評価を実施すべきかを判断しなければならないとされている。

草案の備考によると「AIシステムのリスク分類は、その利用目的にもとづいて決定される。該当のAIシステムの利用目的を具体的な状況や利用条件を含めて検討し、その利用が何らかの危険を及ぼすかどうか、またその場合、潜在的な危険の重大度と発生可能性がどのくらいか、この2つを考慮することで決定される」。

草案は「本規則に従って高リスクと分類されたAIシステムは、必ずしも各分野の法律において『高リスク』とされるシステムまたは商品とは限らない」とも言及している。

高リスクのAIシステムに関連する「危険」の例を草案のリストから挙げると「人の負傷または死、所有物への損害、社会への大規模な悪影響、重要な経済的および社会的活動の通常運用に不可欠なサービスを大きく混乱すること、経済、教育、または就業の機会への悪影響、公共サービスおよび何らかの公的支援の利用に対する悪影響、(欧州市民の)基本的権利への悪影響」などが含まれている。

高リスクの利用についても、いくつかの例が取り上げられている。例えば人材採用システム、教育機関または職業訓練機関へのアクセスを提供するシステム、緊急のサービス派遣システム、信用度評価、税金で賄われる社会福祉の配分決定に関係するシステム、犯罪の防止・発見・起訴に関連して適用される意思決定システム、そして裁判官のサポート目的で使用される意思決定システムなどだ。

つまり、リスク管理システムを制定し、品質管理システムを含めた市場展開前の調査を実施するなどコンプライアンス要件が満たされている限り、規制計画によってこうしたシステムがEU市場で禁じられることはないだろう。

その他の要件はセキュリティ分野の他、AIのパフォーマンスの一貫性確保に関するものだ。「重大なインシデントや、義務違反を含むAIシステムの誤作動」については、どのようなものであれ発覚後15日以内に監督機関に報告することが規定されている。

草案によると「高リスクのAIシステムも、必須条件への準拠を条件として連合市場に出す、あるいは運用することができる」。

「連合市場に出されている、あるいは運用されている高リスクのAIシステムを必須条件に準拠させる際は、AIシステムの利用目的を考慮し、提供元が定めるリスク管理システムに従って行うべきである」。

「これらに加え、提供元が定めるリスク制御管理策は、すべての必須条件を適用した場合の効果および起こり得る相互作用を鑑み、また関連する整合規格や共通仕様書など一般的に認められている最高の技術水準を考慮して定めるべきである」

禁止されるプラクティスと生体認証

流出した草案によると、計画中の法令の第4項では一部のAI「プラクティス」が禁止条項に挙げられている。例えば、大規模な監視システム、さらには差別につながりかねない一般の社会的なスコアリングシステムへの(商業目的での)適用などだ。

人間の行動、意思決定、または意見を有害な方向へ操るために設計されたAIシステム(ダークパターン設計のUIなど)も、第4項で禁止されている。個人データを使用し、人や集団の弱さをターゲットとして有害な予測をするシステムも同様だ。

一般の読者の方は、本規則が人のトラッキングをベースとする行動ターゲティング広告、つまりFacebook(フェイスブック)やGoogle(グーグル)といった企業のビジネスモデルで用いられるプラクティスを一挙に禁止しようとしているのではないかと推測されるかもしれない。しかし、そのためには広告テクノロジーの巨大企業らに、自社のツールをユーザーに有害な影響を及ぼすツールだと認めてもらわなければならない。

対して、彼らの規制回避戦略は真逆の主張にもとづいている。フェイスブックが行動ターゲティング広告を「関連」広告と呼んでいるのもそのためだ。この草案は、EU法を定着させようとする側と、自社に都合のいい解釈をしようとする巨大テクノロジー企業らとの(今よりも)長きにわたる法廷での戦いを招くものとなるかもしれない。

禁止プラクティスの根拠は、草案の前文にまとめられている。「人工知能が特別に有害な新たな操作的、中毒的、社会統制的、および無差別な監視プラクティスを生みかねないことは、一般に認知されるべきことである。これらのプラクティスは人間の尊厳、自由、民主主義、法の支配、そして人権の尊重を重視する連合の基準と矛盾しており、禁止されるべきである」。

本委員会が公共の場での顔認証の利用禁止を回避したことは、注目に値するだろう。2020年の初めに流出した草案ではこの点が考慮されていたが、2020年のホワイトペーパー公開前には禁止とは別の方向へかじを切ったようだ。

流出した草案では、公共の場での「遠隔生体認証」が「公認機関の関与を通じてより厳格な適合性評価手順を踏む」対象に挙げられている。つまり、その他ほとんどの高リスクのAI利用とは異なり(これらはセルフアセスメントによる要件順守が認められている)、データ保護の影響評価を含む「テクノロジーの利用によって生じる特定のリスクに対応するための承認手続き」が必要だということだ。

「また、評価の過程で、承認機関は定められた目的でシステムを利用する際の誤差によって生じる危険(とりわけ年齢、民族、性別、または障害に関するもの)の頻度とその重大度を考慮しなければならない」と草案は述べている。「その他、特に民主的プロセスへの参加や市民参加、さらには参照データベース内の人々のインクルージョンに関する手段、必要性、および比例について、その社会的影響を考慮しなければならない」。

「主として個人の安全に悪影響を与えかねない」AIシステムもまた、コンプライアンスの手順の一環として高水準の規制関与を受ける必要がある。

すべての高リスクAIの適合性評価に用いるシステムについては引き続き検討が続いており、草案では「本規則への準拠に影響しかねない変更がAIシステムに生じた場合、あるいはAIシステムの利用目的に変更が生じた場合には、新たに適合性評価を実施することが適切である」としている。

「市場に出された、あるいは運用を開始した後にも「学習」を続ける(機能の実行方法を自動的に適応する)AIシステムについては、アルゴリズムおよびパフォーマンスに生じた変化が適合性評価の時点で事前に特定および評価されていない場合、新たにAIシステムの適合性評価を実施する」とのことだ。

規則に準拠する企業へ与えられる報酬は「CE」マークの取得だ。このマークによってユーザーの信頼を獲得し、連合の単一市場全体で摩擦のないサービスを提供できる。

「高リスクのAIシステムを連合内で自由に利用するには、CEマークを取得して本規則との適合を示す必要がある」と草案は続ける。「加盟国は本規則で定められた要件に準拠するAIシステムの市場展開または運用を妨げる障害を生んではならない」。

ボットとディープフェイクの透明性確保

提供元は、商品の市場展開前に(ほぼセルフでの)評価を実施し、コンプライアンス義務(モデルのトレーニングに使用するデータセットの品質確保、記録の保持・文書化、人間による監視、透明性の確保、正確性の確保など)を果たし、市場展開後も継続的に監視を続けることが要求されている。このように「高リスク」のAIシステムを安全に市場に出すべく、いくつかのプラクティスを法的に禁止し、EU全体での規則適用に用いるシステムの確立を模索すると同時に、草案では人をだます目的で使用されているAIのリスクを縮小しようとする動きがある。

具体的には、自然人とやり取りをする目的で使用されるAIシステム(ボイスAI、チャットボットなど)、さらには画像、オーディオ、または動画コンテンツを生成または操作する目的で使用されるAIシステム(ディープフェイク)について「透明性確保のための調和的な規定」を提案しているのだ。

「自然人とやり取りをする、またはコンテンツを生成する目的で使用されるAIシステムは、高リスクに該当するか否かに関わらず、なりすましや詐欺といった特定のリスクを含む可能性がある。状況によっては、これらのシステムの利用は高リスクのAIシステム向けの要件および義務とは別に、透明性に関する特定の義務の対象となるべきである」と草案は述べている。

「とりわけ、自然人はAIシステムとやり取りする場合、それが状況や文脈から明確に分かる場合を除き、その旨は通知されるべきである。さらに、実在の人物、場所、出来事との明確な共通点がある画像、オーディオ、または動画コンテンツを生成あるいは操作する目的でAIシステムを使用し、そのコンテンツが一般人によって本物と誤解されるものである場合は、ユーザーは人工知能の生産物にそれぞれ表示を付け、人工物の作成元を開示することで、該当コンテンツが人工的に作成されたあるいは操作されたことを開示しなければならない」。

「表示に関するこの義務は、該当コンテンツが治安の維持や正当な個人の権利または自由(例えば風刺、パロディー、芸術と研究の自由の行使、さらにはサードパーティーの適切な権利および自由を保護するための題材)の行使のために必要な場合には適用されない」。

実施の詳細は?

このAI規則案はまだ委員会によって正式に発表されてはいないため、詳細が変更される可能性はあるが、2018年に施行されたEUのデータ保護規則の実施がいまだに不十分なことを踏まえると、(複雑な場合が多い)人工知能の具体的な利用を規制するまったく新しいコンプライアンス層の導入がどこまで効果的に監視し、違反を取り締まれるのかは疑問だ。

高リスクのAIシステムを市場に出す際の責任(かつ、高リスクのAIシステムを委員会が維持予定のEUデータベースに登録することなど、さまざまな規定への準拠責任)はそのシステムの提供元にある一方で、規則案では規制の実施を加盟国に一任している。つまり、各国にある1つまたは複数の所轄官庁に監視規則の適用を管理するよう任命する責任は、それぞれの加盟国にあるということだ。

その実態は、EU一般データ保護規則(GDPR)の先例からすでに見えているだろう。委員会自体も、連合全体でGDPRの実施が一貫したかたちで、あるいは精力的に行われていないことを認めている。疑問点は、駆け出しのAI規則が同じ フォーラムショッピングの運命をたどらないようにできるのかという点だ。

「加盟国は、本規則の条項が確実に実践されるよう必要な手段をすべて取らなければならない。これには、違反に対して効果的かつバランスのとれた、行動抑止効果のある罰則を規定することが含まれる。具体的な違反については、加盟国は本規則で定められた余地と基準を考慮に入れるべきである」と草案は述べている。

委員会は、加盟国の実施が見られない場合の介入について補足説明をしている。とはいえ、実施方法について短期的な見通しがまったくないことを考えると、先例と同じ落とし穴があることは否めないだろう。

将来の実施失敗を阻止するため、委員会は次のように最終手段を定めている。「本規則の目標は連合内での人工知能の市場展開、運用開始、および利用に関する信頼のエコシステムを構築するための環境を整えることである。それゆえ、加盟国がこれを十分に達成することができず、措置の規模または効果を鑑みた結果連合レベルでの実施の方がよりよい成果を達成できると考えられる場合、連合は欧州連合基本条約第5項に定められた権限移譲の原則に従う範囲で、措置を講じることができる」。

AIの監視計画には、GDPRの欧州データ保護委員会と類似のEuropean Artificial Intelligence Board(欧州人工知能委員会)を設立することが含まれている。この委員会はEUの議員に向けて、禁止されているAIプラクティスや高リスクのシステムのリストなどに関して重要な推奨事項や意見を述べ、欧州データ保護委員会と同じように規則の適用を支援していくこととなる。

カテゴリー:パブリック / ダイバーシティ
タグ:人工知能EU顔認証生体認証

画像クレジット:piranka / Getty Images

原文へ

(文:Natasha Lomas、翻訳:Dragonfly)

TikTokが米国に続き欧州に「透明性」センターを設置、専門家に取り組みを開示

TikTok(ティックトック)は米国時間4月27日、コンテンツモデレーションやレコメンデーション、プラットフォームセキュリティ、ユーザープライバシーに同社がどのように取り組んでいるかを外部の専門家に示すセンターを欧州に設置すると発表した。

欧州Transparency and Accountability Centre(TAC、透明性・説明責任センター)は2020年の米国センター開所に続くもので、米国同様、同社の「透明性へのコミットメント」の一環と位置づけられている。

米国TACを発表してすぐにTikTokは米国でコンテンツ・アドバイザリー・カウンシルも設置した。そして2021年3月に異なる複数の専門家で構成される同様のアドバイザリー機関を欧州にも設けた。

関連記事:TikTokがコンテンツ管理改善のため欧州に安全諮問委員会を設置

そして今、欧州TACを設置することで米国におけるアプローチを完全に再現している。

これまでに専門家や議員など70人以上がバーチャルの米国ツアーに参加した、とTikTokは述べた。このツアーでは参加者はTikTokの業務の詳細を学び、安全性やセキュリティに関する慣行について質問することができる。

ショートビデオのソーシャルメディアサイトであるTikTokは近年、人気が高まるにつれ、コンテンツポリシーや所有構造をめぐって厳しい視線が注がれてきた。

TikTokが中国テック大企業の所有で、かつ中国共産党が定めるインターネットデータ法の対象となっていることから、米国における懸念は主に検閲のリスクとユーザーデータのセキュリティについてだった。

一方、欧州では議員や当局、市民社会が子どもの安全とデータプライバシーに関する問題などを含む幅広い懸念を提起してきた。

2021年初めに注目を集めたケースでは、TikTokでコンテンツチャレンジに参加していたとされているイタリアの少女の死を受けて、同国のデータ保護当局が緊急介入した。その結果、TikTokはイタリアのプラットフォームで全ユーザーの年齢を再度チェックすることに同意した

関連記事
TikTokが欧州で消費者、子どもの安全、プライバシーに関する訴えを受ける
「失神チャレンジ」による少女死亡事件でTikTokのイタリア当局への対応に注目

