日本版SOX法・徹底解析

高まるプライバシー保護への懸念。CIOは自社への影響を早急に検討せよ

関連トップページ：CIOの役割 | セキュリティ管理 | 情報共有／コラボレーション

http://www.ciojp.com/contents/?id=00006031;t=7

前編では、TwitterやFacebookといったソーシャル・メディアの登場によって高まるデータ流出の危険性について説明した。後編では、そうした状況の中で、自社および顧客のデータ・プライバシーを確保しつつ、ソーシャル・メディアをビジネスに活用していくために、CIOが知っておくべき専門家らの見解を紹介する。

（2009/12/02）

マイケル・フィッツジェラルド ● text by Michael Fitzgerald

結局、プライバシーの問題はどう扱うべきなのか

　前回、データ・プライバシーの観点からクラウド・コンピューティングを取り上げ、そのメリット／デメリットを説明した。データをクラウド環境に移行すれば、コストの削減と効率性の向上に加え、プライバシーの保護責任をベンダー側に負わせることができるようになる。代わりに、データを物理的にコントロールすることができなくなるのが懸念点だ。ただし、これに関しては、マサチューセッツ工科大学（MIT）教授であるアレックス・“サンディ”・ペントランド氏が「将来的に、データの当事者が承認した場合に限って、企業にデータを提供するような業者が台頭するのではないか」と予測している。

　こうした見解が出てきたことで、プライバシーを最重要課題として扱うことに疑問を持ち始めた方もおられるかもしれない。これに対し、パデュー大学のIT担当バイス・プレジデント兼CIOであるジェラード・マッカートニー氏は、「今日の状況は、それほど悲観するようなものではない」と話す。とは言え、同氏はプライバシーを軽視しているわけではない。その証拠に、同大学では新入生に対するオリエンテーションの際、プライバシーとセキュリティについて説明するのに半日もの時間を費やしている。マッカートニー氏は、常識的に行動していれば、自分自身のプライバシーは十分守れるものだと考えているのだ。

　しかし、マッカートニー氏のこの考え方に対しても複数の見方がある。その1つが、「オンラインの世界でどこまで常識が通用するのか」という疑問だ。べス・イスラエル・ディーコネス医療センターのCCPD（Chief Compliance and Privacy Officer：最高コンプライアンスおよびプライバシー責任者）を務めるレオン・ゴールドマン氏は、この点について次のように分析する。

　「人々は、コンピュータの前にいると、実際にはそんなはずはないのにもかかわらず、自分が匿名の存在であるかのように思ってしまう。そして、実生活では決して他人に言わないようなことをネット上に書き込んでしまうのだ」

　これに関して、パーキンス・クーイのジダリ氏は、プライバシーに対する考え方自体が変わってきている可能性があると示唆し、「われわれの世代のプライバシーに対する考え方は、もはや時代遅れなのではないだろうか。若い人たちは、われわれが神経質になっているプライバシーというものを大して気にしていないのかもしれない」と話す。このことは、米国連邦取引委員会（FTC）や欧州連合（EU）が熱心に規制しようとしている行動ターゲティング広告に対する態度に大きく表れている。

　「若い世代は、ターゲティング広告を歓迎しており、それを規制するなどばかげたことだと考えている」（ジダリ氏）

　データベース・ベンダーであるサイベースのCIO、ジム・M.シュワルツ氏にとっても、プライバシーの問題はそれほど大きな懸念事項ではなくなっているという。ただし、それはテクノロジーの進化により、CIOにとっての重要課題が次から次へと変化するようになったことに起因している。例えば、昨今のモバイル・ワーカーの増加は、「5～6年前には想像だにしなかった」（シュワルツ氏）問題や状況を生み出している。その一例として、電子メールの添付ファイルをモバイル端末で簡単に見られるようになったことで、機密データの持ち出しをコントロールするのが以前よりもはるかに難しくなったことが挙げられる。

　さらにシュワルツ氏は、個人や組織が情報を共有することで、ある問題が生じるかもしれないと指摘する。今日では、あちこちに分散している情報を収集し、それに対する見解をまとめて公にするという作業が、かつてないほど簡単に行えるようになっている。

　「例えば、ある人物は過去に3回失業しているかもしれないし、破産申し立てをしたことがあるかもしれない。あるいは、飲酒運転で捕まったことがあるかもしれない。ある人物のある時期における断片的な情報がWeb上にある場合に、それが当人の望まない物語のでっち上げにつながる可能性がある。これは、懸念すべき問題になるだろう。これがどれほど大きな問題になるかは、その後の指標となる何らかのインシデントが起きてみないとわからないのだが」（シュワルツ氏）

