米国連邦取引委員会がオンライン・プライバシー保護強化の“Do not Track Mechanism”の第2次提案(その1)

　米国の連邦消費者保護機関である連邦取引委員会(FTC)は、12月1日付けで消費者のオンライン・プライバシー保護すなわち「インターネットなどオンライン行動の詳細追跡情報をプロファイルし対象者を絞る新広告ビジネス(行動追跡分析型ターゲット広告事業：Behavioral Advertising)」が急速に拡大していることから、プライバシー保護面から規制をかけるべく、従来の「プライバシー・ポリシー」の問題も含め、それら実務慣行に警告を鳴らすとともに、消費者の「opt out権」を確保するための技術的な標準化に関する第2次報告書を5-0で承認、その提案内容を公開した（コメント期限は2011年1月31日である）。

　筆者はこの問題につき、初めはFTCのプレス・リリースを読んだ。しかし、その内容はやや抽象的であり、何をどのように変えるのかといった意図が不明であり、その扱いに苦慮していた。しかし、本ブログでもしばしば紹介する人権擁護NPO団体EFF(Electronic Frontier Foundation)等のウェブサイトで読んで今までの経緯や具体的な提言内容、関係業界が取り組むべき課題等がやっと理解できた。

　一方、冒頭で述べたこの問題につき、わが国で公開されている情報にあたってみたが、FTCのこれまでの取組み内容も含め、はっきり言ってまともなものは皆無であった。唯一、2010年5月15日付け高木浩光氏がブログ「『ライフログ活用サービス』という欺瞞」で3月の総務省主催の「利用者視点を踏まえたICTサービスに係る諸問題に関する研究会」において指摘した有識者としての意見（ネットワーク事業者のプライバシー・ポリシーの内容や“opt out”の不徹底な仕組みなど具体的な問題点）の内容を紹介されている。 (筆者注1)

　執筆時間の関係や技術的な説明といった側面で十分な内容とはいえないが、今回のブログは、EFFや最近知ったブログ“33 Bits of Entropy” (筆者注2)の解説等を中心に据えて、FTC報告の意義や今後の課題を紹介する。

　この問題についてさらに法的、技術的な点等につき最新情報を得たいと考えるならば、スタンフォード大学ロースクールの「インターネットおよび社会問題センター(Center for Internet and Society)」および同大学コンピュータ科学部の「セキュリティ研究所(Security Laboratory)」の専門ウェブサイト“Do Not Track”（副題：普遍的なウェブ追跡からのopt out対応を探る）が網羅されており、特に本文中に取上げた「HTTP header approach」をopt out 手段として推奨しており、各ブラウザの対応状況調査もあり、この点でも最も参考になるサイトである。その詳細は機会を見て取上げたい。

　なお、本ブログの読者の中には、今話題となっている“Wall Street Journal”の特集“Your Apps Are Watching You”を読まれた人もいると思う。オンライン行動追跡広告やマーケティングにおける消費者保護問題がこの数年関係者による議論が高まる一方で、オンライン行動追跡広告自体について最近米国メディアが大きく取り上げたり、連邦議会や関係委員会でも具体的論議が始まっている。

　このような中で、12月23日に米国ではApple Inc.に対する2件の集団訴訟が同一裁判所に起こされた。
　1件目( Jonathan Lalo v.Apple：事件番号10-5878)は、12月23日、カリフォルニア北部地区(サンノゼ)連邦地方裁判所に携帯電話端末“iPhone”や携帯情報端末“iPad”の製造メーカーである“Apple Inc.”に対し、これらのデバイスのアプリケーション・ソフトがUnique Device ID(UDID)をもとに個人情報(ユーザーの位置情報、年齢、性別、収入、民族、性的性向、政治的意見等)を顧客の同意なしに集め、広告ネット会社に伝達・販売するのは「連邦コンピュータ詐欺および不正使用防止法(Computer Fraud and Abuse Act (CFAA：18 U.S.C. § 1030)」 (筆者注3)やプライバシー法違反であるとして告訴したものである。（原告弁護事務所はキャンバー法律事務所(KamberLaw LLC)） (筆者注4)
　2件目(Freeman v.Apple：事件番号　不明)については、告訴状による告訴内容が確認できた。1件目もほぼ同様の起訴事由であると思われるが、被告にはその他に追跡ソフトの提供メーカー（わが国でも一般的なDirectory.com ,Pandora Media ,Pimple Popper Lite ,Talking Tom Cat ,TextPlus,Toss It およびThe Weather Channel 等の制作会社）があげられている。(本訴訟では原告は損害賠償のほかにマーケッターに対するユーザーの個人情報の継続しての配布の禁止命令を求めている)