同社は、現在も続く新型コロナウイルスパンデミックのために、欧州TACがバーチャルで取り組みを開始すると述べた。しかし同社が欧州本社を置くアイルランドに実際のセンターを2022年に開所する計画だ。

欧州の議員らは最近、コンテンツレコメンデーションエンジンなどを含むAIシステムのアカウンタビリティーをさらに強調するため、デジタル法案に一連のアップデートを提案した。

欧州委員会が先週提示したAI規制の草案は、有害となり得る方法で人々の行動を操作するためのAIテクノロジーにおける潜在意識の使用の全面禁止も提案している。例えば自殺賛成のコンテンツやリスクのある問題を暗示的に展開することで自傷するようユーザーをそそのかすコンテンツレコメンダーエンジンなどが禁止の対象となる(草案には、違反した場合の罰金はグローバルの年間売上高の最大6%と盛り込まれている)。

欧州TACはレコメンデーションテクノロジーに関する詳細な洞察を提供する、とTikTokが明示したのは非常に興味深い。

「TikTokのチームがコミュニティのためにプラットフォームをポジティブで安全なエクスペリエンスにしようとしている取り組みを専門家、研究者、議員が確認する機会をセンターは提供します」と同社はプレスリリースに書いている。そして専門家は、同社が「TikTokコミュニティを安全なものにし続ける」ためにどのようにテクノロジーを使っているか、訓練されたコンテンツレビューチームがコミュニティガイドラインに基づいてコンテンツに関しどのように決断を下しているか「モデレーションの取り組みを補完する人間のレビュワーが潜在的なポリシー違反を見つけるためにテクノロジーを使っている方法」について知見も得る、としている。

EUのAI規制草案にはまた、人工知能のハイリスクな適用を人間が監視するという要件が盛り込まれている。規制の草案にある一連の現在のカテゴリーを考えた時、ソーシャルメディアプラットフォームが特定の義務に従うかどうかは不透明だ。

しかしAI規制は、プラットフォームにフォーカスした欧州委員会の規則制定の1つのピースにすぎない。

欧州委員会は2020年末、プラットフォームにデューデリジェンスを義務づけるDSAとDMAのもと、デジタルサービス向けのルールに広範なアップデートを提案した。そしてアルゴリズムを使ったランキングやヒエラルキーを説明するよう大手プラットフォームに求めている。そしてTikTokはおそらく義務の対象となる。

ブレグジットで現在はEU外となっている英国もまた2021年中に提示することになっている独自のOnline Safety regulationに取り組んでいる。つまり、数年のうちにTikTokのようなプラットフォームが欧州で遵守すべき、コンテンツにフォーカスした複数の規則制度ができる。そして外部専門家にアルゴリズムをみせることは、ソフトなPRではなく厳しい法的要件となりそうだ。

関連記事:2021年提出予定の英国オンライン危害法案の注意義務違反への罰金は年間売上高10%

声明の中での欧州TACの立ち上げについてのコメントで、TikTokの信頼・安全責任者のCormac Keenan(コーマック・キーナン)氏は次のように述べた。「欧州中に1億人超のユーザーを抱え、当社はコミュニティと広く社会の信頼を得るための責任を認識しています。当社の透明性・説明責任センターは、TikTokを喜び、クリエイティビティ、楽しみのための場所にし続けるために当社が展開しているチームやプロセス、テクノロジーを人々が理解できるようにする過程において次のステップです。すべきことがたくさんあるのは理解していて、待ち受けている困難を積極的に解決していくことに前向きです。当社のシステムをさらに改善できるよう、欧州中から専門家を迎え、率直なフィードバックを聞くことを楽しみにしています」。

カテゴリー:ネットサービス
タグ:TikTokプライバシー個人情報ヨーロッパEU

画像クレジット:Sean Gallup / Getty Images

原文へ

(文:Natasha Lomas、翻訳:Nariko Mizoguchi

欧州議会議員グループが公共の場での生体認証監視を禁止するAI規制を求める

40名の議員からなる欧州議会の超党派グループは、人工知能(AI)に関する立法案を強化し、公共の場所における顔認証やその他の生体認証による監視を完全に禁止することを委員会に求めている。

また、このグループは、個人を特定できる特徴(性別、性的区別、人種・民族、健康状態、障害など)を自動認証することも禁止するよう議会に要求し、このようなAIの利用は大きな人権リスクをともない、差別を助長する恐れがあると警告している。

欧州委員会は、AIの「高リスク」アプリケーションを規制するフレームワークのプロポーザルを発表するとされているが、中央ヨーロッパ夏時間4月13日、Politico(ポリティコ)がその草案をリークした。先にレポートしたように、リークされた草案は、この問題に対する国民の関心の強さを認めているにもかかわらず、公共の場での顔認証やその他の生体認証を行う遠隔識別テクノロジーの使用を禁止する事項は含んでいない。

議員グループは欧州委員会に宛てた書簡で「一般にアクセスできる公共空間における生体認証の大量監視テクノロジーは、多数の無実の市民を不当にレポートし、過小評価グループ(ある地域において、全世界における人口比よりも小さな割合しかもたないグループ)を組織的に差別し、自由で多様性のある社会を委縮させると広く批判されています。だからこそ、禁止が必要なのです」と述べ、その内容も公開されている。

議員グループは、予測的ポリシングアプリケーションや、生体特徴を利用した無差別な監視・追跡など、個人を特定できる特徴を自動的に推定することによる差別のリスクについても警告している。

「これはプライバシーやデータ保護の権利を侵害し、言論の自由を抑圧し、(権力側の)腐敗を暴くことを困難にするなどの弊害をもたらし、すべての人の自律性、尊厳、自己表現を脅かします。特に、LGBTQI+コミュニティ、有色人種、その他の差別されているグループに深刻な損害を与える可能性があります」と議員グループと記し、EU市民の権利と、差別のリスク(そして、AIで強化された差別的なツールによるリスク)からコミュニティの権利を守るために、AIプロポーザルを修正して、こういった行為を違法化するよう欧州委員会に求めている。

「AIプロポーザルは性別、性的区別、人種・民族、障害、その他の個人を識別できる保護すべき特徴の自動識別を禁止するチャンスです」と議員たちは続ける。

リークされた欧州委員会プロポーザルの草案では、無差別大量監視という課題に取り組んでおり、こういった行為の禁止や、汎用の社会的信用スコアリングシステムを非合法化することも提案されている。

しかし、議員グループはさらに踏み込んだ議論を求め、リークされた草案の文言の弱点を警告し、プロポーザルの禁止案を「システムに暴露される人の多寡にかかわらず、ターゲットのない無差別な大量監視をすべて禁止する」ように変更することを提案している。

また、公共機関(または公共機関のために活動する商業団体)に対しては大量監視を禁止しないという提案にも警鐘を鳴らし、現行のEU法や、EU最高裁の解釈を逸脱する危険性を指摘している。

書簡には「私たちは、第4条第2項の案に強く抗議します。この案では、公的機関はもちろんのこと、公的機関に代わって活動する民間の行為者であっても、『公共の安全を守るため』に(大量監視の禁止の)対象とならないとされます」と書かれている。「公共の安全とは、まさに大量の監視を正当化するためのものであり、実務的に有用性があり、裁判所が個人データの無差別大量処理に関する法律(例、データ保持指令)を一貫して無効にしてきた場でもあります。禁止の対象とならない可能性は排除する必要があります」。

「第2項は、これまで司法裁判所が大量監視を禁止していると判断してきた他の二次的な法律を逸脱すると解釈される可能性もあります」と続ける。「提案されているAI規制は、データ保護の法体系に起因する規制と一体となって適用されるものであり、それに代わるものではないことを明確にする必要があります。リークされた草案には、そのような明確さがありません」。

議員グループは欧州委員会のコメントを求めているが、今後予定されているAI規制案の正式発表を前に、欧州委員会がコメントを出すことはなさそうだ。

今後、AIプロポーザルに大幅な修正が加えられるかどうかは不明だ。しかし、この議会グループは、基本的人権が共同立法の議論の重要な要素であること、そして、非倫理的なテクノロジーに正面から取り組まないルールであれば「信頼性の高い」AIを確実するためのフレームワークという議会の主張は信用できないと、いち早く警告している。

カテゴリー:パブリック / ダイバーシティ
タグ:EU生体認証顔認証人工知能・AI

画像クレジット:Getty Images

原文へ

(文:Natasha Lomas、翻訳:Dragonfly)

EUデータ保護当局のトップ監督官が公共の場での顔認識の禁止を強く要請

欧州連合(EU)のデータ保護監督官は、次期AI関連法案の下で、公共の場での遠隔バイオメトリックサーベイランスを全面的に禁止するよう求めた。

欧州データ保護監察機関(EDPS)の介入は、欧州議会の議員らが中央ヨーロッパ時間4月21日に発表した、AI(人工知能)の適用先を規制するためのリスクベースアプローチに関する提案を受けたものだ。

欧州委員会の立法案には、法執行機関による公共の場での遠隔バイオメトリックサーベイランス技術(顔認識など)の使用を一部禁止することが含まれている。しかし、この文書には広範な例外規定が含まれており、デジタル権および人権団体は、EU市民の基本的権利の大幅な侵害につながると彼らが主張する抜け穴について、早くも警告を発している。そして先週、欧州議会の党派を超えたグループは、欧州委員会に対し、勇気を奮い起こしてこうした権利を侵害する技術を違法とするよう求めた。

欧州委員会のために勧告やガイダンスを発行する役割を担うEDPSは、これに同意する傾向にある。4月23日に発表されたプレスリリースでは、現在、EDPSの席を保持するWojciech Wiewiórowski(ヴォイチェフ・ヴィヴィオロフスキ)氏が再考を促している。

「EDPSは、顔認識を含む遠隔生体識別システムが公に利用可能なスペースで使用されることの一時停止を求める我々の以前の呼びかけが、欧州委員会によって対処されていないことを遺憾に思います」と同氏は書いている。

「EDPSは、商業や行政、あるいは法執行目的で使用されるかどうかにかかわらず、公共の場における人間の特徴(顔だけでなく歩行、指紋、DNA、声、キーストローク、その他の生体・行動信号)の自動認識について、より厳格なアプローチを提唱し続けていきます」。

「遠隔生体識別に関してはAIが前例のない発展をもたらす可能性がありますが、個人の私生活に深く非民主的に侵入するリスクが極めて高いことを考えると、より厳格なアプローチが必要です」とも。

ヴィヴィオロフスキ氏は、欧州委員会が提示した水平的アプローチと広範な範囲を歓迎すると述べ、この立法案に対してエールを送った。またAIの適用先を規制する際に、リスクベースアプローチをとることにも賛成している。

しかしEDPSは、EU議会が引いたレッドラインが、彼が期待していたよりもはるかにピンク色であることを明確にした。そして、欧州委員会が「信頼できる」「人間中心の」AIを確保するためのフレームワークを作成したという大々的な主張に応えていないという批判に、権威ある声を加えることになった。

今後、規制の最終的な形をめぐる議論では、欧州でのAIの一線をどこに引くべきかについて、多くの議論が交わされることになるだろう。最終的な文書の合意は、早くても来年になる見込みだ。

「EDPSは、個人および社会全体の保護を強化するためにEUの共同立法機関を支援するため、欧州委員会の提案を綿密かつ包括的に分析していきます。この観点から、EDPSは特に、データ保護やプライバシーに関する基本的権利にリスクをもたらす可能性のあるツールやシステムに的確な境界線を設定することに注力します」と、ヴィヴィオロフスキ氏は付け加えた。

関連記事:スウェーデンのデータ監視機関が警察によるClearview AI使用は違法と判断

カテゴリー:パブリック / ダイバーシティ
タグ:EU顔認証欧州データ保護監察機関(EDPS)プライバシー個人情報

画像クレジット:Stegerphoto / Getty Images

原文へ

(文:Natasha Lomas、翻訳:Aya Nakazato)

フェイスブックの情報漏洩公表の遅れはGDPR違反の問題を招く

Facebookの2021年4月初旬の大規模な情報漏えいに対し、規制当局が同社に制裁を加えるかどうかは未だ明らかではない。しかし、この事件の時間的経緯が明らかになるにつれ、Facebookの立場は危ういものになりつつある。

Business Insiderが米国時間4月3日発表したこのデータ侵害について、Facebook は当初、ユーザーの生年月日や電話番号などの情報は「古い」ものだと示唆して問題を小さく見せかけようとした。しかし、最終的に同社は、米国時間4月7日遅くに公開されたブログ投稿で、問題のデータが「2019年9月以前に」悪意のある者によってプラットフォームからスクレイピング(ウェブサイトからの情報抽出)されたことを明らかにした。

情報漏えいの時期が新たに公表されたが、それによりこの情報漏えいが2018年5月に発効したEUにおけるGDPR(一般データ保護規則)に抵触するのではないか、という疑問が持ち上がっている。

EUの規制では、データ管理者は情報漏えいの開示を怠った場合、全世界での年間売上高の最大2%、より深刻なコンプライアンス違反の場合は年間売上高の最大4%の罰金を科せられる。

Facebookは過去のプライバシー侵害に対し、2019年7月にFTC(米国連邦取引委員会)と50億ドル(約5400億円)を支払うことで問題を解決したが、2019年6月~9月はこの合意に含まれていない。この点から見ても、EUフレームワークは重要だ。

