ポストコロナをみすえた、メディアにおける「個人データの利活用」のニューノーマル

「個人データの利活用とプライバシーの両立」について研究を行うようになったきっかけは何ですか？

私は、東京大学や電気通信大学、理化学研究所と研究畑を歩んできまして、数理工学とその応用を専門に研究してきました。その一方、技術者倫理や情報倫理に取り組むなど倫理の話に以前から興味を持っていました。2016年10月にサイバーエージェントへ入社し、ユーザデータの分析業務に携わる中で「ABEMA」をきっかけに「個人データの利活用」に注目するようになりました。

入社した2016年はちょうど「改正個人情報保護法(※)」が施行前で、個人情報保護委員会と関連省庁が各特定分野のガイドラインを作っている段階でした。このとき電気通信事業分野と放送分野で別々のガイドラインが出来上がっているのを見かけ「新しいマスメディアを目指している「ABEMA」はどちらになるのだろう」という疑問をまず抱きました。

「ABEMA」については、電気通信事業と放送のどちらのガイドラインが適用されるのか当時は未定で、そのどちらになるかによって個人データの扱いも変わりますよね。結果的に「ABEMA」においては、放送分野でなく、電気通信事業としてのガイドラインが適用されることになりました。(※)。

ユーザの受け取り方は放送分野であるのに、法律が関係すると電気通信事業になる。法律ひとつとっても特有の問題が出てくる事に関心が湧き、「適切な個人データの利活用」の必要性について興味を持つようになりました。

計算社会科学研究の観点からはいかがですか？

私は「計算社会科学」という分野の研究をしてきました。所属する「秋葉原ラボ」の業務を通じて得た研究成果(※) を、事業に貢献することはもちろん、研究で得た知見を論文として発表することで、社会全体に還元していくことも重要だと思っています。

今回人工知能学会（JSAI2020）で行う発表について見どころを教えて下さい。

「個人データ利活用における利用主体と利用目的に応じた社会的受容性」という発表を行います。個人データの利活用に関して、どういうパターンであればユーザーが受け入れられるのか。逆にどういうパターンであれば受け入れられないのかを調査するにあたって、まずは予備調査としてサイバーエージェントの従業員を対象にアンケート調査し、その結果に分析・考察を加えたものとなります。ただし、私企業の一員としての立場ではなく、一市民として答えてもらいました。

公共機関や私企業といった「データを利活用する主体」。容姿や収支、行動履歴などの「データ種別」。個人の同定や趣味・嗜好のような「データ処理をした結果得られる情報」。そして統制や与信、福祉など「データを利活用する目的」。

アンケート調査の結果も踏まえた上で、個人データを活用する際に今後はどういったことに気を付けていくべきでしょうか。

調査結果から分かったのは説明の重要性です。個人データをどういう目的で使うのか、誠実に説明した上で同意を取るという形を取れば、センシティブなデータであってもある程度受け入れてもらえるということが示唆される結果が出ました。

個人情報の扱いにおいて非常に重要なのが利用目的の説明と同意です。ただ統制や管理・監視という目的だけでは嫌がられてしまいますが、それが例えば福祉などにプラスになる場合は受け入れられる可能性も高くなります。

そして同意するか否かの判断材料として、アンケートで考慮に入れた4つの要素をきちんとユーザーに提示することが重要です。我々の場合は「主体」は私企業なので、残りの「データ種別」「処理結果」「目的」を明示し、その上で同意してもらうというプロセスを明確にする必要があります。

今まではそこがあまり明確になっていなかったため、ユーザ側も釈然としなかった部分があったのではないかと思います。

また、今は新型コロナウイルスに関連して、GPSデータの活用が話題になっています。北海道大学の西浦博教授が「人と人との接触機会8割削減」を提案し、5月1日には接触頻度の試算結果を発表しました。

その試算に対し、国立情報学研究所（NII）の水野貴之准教授が独自の接触頻度モデルを発表して新たな提言を行いましたが、その提言は西浦教授らの試算結果発表からわずか7日後の5月8日というかなりのスピード感でした。