　現時点ではその他の被告の範囲等も含め起訴状の内容が厳密には確認できていない。
また、これら裁判は集団訴訟であり、その手続等をめぐり同州の消費者保護法 (筆者注5)との関係、また連邦法と州法とが交差した裁判であり論ずべき点が多い。別途まとめることとしたい。

　今回は、2回に分けて掲載する。

１．“Do not Track Mechanism”の検討経緯の概観
　EFFがまとめた内容を経緯も含め概観しておく。
(1)今回のFTC報告は2007年12月にFTCが行動追跡分析型ターゲット広告事業の更なる透明性と消費者によるコントロール権確保を目指し、業界の自主規制策定を推奨すべく事務局がまとめた「オンライン行動追跡に基づく広告のプライバシー保護にかかる取扱い自主規制のための原則(Online Behavioral Advertising privacy Principles)」を5-0で承認、公表した。

　主な項目を挙げると、次の内容であった。
Ａ．行動追跡広告の目的で個人情報が収集するすべてのウェブサイトは、データが狙いを定めた広告対象目的で集められること、消費者に当該目的に沿った収集の是非に関する選択権を与えるべく、明確な文言で、消費者に分かりやすくかつ目立つ形の情報を提供すること。

Ｂ．行動追跡広告の目的で個人情報を収集・保存する広告会社は取扱いデータにつき合理的といえるセキュリティを提供し、また合法的なビジネスや法執行上の十分な必要性に応じる限りにおいて保有すべきである。

Ｃ．広告会社は、当初データを収集した際の約束内容と著しく異なる方法でデータを使用するときは影響を受ける消費者から明示的な合意を得るべきである。

Ｄ．機微情報(医療、子供のオンライン活動等)の収集にあたり消費者が広告を受けるにつき明示的な同意を得た場合のみ収集を行うべきである。
　この原則に対し関係者から多くのコメントが寄せられ、FTCは2009年2月に自主規制原則の改定版を策定、公表した。

　このような自主規制による保護強化策については有効性が弱いという批判が多く寄せられた。このことが今回の第2次対応の主たる背景である。

(2)今回のFTCのリリース内容によると、提案の主旨と内容は次のとおりある。
　今回、FTC事務局は高速な手段による個人情報収集や消費者にとって見えないかたちでの情報の共有を許す技術の進歩があるという理解の枠組みの下で策定した。多くの広告会社は個人情報の取扱いの説明を行ううえで「プライバシー・ポリシー」を使用するが、その内容は通常消費者が正確に読むには長すぎ、また読んだとしても理解できないような法的なロジックに終始している。現行の「プライバシー・ポリシー」は多くの負担を消費者に負わせている。

Ａ．第一の点は前述したような消費者の負担を軽減し、基本的なプライバシー保護を確実なものとするため、広告会社は日常的な商慣行の中でプライバシー保護のため意図したプライバシーを取り入れるべきとした。すなわち、会社はプライバシー問題の監視役の要員を指名し、従業員を教育し、新商品や新サービスに関するプライバシー面の見直しを実施するなど組織全体を通じて健全なプライバシーの実務を手続面で実行すべきである。