米国時間4月7日、Facebookの監督機関であるアイルランドデータ保護委員会(DPC)は、今回の情報漏えいに対応する声明を出し、新たに公開されたデータセットの実態は完全には明らかではなく「オリジナルの2018年(GDPR以前)のデータセットから構成されているようだ」として、2017年6月~2018年4月の間に発生したとされる電話番号検索機能の脆弱性に関連する過去のデータ漏えい(2018年に開示済み)に言及した。しかしその中には、新たに公開されたデータセットは「それよりも新しい時点のものかもしれない記録と組み合わされている可能性がある」と書かれている。

関連記事:近頃起こったデータ漏洩についてFacebookからの回答が待たれる

FacebookはDPCの声明を受け、2019年、同年9月までのデータがプラットフォームから抽出されていたことを認めた。

4月7日のFacebookのブログ記事では、ユーザーのデータが、前述の電話番号検索機能の脆弱性ではなく、まったく別の手口でスクレイピングされていたという事実も新たに明らかになった。連絡先インポートツールの脆弱性を突いた手口である。

この手口では、未知数の「攻撃者」は、Facebookのアプリを模倣したソフトウェアを使って、大量の電話番号をアップロードしてプラットフォームのユーザーと一致する電話番号を検出する。

例えばスパム送信者は、大量の電話番号データベースをアップロードして、名前だけでなく、生年月日、メールアドレス、所在地などのデータとリンクさせて、フィッシング攻撃を行う。

今回のデータ侵害に対し、Facebookは即座に、2019年8月にこの脆弱性を修正したと主張したが、8月であればGDPRはすでに発効している。

EUにおけるデータ保護フレームワークにはデータ違反通知制度が組み込まれている。データ管理者は、個人データの漏えいがユーザーの権利と自由に対するリスクとなる可能性が高いと考えられる場合、不当に遅延することなく(理想的には漏えいの認識から72時間以内に)関連する監督機関に通知することが求められる。

しかし、Facebookは未だに今回の事件についてDPCに一切の開示をしていない。これはEUの議会が意図した規制の在り方に反する行為であり、規制当局はBusiness Insiderの報告書を受けて、米国時間4月6日、Facebookに対し情報開示を積極的に求めることを明らかにした。

一方、GDPRではデータ侵害が広く定義されている。データ侵害とは、個人データの紛失や盗難、権限のない第三者によるアクセス、また、データ管理者による意図的または偶発的な行動や不作為による個人データの漏えいを意味する。

Facebookは、5億人以上のユーザーの個人情報がオンラインフォーラムで自由にダウンロードできる状態であったという今回のデータ漏えいについて「違反」と表現することを慎重に避けている。これは、この違反に付随する法的リスクによるものだと考えられる。

ユーザーの個人情報を「古いデータ」と呼んで、ことの重大性を小さく見せかけようとしているのも法的リスクを考慮したうえでのことだろう(携帯電話番号、メールアドレス、氏名、経歴などを定期的に変更する人はほとんどいないし、法的に生年月日が変更されるケースは考えられないのだが)。

一方で、Facebookのブログ投稿はデータがスクレイピングされたことに言及し、スクレイピングとは「自動化されたソフトウェアを使ってインターネット上の公開情報を取り出し、オンラインフォーラムで配布する一般的な手口」であると説明している。つまり、Facebookの連絡先インポートツールを通じて流出した個人情報が何らかの形で公開されていたことを暗に示している。

ブログ投稿でFacebookが展開しているのは、何億人ものユーザーが携帯電話番号などの機密情報をプラットフォームのプロフィールに公開し、アカウントのデフォルト設定を変更しなかったので、これらの個人情報が「スクレイピング可能な状態で公開されている/プライベートではなくなっている/データ保護法でカバーされていない」という論法だ。

これはユーザーの権利やプライバシーを著しく侵害する、明らかにばかげた論法であり、EUのデータ保護規制当局は迅速かつ決定的に拒否しなければならない。さもなければ、Facebookがその市場力を悪用して、規制当局が保護すべき唯一の目的である基本的な権利を侵害することに加担することになる。

今回の情報漏えいの影響を受けた一部のFacebookユーザーは、Facebookのプライバシーを侵害するデフォルト設定を変更していなかったために、連絡先インポートツールを通じて情報が流出したのかもしれない。その場合でも、GPDRの遵守にかかる重要な問題が生じる。なぜなら、GPDRはデータ管理者に対して、個人データを適切に保護し、プライバシーを設計段階からデフォルトで適用することも要求しているからだ。

Facebookは何億件ものアカウント情報が無防備にスパマー(あるいは誰でも)に奪われてしまった。これは優れたセキュリティやプライバシーのデフォルト適用とは言い難い。

Cambridge Analyticaのスキャンダル再び、である。

関連記事:フェイスブックが隠しておきたかった電子メールをひっそり公開

過去にあまりにもプライバシーやデータ保護を疎かにしていたFacebookは、今回も逃げ切ろうとしているようだ。これまでデータスキャンダルの連続であっても、規制当局の制裁を受けることが比較的少なかったため、逃げ続けることに自信を持っているのかもしれない。年間売上高が850億ドル(約9兆3000億円)を超える企業にとって、1回限りの50億ドル(約5400億円)のFTCの罰金は単なるビジネス経費に過ぎない。

Facebookに、ユーザーの情報が再び悪意を持って自社のプラットフォームから抜き取られていることを認識した時点(2019年)でなぜDPCに報告しなかったのか、また、影響を受けた個別のFacebookユーザーになぜ連絡しなかったのかを問い合わせたが、同社はブログ投稿以上のコメントを拒否した。

また、同社と規制当局とのやり取りについてもコメントしないとのことだった。

GDPRは、情報漏えいがユーザーの権利と自由に高いリスクをもたらす場合、データ管理者は影響を受ける個人に通知することを義務付けている。それには、ユーザーに脅威を迅速に知らせることで、詐欺やID盗難など、データが漏えいした場合のリスクから自らを守るための手段を講じることができるという合理的な理由がある。

Facebookのブログ投稿にはユーザーに通知する予定はないとも記されていた。

Facebookの「親指を立てる」というトレードマークは、ユーザーに中指を立てている(ユーザーを侮辱する表現)と見た方が適切かもしれない。

カテゴリー:ネットサービス
タグ:Facebookデータ漏洩プライバシーGDPREU

画像クレジット:JOSH EDELSON / Contributor / Getty Images

原文へ

(文:Natasha Lomas、翻訳:Dragonfly)

近頃起こったデータ漏洩についてFacebookからの回答が待たれる

Facebookの欧州連合(EU)のデータ保護規制当局は、2021年4月第1週末に報告された大規模なデータ侵害について、この大手企業に回答を求めている。

この問題は、米国時間4月2日に Business Insiderが報じたもので、5億件以上のFacebookアカウントの個人情報(メールアドレスや携帯電話番号を含む)が低レベルのハッキングフォーラムに投稿され、数億人のFacebookユーザーのアカウントの個人情報が自由に利用できる状態になっていた。

ビジネスインサイダーによると「今回公開されたデータには、106カ国の5億3300万人以上のFacebookユーザーの個人情報が含まれており、その中には、米国のユーザーに関する3200万人以上の記録、英国のユーザーに関する1100万人以上の記録、インドのユーザーに関する600万人以上の記録が含まれる」。さらにその中には、電話番号、FacebookのID、氏名、所在地、生年月日、経歴、一部のメールアドレスなどが含まれていることを明らかにした。

Facebookは、データ漏洩の報告に対して、2019年8月に「発見して修正した」自社プラットフォームの脆弱性に関連するものだとし、その情報を2019年にも報告された「古いデータ」と呼ぶ。しかし、セキュリティ専門家がすぐに指摘したように、ほとんどの人は携帯電話の番号を頻繁に変更することはない。そのため、この侵害をそれほど重大でないものに見せようとするFacebookの反応は、責任逃れのための思慮の浅い試みのように思われる。

また、 Facebookの最初の回答が示しているように、すべてのデータが「古い」ものであるかどうかも明らかではない。

Facebookがまたしても起こったこのデータスキャンダルを、それほど重大でないものに見せようとする理由は山ほどある。欧州連合のデータ保護規則では、重大なデータ漏洩を関連当局に速やかに報告しなかった企業に対して厳しい罰則が設けられていることもその理由の1つだ。また、欧州連合の一般データ保護規則(GDPR)では、設計上およびデフォルトでのセキュリティが期待されているため、違反自体にも厳しい罰則が課せられる。

Facebookは、流出したデータが「古い」という主張を推し進めることで、それがGDPRの適用開始(2018年5月)よりも前であるという考えを宣伝したいのかもしれない。

しかし、欧州連合におけるFacebookの主なデータ監督機関であるアイルランドのデータ保護委員会(DPC)は、TechCrunchに対し、現時点ではそれが本当に古いと言えるのかどうかは十分に明らかではないと述べる。

DPCのGraham Doyle(グラハム・ドイル)副委員長は「新たに公開されたデータセットは、オリジナルの2018年(GDPR以前)のデータセットと、それより後の時期のものと思われるデータ接セットで構成されているようだ」との声明を出している。

ドイル氏はまた「情報が公開されたユーザーの多くはEUユーザーだ。データの多くは、Facebookの公開プロフィールからしばらく前に取得されたデータのようだ」とも述べている。

「以前のデータセットは2019年と2018年に公開されたが、これはFacebookのウェブサイトの大規模なスクレイピングに関連するものだ(当時Facebookは、Facebookが電話検索機能の脆弱性を閉鎖した2017年6月から2018年4月の間にこれが発生したと報告していた)。このスクレイピングはGDPR発効以前に行われたため、FacebookはこれをGDPRに基づく個人データ侵害として通知しないことに決めたのだ」。

ドイル氏によると、規制当局は週末にFacebookから情報漏洩に関する「すべての事実」を取得しようとしており、現在もそれは「続いている」。つまり、Facebookが情報漏洩自体を「古い」と主張しているにもかかわらず、この問題については現在も明らかになっていないということだ。

GDPRでは、重要なデータ保護問題について規制当局に積極的に知らせる義務が企業に課せられているにもかかわらず、この問題についてFacebookから積極的な連絡がなかったことがDPCによって明らかになった。それどころか、規制当局がFacebookに働きかけ、さまざまなチャネルを使って回答を得なければならなかった。

こうした働きかけによりDPCは、Facebookとしては、情報のスクレイピングは、Cambridge Analyticaのデータ不正利用スキャンダルを受けて確認された脆弱性を考慮して2018年と2019年にプラットフォームに加えた変更の前に発生したと考えていることが分かったと述べている。

2019年9月、オンライン上で、Facebookの電話番号の膨大なデータベースが保護されていない状態で発見された。

関連記事:Facebookユーザーの電話番号が掲載された大量データベースが流出

また、Facebookは以前、自社が提供する検索ツールに脆弱性があることを認めていた。2018年4月には、電話番号やメールアドレスを入力することでユーザーを調べられる機能を介して、10億から20億人のFacebookユーザーの公開情報が抽出されていたことを明らかにしているが、これが個人情報の貯蔵庫となっている可能性もある。

Facebookは2020年、国際的なデータスクレイピングに関与したとして、2社を提訴している。

関連記事:Facebookがデータスクレイピングを実行する2社を提訴

しかし、セキュリティ設計の不備による影響は「修正」から数年経った今でもFacebookの悩みの種となっている。

さらに重要なのは、大規模な個人情報の流出による影響は、インターネット上で今や自分の情報が公然とダウンロードにさらされるようになったFacebookユーザーにも及んでおり、スパムやフィッシング攻撃、その他の形態のソーシャルエンジニアリング(個人情報の窃盗を試みるものなど)のリスクにさらされていることだ。

この「古い」Facebookデータが、ハッカーフォーラムで無料で公開されるに至った経緯については、謎に包まれている部分が多い。

DPCは、Facebookから「問題となっているデータは、第三者によって照合されたものであり、複数のソースから得られたものである可能性がある」との説明を受けたと述べている。

Facebookはまた「十分な信頼性をもってその出所を特定し、貴局および当社のユーザーに追加情報を提供するには、広範な調査が必要である」と主張しているが、これは遠回しに、Facebookにも出所の見当がつかないということを示唆している。

「Facebookは、DPCに対し、確実な回答の提供に鋭意努めることを保証している」とドイル氏は述べている。ハッカーサイトで公開された記録の中には、ユーザーの電話番号やメールアドレスが含まれているものもある。

「ユーザーには、マーケティングを目的としたスパムメールが送られてくる可能性がある。また電話番号やメールアドレスを使った認証が必要なサービスを自ら利用している場合も、第三者がアクセスを試みる危険性があるため注意が必要だ」

「DPCは、Facebookから報告を受け次第、さらなる事実を公表する」と彼は付け加えた。

本稿執筆時点で、Facebookにこの違反行為についてのコメントを求めたが、同社はこれに応じなかった。

自分の情報が公表されていないか心配なFacebookユーザーは、データ漏洩について助言を行うサイト「haveibeenpwned」で、自分の電話番号やメールアドレスを検索することができる。

haveibeenpwnedのTroy Hunt(トロイ・ハント)氏によると、今回のFacebookのデータ漏洩には、メールアドレスよりも携帯電話番号の方がはるかに多く含まれている。

