“提供先で”個人と結びつける手法への批判
では、様々なデータは何をもって個人情報であると判断されるのでしょうか。個人情報は、「氏名、生年月日その他の記述などにより特定の個人を識別できる情報」であることは広く知られていますが、個人情報保護法では、これに加えて「他の情報と容易に照合することができ、それにより特定の個人“提供先で”個人と結びつける手法への批判を識別することができることとなるものを含む」とされています。つまりCookieに保存されている、ブラウザを識別するためのID（以下、CookieID）が、個人と結びつき「容易に」照合できる状態にあるものは、個人情報として規制の対象となるのです。これに関しては近年、広く議論を呼んだいくつかの出来事がありました。
一つは2018年10月、Facebookが利用者に発行するCookieを用いたデータ取得について、日本の個人情報保護委員会が行政指導を行ったこと。CookieIDにはFacebookの利用者IDがそのまま書かれているため、個人情報と「容易に」照合することが可能です。
Webサイト運営者がFacebookの「いいね！」ボタンを設置することで、Webサイトへのアクセス情報と個人情報がFacebookに送信されることになりますが、その事実が広く周知されていなかったため、個人情報保護委員会は、「『いいね！』ボタンなどを設置することで送信される情報には個人情報が含まれる場合がある」として、「SNSの『ボタン』等の設置に係る留意事項」という注意情報を公表しました。
もう一つは、多くの方が知ることとなったリクナビの内定辞退率問題です。Cookieに関わる規制にも影響を与えたと言われています。リクルートキャリアは2019年2月まで、元々は広告のために利用していたリクルートコミュニケーションズの発行するCookieIDを用いて情報を収集、内定辞退率を算出して契約企業に提供し、契約企業側で応募者個人と結びつけて利用していました。このCookieIDは取得時点では個人情報ではないとして、2019年8月の時点ではこのスキームに関して個人情報保護委員会からの是正勧告はありませんでした。
しかし、このCookieIDを情報の提供先で個人と結びつける方法に対する批判や、現行の個人情報保護法の問題点が挙げられたことで、2019年12月4日には個人情報保護委員会からの勧告がなされ、リクルートキャリアもこのスキームについての説明とお詫びの文書を公開するに至りました。
このような状況の中、2019年11月29日に個人情報保護委員会が「個人情報保護法いわゆる3年ごと見直し制度改正大綱（骨子）」を公表し、「提供元では個人データに該当しないものの、提供先において個人データになることが明らかな情報について、個人データの第三者提供を制限する規律を適用する」という内容が盛り込まれました。2020年3月に閣議決定された個人情報保護法改正案では、「個人関連情報の第三者提供の制限等」という条文が追加され、前述のリクナビ内定辞退率問題におけるCookieの利用方法についても、個人関連情報として明確に規制の対象になるとみられます。
そしてこの改正は、Cookieを広く活用している広告業界においても少なからず影響を与えると予想されます。広告のターゲティング精度を高めたり、DMPのデータなども含めて統合的に顧客分析に用いたりするために、CookieIDを個人と結びつけることも、規制の対象になるということです。以前からこの問題は指摘されてきましたが、今回のリクナビ内定辞退率問題を受けて、同様の仕組みである、CookieIDと個人を結びつける問題に対処しようとするものだと考えられます。
ブラウザ提供企業による自主規制
今回の個人情報保護法の改正では、先に述べたようにCookieIDを情報の提供先で個人情報と結びつけることが規制の対象となり、Cookieの利用自体が規制されるわけではありません。しかし、各種ブラウザ提供企業による独自のCookie利用制限が広がってきており、法的な規制以上にビジネスへの影響が大きくなると予想されます（図表2）。
Privacy SandboxはGoogleが主導して検討されている機能で、W3C（World Wide Web Consortium）による標準化が進められており、すべてのブラウザに実装されることを目指しています。Cookieを用いたターゲティング広告の仕組みと大きく異なる点は、興味関心や訪れたWebサイトなどのデータをブラウザ側で保持する点です。広告配信事業者はブラウザのAPIを用いて、用途別にデータを保存したり、保存されたデータを参照したりすることで、オーディエンスターゲティングやリターゲティング、コンバージョンの測定などを行います。一方エンドユーザーは、ブラウザ側にデータが保持されることで、自分のパーソナルデータへの参照権限を管理できるようになることが期待され、エンドユーザーが許可を与えた事業者にのみこれらのAPIの利用が許諾可能になることが予想されますが、現状では詳細は未定です。
