個人情報に関する炎上事件には、それぞれ理由がある。
その中には、「違法」ではないけれども「炎上」することになったものもある。
違法ではなかったら何がいけなかったのだろうか？
本記事では、代表的な事例として、JR東日本（Suica）、Japan Taxi（フリークアウト）、CCC の事例を見ていくことで、炎上しないための（生活者に配慮した）対策について考えていきたい。
JR東日本（Suica）の乗降履歴データ共有
まずは、JR東日本の Suica の乗降履歴データの共有において炎上が発生してしまった事件について。
事件の概要
2013年6月に、日立製作所がJR東日本保有の Suica の乗降履歴を用いた分析サービスを発表した。
日立製作所へは、氏名や電話番号などの個人識別子は除外し、SuicaのIDは仮名化した上でデータの提供が行われた。
しかし、同年7月に国交省が「事前に注意すべきであった」とJR東日本に注意したことを機に、国民の間にも火がつき、大きく炎上する結果となった。
炎上した理由
炎上した理由については、日経XTRENDの記事を参考にすると、以下のような理由が上がっている。
- Suica利用者への事前説明の不足
- オプトアウト手続きの周知不足
- データ提供先企業におけるデータの統制手法が不明瞭だった
- 利用目的に対して、データの精度が不必要に高かった
- 利用者への還元がなかった
- データ活用の目的が公共性に乏しかった
この炎上事件からの教訓
Suicaのデータ提供における炎上については、匿名加工データ（当時はまだ個人情報保護法で定義されていなかったが）の提供のため、利用者への還元の必要や許諾を得る必要は、法的にはない。
ただ、まず大きな問題としては、「利用目的に対して、データの精度が不必要に高かった」という点だ。
粒度についてはローデータをそのままの状態で提供してしまったため、細かな粒度で毎日の改札通過時刻が把握できるようになっており、あわよくば個人を特定できてしまうのではないかとも言われ、利用者の不安を駆り立てることになってしまった。
その他については、コミュニケーションに問題によるところが多く、今回のように法的には個人情報に当たらない場合においても、事前の説明やプライバシーポリシーへの記載、オプトアウト導線の整備などの対応を徹底しておくべきだったといえるだろう。
Japan Taxi の位置データ取得について
次に、Japan Taxi の位置データ取得に伴う炎上事件についてみていこう。2018年の話なので、まだ記憶に新しいかもしれない。
事件の概要
2018年、JapanTaxi アプリで位置情報の取得許諾をすると、タクシー降車後に行ったお店まで計測されてしまうことが Tokyo Prime の媒体資料から判明し、炎上に至ってしまった事件。
Tokyo Prime は、株式会社フリークアウト・ホールディングスとJapnaTaxi株式会社の合弁会社である IRIS の提供するタクシー社内広告のサービスだ。
最終的には、広告配信システムを持つフリークアウト側のシステムから、「過去にJapanTaxiアプリから取得された位置情報データ」は完全削除されることになった。
炎上した理由
- 第三者提供同意は取得されていたが、利用規約の記載が曖昧
- 現在地の位置情報取得画面で広告利用の説明がない
- 主目的外のデータ取得（タクシー降車後データ）
この事件を受け手、フリークアウトは、プレスリリースにて以下のように述べている。
弊社グループでは、この状態は直ちに法令に反するというわけではないと認識しておりますが、ユーザーのプライバシーを保護するという観点では、適切ではないと考えております。
このように、法令に反するわけではないが、ユーザープライバシー保護においては適切ではなかったと認める形になった。
この炎上事件からの教訓
この炎上事件でいえることは、位置情報取得の許諾の際に、タクシー降車後のデータも取得することやそれをマーケティング利用することを明示すべきであったということだ。
たとえ利用規約に記載があったとしても、「それを見るユーザーはどれだけいるだろうか？」と考えを巡らせる必要がある。
法的な観点のほかに、ユーザー体験としてしっかりとユーザー視点で導線設計ができているのか、企業目線にはなっていないかと確認する必要がある。
CCC の捜査当局へのデータ共有
さいごに、2019年1月に明るみになった、CCCの捜査当局へのデータ共有による炎上事件だ。
事件の概要
CCCは、裁判所の令状がない場合にも、捜査関係事項照会書があれば、 を行っていた。
提供していたデータは、以下の通り。
- 氏名や電話番号を含む会員情報
- 購入履歴やレンタルビデオのタイトルなど
個人情報保護法では、法令にのっとった第三者への情報提供を認めているため、刑事訴訟法に沿った手続きである「捜査事項照会」に応じることは違法ではない。
しかし、合法であっても、利用者の心理的な気持ち悪さは炎上を引き起こした。
炎上した理由
炎上に至った理由としては、第一に利用規約の分かりにくさがあったといえる。
個人情報の第三者への提供について、改定前は以下のような記述だった。
当社は、個人情報について、あらかじめご本人から同意をいただいた提供先以外の第三者に提供はいたしません
捜査事項照会に応じた捜査当局への情報提供は、法律で認められているため、本来であれば利用規約に記載する必要性はなく、この文章で法的には問題がない。
しかし、やはり利用者への丁寧な説明が必要と判断し、炎上事件のあと、以下のように改定されている。
- 当社は、『法令で認められる場合』を除いて、個人情報について、あらかじめご本人から同意をいただいた提供先以外の第三者に必要な範囲を超えて提供はいたしません
このように、法令で認められる場合は例外であると、明示的に記載することになった。
また、別の理由として、ITジャーナリストの本田雅一氏は、以下のような指摘をしている。
問題の本質は違法性ではない。個人情報の扱いに関する「雑さ」と「意識の低さ」だ。
出典：｢Tカード情報提出｣CCCに欠けている意識 | ゲーム・エンタメ | 東洋経済オンライン | 経済ニュースの新基準
たしかに内部的な意識という側面もあるのかもしれないが、ここは何とも判断しかねる部分である。
この炎上事件からの教訓
まず、利用規約における丁寧な記述については、マストで必要な要素だろう。
法的にOKだからではなく、法律について詳しくない利用者が見ても分かるような記載を心がけることが必要だ。
もしかしたら、この根本として、内部の意識の低さがあるのかもしれないが、そこは具体的な教訓としにくいため、この項目では触れないこととする。
まとめ
本記事では、過去の個人情報に関する炎上事件について、その詳細と炎上した理由、そしてそこから得られる教訓について解説してきた。
それぞれ、「違法」ではないけれど「炎上」していたもので、別々の学びがある。今後、個人情報関連のサービスを提供する際には、これを教訓に、その取扱い方法にきちんと向き合うとよいだろう。
また、これらの課題を総合的に解決する手段として、個人からの許諾のもと情報提供を行う「情報銀行」にも注目したい。
基本的にデータのコントロール権は個人にあり、個人が明示的に許諾あるいは信託した際に、外部への提供を行うような仕組みに将来的にはなっていくのではないだろうか。
2019年6月に認定第一号が生まれる予定のため、今後の動向に注目だ。