彼によると、数週間前にデータが送られてきた。最初に3億7000万件の記録が送られてきたが、その後「現在、非常広く流通しているより大規模なデータ」が送られてきたという。

「多くは同じものですが、同時に多くが異なってもいます」とハント氏は述べ、次のように付け加えた。「このデータには1つとして明確なソースはありません」。

【更新1】Facebookは今回のデータ流出についてブログ記事を公開し、問題のデータは2019年9月以前に「悪意のある者」が連絡先インポート機能を使ってユーザーのFacebookプロフィールからスクレイピングしたものと考えていることを明らかにした。またその際、ツールに修正を行い、大量の電話番号をアップロードしてプロフィールに一致する番号を見つける機能をブロックすることで悪用を防ぐ変更を施している。

「修正前の機能では、(Facebookの連絡先インポートツールのユーザーは)利用者プロフィールを照合し、公開プロフィールに含まれる一定の情報のみは取得することができました」とFacebookは説明し、これらの情報には利用者の金融情報や医療情報、パスワードは含まれていないと付け加えた。

ただし、悪意のある者がツールを転用することでどのようなデータを取得できたかについて、あるいは当該行為者を特定し、訴追しようとしたかどうかという点については明記されていない。

その代わりに同社の広報は、そのような行為は同社の規約に違反しているとし「このデータセットの削除に取り組んでいる」ことを強調した。同社はまた「機能を悪用する人々を可能な限り積極的に追跡していきます」と述べているが、ここでも悪用者を特定して確実に排除した実例は示していない。

(例えば、Facebookが2018年にCambridge Analyticaのスキャンダルを受けて実施すると述べたアプリ内部監査の最終報告書はどこにあるのだろうか。英国のデータ保護規制当局は最近、Facebookとの法的取り決めにより、アプリ監査について公の場で議論することはできないと述べている。つまりFacebookは、自社ツールの不正使用にどう取り組むかについての透明性を回避することに関しては、積極的なアプローチをとっているようだ……)

「過去のデータセットの再流通や新たなデータセットの出現を完全に防ぐことは困難ではありますが、専任チームを設け、今後もこの課題に対して注力してまいります」とFacebookは広報の中で述べており、ユーザーのデータが同社のサービス上で安全であることを一切保証していない。

同社はユーザーに対し、アカウントに提供しているプライバシー設定をチェックすることを推奨している。その設定には、同社のサービス上で他人があなたを検索する方法を制御する機能も含まれている。これではデータセキュリティの責任はFacebook自身ではなくFacebookユーザーの手中にあると言っているようなもので、Facebookデータ漏洩の事実から逸脱し、責任転換をしようとしているだけである。

もちろん、実際はユーザー次第ではない。FacebookユーザーがFacebookから提供されるのはデータの部分的なコントロールだけであり、Facebookの設計と仕組み(プライバシーに配慮したデフォルト設定を含む)が全面的に関与するものだ。

さらに、少なくとも欧州では、製品の設計にセキュリティを組み込む法的責任がある。個人データに対して適切なレベルの保護を提供できない場合、大きな規制上の制裁を受ける可能性があるが、企業は依然としてGDPRの施行上のボトルネックから恩恵を享受している。

Facebookの広報はまた、ユーザーが二段階認証を有効にしてアカウントのセキュリティを向上させることを提案している。

それは確かに名案だが、二段階認証に関しては、Facebookが二段階認証用のセキュリティキーとサードパーティ認証アプリのサポートを提供していることは注目に値する。つまり、Facebookに携帯番号を与えるリスクを冒すことなく、この付加的なセキュリティ層を追加することができる。ユーザーの電話番号を大量にリークしていた過去もあり、ターゲティング広告に二段階認証の数字を使うことも認めているため、Facebookに自分の電話番号を託すべきではないといえるだろう。

【更新2】Facebookは追加の背景説明で、規制当局との通信内容についてはコメントしないことを明らかにした。

同社はまた、侵害についてユーザーに個別に通知する計画はないと述べ、さらに、データが取得された方法(スクレイピング)の性質上、通知が必要なユーザーを完全に特定することはできないとしている。

カテゴリー:ネットサービス
タグ:Facebookデータ漏洩GDPREUヨーロッパプライバシー個人情報

画像クレジット:Jakub Porzycki/NurPhoto / Getty Images

原文へ

(文:Natasha Lomas、翻訳:Dragonfly)

フェイスブックが2019年の個人情報流出で集団訴訟に直面する可能性

Facebook(フェイスブック)は2019年の大規模なユーザーデータ流出をめぐって訴えられることになりそうだ。このデータ流出は最近明らかになったばかりで、5億3300万超のアカウントの情報がハッカーフォーラムで無料でダウンロードできる状態だった。

Digital Rights Ireland(デジタル権利アイルランド、DRI)は現地時間4月16日、欧州連合(EU)の一般データ保護規則(GDPR)にある個人情報流出に対する金銭賠償を求める権利を引用しながら、Facebookを相手取って「集団訴訟」を開始することを発表した。

GDPRの82条では、法律違反によって影響を受けた人に「賠償と責任の権利」を認めている。GDPRが2018年5月に施行されて以来、関連する民事訴訟は欧州で増えている。

アイルランド拠点のデジタル権利のグループは、EUあるいは欧州経済圏に住むFacebookユーザーに、haveibeenpwnedウェブサイト(電子メールアドレスまたは携帯電話番号で確認できる)を通じて自身のデータが流出しなかったかどうかチェックし、もし該当するなら訴訟に加わるよう促している。

流出した情報には、FacebookのID、位置情報、携帯電話番号、電子メールアドレス、交際ステータス、雇用主などが含まれる。

訴訟についてFacebookにコメントを求めたところ、広報担当は以下のように述べた。

当社は人々の懸念を理解しており、引き続き許可なしのFacebookからのスクレイピングを困難なものにすべくシステムを強化し、そうした行為の裏にいる人物を追跡しています。LinkedInとClubhouseが示したように、完全にスクレイピングをなくしたり、スクレイピングによるデータセットの露出を防ぐことができる企業はありません。だからこそ当社はスクレイピングとの戦いにかなりのリソースをあてていて、引き続きこの問題の一歩先を進むよう対応能力を強化します。

Facebookは欧州本部をアイルランドに置いている。今週初め、同国のデータ保護委員会はEUとアイルランドのデータ保護法に基づき調査を開始した

国境をまたぐケースの調査を簡素化するためのGDPRのメカニズムにより、アイルランドのデータ保護委員会(DPC)がFacebookのEUにおける主なデータ規制当局だ。しかしながら、GDPR申し立てと調査の扱いやアプローチをめぐっては、クロスボーダーの主要ケースについて結論を出すまでの所要時間などが批判されてきた。これは特にFacebookの場合にあてはまる。

GDPRによるすばやいアプローチが導入されて3年になるが、DPCはFacebookの事業のさまざまな面に関する複数の調査を行っているものの、いずれもまだ結論が出ていない。

(最も結論に近いものは、FacebookのEUから米国へのデータ移転に関して2020年出した仮停止命令だ。しかし申し立てはGDPR施行のずいぶん前のことで、Facebookはただちにこの停止命令を阻止すべく裁判を起こした。解決は訴訟人がDPCプロセスの司法審査を提出後の2021年後半が見込まれている)。

関連記事:フェイスブックのEU米国間データ転送問題の決着が近い

2018年5月以来、EUのデータ保護規制では、最も深刻な違反をした企業に対し、グローバル売上高の最大4%の罰金を科すことができる。少なくとも書面上はそうだ。

ただし繰り返しになるが、DPCがこれまでにテック企業(Twitter)に対して科したGDPRの罰金は理論上の最大金額には程遠いものだ。2020年12月に規制当局はTwitterに対し、45万ユーロ(約5860万円)の罰金を発表した。この額はTwitterの年間売上高のわずか0.1%ほどにすぎない。

この罰金もまたデータ流出に対するものだった。しかしFacebookの情報流出と異なり、Twitterのものは同社が2019年に問題に気づいたときに公表された。そのため、5億3300万のアカウントの情報流出につながった脆弱性にFacebookが気づいたものの公表せず、2019年9月までに問題を修正したという主張は、Twitterが科されたものよりも高額な罰金に直面すべきと思わせる。

ただ、たとえFacebookが情報流出でかなりのGDPRの罰金を受けることになっても、監視当局の取り扱い案件の未処理分と手続きのペースが緩やかなことからして、始まってまだ数日の調査のすばやい解決は望めない。

過去の案件からするに、DPCがFacebookの2019年の情報流出について結論を出すのに数年はかかりそうだ。これは、DRIが当局の調査と並行して集団での訴訟を重視している理由だろう。

「今回の集団訴訟への参加を意義あるものにしているのは賠償だけではありません。大量のデータを扱う企業に、法律を順守する必要があり、もしそうしなければその代償を払わなければならないというメッセージを送ることが重要なのです」とDRIのウェブサイトにはある。

DRIは2021年4月初め、Facebookの情報流出についてDPCにも苦情を申し立てた。そこには「アイルランドの裁判所での損害賠償のための集団訴訟を含め、他の選択肢についても法律顧問と協議している」と書いている。

GDPR施行までのギャップによって、訴訟資金提供者が欧州に足を踏み入れ、データ関連の損害賠償を求めて一か八かで訴訟を起こすチャンスが増えているのは明らかだ。2020年、多くの集団訴訟が起こされた

関連記事:オラクルとセールスフォースのCookie追跡がGDPR違反の集団訴訟に発展

DRIの場合、どうやらデジタル権利が支持されるようにしようとしている。しかしDRIは、プライバシーの権利が踏みにじられたユーザーに金を支払うようテック大企業に強制する損害賠償を求める主張が法に則った最善の方法だとRTEに語った。

一方、Facebookは2019年に明らかにしなかった情報流出について「古いデータ」だと主張して軽視してきた。これは、人々の出生日は変わらない(そして、多くの人が携帯電話番号や電子メールアドレスを定期的に変えたりもしない)という事実を無視する歪んだ主張だ。

Facebookの直近の大規模な情報リークで流出した多くの「古い」データは、スパマーや詐欺師がFacebookユーザーを標的にするのにかなり使い勝手のいいものになる。そして訴訟の関係者がデータ関連の損害でFacebookをターゲットとするのにも格好の材料となっている。

カテゴリー:ネットサービス
タグ:Facebookデータ漏洩EUヨーロッパGDPR裁判個人情報

画像クレジット:Jakub Porzycki/NurPhoto / Getty Images

原文へ

(文:Natasha Lomas、翻訳:Nariko Mizoguchi

米国のプライバシー保護団体が「監視広告」の禁止を米議会に強く要請

米国時間3月25日に、ビッグテックと議会による「映画のような」激しい応酬が行われた。米国議会は、虚偽情報という不快なトピックについて今回もFacebook(フェイスブック)、Google(グーグル)、Twitter(ツイッター)のCEOに聴聞する予定だ。それに先立ち、プライバシー、反トラスト、消費者保護、公民権の各分野の組織で構成される連合体が「監視広告」の禁止を要求し「ビッグテックの有害なビジネスモデルが民主主義を弱体化させている」という論調を強めている。

「不快な広告」の禁止を要求しているのは、40あまりの組織で構成される強力な連合体だ。このような広告には、行動広告のターゲティングを目的としたウェブユーザーの大規模追跡とプロファイリングが利用されている。この連合体には、American Economic Liberties Project(アメリカ経済的自由プロジェクト)、Campaign for a Commercial Free Childhood(広告のない子ども時代を目指すキャンペーン)、Center for Digital Democracy(デジタル民主主義センター)、Center for Humane Technology(人道的技術センター)、Epic.org(電子プライバシー情報センター)、Fair Vote(フェア・ボート)、Media Matters for America(メディア・マターズ・フォー・アメリカ)、Tech Transparency Project(技術透明性プロジェクト)、The Real Facebook Oversight Board(リアルフェイスブック監視委員会)などの組織が参加している。

同連合体は公開書簡の中で「我々はさまざまな問題や業種を代表しており、コミュニティの安全性と民主主義の健全性に対する懸念を共有している。ソーシャルメディア大手は、情報を吸い取る有害なビジネスモデルのサービスにおいて、合意された現実を侵食し、公共の安全を脅かしている。監視広告の禁止に向けた取り組みで我々が協力しているのはそのためだ」と述べている。

この連合体はまた、より安全な非追跡型の代替手段(コンテキスト広告など)が存在することを指摘している。一方で、アドテックのインフラストラクチャのさらなる透明性とそれに対する監督が、関連するさまざまな問題(ジャンクコンテンツ、陰謀論の増加、広告詐欺、デジタルイノベーションの荒廃など)の解決に役立つ可能性があると主張している。

前述の公開書簡の中には「この危機に対処するための特効薬はない。この連合体のメンバーは、包括的なプライバシー関連の立法、反トラスト法の改正、責任基準の変更など、引き続きさまざまな政策的アプローチを追求していく。しかし全員が同意できることが1つある。それは、今こそ監視広告を禁止すべきときだということだ」と書かれている。

さらに、同連合体は「ビッグテックのプラットフォームは、憎悪、不法行為、陰謀論を増幅している。また、ユーザーにますます極端なコンテンツを提供するようになっている。それによってエンゲージメントと利益を最大化できるためだ」と警告する。

