情報の「削除」にも部分対応

　パスピットにはさらにユニークな機能が追加される予定だ。それは「情報の削除」に、部分的に対応するものだ。

　情報の「削除」は「開示」や「持ち出し」よりもハードルが高い。例えば、あるSNSサービスに情報を登録すると、その企業が関わるゲームや電子書籍のアプリなど他のサービスにも情報はコピーして登録される。大元のSNSに登録された情報は削除することができても、コピーされた情報まで全て消すことは難しいのだ。情報が社外にも提供されている場合はさらに削除は難しくなるし、もしもサイバー攻撃や人為ミスで情報が流出した場合は削除はまず不可能だ。

　しかし、拡散・流出した情報と、ユーザー本人のリンクを切ってしまえばどうだろうか。個人を特定できるメールアドレスや住所と結びつかなければ、購買履歴などの情報が拡散しても、ユーザー本人へのダメージは少ない。

[画像のクリックで拡大表示]

　そこで、データサインは「トークン化」と呼ばれる技術（上の図）を開発し、特許を申請している。ユーザーの個人情報から「仮のデータ」を自動生成する機能だ。例えば、ECサイトに登録する際、パスピットに保管されている本来のメールアドレス、電話番号、住所、クレジットカード番号から、「仮のデータ」が発行され、ECサイトに登録される。ECサイト側からのメール、電話、宅配便、クレジットカードの料金請求は「仮のデータ」に基づいて送られるが、パスピットがそれを「本来のデータ」へと転送してくれる。いわばネット上の私書箱だ。

　ポイントは「仮のデータ」は登録するサービスごとに生成されるということだ。使わなくなったり情報漏洩を起こしたりしたサービスについては、そのサービスの「仮のデータ」から「本来のデータ」への転送機能を無効化してしまえばいい。そうすれば、「仮のデータ」が拡散しても、ユーザーと紐づけられることはない。「削除」に近い権利をユーザーは得られることになる。

[画像のクリックで拡大表示]

　上の表を見てほしい。日本の個人情報保護法、世界で最も厳しいとされるEU（欧州連合）の情報規制、一般データ保護規則（GDPR、今年5月施行）の「開示」「持ち出し」「削除」への対応状況を示したものだ。

　「開示」は保護法にもGDPRにも権利として明記されている。しかし、少なくとも国内では企業が十分に対応していないのは先述した通りだ。これは個人情報保護委員会の落ち度でもあるのだが、詳細はいずれ別の記事で詳しく解説したいと思う。

　「持ち出し」は「データポータビリティ権」という形で、GDPRにのみ記載されており「対象企業はその対応に四苦八苦しているところだ」（個人情報に詳しいコンサルタント）。

　「削除」について、個人情報保護法は、内容が事実でない時、あるいは法に違反して情報が取得・取り扱いされた時にしかできない。ユーザーが任意で情報をコントロールすることはできない。GDPRの削除権の内容については専門家によって評価が分かれる。ユーザーが情報提供の同意を撤回した時などに行使が可能とされているが、例外規定が複雑で「実質的には日本と変わらない限定的なものだ」（ある弁護士）との声もある。

　一方、これまで紹介したようにパスピットの機能は、「持ち出し」と「削除」の機能を部分的に持っていて、「開示」を促す効果もある。その目指す情報保護体制は、個人情報保護法はもとより、GDPRよりも半歩先を行っている点がある。

　もちろん課題は多い。特に懸念されるのがサイバー攻撃だろう。IDとパスワードが一括管理されるパスピットのサーバーは、ハッカーからすれば宝の山だ。「通信経路にもデータベースにも強固な暗号機能をつけている」（太田社長）が、暗号化の対抗策も日進月歩で進んでおり、ハッカーから集中的に狙われても対抗できるだけのセキュリティー投資を続けていく必要があるだろう。

　個人のデータを売買するエコシステムはもはや生活と切り離せないぐらい浸透してしまっている。この記事だって、データのエコシステム無しには世に出ない。必要なのはシステムを壊すことではなく、その操縦桿を消費者が握ることではないだろうか。

　これまで無頓着に情報を切り売りしてきた消費者にも、消費者にろくな説明をしないままエコシステムを運営してきたネット事業者にも問題はあった。しかし、情報銀行を通して消費者はデータの価値への理解を深めることができる。ネット事業者は齟齬なく消費者と情報の売買契約を結ぶことができるようになる。つまり、炎上被害を受けるリスクが減る。パスピットのようにユーザー志向の情報銀行が普及すれば、ウェブの父が抱く懸念への対抗策になるのではないだろうか。

いいねして最新記事をチェック