スマートフォンの普及でセキュリティや個人情報が危ない

高木浩光が語る！

プライバシーを守るのは真心である

ブログ「高木浩光＠自宅の日記」で、独自にセキュリティやプライバシーの問題を指摘する高木浩光氏。「セキュリティ・エバンジェリスト」として知られる彼に、現在何が起こっているのか、どうしたら解決できるのかを聞いた。

（取材・文・撮影　総研スタッフ／高橋マサシ）作成日：12.04.25

法制度のない日本のプライバシー保護

独立行政法人産業技術総合研究所
セキュアシステム研究部門
セキュアサービス研究グループ
高木浩光氏

4月2日、ユーザーに十分な説明なくアプリの起動履歴を収集していたミログが、会社を解散・清算した。4月4日、総務省は「通信の秘密」を侵害したとして、NTTBPとコネクトフリーの2社を指導し、再発防止策の提出とその実施を求めた。
前者は無料のWi-Fiサービスを提供する折に、特定のサイトへの接続を遮断していた。後者は無料の無線LANサービスを提供する折に、無断でユーザーのMACアドレス、Facebook やTwitterのIDを取得していた。
こうしたニュースを耳にすることが多くなった昨今について、産業技術総合研究所の高木浩光氏はこう語る。

「欧米に比べ、日本だけプライバシー保護の取り組みが遅れています。市民からの声が世論を形成していくこともない。米国なら集団訴訟もあるが日本にその制度はない。IT系の消費者団体もない。私は何年も前から問題が起きる可能性について指摘してきましたが、何も変わらなかった。それが今、いよいよ現実に問題が起きるようになって、当局や世間の認識が高まってきたと感じます」

強力な規制となるのが憲法でも明記されている「通信の秘密」だ。総務省が聞き取りをして必要があれば指導、勧告することができ、刑事罰もある。また、昨年の刑法改正で「ウイルス罪」（不正指令電磁的記録に関する罪）が新設された。ウイルスやスパイウェアを罰する法律で、違反すれば懲役3年以下か50万円以下の罰金という刑事罰だ。

しかし、「通信の秘密」で守られるのは電気通信事業者の通信であって、通信した後の利用に当たるWebサイトでの履歴収集などは適用外になるという。また、「ウイルス罪」もかなり絞られた範囲での法律だ。これだけではプライバシーの保護をすべてカバーできない。というか、全然カバーできていない。

知らぬ間に取得されるスマートフォンの端末ID

近年クローズアップされているのがスマートフォンの端末IDの問題だ。MACアドレスやUDIDなど端末単位のシリアルナンバーのようなもので、アプリやサービスの利用時に端末IDを取得する事業者が増えている。
「端末IDを基にユーザーを識別するわけですが、端末IDは差し替えができるので、『なりすまし』が可能になります。もうひとつは『名寄せ』の問題です。いろいろなサイトで端末IDと一緒に利用履歴を渡していると、別のサービスで端末IDと一緒に名前と住所を渡したら、それらが名寄せされて個人が特定されてしまうのです」

こうした事態に個人情報保護法は適用されないのか。高木氏によれば「No」だ。総務省に「ユーザー視点を踏まえたICTサービスに係る諸問題に関する研究会」があり、毎年提言を報告している。現在は第4次提言の中間報告まで出ているが、この研究会では「端末IDは個人情報ではない」と判断されたという。
個人情報保護法によれば、「個人情報」とは次になる。「生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの」。
「端末IDが誰のものかを特定できない時点では、個人情報ではないという判断です。ですから、いまだに『個人情報は一切取得しません』などと説明して、端末IDを取得している業者が後を絶たないのです」

先の「生存する個人に……」には次の括弧書きがある。「（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む）」。ならば高木氏の指摘する「名寄せ」が対象になるかと思いきや、法律家は否定的だという。
「事業者が取得した端末IDと社内情報と結合して個人が特定できれば、『容易に照合することができ』に当りますが、他社の情報との照合はそれに含まれないという意見が大多数です。拡大解釈すると企業の将来性を規制してしまう恐れがあるからでしょうが、では第三者に情報を提供した先で、容易に紐づけられる場合はどうでしょうか。実質的な問題が生じるのに、形式的には個人情報の第三者提供に当たらないのです。情報流出の場合も同様で、漏れた先で個人が特定される情報でも、漏らす側で特定できなければ個人情報の流出に当たらない。ここが個人情報保護法の不完全な部分だと思います」

ユーザーが注意しなければならない社会が間違いだ

一方、欧米ではプライバシー保護への取り組みが本格化している。EUでは従来も加盟各国に対してプライバシー保護の法整備を指示してきたが、最近では一歩進んで、「忘れ去られる権利」を盛り込んだ個人データ保護指令の改正案を打ち出した。例えば、ECサイトでの購入履歴など、ネット上の個人記録の消去を事業者に依頼できる権利だ。
米国では昨年末、「消費者プライバシー権利章典」にオバマ大統領が署名した。そこには、デバイスに紐づけられた情報も個人情報だと明記してあるそうだ。まさに端末IDを意味している。