「ビッグテック自身のアルゴリズムツールによって、白人至上主義者のグループ、ホロコースト否認主義、新型コロナウイルス感染症関連のデマ、偽造オピオイド、虚偽の癌治療情報など、あらゆる情報の拡散が促進されてきた。エコーチェンバー現象、急進化、嘘の拡散はこのようなプラットフォームの特徴である。これはバグではなく、ビジネスモデルの中心なのだ」。

また、この連合体は監視広告による従来型ニュースビジネスへの影響についても警告している。プロのジャーナリズムにおける収益が減ってきており、それにより民主主義で取り組むべき(真の)情報エコシステムへの危害が大きくなっていると述べている。

これらの批判にもそれなりの根拠はあるのが、従来型ニュースの終焉をテクノロジー大手のせいにするのは単純化しすぎである。巨大テック企業の存在そのもの、つまりインターネットによってもたらされた産業のディスラプション(創造的破壊)を批判しているのと同じだ。とはいえ、一部のプラットフォーム大手による、プログラムを使用したアドテックパイプラインの支配は、明らかによいことではない(オーストラリアの立法はこの問題に対して判決を下したが、つい最近のことであるため、まだその影響を評価することはできない。しかし、ニュースメディアへの対価の支払いを義務付ける法律の恩恵を受けるのは大手メディアビッグテックだけで、声を上げた両業界全体に利益がもたらされることにはならない、というリスクがある)。

同連合体は次のように警告する。「フェイスブックとグーグルの独占的な力と、データを『収穫』する行為は、両社に不公平なほど大きなメリットを与えてきた。それにより両社はデジタル広告市場を支配し、以前は各地域の新聞が得ていた収益を吸い上げるようになった。そのため、ビッグテックのCEOがさらに裕福になる一方で、ジャーナリストは解雇されている。ビッグテックは現在も差別、分断、迷いを煽っている。標的型の暴力を助長し、暴動の土台を用意することになる場合でも、金銭面でのメリットがある限りこれを行う」。

連合体は、具体的な被害をまとめたリストの中で、フェイスブックとグーグルなどのテクノロジー大手による圧倒的に有利なオンラインビジネスモデルが「医療関連のデマ、陰謀論、過激なコンテンツ、外国のプロパガンダを促進する狡猾な虚偽情報のサイト」の資金源になっていると指摘している。

「監視広告を禁止することで、デジタル広告の表示に対する透明性と説明責任を以前のように戻せる可能性がある。また、虚偽情報のパイプラインにおいて重要なインフラストラクチャとして機能しているジャンクサイトの資金を大きく減らせる可能性がある」と同連合体は主張し、さらに「このようなサイトでは、拡散目的で作られた陰謀論がいつまでも続くことになる。この陰謀論は、ソーシャルメディア上の悪意のあるインフルエンサーや、エンゲージメントに飢えたプラットフォームのアルゴリズムによって拡散が促進される。つまり、監視広告が有害なフィードバックループを加速し、資金源にもなっている」と述べている。

同連合体が指摘する被害には他にも、プラットフォームによるジャンクコンテンツや虚偽コンテンツ(新型コロナウイルス感染症に関する陰謀論やワクチンに関する誤った情報など)の拡散による公衆衛生に対するリスク、不公平に選ばれた、またはバイアスがかかった広告ターゲティング(女性や民族的マイノリティなどを違法に排除する求人広告など)を通じた差別のリスク、コンテンツや広告におけるユーザーエンゲージメントを増加させるために過激なコンテンツや悪意のあるコンテンツを増やす、広告プラットフォームによる道義に反する経済的インセンティブ(これは社会の分断を促進する。また、コンテンツが多く拡散されるほどプラットフォームが財務的に利益を得るという事実の副産物として党派性を促進する)、等がある。

同連合体はまた、監視広告システムが「小規模ビジネスに対して不正な試合を持ちかけている」とも主張している。プラットフォームの独占的状態が監視広告システムに組み込まれるためだ。これは「不快な広告は何らかのかたちで中小企業と大規模ブランドの勝負を公平にする」というテクノロジー大手の自衛的主張に対する妥当な反論である。

「フェイスブックとグーグルは自らを小規模ビジネスのライフラインであるかのように装っている。しかし真実は、単に独占企業としてデジタルエコノミーへのアクセスに対して課金しているだけだ」と同連合体は述べており、独占的状態にある両社による「広告市場に対する監視に基づく拘束により、小規模企業はレバレッジや選択肢を利用できない」と主張している。これはビッグテックによる搾取の余地を生む。

そのため、同連合体は、フェイスブックとグーグルが米国の広告市場の60%近くをコントロールしている現在の市場構造ではイノベーションと競争が抑制される、と断言している。

「監視広告はオンラインパブリッシャーに恩恵をもたらすのではなく、ビッグテックのプラットフォームに対して偏ったメリットをもたらす」と同連合体は述べ、フェイスブックは2020年に842億ドル(約9兆3214億円)の広告収入を、グーグルは1348億ドル(約14兆9231億円)の広告収入を得て「一方で監視広告の業界では詐欺の申し立てが多数あった」と指摘する。

行動ターゲティング広告の禁止を要求するキャンペーンは、今回が初めてではない。しかし、支持している署名者の数を考えると、これは、今の時代を形作り数社のスタートアップが社会と民主主義を弱体化させる巨人に姿を変えたデータ収穫型ビジネスモデルに反対する勢いの大きさを示している。

米国議会がビッグテックの影響に細かい注意を払うようになってきたため、この点は重要だと思われる。また、複数のビッグテックに対する反トラスト法関連の訴訟が進行中である。とはいえ、マイクロターゲティングの悪用の影響と民主的社会へのリスクについて早い段階で警鐘を鳴らしたのは、欧州のプライバシー規制当局だ。

話は2018年にさかのぼる。Cambridge Analytica(ケンブリッジ・アナリティカ)が関与していたフェイスブックデータの不正使用と投票者をターゲットにしたスキャンダルが発生すると、英国のICOは、倫理的な理由から政治キャンペーン目的でのオンライン広告ツールの使用停止を要求した。また「Democracy Disrupted? Personal information and political influence(民主主義は崩壊したのか?個人情報と政治的影響)」というタイトルの報告書を作成した。

その同じ規制当局が、行動ターゲティング広告が制御不能になっているという警告を2019年に受けていながら、アドテック業界によるユーザーデータの違法使用に対してこれまでアクションを起こしてこなかったことは、ちょっとした皮肉では済まされない事態だ。

ICOが行動を起こさないのを見た英国政府は、ビッグテックを監督する専門の部門が必要だと判断した。

英国政府は近年、オンライン広告の分野を独占禁止法関連の懸念事項として挙げており、2019年に競争・市場庁が実施したデジタル広告セクターの市場調査に従い、競争重視の規制機関を作ってビッグテックの支配に対応していくと述べている。この調査では、アドテックによる独占的状況に対する大きな懸念が報告された

一方で、欧州連合のデータ保護監督機関のトップは先月、インターネットユーザーのデジタルアクティビティに基づくターゲティング広告を、停止ではなく禁止することを主張し、各加盟国の議員に対して、デジタルサービスルールの大規模な改正にそのための手段を組み入れるよう求めた。このルールは、運用者の説明責任などの目標達成を促進することを目的としたものである。

欧州委員会の提案がここまで踏み込んだのは今回が初めてだ。しかし、デジタルサービス法とデジタル市場法に関する交渉は現在も継続中である。

2020年、欧州議会でも、不快な広告に対してより厳しい姿勢で臨むことが支持された。ただし、ここでもオンラインの政治広告対応に取り組む委員会のフレームワークでは、あまり過激な内容は提案されていない。そのため、EUの議員はさらなる透明性を求めている。

米国議会が今回のキャンペーンにどう反応するかはまだわからないが、米国では市民社会組織は協力してターゲティング広告に反対するメッセージを広めようとしており、有害なアドテックを一掃すべきだ、という圧力が米国内でも高まっている。

同連合体のウェブサイトに記載されているコメントの中で、フォーダム大学ロースクールの法律学准教授であるZephyr Teachout(ゼファー・ティーチアウト)氏は「フェイスブックとグーグルは、権威主義国家における監視体制とタバコのような依存症ビジネスモデルを組み合わせた、巨大で独占的な力を持っている。議会には両社のビジネスモデルを規制する広範な権威があり、監視広告への取り組みを禁止するためにそれを使用するべきである」と述べている。

Ruby on Rails(ルビー・オン・レイルズ)のクリエイターであるDavid Heinemeier Hansson(デイヴィッド・ハイネマイヤー・ハンソン)氏は、今回の活動を支持する別の声明の中で次のように述べている。「監視広告は、新聞、雑誌、独立したライターから、生活およびコモディティ化された仕事を奪ってきた。代わりに我々が得たものは、数社の腐敗した独占的企業だった。これは社会にとってよい取引ではない。このやり方を禁止することで、我々は文章、音声、動画の独自の価値を、それを集める者ではなく、それを作る者の手に取り戻すことができる」。

興味深いことに、米国の政策立案者がアドテックにさらに細かく注意を払うようになっている状況を受けて、グーグルは個人レベルの追跡サポートを「プライバシー保護」型の代替策として認知されている方法(FLoC)で置き換える努力を加速させている。

それでも、Privacy Sandbox(プライバシーサンドボックス)でグーグルが提案したテクノロジーでは、ウェブユーザーのグループ(コホート)が引き続き広告主のターゲットになる。ここには引き続き、差別が発生するリスクや、社会的弱者のグループが何らかの標的にされ、社会的規模で操作が行われるリスクが存在する。そのため、議員はグーグルのブランディングではなく「プライバシーサンドボックス」の詳細に注意を払う必要がある。

「要するに、これはプライバシー保護の点では有害なことだ」とEFF(電子フロンティア財団)は2019年の提案について触れながら警告した。「集団の名称は基本的には行動の信用スコアだ。デジタル版の額にタトゥーが刻まれているようなもので、あなたが誰か、何が好きか、どこに行くのか、何を買うのか、誰と関係があるのか、といった情報を提供している」と述べている。

EFFはまた「FLoCはプライバシー保護テクノロジーとは逆のものだ」と付け加え「今日も追跡者はウェブ上であなたを追いかけている。あなたがどのような人間かを推測するためにデジタル環境でコソコソ動いている。グーグルによってもたらされる未来では、追跡者は椅子に座って何もせず、自分の代わりにあなたのブラウザに働かせるだろう」と述べている。

関連記事:EUの主管プライバシー規制当局が行動監視に基づくターゲティング広告の禁止を求める

カテゴリー:ネットサービス
タグ:広告アメリカプライバシーFacebookGoogleTwitterEU英国

画像クレジット:JakeOlimb / Getty Images

原文へ

(文:Natasha Lomas、翻訳:Dragonfly)

フェイスブックによる顧客サービスプラットフォーム「Kustomer」買収にEU介入の可能性

欧州連合(EU)は、Facebook(フェイスブック)による顧客サービスプラットフォームKustomer(カスタマー)の10億ドル(約1100億円)の買収に関して、EUの合併規則による付託を受けて捜査に入る可能性がある。

欧州委員会の広報担当者は、EU会社合併規則第22項に基づき、オーストリアから本買収提案の付託申請を受けたことを確認した。これはEU加盟国が国の届出義務条件に満たない取引(正式な届出義務を課すためには当該企業の売上が低すぎる場合)に対して警告を与えることのできる仕組みだ。

関連記事:Facebookが過去最大1000億円でスタートアップのKustomerを買収、カスタマーサービス事業の強化を目指す

委員会広報担当者は、本案件がオーストリアで現地時間3月31日に提出されたと語った。

「第22項の付託請求を受理した後、委員会はその付託請求をただちに他の加盟国に通知しなくてはなりません。加盟国は委員会から最初の通知を受けてから15就業日以内に元の付託請求に加わることができます」と広報担当者は本誌に伝え、次のように付け加えた「他の加盟国の付託請求参加期限が満了した後、委員会は請求を受け入れるか却下するかを10就業日以内に決定します」。

欧州委員会がこの買収案件を捜査するかどうかは数週間のうちにわかる。捜査は数カ月にわたる可能性があり、そうなればFacebookが自らの帝国にKustomerのプラットフォームを引き入れる計画は遅れることになる。

FacebookとKustomerには、進展状況についてのコメントを求めている。

ソーシャルネットワークの巨人による顧客関係管理プラットフォーム買収計画が2020年11月に発表されるやいなや、FacebookがKustomerの所有する個人データで何をするのかという懸念が直ちに浮上した。Kustomerのサービス分野が、健康医療、政府、金融サービスなどに及ぶことから、データにはセンシティブな情報が含まれている可能性がある。

2021年2月、アイルランド人権委員会(ICCL)は欧州委員会および国とEUのデータ保護機関に、提案された買収に関する懸念を提起し「データ処理に起因する結果」の監視を要請するとともに、Kustomerの利用規約がユーザーデータを広い範囲の目的に利用を許していることを強調した。

「Facebookはこの会社を買収しようとしている。『当社のサービスの改善』(Kustomerの規約にそう書かれている)の範囲がそもそも曖昧だが、Kustomerが買収されればさらに広がる可能性が高い」とICCLは警告する。『当社のサービス』は、例えばFacebookのあらゆるサービスやシステムやプロジェクトを意味すると取られかねない」。