個人データの取扱いに関して明確な決まりがあれば、データを購入して分析してパブリッシュをするという一連の作業をそのようなスピード感で行うことも可能になる。非常に有用なことだと思うので、その建て付けはしっかりやって行きたいと思います。

サイバーエージェントでも、個人情報の取り扱いについて明確化していますね。

コーポレートサイトに「個人情報保護の取り組み」という項目がありますが、当社セキュリティチームが主導で取得目的などを明記するにあたって、私は研究開発組織の立場から関わらせていただきました。

秋葉原ラボのように、複数の人が個人データを扱う組織において、皆が同じ姿勢で技術者倫理観を持つには何が必要なのでしょうか？

そのために「秋葉原ラボ」では「データ利用基準」を策定するためのワーキンググループを立ち上げました。

背景には、同じデータエンジニアでもデータの利用基準が僅かにずれていたり、「このようなケーススタディでは、どこまで利用OKなのか」と頻繁に相談を受けたり議論をする機会が続き、組織の知見としてきちんと蓄積したいと思うようになりました。

データには、それぞれ様々な権利があるので、その権利関係をデータごとに整理して、使っていいパターン、使える使い方のパターンを列挙していくのがこのワーキンググループの目的です。

今はケーススタディを集めて、そこから共通するパターンを見出して改めて文書にまとめている途中です。まずは社内で共有して、ゆくゆくは外部に向けても公開できると良いと思っています。

データの利活用は研究開発組織にとっては技術的な問題ですが、当然法務の知識や見解も必要になります。技術者にとっては法的な検討は難しいし、法務担当者にとっては技術的な検討が難しいので、両方の観点からいま整理している知見は、データ活用に携わる人にとって参考になるものだと思います。

今回の研究で得られたものを、今後どのように活かしていくのでしょうか。

私が所属している秋葉原ラボはサイバーエージェントのメディア事業における研究開発組織です。大規模データ処理基盤を運用していることと、コーディネーター職をおいていてビジネスの課題のヒアリングなどしていることから、何かデータの活用をしたいというような件は、秋葉原ラボに集まってくる体制になっています。

そこで秋葉原ラボは、例えるならチェックポイントのような役割を果たせたらよいと考えています。つまりデータ利活用の課題について、技術的には可能だけれども、こういう調査結果を踏まえると反発を受ける可能性があるということが、もしあれば指摘してトラブルを未然に防ぐという。横断的な研究開発組織としてそういう役割も担っていければいいなと思っています。

私の場合は、計算社会科学の研究を通じて会社に貢献し、そして社会にとっても意義のある研究や発表をしたいという思いがあります。

今回の研究もその思いに由来したものではあるわけですが、誤解を恐れずに言うならばおもしろい・重要だと思ったことを柔軟に研究したいんです（笑）。やりたい研究を自由にやるためには、レッドラインを把握しておく必要があるというところです。

個人データの取り扱いについては今後も大きく変化していくと思います。

GoogleはサードパーティCookieの廃止を決めるとともに、広告配信とユーザーのプライバシー保護を両立させるための取り組み「Privacy Sandbox」を発表しました。Appleも収集するデータは必要最低限の情報にとどめ、端末の中で完結するような仕組みを整備していくと主張しています。

例の新型コロナ対策のための濃厚接触通知アプリもかなりプライバシーに配慮したものになっていますよね。

そうなんです。GoogleとAppleには接触情報が送られない仕組みになっています。日本で開発が進められているアプリもGoogleとAppleのAPI利用を前提としていて、当局のサーバーにも接触情報は送られません。

ただこの辺りは先ほど述べた「説明と同意」が絡んでくる話です。接触情報が送られないことについてはAPIの仕様を見れば明らかなのですが、そういう風に説明したところで理解できる人は限られますし、国民の理解が得られるかという部分について省庁が慎重になるのも分かります。

説明することがとても難しいですからね。

とはいえ、公衆衛生が目的であれば受容されやすいというのは既に述べたとおりです。ポストコロナ時代を考えたときに、社会的通念に応じた受容というところが大きく変わっていく可能性は高いと思います。一方で個人の観念に応じた受容の部分は、「統制」に対する忌避感を考えると、よほど大きな個人的な利便性などがない限りはあまり変わらないのではないかと思いますね。