「そもそもパソコンの世界では2000年ごろに、端末IDを利用するのはプライバシー上問題があるというコンセンサスができていました。端末IDを送信するソフトがあればスパイウェアだと叩かれたものです。1999年にインテルがPentium IIIのプロセッサにPSN（Processor Serial Number）というシリアルナンバーを入れて、それをECサイトで使うことを提案したのですが、プライバシーの問題が指摘されました。ボイコット運動にまで発展し、結果的に中止されました」
これと同じ問題がスマートフォンで続出しているわけだが、欧米での規制強化を受けてか、Appleは昨年UDIDの使用禁止を発表し、今年3月にはApp StoreでUDIDを使用するアプリを拒絶するようにした。また、Googleも自社が提供する広告サービス「AdMob」について、端末IDの使用を一時的に中止し、今後はよりきちんとした対応をすると発表した。

ネットのプライバシー保護が強化されている欧米に比べて、日本が心許ない状況だとすれば、私たちにはどのような防衛策があるのか。
「最近では取材が多く、同じ質問をよく受けます。私はいつも『ユーザーが気を付けなければいけないなら、その社会のほうが間違っている』と答えています。これをまず言いたい」

「行動ターゲティング広告」はオプトアウト

では、事業者はどうあるべきか。例えば、アドレス帳の内容を自動的にアップロードするアプリ。何の説明もなく行うとさすがに問題になるので、大抵の事業者はユーザーの「許可」を得ようとする。アプリやサービスが始まる前に許可を得る方式を「オプトイン」、許可なくスタートして事後に拒否できるようにしておくのが「オプトアウト」方式と呼ばれる。

「基本的には可能な限りオプトインにすべき。例えば、『これから電話帳をアップロードしますが、許可しますか？』などと説明すべきです。ただ、例外的なのがWebの行動ターゲティング広告で、歴史的にオプトアウト方式が許容されてきました。特殊な性質を持つサードパーティCookie（第三者Cookie）が使われてきたからです」
サードパーティCookieとは匿名のIDとして働くもので、流出しても流出先で個人の特定はできないとのこと。そのため、サードパーティCookieでアドネットワークの情報を収集する場合、アドネットワークのサーバーで個人を特定することはしない約束で、オプトアウト方式で構わないとされてきた。

ただ、広告に対する考え方には差がある。広告自体を邪魔に思う人もいれば、行動ターゲティング広告が、あるいはトラッキング（ユーザーの追跡）が嫌だという人もいる。米国ではWebの行動ターゲティング広告について、DNT（Do Not Track）という構想が実現しつつある。
「ブラウザの設定でトラッキングされないようにする仕組みです。昨年末にFTC（米連邦取引委員会）が事業者側に自主的な行動を促したもので、現時点では法的な規制ではありません」
いくらオプトアウト手段が用意されていても、ユーザーがそれぞれのアドネットワークにオプトアウトしてまわるのは実質的に無理だし、オプトアウトの制御はCookieで行われるため、ブラウザを初期化するとオプトアウトの設定が消えてしまう。そこでDNTというわけだ。

「日本ではどのような場合にオプトインにすべきか。先の総務省の研究会の「スマートフォンを経由した利用者情報の取扱いに関するWG」で話し合われていて、6月に結論が出そうです。大切なのは、アプリが利用者の意図に反する動作にならないようにすること」
ただ、研究会は提言を行うだけで強制力は持っていない。また、個人が特定できれば個人情報保護法の対象だが、個人が特定できないデータには法規制がない。米国でDNTが普及しても、日本でどうなるかは未知数だ。

真心を持てば、事業者は何をすべきかわかるはず

高木氏も事業者から質問を受けることがあるそうだ。例えば、アプリが情報送信についてユーザーに同意を求める画面で、どのように書けばよいかについてだ。
ただ長いだけの利用規約に情報送信の事実を書いても、事業者が義務を果たしたことにはならないと高木氏。そこには当たり前のことが書かれているはずだからだ。例えば、「利用規約に違反したお客さまは退会処分になります」という規約は常識的なものだ。退会処分にしたユーザーに文句を言われる場合など、例外的な状況への対応策として利用規約は機能する。そうではなく、ユーザーにとって意外なこと、一般的に予見できないことについては、利用規約とは別に説明すべきだという。

「感心しない事業者の例をいくつも見て思うのは、『アリバイ作り』をしていて、『一応書きました』という態度が多いこと。例えば、『収集する情報は以下の通りです』とあり、まず『OSのバージョン、ブラウザの種類、IPアドレス……』から書かれていて、最後のほうに『端末のID』とある。問題のない項目から列挙して、最後まで読ませないようにする意図を感じます。OSのバージョンやブラウザの種類の収集は常識の範囲内なので利用規約への記載でいいでしょうが、端末IDはそうではないので、利用規約とは別に説明して同意を求めないと義務を果たしたとは言えません」

大切なのはユーザーを誤解させないこと。ユーザーがよく理解していないのに、同意させてしまわないこと。高木氏はこうした注意を事業者に呼びかける。
「サービスを提供するに際して、何を収集するかきちんと説明すると、承諾を嫌がるユーザーも出てくるかもしれません。でもそれは当然のこと。それでもなお使いたい人に使ってもらえばいいのではないでしょうか。むしろ、ユーザーが誤解して情報収集に同意してしまうことは、事業者にとって好ましいことなのでしょうか。これはいわば『真心』の問題です。『お客さまを誤解させてはいけない』という心構えさえあれば、事業者は自分たちが何をすべきかわかるはずです」