「欧州司法裁判所の判例法および欧州データ保護委員会は、『当社のサービスの改善』および同様に曖昧な記述を『処理目的』として認めていない」と付け加えた。

またICCLは、買収後使用されるユーザーデータの処理目的を確認する質問をFacebookに送ったと語った。

ICCLのJohnny Ryan(ジョニー・ライアン)上級フェローは、一連の質問に対してFacebookから何ら回答を受け取っていないとTechCrunchに伝えた。

本誌もFacebookに対し、Kustomerを買収した後同社の所有する個人データをどう扱うかについて質問している。

ちなみに、最近のGoogle(グーグル)によるウェアブルメーカーのFitbit(フィットビット)の買収は、EUの数カ月にわたる競争に関する監視を受け、テック巨人がさまざまな譲歩、たとえばFitbitのデータを10年間広告に使用しないことなどに同意することで、ようや当局に承認された

関連記事:EUがグーグルのFitbit買収を承認、健康データの広告利用を10年間禁止することで合意

これまでFacebookによる買収は、概して規制当局のレーダーにかかることなく進められてきた。約10年前、同社はライバルのInstagramとWhatsAppを買収してソーシャル世界を支配した。

しかしその数年後、同社は「誤解を招く」書類提出について、EUに罰金を払うはめになった。Facebookは、WhatsAppとFacebookのデータを結合させたが、当局にはそれは不可能だと伝えていた。

あまりにも多くのデータスキャンダルがFacebookと密接に繋がっている中で、巨人は顧客の不信を背負い、運営に対するはるかに厳しい監視を受けている。そして今度はCRM会社を買収してB2Bサービスを拡大する計画にも横槍を入れると脅されている。こうしてFacebookは「move fast and break things(すばやく動いて破壊)」した結果、モノを破壊するという評判のためにゆっくり動かなくてはならなくなった。

【更新】Facebookはその後広報担当者の名前で以下の声明を送ってきた。

「この契約はダイナミックで競争の激しい分野において、ビジネスと消費者にさらなるイノベーションをもたらします。より早く、質の高い顧客サービスをいつでも必要な時に提供することで、多くの人々が利益を受けます。FacebookとKustomerがこの競争促進的契約を通じて、より多くの選択肢とよりよいサービスを提供することを規制当局に明示できると期待しています」

カテゴリー:ネットサービス
タグ:FacebookKustomer買収欧州連合

画像クレジット:TechCrunch

原文へ

(文:Natasha Lomas、翻訳:Nob Takahashi / facebook

IoT衛星ネットワークのスタートアップHiberが欧州イノベーション会議基金などから約33.8億円調達

欧州の衛星通信関連スタートアップであるHiber B.V.(ハイバーBV)は、IoT衛星ネットワークの拡大に向けて、EUおよび民間から2600万ユーロ(約33億8000万円)の資金を獲得した。この投資に参加したEuropean Innovation Council (EIC) Fund(欧州イノベーション会議基金)は、欧州委員会のイノベーション助成機関による投資ファンドで、2億7800万ユーロ(約361億円)の「イノベーション基金」を持つ。このEICに加え、オランダ政府が提供するイノベーション・クレジットと既存の株主が共同で資金を提供した。他にもFinch Capital(フィンチ・キャピタル)、Netherlands Enterprise Agency(オランダ企業局)、Hartenlust Groupなどの投資家が出資している。Hiberの衛星コンステレーションは、手が届きにくい場所にある機械やデバイスを追跡・監視する。

同時に、Hiberの共同創業者であるLaurens Groenendijk(ローレンス・グローネンダイク)氏は「他の投資活動」に注力するため、マネージング・ディレクターを退任することになり、Steven Kroonsberg(スティーブン・クルーンスベルク)氏がCFOとして参加、Roel Jansen(ロエル・ヤンセン)氏がCCOに就任したと、同社は声明で述べている。グルーネンダイク氏は、Treatwell(トリートウェル)の共同設立者で最高経営責任者であるとともに、連続投資家でもある。

Hiberの共同設立者であり、最高戦略責任者のCoen Janssen(コエン・ヤンセン)氏は、次のように述べている。「2600万ユーロの資金調達は、Hiberの成功を証明するすばらしいものであり、欧州の『 ニュースペース』分野にとって大きな後押しとなります。それは、世界中の僻地や発展途上地域のすべての人々がモノのインターネットを本当に簡単に利用できるようにするという、我々の目的を実現するための重要なステップです」。

特に、Hiberのネットワークは人里離れた地域にも届くため、食糧生産の損失や油田からの漏出を減らせる可能性がある。

欧州イノベーション会議基金の委員を務めるNicklas Bergman(ニクラス・バーグマン)氏は、次のようにコメントしている。「衛星IoTの分野で欧州チャンピオンになることを目指しているこの非常に革新的な企業を、EICファンドが支援すると発表できることをうれしく思います。このエクイティ・ファイナンスは、HiberがIoTソリューションのための安価でユビキタスなコネクティビティを実現するのに役立つでしょう」。

欧州宇宙機関の管理・制御部門で責任者を務めるElia Montanari(エリア・モンタナリ)氏は次のようにコメントしている。「今回の大きな成功は、宇宙バリューチェーンを推進するEUの主要機関(EIC、EIB、ESA)の提携により、欧州レベルで支えられています」。

カテゴリー:IoT
タグ:Hiber資金調達衛星コンステレーションオランダEU

画像クレジット:Hiber

原文へ

(文:Mike Butcher、翻訳:Hirokazu Kusakabe)

ドイツ裁判所がフェイスブックに対する「スーパープロファイリング」訴訟を欧州司法裁判所に付託

ドイツ裁判所は、了解なくユーザーデータを組み合わせることを禁止する現地競争当局の先駆的プライバシー保護命令に対するFacebookの上訴を検討していたが、同裁判所はヨーロッパの最高裁判所に付託することを決定した。

現地時間3月24日のプレスリリースでデュッセルドルフ裁判所は次のように書いた。「Facebookの上訴は、欧州司法裁判所(ECJ)に付託した後にのみ裁決できるという結論に達した」。

「Facebookがドイツ市場におけるソーシャルネットワーク提供者としての独占的立場を乱用し、EU一般データ保護規則(GDPR)に反してユーザーのデータを収集、利用していたかどうかは、ECJに付託することなく結論を下すことはできません。なぜなら、欧州法の解釈についてはECJが責任を負っているからです」。

ドイツ・連邦カルテル庁(Bundeskartellamt)の「搾取的不正使用」の告訴は、Facebookが自社製品のユーザーに関わるデータを、ウェブ全般、サードパーティーサイト(同社がプラグインや追跡ピクセルを提供している)、および一連の自社製品(Facebook、Instagram、WhatsApp、Oculus)を通じて収集する能力を、同社の市場支配力と結びつけている。すなわち、このデータ収集はユーザーに選択権が与えられていないため、EUプライバシー法の下で違法であると主張している。

したがって関連する争点は、不適切な契約条項によってFacebookが個々のユーザー毎に専用データベースを作ることが可能になり、ユーザーの個人データをそこまで広く深く集められないライバル他社に対し、不公正な市場支配力を得ているかどうかにある。

カルテル庁のFacebookに対する訴えは、(通常は)別々であり(かつ矛盾すらある)競争法とプライバシー法の論理を組み合わせている点で、極めて革新的だとみられている。実際にこの命令が執行されれば、Facebookのビジネス帝国の構造分離を,さまざまなビジネスユニットの分割命令を下すことなく実現できるという興味深い可能性をもっている。

ただし、現時点(カルテル庁がFacebookのデータ慣行の捜査を開始した2016年3月から早5年)での執行には、まだ大きな疑問符がつく。

ユーザーデータ照合を禁止する2019年2月のカルテル庁による命令からほどなくして、Facebookは2019年8月の控訴によって命令を停止させることに成功した。

しかし2020年の夏、ドイツ連邦裁判所はこの「スーパープロファイリング」禁止命令の停止を解除し、テック巨人による無断データ収集に対するカルテル庁の挑戦を復活させた。

この最近の展開が意味しているのは、これまでEUのプライバシー規制当局が失敗してきたことが競争法の革新によって遂行されるのかどうかは、当分待たなくてはわからない、ということだ。Facebookに対する一般データ保護規則を巡る複数の訴訟が、アイルランドデータ保護委員会のデスクの上に未決のまま置かれている。

どちらの道筋をとるにせよ、現時点でプラットフォームの支配力を「迅速に動いて破壊する」ことが可能になるとは思えない。

陳述の中でデュッセルドルフ裁判所は、Facebookのデータ収集のレベルについて問題を提起しており、ユーザーに選択肢を与え、幅広いデータソースではなく、自分でアップロードしたデータのみをプロファイリングに使い、InstagramやOculusのデータ利用方法について問い合わせることで、Facebookは反トラストの問題を回避できることを示唆した。

しかし、同裁判所はカルテル庁のアプローチの欠陥も見つけている。Facebookの米国およびアイルランドにおける事業体が、ドイツのFacebookに対する命令が発行される前には公正な発言機会を与えられなかったことなどいくつかの手続きの不備を指摘した。

欧州司法裁判所への付託は、最終結果が得られるまで数年かかることがある。

今回のケースで欧州司法裁判所は、カルテル庁が権限を逸脱していないかの検討を依頼されている可能性が高いが、実際に付託されている内容は確認できない。プレスリリースによると、今後数週間のうちに書面で公表される見込みだ。

Facebook広報担当者は、裁判所のこの日の発表に対する声明で次のように述べた。

本日デュッセルドルフ裁判所は、カルテル庁の命令の正当性に疑問を呈し、欧州司法裁判所に付託することを決定しました。当社はカルテル庁の命令が欧州法にも違反していると確信しています」

カテゴリー:ネットサービス
タグ:FacebookEUドイツプライバシー

画像クレジット:Getty Images

原文へ

(文:Natasha Lomas、翻訳:Nob Takahashi / facebook

UberがEUで「Prop 22」スタイルのギグワーク基準を求めロビー活動を展開

Uber(ウーバー)は、ギグワーカーの労働条件を改善する新しい規則が必要かどうか判断するためにギグプラットフォームの労働条件の精査に乗り出したEUの議員に接触している。

配車サービスとオンデマンドのフードデリバリーの巨人は現地時間2月15日、白書を発表し、プラットフォーム業務の「新しい基準」と称するものに関して、欧州の政策立案者に対しロビー活動を展開している。

白書の中でUberは、ギグワーカーが得るメリットの一部を拡大する必要性を説き、ドライバーとライダーが労働者・従業員として再分類された場合、労働者としての権利のフルスイートに資金を供給しなければならないという (Uberにとっての)悪夢のシナリオを回避しようとしている。

Uberはまた、団体交渉の問題を切り離して、政策の議論の方向性を誘導しようとしている。白書では、アプリベースの労働者がより「意味のある」代表権を必要としているという考え方を提案し、その代表は、Uberのいう多様な(つまり個別化された)ニーズを反映するために必要であり、プラットフォームと労働者の間の継続的なエンゲージメントのさまざまなチャンネルを介して実現できることを示唆している。

Uberの白書は、タイトルの「A Better Deal(より良い取引)」を基軸に構成されている。アプリベースの労働者にとってより公平な取引を確保するために新しい法律が必要かどうかを議員が検討しているため、配車サービスの巨人は紛れもなく、自社のビジネスにとって可能な限り最善の取引を引き出そうとしている。

EUの議員が今後数カ月の間に注意を払う必要があるのは、プラットフォームで働く労働者がどのような取引をしているのか、そして大手テクノロジー企業の詳細かつ基調的なPR文書を掘り下げていく中で、欧州お得意の社会契約を損なうことなく、大勢の「契約社員」の条件を改善するための法的枠組みを作る必要があるのか、作るならどのように作るのかという点だ。

Uberは2020年、同社の専門領域に属するギグワーカーを再分類しようとする法案の打破に成功した後、カリフォルニア州の「Prop 22(プロポジション22)」がもたらした成果を世界的に推し進めていくと述べている。

しかし、欧州の法的、社会的な状況は米国とは大きく異なっている。欧州では、多くのプラットフォーム企業が雇用分類の問題で訴訟に直面しており、裁判所は労働者に有利な判決を下すことが多い。

金曜日(2月19日)には、英国最高裁判所が、元Uberドライバーらのグループによる、Uberの自営業者としての分類に関わる長期の係争に対して判決を下すと予想されている。つまりUberは、欧州の裁判所における、これまでで最大の試練に直面しているということだ(英国は現在EU圏外にあるが、この訴訟の結果は欧州全体の裁判に影響を与える可能性が高い)。

既存の雇用法をより明確にし、施行することは、社会を犠牲にし(税収の損失)、安定した雇用(とそれに付随する権利)を奪われた個々の労働者の労働力から利益を得るために、アルゴリズムによるマイクロマネジメントという利己的な分類を利用して法制度の隙間をハイテクハッキングしてきた大手プラットフォームを、欧州の政策立案者が取り締まるための方法になり得る、と批判的な人々はいう。

同時に、オンデマンド空間での統合化が進むことにより、大手ギグ企業の力がさらに強くなっている。では、ひと握りのメガプラットフォームが競争相手との統合を急ぎ、改善の可能性が閉ざされていく中で、労働者を守るための法の介入がなければ、プラットフォームの労働者は「意味のある」代表権や「改善された」条件をどのように期待できるのだろうか。