Ｂ．第二に、この点が今回の報告書の中心テーマとなる点であるが、消費者のインターネットの効果的に活動するための情報収集としてターゲット広告を提供する場合と、その他の目的をもつものを区別する具体的方法として“Do Not Track”メカニズム(Do Not Track Mechanism)を提案した。
　FTCのリリースはこれにより、企業と消費者双方の負担軽減につながると述べている。しかし、これだけでは良く理解できない説明であり、ここまで読んでその内容や意義が理解できる人はまれであろう。そこで登場するのが前文で紹介した“33 Bits of Entropy”(以下、“Entropy”という)である。
　次項２．で“Entropy”の説明に基づき具体的に解説する。

  ******************************************************************************************************************* 
(筆者注1) 高木氏は、自身のブログで米国NAIの取組みにつき次のような補足を行っている（資料元とのリンクは筆者の責任で行った）。
「2010年3月以降、調べて知ったのだが、米国では、インターネット広告事業者の業界団体「Network Advertising Initiative」が自主的に、完全なオプトアウトの仕組みを提供する試みを実施しているようだ。
・NAI Consumer Opt Out Protector Add-On for Firefox (Beta Version),Network Advertising Initiative
・New NAI Opt-Out Tool Protects Against Cookie Deletion, ClickZ,(2009年11月5日)
・クッキーを削除してもオプトアウトを維持, インターネット広告のひみつ, 2009年11月7日」
　なお、上記の表現のとおり、高木氏はこのブログ作成時点では、スタンフォード大学の“Do Not Track”やNAIの“Opt out of Behavioral Advertising”等新しいサイト情報は完全には読んでいないと思われ、FTCの取組みも含め今回の本ブログで引用した内容が最新情報といえよう。

(筆者注2) ブログ“33Bits of Entropy”の筆者であるアービンド・ナラヤナン氏(Arvid Narayanan)について紹介しておく。テキサス大学オースティン校で博士課程を取り、現在はスタンフォード大学で主に博士課程修了後、研究者としての能力を更に向上させるため研究機関などで引き続き研究事業に従事しているとのことである。主たる研究テーマは、このブログで取り上げているとおりデータベースにおけるプライバシーと匿名性(anonymity)問題についてである。本文で紹介したスタンフォード大学ロースクールのトラッキング問題専門サイト“Do Not Track”の主担当者でもある。
　なお、この「ブログ・タイトルの意味」について筆者がうまく説明しているのであわせて紹介しておく。
「世界の人口はわずか約66億人しかいない。1人の人間が自分が誰であるかにつき識別しようとすると33ビット(より正確にいうと32.6ビット)の情報量が必要となる。この事実は２つの結果を導く。
まず最初に、あなたが世界中隅々まで捜すことができないくらい大きい群衆に隠れることができるという匿名のデータについての多くの伝統的な考えが当てはまらないということである。今日のコンピュータの演算能力から見て、その概念に完全に失敗する。すなわち、悪者をもった人間が目標人物について十分な情報がある限り、悪人は単にあらゆる可能なデータベースの登録内容を検索し、最も良いマッチング結果を選択できるのである。
2番目の結果は、33ビットが本当にいろいろな事ができるという数字ではないということである。すなわち、あなたの故郷の人口が10万人であるとすると、私があなたの故郷を知っているかぎりあなたに関するエントロピー(ある出来事の起こりにくさの関数として表される情報量)の16ビットは私が持つことになる。そして、あなた自身の匿名性情報エリアとして17ビットだけが残る。しかし、本当に危険なことは、伝統的に個人の特定に関係していないとされる１個人の「行動」情報が異なる文脈においては重大なプライバシーの不履行を引き起こすということである。」
　なお、“33Bits of Entropy”ブログを読んで読者は気がつかれると思うが、本ブログ
“Civilian Watchdog in Japan”と共通性がある。広告は一切リンクさせないことである。「中立性」の証左である。

