アドテクとプライバシー保護、3人のパネリストが議論
今年6月、「パーソナルデータの利活用に関する制度改正大綱」が示された。この大綱は、個人情報保護法が制定されて10年以上たち、スマートフォンの普及、ビジネスにおけるデータ活用など環境が変化するなか、情報の利用・流通とプライバシー保護の両方を確保するために、制度をどのように改正すべきかの方針を示したもの。
大綱へのパブリックコメントの締切と同じ7月24日、「モバイル＆ソーシャルWEEK 2014」（主催：日経BP社）の2日目に、「アドテクとプライバシー保護～2015年1月の制度見直しは広告主にどう影響するか～」というテーマでパネルディスカッションが行われた。
パネリストは、本間 充氏（花王）、小林 慎太郎氏（野村総合研究所）、宮一 良彦氏（電通デジタル・ホールディングス）の三氏。モデレータは、「ExchangeWire 日本語版」編集長の大山 忍氏が務めた。
企業が利用したいデータはなにか
ICT・メディア産業コンサルティング部
兼 未来創発センター
上級コンサルタント 小林 慎太郎氏
冒頭で『パーソナルデータの教科書』（日経BP社）を上梓したばかりの小林 慎太郎氏が、パーソナルデータの定義、利活用に関する問題点を整理した。
まず、混乱を招きやすい「個人情報」と「パーソナルデータ」の違いに触れた。「個人情報」と言うと、氏名・住所・年齢・性別といった基本4情報、「パーソナルデータ」は、ウェブの閲覧利益や購買履歴、カーナビの位置情報などを指すという捉え方が多い。しかし、「パーソナルデータ」は、一人ひとりの個人に関連する情報の最も広い集合を意味するもの。このふたつは排他的な関係ではなく、重なる部分があると説明する（※）。
あらためて、個人情報保護法における、「個人情報」の定義を見てみよう。
この法律において「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。
ここで「特定の個人を識別する」という言葉が出てくる。「特定」は顔や名前までわかること。「識別」は顔や名前はわからなくても、あるひとりの人を指し示せること。小林氏は、隣の本間氏を指して「私は“本間さん”と特定できる。これが特定識別情報。会場の皆さんはひとりひとりは識別できるが名前はわからないので、非特定識別情報」と解説。そして「匿名情報」とは「男性か女性かもわからない（識別不可能な）情報」と説明する。
個人情報保護法には定義されていないもうひとつの重要な概念「プライバシー」は、個人や家庭内の私事・私生活、個人の秘密であり、それが他人から干渉・侵害を受けない権利である。
アドテクノロジーの世界で、Cookieを使ってトラッキングを行う場合、利用する情報は「非特定識別情報」になる。これを企業は活用したいと考えているが、個人が不安を感じたり、社会的な反発もある。政府はそれらを解消しつつ、状況の変化に対応し、企業がデータ活用できる仕組みを検討しようとしている。
※こうした定義の混乱については、『「個人を特定する情報が個人情報である」と信じているすべての方へ』と題した、高木浩光氏、山本一郎氏、鈴木正朝氏の議論も参考になる。
プライバシーについて、監督官庁が縛ることは難しい
今回の個人情報保護法の改正の方向性を要約すると、次のようになる。
・本人の同意がなくてもデータの利活用を可能とする枠組みの導入
・保護義務があるパーソナルデータの対象範囲の拡大
・第三者機関の体制整備
・民間の自主規制の活用
小林氏は、「これまでは、官公庁が作ったルールを守ってくださいというやり方だったが、プライバシーはコンテキストによって変わる。官公庁が一律で縛るのは難しい。民間の自主規制団体がルールを作り、第三者機関、消費者団体、法律界も入ってルールを決める。それに納得できないなら、不参加事業者として直接指導を受けることになる。これは革命的」と語る。
アドテクノロジーの進化によって、識別性・ターゲティングの精度が向上
宮一 良彦氏
続いて、宮一 良彦氏が、アドテクノロジーやインタラクティブ広告におけるデータ活用の特性について次のように説明する。
「アドテクノロジーを使った広告配信では、（Cookieなどを使って）個人は特定しないけれど、ブラウザやスマートデバイスを識別している。“誰”に広告を出しているかはわからないが、その人が使っているブラウザを識別して広告を出し分けるという特性がある。」
広告の売買に使われるRTB（リアルタイム・ビッディング）というシステムは、ユーザーがあるウェブページを表示したとき、そのインプレッションに対して0.1秒程度で入札し、有利な条件を提示したクライアントが広告を表示する。広告を出す側が利用するDSP（デマンドサイド・プラットフォーム）は月間1000億回のリクエストがある。
こうした膨大な量のデータを分析する分散システムや機械学習によって、識別性が劇的に向上。これによって、「そのひと（サイト閲覧者）のパーソナリティが想像できるようになった」と宮一氏。「“趣味はクルマ”という情報をもっていなくても、クルマの情報サイトの閲覧情報などから、クルマが好きらしいと想像できる。特定はしないが識別するというのがアドテクの特性だが、識別性の向上によってサービス実態以上に“特定されているのでは？”と思われている。」
こうしたなか、「インターネット広告推進協議会（JIAA）」では、今年の3月に「プライバシーポリシー作成のためのガイドライン」と「行動ターゲティング広告ガイドライン」を改定。用語が定まらないなかでの改訂作業は困難な作業だったという。
アドテク業界への影響
大綱で示された方針がアドテク業界に与える影響はどのようなものか。
個人を特定化、識別化できないくらいデータをつぶしたら、本人の同意をとらなくても利活用できるとした場合、「（アドテクは）ブラウザを識別できないと使えない。同意は得なくてもいいが、使えないデータになる。」
保護義務があるパーソナルデータの範囲の拡大については、「ある程度規律があるほうが望ましい。プライバシー保護の観点では、“なにが個人情報なのか（IPアドレス、サービスID）”ではなく、“どういう状態（特定可能、識別可能、再識別可能）か”によって保護のあり方が変わるべき。法律で全部決めるのは難しい」と説明する。
また、民間の自主規制についても課題を指摘。インターネット広告業界だけを見ても、アドテク事業者、広告主などで立場が異なる。「業界の自主規制は誰の自主規制なのか。法改正で、いままでグレーだったところがクリーンになるが課題も多い」と語った。