2月15日、Uberの白書に付随するブログ記事の中で、CEOのDara Khosrowshahi(ダラ・コスロシャヒ)氏は、ギグワーカーの権利に関する大手テクノロジー企業の好ましい「新しい基準」は「ドライバーや宅配業者が最も重要だという原則に基づいていることであり、その原則とは、働きたいときに、働きたい場所で働ける柔軟性とコントロール、適正な賃金を得ること、適切な福利厚生と保護を受けること、そして意味のある代表権を得ること」であると繰り返し述べている。

「実質的な変化をもたらすためには、改革は業界全体を対象としたものでなければならず、すべてのプラットフォーム企業は、どのアプリを使っていても労働者が保護されるように、業界全体で標準化された福利厚生と保護を提供することが求められる」とコスロシャヒ氏は続ける。

プラットフォームの福利厚生に関する普遍的な基準は進歩的に聞こえるかもしれないが、ギグワーカーのための「妥当な」福利厚生という概念は、合意された雇用基準をはるかに下回る水準にこの労働力を固定してしまい、アルゴリズムによって永続的な管理の対象となる労働者にとって、より良い取引の可能性を閉ざす危険性がある。

このような業界全体の基準は、ギグプラットフォームが労働者へのより良い取引の提供をめぐってお互いに競争する必要性を損なうことにもなりかねない。そのため、政策立案者は、支援されるべき労働者にとって不利な取引が固定化されることのないように、慎重に事を進める必要がある。

Uberの白書は、労働者のための詳細な「取引」モデルを定義するのではなく、現時点ではいくつかの主要な原則を提唱し、利害関係者と協議して推し進める必要があると同社は述べている。

また同社は、プラットフォームが依然としてEU各国の寄せ集め規則の影響下に置かれる可能性が高いことも認識しているという。また、欧州委員会が法制化を決定したとしても、そのような法律が施行されるまでには何年もかかるため、判例が非常に重要であることに変わりはない。しかし、加盟国がギグワークの分野に関して取るアプローチや適用する政策に対してトップダウンの圧力となり得る包括的なEUガイダンスを、Uberが自社に有利になるように誘導しようとしていることは明らかだ。

大手プラットフォームは長い間、雇用の分類を「柔軟性と利益」の問題に落とし込もうとしてきた。労働者は何よりも柔軟性(プラットフォーム各社は「いつ働くかを選択できる能力」を意味すると定義している)を重視していると主張しているものの、同時にデータフィケーションやトラッキングを駆使して非雇用労働力のハイテクなマイクロマネジメントによる個人のサービス提供を管理している。

実際には、確かにそのようなプラットフォームにログオンして「好きな時に」働くことはできるが、強制最低賃金のような法的保護がなければ、ギグワークの「柔軟性」が個人の生活を支えるだけの収入になる保証はない。見方を変えれば、頼れる他の収入源がない限り、プラットフォームの労働者には、いつ、どのように働くかを選択する柔軟性や自由は、事実上ないかもしれないことを意味する。

そのため、プラットフォーム各社はしばしば「故意に搾取するように設計されている」と非難されているビジネスモデルの逆説的な防衛を推進している。批判的な労働組合はそれを人間の労働力の搾取や抽出だと指摘し従来型の雇用によってもたらされる社会契約と安定性を蔑ろにするプラットフォームを非難している。

Uberの白書の中で「雇用はプラットフォームの労働者が求める答えではない」と主張を展開するセクションでは、このテクノロジー界の巨人は「柔軟性」がそのてがかりだと述べている。つまり、そのモデルは「ドライバーには、需要に応えるためアプリに接続する自由や、望めばより静かな時間を過ごす選択権がある」ことを意味するという。しかし、ギグワークで収入を得て生計を立てる必要がある人たちは、より静かな時間を過ごす「選択」はできないかもしれない。そんなことをすれば収入が減ってしまう。ではUberは、実際にどの程度の柔軟性(つまり良識的な賃金)を提供しているのだろうか。

(関連する点として、これらの大手ギグ企業の多くは、自動化技術の開発推進のために多額の資金を投入してきた。雇用にともなう税金を払わないことで節約したお金が、完全に人間の労働者に取って代わろうとすることに注ぎ込まれているということだ。そのような所に尊厳はあるのだろうか)

関連記事:Uberの自動運転車部門は月に22億円超を費やしていた

決断を迫られるギグエコノミー

2019年12月の雇用委員会委員へのミッションレターで、欧州委員会のUrsula Von der Leyen(ウルズラ・フォン・デア・ライエン)委員長は、Nicolas Schmit(ニコラス・シュミット)氏に、現行法の執行が機能していることを確認することを含め、プラットフォーム労働者の労働条件を改善する方法を検討するように依頼した。またレターには「尊厳があり、透明性があり予測可能な労働条件は、EUの経済モデルにとって不可欠である」とも書かれている。

シュミット氏は指示を受けてすぐに、プラットフォーム(利益)VS労働者(権利)という構図の論争について、Euractiv(ユーラクティブ)に「プラットフォームに反対しているわけではない」と、バランスのとれた見方を語り、プラットフォームを「EUの新しい経済の一部」とみなし「ギグエコノミーでの優位性を失わないことが欧州にとって重要である」とも主張した。

しかし同氏はまた、ハイテクツールが、新たな「恵まれない」下級労働者を固定化するために使用されることをEUは許してはならないと警告し「19世紀に存在していたような労働条件で21世紀の経済を実現するわけにはいかない」と述べている。

欧州委員会が、不明確なプラットフォーム業務の「改善」のループをどのように政策の中に組み入れていくのかは、まだまったく分からない。しかし、フォン・デア・ライエン委員長が指示を出してからは、ここで良い仕事をしなければならないという責務が増しただけだ。新型コロナウイルス感染症のパンデミックは、プラットフォーム労働者のための適切な社会的セーフティーネットの欠如がもたらす個人的および社会的なリスクに容赦なくスポットライトを当てているが、同時にその副作用として、オンデマンドのプラットフォーム業務(特に食品や食料雑貨の配達のような分野)は、活況を呈している。

Uberの白書では「独立請負人が最も必要としているときに、福利厚生と保護を確実に受けられるようにする」と記しているように、パンデミックの問題とプラットフォーム事業者が労働者を支援するために「さらに進んで」いく必要性について繰り返し述べている。しかしその一方、同社は、雇用のすべての権利と利益を提供することに反対するロビー活動を行っている。

国際的な法律事務所Taylor Wessing(テイラー・ウェッシング)の雇用グループのシニアアソシエイトであるJoe Aiston(ジョー・エイストン)氏は、Uberが白書の中で、ギグワークの「新しい基準」を求めてロビー活動を行っていることについて「同社が最低基準の福利厚生を求めるのは理に適っている」と話す。そして「適当かつ最低限の保護であれば、ビジネスモデルに大きな影響を与えずに容易に提供できる」と続ける。

「全員を従業員や労働者として再分類することを強いられれば、ビジネスモデルは大きく混乱することになり、ビジネスの面では当然、相当のコストアップにつながるだろう。最低賃金や休日出勤手当のような直接的な影響だけでなく、税金の観点でも、間接的に波及的影響を受けるはずだ」。

そして、労働者の状況分析によってギグワーカーが自動的に税務上の目的で従業員として分類されるわけではないが、エイストン氏は、判断基準は「かなり類似している」という。したがって、雇用の分類をめぐる訴訟は、Uberの税務上の立場、ひいてはその(潜在的な)収益性に明らかなリスクをもたらす。

ギグワークをどのように改善するかという問題について、欧州委員会は2020年9月にプラットフォーム業務に関する会議を開催するなど、最善の進め方を模索しながら情報を集めてきた。しかし2021年、EUの議員には大きな決断の時が迫りつつある。

今月末、欧州委員会は労働者と雇用主の代表者による正式な協議を開始する予定だ。そして、Uberの白書は、明らかにそのプロセスを対象としているため、プラットフォームの労働条件の「改善」に影響を与えようと、いくつもの私利的な画策が本格的に始まることになるだろう。

政策的に何が行われるのか、確かなことはまだ明らかになっていない。しかし、2020年3月、欧州委員会は285ページに及ぶ調査結果を発表し、プラットフォーム労働者の労働条件に関して特定された「主な」課題として以下のようなものを挙げた。雇用の状況、労働条件について労働者が利用できる情報、紛争解決、集団的権利および差別禁止などだ(つまり、考えられるほぼすべての課題が挙げられたということだ)。

実際に研究結果を掘り下げてみると、低報酬と不安定な収入についても、非常に詳細に議論され、それらはプラットフォーム労働者にとっての「重要なストレス要因」とされている。

賃金は、確かに議論の重要な争点として提起されているようだ。特に、フォン・デア・ライエン委員長はシュミット氏への指示の中で「EUのすべての労働者が公正な最低賃金を確保できるよう」法的手段の提案を求めていた。

収入が労働者の法定最低賃金を下回る可能性があるというのは、プラットフォーム業務に対するよくある批判である(ギグワークによる賃金は、通常、ギグの注文や商品の受け取りを待つために費やしたダウンタイムすべてが対象となるのではなく、仕事をしている間や配達の完了時にのみ収益が上がるためだ)。したがって、EUの公正な最低賃金の対象となる「すべての労働者」が「プラットフォーム労働者を除く」という意味に終われば、欧州委員会はテクノロジーを利用した「恵まれない」労働者層を固定化してしまうことになる(シュミット氏が、そうなってはいけないと言ったことに反して)。

白書での賃金問題に対するUberのアプローチは、プラットフォーム労働者の「公正で透明性のある収益」(または「適正な」賃金)についてのみ語ることで、最低賃金の問題を回避している。

このテクノロジー界の巨人はまた「プラットフォーム労働者の報酬のあり方における変革を提言し業界をリードする準備がある」と述べている。しかし、業界全体で利用できる(「すべてのプラットフォーム企業が独立請負人に提供しなければならない業界全体の福利厚生と保護を備えた柔軟な収入の機会のための」)枠組みが求められていない限り、報酬については譲歩しないことを明らかにしている。

「これには、最近カリフォルニア州で導入されたProposition 22法のような普遍的な基準が含まれるかもしれない。または、プラットフォーム労働者、政策立案者、業界の代表者が協力し合い、業界のために報酬の原則を設定するという、社会的対話の欧州モデルに基づいたものかもしれない」とUberは示唆している。

関連記事:Uberが「ギグワーカーは個人事業主」というカリフォルニアの住民立法を世界展開へ

Uberは次のように述べている。「例えば、イタリアでは、フードデリバリー業界と一般労働組合が、配送の自営業者の地位を確認する合意に署名する一方、業界に対して、収入、傷害、第三者保険、訓練に関する規定を含む配送業者の労働基準を提供することを要求している」。

Uberはさらにこう付け加えている。「重要なことは、どのような報酬モデルであっても、どのプラットフォームで働くことを選択したとしても、すべての独立請負人に一貫した収益のベースラインを保証するために、業界全体に渡る公平な競争の場に基づいていなければならない」。

そして、この問題があらゆる面で大きな賭けであることは明らかだ。ギグワーカーの権利、大手プラットフォームの利益、そして社会的に進歩的なアジェンダを主張するEUの議員の信頼性がかかっている。

しかし、現時点でEUが法案を提出するかどうかについても100%確証があるわけではない。欧州委員会の広報担当者は、プラットフォームと労働者がこの不明確な労働における「より良い」労働形態のあり方について合意に達することができれば、政策決定は見送られる可能性があると示唆した(しかし、まあ、本当にそうなるのかどうかは運次第だ)。

2021年2月後半の開始が予定されている「社会的パートナー」の正式な協議は、欧州委員会の広報担当者によると、2つの段階で構成されている。

「第1段階では、プラットフォームを介して働く人々の労働条件を改善するためのEUイニシアチブの必要性について意見を求める。第二段階では、そのようなイニシアチブの内容について協議される」と同報道官は述べ、欧州委員会は「社会的パートナーの回答を慎重に評価する」と指摘した。

「社会的パートナーが、協定の交渉を行うことを決定しなければ、欧州委員会は2021年末までに立法的なイニシアチブを打ち出す予定だ」と同報道官は付け加えた。

報道官は、課題が特定され「改善が必要かもしれない」政策分野には「不明確な労働条件、契約の約定の透明性と予測可能性、安全衛生上の課題、社会保護への適切な利用機会」が含まれていることを確認した。

「不明確な労働条件」に低く不安定な報酬が含まれるかどうか尋ねられた同報道官は「申し訳ないが、このイニシアチブに関して、現段階で私たちが言えることは[前述のリスト]だけだ」と言って、明確な回答を避けた。

雇用形態

欧州委員会が主導したギグワーカーの状況に関する調査の最後にまとめられた、いくつかの政策的考察の中には、雇用形態が依然として中核的な課題であるとの記述がある。

「一部のプラットフォームは、自営業者と従業員の狭間で運営され、明確に雇用主の責任を負わず、プラットフォームの労働者を最大限にコントロールすべく業務形態を調整しているようだ」と報告書は所見を述べ、雇用分類の境界がどこにあるのかを明確にする判例の(緩慢な)ペースと「プラットフォーム業務を特徴づける急速に変化するビジネス慣行」との間にギャップがあることを指摘している。

