2021.03.25
１．個人情報とインフォマティブデータ
最近では、個人情報についての取り扱いについての関心が高まっています。
ここでは、ユーザーデータの取り扱いについてのさまざまなルールを見て行きましょう。
個人に関する情報の保護と利活用については、日本国内では個人情報保護法に定められています。特定の個人を識別する個人情報が対象で、取り扱う事業者には一定の義務があります。「個人情報」とは、メディアサービスを利用するユーザーや広告主サイトを訪れる顧客が登録した、氏名や生年月日などの特定の個人を識別できる情報です。個人情報として一連のデータとして管理されている場合は、それだけで個人が特定できないクッキーのような識別子や、サイト上の行動履歴情報なども含まれます。さらに、それらの情報から抽出して個人が特定できないように加工したデータも、元の個人情報と簡単に照合が可能で、それにより個人が特定できるような場合は個人情報に含まれます。
インターネット広告で扱う「インフォマティブデータ＝個人を特定することはできないがプライバシー上の懸念が生じ得る情報／これらの情報が統計化された情報であって、特定個人ととは結びつかない形で利用される情報」というのは、業界団体が独自に定義したもので、個人情報保護法上での個人情報、以外の個人に関する情報を指します。とは言え、ガイドラインに沿って、個人情報とインフォマティブデータから統計情報を除いた情報を合わせて、「個人関連情報」と定義し、遵守事項が定められています。
２．オーディエンスターゲティングに利用されるデータ
広告配信で利用されるユーザーデータは、一般的には特定の個人を識別することができないインフォマティブデータです。ただ、特定個人は識別できないものの、「誰の情報であるかはわからないが、誰か１人の情報であることがわかる」情報で、情報の種類や取り扱い方によってはユーザー個人のプライバシー上に懸念が生じる情報です。
そのため、プライバシーポリシーガイドライン、行動ターゲティング広告ガイドラインなどで、これらの取り扱いについてさまざまに定められています。
プライバシーポリシーガイドライン
個人関連情報を定義し、その取り扱いについて規定
● 可能な限り、取得の際に利用目的を特定して公表あるいは通知する
● 利用目的の範囲内のみで利用する
● 第３者への提供の場合は、あらかじめ本人の同意を得るか、
ユーザー本人が必要事項を知ることができる状態にする など
行動ターゲティング広告ガイドライン
行動ターゲティングについて細かい規定
原則：
● 透明性の確保：データの取り扱いについてのわかりやすい説明
● 関与の機会の確保：データ取得または利用の可否を簡単に選択できる手段の提供
3．プライバシー保護の原則とは
少し意外かもしれませんが、日本の法律上ではプライバシーの定義はありません。
裁判の判例によって権利が認められているもので「保護されるべき自分以外のの人に知られたくない私生活や個人の秘密」という解釈です。
さまざまな国際機関などでプラバシー保護についての原則が示されていて、最近では国際的にカナダのプライバシーコミッショナーが提唱する「プライバシー・バイ・デザイン」という考え方が浸透してきています。
パーソナルデータ保護の原則「プライバシー・バイ・デザイン」
① 事後対応ではなく、事前対応／予防的
② デフォルト設定でプライバシー保護
③ 設計時に組み込むプライバシー保護
④ すべての機能に対して：ゼロサムではなくポジティブサム
⑤ 個人情報のライフサイクル全体における保護
⑥ 可視性と透明性：オープンにする
⑦ 個人のプライバシー尊重：個人を主体に考える
4．世界での規制の動き
世界各国での対応は異なっていても、トラッキング（行動追跡）やデータ流通などに制約を設けて、ユーザーの意思を尊重してコントロールすることを可能にし、それを事業者の義務としているということは共通のようです。
アメリカでは、一般的な法律はありませんが、政府機関によって規制されています。この政府機関の示す原則にそって作られた民間の枠組みによって、自主規制の対応になっています。ただ、最近では法的規制の必要性も指摘されてきていて、「カリフォルニア州消費者プライバシー法」が2020年１月に施行が予定されるなどの動きも出てきています。
ＥＵでは、2018年にパーソナルデータの保護を目的とする法律が適用開始になっています。適用対象であれば、事業者がデータを取り扱う際には適法とされる条件に該当する必要があります。また、広告での利用目的の場合は、ユーザー本人から明確な同意が必要です。強制的な同意は認められず、ユーザーが不利益を被る場合はその同意は無効となる、とされています。さらに、同意が事後的に証明できる、ユーザー本人が同意を撤回できるようにすることも必要とされます。また、不当な差別などにつながる恐れのある特別なカテゴリーのデータ（センシティブデータ）の取り扱いは原則禁止、取り扱う場合は明示的な同意が必要です。
5．ユーザートラッキング
このような法規制に加え、ユーザートラッキング制限に対する強化の動きもあります。以前には、web技術の標準規格を策定している国際機関でトラッキング制限に関する基準作りが検討されましたが、規格の合意に達せず、事業者の対応も分かれてしまってこの取り組みは進みませんでした。
その後は、一部のブラウザーメーカーが独自にトラッキングクッキーの使用制限を行ったり、複数のwebサイト間でのトラッキングを制限する機能を搭載するなどのアップデートを行っています。
クッキー自体、単体では個人特定の可能性が低く、技術的にはユーザーに対するプライバシーの影響は少ない、比較的安全な識別子と言えます。ただ、広告配信に利用されるブラウザーや端末を識別できる「誰の情報かわからないが、誰か１人の情報であることはわかるデータ」は、大量に長期的に蓄積され、高度な分析によっては誰の情報であるのかを特定できる可能性がないとは言い切れません。こういった懸念が、トラッキング制限の強化やクッキーの同意取得の厳格化のような動きにつながっています。
