伊藤雅浩（@redipsjp）先生のtweetがきっかけで、日経コンピュータ2013年10月17日号の特集 “「Suica履歴販売」は何を誤ったのか” を読みました。このテーマを継続して追いかけている浅川直輝記者の手によるものだけあって、同種の雑誌記事やネット記事と比較しても大変示唆に富む記事でした。PDF版が定価900円で販売されていますが、日経BP STOREに登録すれば当該特集を含む特別編集版を無料でダウンロードして読むことができます（2013年11月10日現在）。

特集では、JR東日本・トヨタ自動車・NTTドコモ・ソニー・カルチュアコンビニエンスクラブがそれぞれ取り組むビッグデータビジネスについて、利活用のスキームと情報の流れを図で分かりやすく整理してくれています。以下はそのうちJRとCCCのスキーム図。どの個人識別情報・パーソナルデータが、どの時点で、どこまで渡されているのかがパッと見て分かるようになってますね。

nkcpJReast

nkcpCCC


これらの各スキームを、以下６つの視点からレーダーチャートで評価。ここで採用している視点と評価軸は、これからパーソナルデータ事業に取り組もうという企業にとって、大変有用な整理かと思います。

nkcp

１　データ提供先の統制
　　→グループ会社のみ等提供先を限定しているか／提供先企業を契約で統制しているか
２　提供データの匿名性
　　→統計情報のように加工しているか／仮名ID＋生データのような状態か
３　利用者への還元
　　→ポイントなど直接的な還元をしているか／広告のマッチングなどにとどまるか
４　利用目的の公共性
　　→医療など人命・公共に関わる用途か／民間のマーケティング用途か
５　選択肢の有無
　　→オプトアウト・サービスを使わない選択肢はあるか／選択の余地の無い公共サービスか
６　顧客への説明や情報公開
　　→利用者に明示的に説明しているか／リリースのみにとどまるか

Suica事件に対する社会の拒絶反応に強く影響されてか、最近のパーソナルデータの議論は、どうも上記２の匿名性の確保という視点ばかりに議論が集中しているようです。先日、情報セキュリティ界隈の方々から失笑を買っていた日経ビジネスによる野原佐和子氏インタビュー記事の内容などはその最たる例でしょう。その記事に関連して、@kataxさんのブログでも取り上げられているように、法務パーソンの間でも匿名化・非識別化・連結不能化といったキーワードが飛び交うようになっています（このテーマに関しては崎村夏彦（@_nat）先生のブログが詳しいのでオススメ）。実際、内閣官房の「パーソナルデータに関する検討会」でも、１の情報管理責任を誰が負うのかという点と絡めたかたちで、匿名化のあり方が議論の中心になっている模様です。

しかし、上記３のように、そもそもパーソナルデータの提供と引き換えにどの程度具体的なメリットを与えられているのか？というのは、企業視点では意外と軽視されている要素ではないでしょうか。さらに、５の選択肢の有無も、合法性評価を左右する大きな要素だと考えます。公共インフラや医療機関のように、そもそも「使わない」という選択肢がない独占的サービスの中でパーソナルデータを収集・利用するのは、例え事後的に利用停止を申し出るオプトアウトの仕組みが用意されたとしても、承服できないユーザーは一定数存在するでしょう。匿名化という小手先の手段だけでなく、こういった視点をもってバランス良く検討・対処していないと、また不幸な炎上案件が生まれることになります。

なお個人的には、内閣官房の議論において、（上記１の視点に関連して）個人情報保護法ではまがりなりにも認められてきた「共同利用」スキームにメスが入り禁止されるのか、それとも一定の制約のもと残されるのかという点にも、大いに注目しています。
　

2013.11.11追記

twitterで高木先生からコメントをいただきました。

“ポイント”と例示してしまったことも手伝って、プライバシー侵害を金銭的に相殺してバランスを取ろうとする企業都合の物言いに映ってしまったかもしれません。ここで述べたかったのは、プライバシー権を純粋な人格権ではなく財産権的に捉えるユーザーも一定数存在すると認識しており、（そのような考え方が是か非かは別として）全てのユーザーから納得ずくの同意を取ろうとするならば、そういった「パーソナルデータ提供の同意と引き換えに何か見返りが欲しい」というユーザーに対する配慮の視点も必要なのではないか、ということです。
※上記はあくまで小生意見であり、本記事を執筆された浅川記者の意図とは異なる可能性がありますので、その点ご留意頂ければと思います。
　
タグ ：
#パーソナルデータ