「加盟国が[法律や判例を通じて]従業員の概念を拡大するか、プラットフォーム労働者の雇用形態に関する反証を許す推定を導入しない限り、プラットフォームは、自営業者の労働力への依存を継続または拡大する可能性が高い」と続けている。

「個々のケースでの再分類は、EU法や国内法に基づいて行われる可能性があるが、それが主要な動向を劇的に変える可能性は低い」。

また「プラットフォームに経済的に依存している自営業のプラットフォーム労働者の保護を目的とした措置は、『労働条件』に関する最低基準を確保することが望ましいと思われる」と報告書は付け加えている。さらに、関連する「政策的含意」は、EUと加盟国が「どのプラットフォームの業務形態が自営業のプラットフォーム労働者に適合しないか明確にすることを検討すべきである」と示唆している。

自営業審査の明確化、あるいは審査で不合格とすべき業務形態の明確化は、EU全体の政策立案者が取り掛かるべき法案の1つだ。とはいえ、この件についても、ギグエコノミーに関するフィードバックを受けて欧州委員会がどのアイデアを支持するかは、今後の動向を見守る必要がある。

雇用分類の判例の面では、まもなく英国で、Uberの配車サービス事業に関連する大きな判決が下される。Uberのドライバーを自営業者として分類することに関して2016年に始まった雇用法廷での係争が2月19日に最終判決を迎えるのだ。英国最高裁は、Uberが過去5年間に何度も控訴しては敗訴してきたこの種の訴訟に対して判決を下す。

最高裁の判決は、ロンドンのプラットフォーム上で営業しているとUberがいう約4万5000人のドライバーのみならず、英国全体にも影響を及ぼす可能性が高い。

また、EUの政策立案者がギグワーカーの労働条件の改善に積極的に取り組んでいることを考えると、この判決の影響はそれ以上に波及する可能性もある。

2020年、フランスの終審裁判所は、元Uberの運転手を自営業のパートナーではなく従業員とみなすべきだとの判決を下した。この判決では、会社とドライバーの間に従属関係があることを認め、ドライバーは、価格設定、顧客基盤の構築、業務の遂行方法に関する選択の権限がないなどの問題が指摘された。そして「ドライバーは管理された輸送サービスに参加しており、Uberは一方的に運営条件を定義している」と書かれている。

関連記事:「Uberドライバーはフランスでは従業員」と仏最高裁判所が裁定

しかし、Uberは、2017年に提訴されて以来、ドライバーがUberの利用方法をコントロールできる範囲が広がり、今では「より強力な社会的保護」(無料の傷害保険など)を受けることができるようになったことを挙げて、自社の業務形態に多くの変更を加えてきたと主張し、この事例が前例となることを否定した。

この事例は、苦情ベースの判例に頼るだけでは複数のプラットフォーム労働者に対応する首尾一貫した成果を得ることは難しいことを浮き彫りにしている。

このような係争において、最終的な判決が下されるまでに時間がかかることは、プラットフォームにとっては、少なくとも対象となる争点はもはや適用されないと主張できるよう、業務形態を再構成するのに十分な時間を得ることにもなる。

そのため、ギグワーカーの労働条件の改善を確定するための法整備が確かに必要かもしれない。

エイストン氏は、そのような状況において、結局のところ要求される変更はUberにとって「受け入れられる」ものではないかもしれないとしつつも「状況が変わる可能性があるのは事実だ。もしUberが『最高裁の判決』を受けてビジネスモデルを機能させる方法を大幅に変更した場合、同社はドライバーの定義を再び都合の良いように変えてくる可能性がある」と語る。

「我々は、最高裁がどの争点についてどのような措置を命じる判決を下すか見守る必要があるが、Uberはビジネスモデルにおいて、業務の機能に重大な影響を与える恐れがある変更を加えることが有効かどうかの判断をしなければならないだろう」と同氏は続け「私は、Uberが、おそらく判決に備えて、ビジネスモデルが機能する変更をすでに整備しているのではないかと見ている」と付け加えた。

「つまり、判例は背景に特化しているので、非常に特殊な判例に頼るのではなく、実際の法律と具体的な定義が鍵を握っていると言えるのではないだろうか」と同氏は語った。

委員会の調査では、この分野での政策立案を阻むいくつかの課題にも言及されている。そこには、プラットフォーム業務の明確な定義や、エビデンスに基づいた政策立案のための十分かつ包括的なデータ収集など、基本的なことも含まれている。

エイストン氏は「一旦、誰かが独立請負人ではなく労働者として分類されると、労働者の能力と団体交渉の権利を強化させる可能性が生じる。そのため、最高裁の判決がUberに不利なものとなった場合、それは別の潜在的波及効果をもたらす」と述べ「ドライバーやライダーの団体交渉能力の向上につながる可能性があるため、関連する組合が強い関心を示していることでもある」と続ける。

一方、欧州では、国レベルでの規制や法制化の試みが始まっている。例えばスペインでは、政府が数年前から「falsos autonomos(不当な自営業者扱い)」を受けている労働者を利用するプラットフォームの厳重な取り締まりを目指しており、プラットフォーム業務に適用し摘発するための労働法の改革を進めているところだ。

最近の報道によると、そうした国家的な労働改革プロセスは、配送労働者の雇用をプラットフォームに対して義務化する結果となる可能性がある。そのような動きがあるため、大手プラットフォームは、EU全体に適用される「もっと柔軟な」規制を求めて、欧州委員会へのロビー活動をさらに熱心に行うようになっている。少なくとも国内法が別のEU加盟国の規制に及ぼす影響の範囲を制限し、プラットフォームのビジネスモデルへの潜在的なダメージを限定することを狙っているのだ。

英国政府もまた、法制化が近づいていることを示唆している。政府は2017年まで遡り、ギグワークの調査を含め、近年の労働慣行に関する大規模な調査を実施した。Taylor Review(テイラー・レビュー)と呼ばれるこの調査は、ギグワークをより適切に反映させるために、現在の(英国の)「労働者」の法的分類を更新すべきだと提言している。また、同調査の報告書は「従属契約者」がより適切な枠組みであることを示唆しており、プラットフォームが労働者に対して行使するコントロールに、より大きな焦点を当てるべきとしている。

テイラー・レビューは華々しく公開され、労働者の権利を強化するための政府の計画につながった。しかし、2018年末に発表された改革パッケージ「Good Work Plan(良質な労働計画)」は、貧弱で実体を欠いていると労働組合によって即座に却下された(対して政府はこの計画を労働者の権利の大規模な拡大として宣伝している)。今のところ、ギグワークの問題について具体的に取り組むために多くを成し遂げたようには見えない。

英国政府が2018年に計画の一環として発表した「現代の雇用関係の現実を反映させる」ために雇用形態審査の明確性の向上を目的とした法整備を進めるという公約は、まだ何も実現していない

計画されていた立法がパンデミックの影響で遅れている可能性はある。エイストン氏はまた、Uberの裁判で最高裁が判決を下すまで、政府が方針の公表を控えている可能性もあると示唆している。したがって、政策決定に影響を与えようとUberがEUに対して行っている巧妙なPRにもかかわらず、欧州の判例や世論が下す判断に比べれば、Uberはこの問題について大した口出しはできないかもしれない。

「最高裁が、ドライバーは労働者だとする『Uber』に不利な判決を下した場合、同社にとっては、少なくとも今より少し困難な状況になるだろう。なぜなら、同社は、少なくとも英国では、すべてのドライバーが労働者であることを受け入れるか、判決の根拠を精査し、その根拠から逃れられるようにビジネスモデルを調整するかのどちらかを決定しなければならないからだ」とエイストン氏は話す。

「Uberは明らかにドライバーを労働者ではなく自営業者として扱い続けたいと考えているので、後者を検討しているかもしれないが、PRの観点から考えると、それは同社にとって良いことではないと思う。ドライバーが労働者であると判断されたら、今はそれを受け入れ、ドライバーがその権利を持っていることを認めて先に進む必要があるというのも1つの考え方だ」。

同氏は、ギグエコノミー企業の典型例として、Uberは欧州でドライバーやライダー向けの無料または低価格の保険などの福利厚生パッケージを整備し「良い」会社であり、人を大切にする姿勢を示すことで「自営業」の請負業者が労働者として再分類されるリスクの「芽を事前に摘み取ろうとしている」と指摘している。

このような取り組みでは、再分類されたプラットフォーム労働者が得るであろう権利を網羅することはできず、配車サービスの利用者を味方につける必要もあるため、ここでさらに動きがあるかもしれない。

「ギグエコノミー企業は極端なことは避け、ドライバーが労働者であることは認める、だから最低賃金や休憩時間などの権利があることも認める、という傾向がある。ギグエコノミーのビジネスにも気を配る必要がある。そういった観点から見ると、競争は激化するなるだろう」とエイストン氏は示唆する。

「人々が労働者であることを認めるかどうかは別として、ギグエコノミービジネスは、人々を大切にする義務があることを認識し始めているのだろう。明らかにそれは、人々がいくらかの利益を得ることにもつながるが、同時に、PRの面や会社の企業イメージの観点でもプラスに働く」。

また、注目すべき点は、英国の雇用法がいくつかの国の雇用法よりもニュアンスに富むものということだ。それは、英国ではすでに「労働者」(すなわち、従業員でも自営業者でもない)の概念を持っているからだ。一方、エイストン氏は、他の欧州諸国(そして米国も)での分類は、より限定されている(つまり、被雇用者または自営業者の分類のみ)と指摘する。

「欧州の裁判所は、英国の最高裁判決などに注目するだろう。その判決に縛られるわけではないが、その行方は欧州全域で同様の判決の方向性に少なくとも何らかの波及効果を及ぼすことは想像に難くない」と同氏は示唆する。「留意すべき興味深い点は、英国には労働者の中間的な分類があるということだ。一方、ほとんどの欧州諸国では、自営の請負業者か従業員のいずれかしかない。つまり、欧州の他の国ではもっと大きな二分法になる」。

「英国には、この中間的な定義があるため、ある意味ではより良い状況にある。そのため、英国の裁判所は再分類を命じやすい立場にあるという意見もあるかもしれない。最高裁が[Uberの雇用裁判の係争に関して]ドライバーは事実上労働者であるという控訴裁判所と同様な判決を下した場合、最高裁による判決と控訴裁判所による件の判決との間に相違があるかどうかを見きわめることが重要だ」と同氏は付け加える。

「英国の場合は、上記のような背景があるため、裁判所がドライバーを、一部の保護が適用されるこの中間のカテゴリーに当てはめるべきだという判断を下すのが、他国よりも容易だった」と同氏は説明する。

EUの政策立案者が「労働者」に似たEU全体の基準を策定することを決定した場合、そのような決定はUberなどに大きなチャンスとリスクをもたらすことになるだろう。雇用訴訟が業界の中核的なビジネスモデルに与える脅威を軽減する手段として、利益に関する主要なパラメータに効果を及ぼす(そして、税負担の増加を回避する)チャンスがある。

ギグワーカーに提供される保護レベルの拡大には明らかにコストがかかるだろう。しかし、大手テクノロジー企業にとっての問題は、これらのコストをどれだけ削減できるか、つまり欧州全域で営業を行う際に「問題に直結する」最低限の基準は何か、ということになる。

あるいは、EUの議員は、適切に「公正な」運用上の雇用の制限を確立する方法として、プラットフォームの労働者に対する「やるべきこと」と「やってはいけないこと」のリストを規定し施行することを試みることもできるだろう。これは逆に、その利益(多くの場合、この時点ではまだ理論的なものである)が、従業員ではないとされる多くの人々から提供される豊富で低コストの労働力に依存している大手オンデマンド企業のビジネスモデルを破壊する可能性がある。

プラットフォームに対する具体的な運用要件のリストを設定することは、欧州委員会が12月にEUの議員らによって策定された包括的なプラットフォーム規制(デジタル市場法)の中で提案していることとまったく同じであり、他のビジネスとの公正な取引(およびデジタル競争の促進)を推進するために最も市場力のあるプラットフォームに介入することを目的としている。

ギグプラットフォームについても、労働者のために公正な取引の確保を目的とした同様の介入が考えられる。

Uberなどにとっては、何十万人ものオンデマンド労働者を従業員名簿に載せることを法的に要求されることに比べれば、確かに望ましいことだろう。しかし、それは、これらの大手企業が規模拡大のために利用してきた、ドライバー労働力のタダ乗りともいうべき手法に終止符を打つことにもなるだろう。

今回の件で欧州におけるプラットフォーム経済が終わりを迎えることはないだろうが、調整にかなりの時間がかかることは避けられないように見える。ビジネスモデルは雇用法の変化(および、またはより良い施行)に適応する必要があるだろう。

価格など、コントロール可能な条件を減らしつつ従業員や労働者とは別の業務形態を維持しようとするのか、あるいは人々が労働者であることを受け入れ、それに応じてビジネスモデルと価格構造を適応させるのか(例えば、ライバルのプラットフォームで働く権利を制限するなど)、ギグエコノミー企業はビジネスモデルを調整することの長所と短所を秤にかけなければならないだろう、とエイストン氏は語った。

カテゴリー:シェアリングエコノミー
タグ:UberEUProp 22ギグワーカー

画像クレジット:Bloomberg / Contributor / Getty Images

原文へ

(文:Natasha Lomas、翻訳:Dragonfly)