プライバシー保護法案の策定における懸念

　企業が、一般消費者から強い非難を浴びるようなプライバシー侵害事件を引き起こした場合、その後には何が起きるだろうか。プライバシーの専門家は、オバマ政権下においては、国民からのプレッシャーによって政策立案者が一般消費者の側に立ち、企業にはより厳しい規制が課せられる可能性があると予測する。と言うのも、オバマ大統領は大統領候補時代にWebサイトに掲載した声明文書の中で、一般消費者のプライバシー保護を強化する」と約束しているからだ。しかし、サンプリング調査会社、サーベイ・サンプリング・インターナショナル（SSI）の元CIO兼CPO（Chief Privacy Officer：最高プライバシー責任者）であるピーター・ミラー氏は、これこそ一般消費者が不安に感じていることなのだと指摘する。

　ミラー氏が懸念するのは、大規模なプライバシー侵害事件が起きることによって、大きな義務を伴う法案が拙速に策定され、十分な議論もなしに議会を通過してしまうことだ。つまり、第2のSOX法が生まれてしまうのではないかというのである。

　チョイスポイントの事件では、一般消費者のデータを収集／販売していた同社が、2004年末にデータを個人情報窃盗グループに販売していたと公表した。これは、大規模なデータ侵害事件としては最初期のものであり、これによって個人情報窃盗を罰する連邦法を制定すべきだという声が一気に高まった。最終的に、チョイスポイントは和解金、および罰金として数千万ドルを支払っている。通信やネットワーク、消費者プライバシーに関する下院小委員会の議長を務める共和党のリック・バウチャー氏（バージニア州選出）は、今秋、プライバシーの保護を強化する法案を議会に提出する予定だとしている（なお、同氏は行動ターゲティング広告についての聴聞会を4月に招集している）。しかしながら、過去の事例を見る限り、このような法律が目立った成果を上げることはほとんどない。

　ワシントンD.C.に拠点を置くシンクタンク、カトー・インスティテュートの情報政策研究担当ディレクターであるジム・ハーパー氏は、「オバマ政権のプライバシー政策は、クリントン政権時代のFTCのような積極策に回帰するのではないか」と懸念する。クリントン時代のFTCは、ロバート・ピトフスキー委員長の下、プライバシー保護のための統一された規制体系を推進していた。これに対し、ハーパー氏は、今日の制作担当者は、一般消費者が何を望んでいるかを把握してからそのプライバシー制作に取り組むべきだと主張する。特にグーグルやFacebook、そしてそのユーザーによる対話の中身を考慮すべきだという。

一般消費者は、個人情報を自分で管理したがる

　法律の観点からすると、プライバシーとデータ・コントロールの問題は概して未解決なままだ。ドイツの裁判所に至っては、個人を識別可能な情報としてIPアドレスを保護する必要があるかどうかを今まさに審議しているところである。ミラー氏は、この裁判所がどのような判断を下そうとも、企業はいずれ、一般消費者はIPアドレスを社会保障番号のようなものだと考えていることを認識せざるをえなくなると見ている。

　「そしてそのとき、多くの企業は、少なくともマーケティング戦略を再考しなければならなくなるだろう」（ミラー氏）

　プライバシーに関する法律上の規定が変わるにせよ、変わらないにせよ、「個人情報は、一般消費者自身がコントロールすべきだ」という考え方は広まる一方のようだ。今年初めに開催された世界経済フォーラムにおいて、ペントランド氏は「データ・ニューディール政策」が必要だと述べた。そして、企業に対しては、次のことを理解して消費者が持つ影響力を認めるよう呼びかけている。

●一般消費者は、自分自身の個人情報を保有する権利を持つ

●一般消費者は、個人情報の利用方法をコントロールできる

●一般消費者は、個人情報を破棄することも、他者と共有することもできる

　ペントランド氏によると、氏が主張していることは、金融機関におけるデータの扱い方とさほど変わらないものであり、すでに多くの企業がこの考え方に賛同の意を示しているという。結局のところ、企業には「顧客データはだれのものなのか」を改めて考え直すことが求められているのだ。

　「『もはやプライバシーなど存在しない』という考えは、明らかに間違っている」とペントランド氏は主張する。

　「もちろん、プライバシーに対する考え方は人それぞれだろうが、プライバシーをコントロールしたいというのは、ほとんどの人が思っていることだ。人々は、自分自身のことをFacabookに投稿したいと思っているが、同時に、それをだれに見せるのかは自分でコントロールしたいと考えている」（ペントランド氏）

　CIOは今、プライバシー問題の最重要事項として「プライバシーのコントロールを消費者自身に委ねることが、自社にどのような影響をもたらすか」を真剣に考える必要があるのだ。