(筆者注3)  “Bloomberg”の記事自体には告訴の根拠法は明確に書いていない。“federal computer Fraud and privacy laws”としか書かれていない。文脈からいって通常、「コンピュータ詐欺および不正使用防止法(Computer Fraud and Abuse Act ("CFAA", 18 U.S.C. § 1030))が根拠法であることは間違いないが、“privacy laws”とは何か。膨大な量に上る連邦プライバシー法（解説例参照）の中から特定するのは難問である。米国の法律関係サイトを調べたがいずれも告訴状のURLは確認できなかった。しかし、筆者としては該当法の１つとして、盗聴行為等の規制に関する「1986年電子コミュニケーション・プライバシー法(Electronic Communications Privacy Act of 1986 (ECPA)： 18 U.S.C.§ 2510-22.)」であると考えたが、2件目の告訴状で見る限りそうではなさそうである。1件目に関し、IT分野に詳しい弁護士のblogでは次の法律違反が列記されていた。(米国法典や法律の要旨等との関係は筆者が確認のうえ補記)。このblogが正しいとすると、2件ともほぼ同一の根拠法による訴訟であるといえる。
①Federal Computer Fraud and Abuse Act
②California State Computer Crime Law
③California's Unfair Competition Law(UCL)(Business & Professions Code Sections 17200et. seq.)
④California Common Law for Trespass to Chattels/Personal Property(動産または個人資産に対する不法侵害にかかるカリフォルニア州のコモンローの意味)
⑤California Common Law for Conversion(横領に関するカリフォルニア州のコモンローの意味)
「（trespass to chattels」（動産への不法侵害）は、動産への侵害であるけれども、同じ動産侵害でも「侵害の程度」（the degree of the invasion）が酷（ひど）い場合は「conversion」（横領）に分類される。軽い侵害が「trespass to chattels」となるのである）」（中央大学総合政策学部　平野　晋教授のサイト「アメリカ不法行為法の研究」から引用)
⑥California Common Law for Unjust Enrichment(不当利得に関するカリフォルニア州のコモンローの意味)
　いずれにしても確認できた時点で本ブログも更新する。

(筆者注4) キャンバー法律事務所は、多くの集団訴訟を手がけている。特に、出版社やマーケッターのために消費者情報の追跡支援サービス（オンライントラッキング・サービス）をうたい文句としている” Quantcast”の“zombie cookie”に対する集団訴訟で約240万ドル(約3億2,800万円)の和解金を勝ち得たことで有名である。また、本年9月2日にもフォックス・エンターテインメント・グループおよびクリアスプリング・テクノロジーズ社を被告とし、「コンピュータ詐欺および不正使用防止法(Computer Fraud and Abuse Act)、「カリフォルニア州刑法典のコンピュータ犯罪(Computer Crime Law,Cal.Penal Code §502)」、「カリフォルニア州刑法典のプライバシー侵害(Invasion of Privacy Act,Cal.Penal Code §630 )」等違法行為に基づく集団訴訟(CV10-6586)の原告側弁護を担当している。

(筆者注5) 本裁判は集団訴訟が故の問題も多い。例えば「カリフォルニア州消費者保護法違反の主張に基づく全米的なクラス・アクションを提起する際には、準拠法の選択によって、「クラス」として認められるための要件である連邦民訴訟規則23条(b)(3)の"predominance"要件（クラスの構成員に共通する法律又は事実に関わる問題が各構成員個人にのみ関わる問題に「優越」すること）を満たすか、という問題の結論が左右されることがあります。複数の州にまたがるクラス・アクションでは、各州法に差異があることにより、共通の争点が形成されなくなることがあるからです。(中略) しかしながら、2008年12月、カリフォルニア州中央地区の２つの裁判所は、上記法律違反の主張に基づく全米的クラスを承認する決定を下しました。」(クイン・エマニュエル法律事務所の2009年4月のニュースレター「カリフォルニア州消費者保護法違反を主張する全米的なクラスを連邦裁判所が承認」から抜粋。

**************************************************************************************************************

今回のブログが2010年の最終回となる。この1年間筆者の執筆意欲を支えてくださった読者の皆さんに感謝申し上げるとともに、来る2011年の皆さんのご活躍とご健康を祈念して筆をおく。

*************************************************************************************************************:
Copyright © 2006-2010 芦田勝(Masaru Ashida)．All Rights Reserved．No reduction or republication without permission．