わたしのデータはだれのもの？ 情報信託機能のサービス化がもたらす効果とリスク

私は個人情報に関する知見は、一般にも広がったほうがいいと思っています。今日は個人情報の自己管理について伺いますが、伊藤さんはオープン・ナレッジ・ジャパン（OKJP）にも関わっておられます。そこではMyData/midata（マイデータ）に関わることをされているのですよね。具体的な内容を聞かせてください。

オープン・ナレッジ・インターナショナル（OKI）の本部は、イギリスにあります。2004年から欧州内で有志団体として広がり、他国にも波及しました。当初はオープンデータの普及のための団体でしたが、今は多種多様なデータを利活用し、経済の発展や人々の生活の質を向上させていくことを目的としています。マイデータの概念が具体化し、欧米政府と連携した動きを見せ始めたのは2012年くらいから。一例ですが、アメリカでMyData Initiativeが12年から動き出し、その中の主に退役軍人に向けたアメリカのブルーボタンと呼ばれる取り組みが象徴的です。これは連邦政府が管理する医療補助の受給者（退役軍人等）と診療する医師がワンクリックで本人の医療情報にアクセスできるようにするものです。その仕組みが家庭のエネルギー消費をモニタリングできるようにエネルギー分野（グリーンボタン）にも拡大されました。イギリスでも類似したプロジェクトがあり、金融、通信、エネルギー分野でマイデータの利活用が進められています。公共性の高いサービスの利用履歴を個人に還元するのが取り組みの趣旨です。

市民が自分自身に関係するデータを見られるようになったということですか。

そういうサービスが徐々に出てきました。病院や教育機関の評価といった情報はオープンデータとして公開し、公共性の高いサービスのマイデータは個人に戻していくということです。

世界でマイデータという言葉が出てきたのは、ここ10年くらいだと思いますが、ざっくりインターネット以前以後で、個人情報に対する個人の考え方は変わってきています。

国によっても違うと思いますね。欧米の場合は、オープンデータはオープンガバメントを担保するものという認識が強いですが、日本はデータを出すことによる経済効果へ期待する側面の方が強いのではないでしょうか。マイデータも同様で、欧米では消費者が自立して賢い生活をするためのものととらえられています。プライバシー保護も含めて個人を起点にとらえる側面が強いですね。先のGDPRの施行もこうした思想を支えています。

特にヨーロッパに感じることですが、個人情報を市民にエンパワーメントし、自分の情報は自分のものというインディビデュアリズムのうえに仕組み化させていますよね。この流れから近年注目されているPDSと情報銀行はどう違うのですか。

基本的に情報銀行の概念は日本にしかないと思います。国内に関して言えば、総務省の研究会や経産省のワーキンググループでパーソナルデータの活用における国際動向の一つとしてmidataが取り上げられていましたが、改正個人情報保護法の議論を機に一時棚上げになっていました。2015年に法案が成立し、翌年の世界最先端IT国家創造宣言に個人が自分のデータの流通に、関与する仕組みとしての「PDS」と、個人が自分自身のデータを信頼する事業者に託して利活用する「情報銀行」が盛り込まれました。PDSは個人が、様々な企業が保有している自分のデータと自分自身が収集したデータをデータストアに集約して格納し、信頼できる企業にだけに自身のデータを提供できる仕組みです。情報銀行はPDSのような仕組みの運用を事業者に委任して、個人に代わり事業者がデータ提供の妥当性を判断する機能です。

PDSや情報銀行は日本では誰が推進しているのですか。

政府は民間による推進を後押しする立場で、総務省・経産省による認定スキームの検討会が開催されていましたが、最終的には民間団体によって任意の認定制度が今年中には開始されることになっています。ビジネスとしては、今はまだ実証実験の段階です。昨年度までは観光分野で訪日外国人を含む旅行者向けの実証が行われていましたが、今年度はヘルスケア、金融、人材・教育など幅広い分野での実証によって、前述の認定スキームの検証や課題の抽出と解決策の検討が行われることになっています。

欧米ではもっと進んでいるのでしょうか。

PDSや情報銀行のような定義にこだわらず、自分自身の情報を集約し第三者に提供するだけでなく、それを使って自己理解やより良い意思決定ができるようなサービスが出てきています。特にEUではGDPRに対応し個人が自分自身のデータを管理できるようになってきており、自己情報コントロールを強みとしたサービスも出てきています。

日本でPDSや情報銀行のようなサービスに対して、個人はリスクへの懸念をどう捉えているのでしょうか。

2016年に行ったインテージの調査結果で、「自分のデータを自分でコントロールしたい（＝PDSを利用したい）」という回答は６割近くありました。ただ、情報銀行事業者に自分自身のデータを託したいかと質問すると、YESの回答は３割くらいしかありません。まだ、情報銀行がどのような事業者がどのようなビジネスとして行うものなのか顕在化していないので致し方ないと思います。
情報銀行は、消費者個人の指示や予め指定した条件に基づき“包括的な同意”によってデータ提供と利活用がされることになります。個別明示的な同意と比較するとデータの流通と利活用は進むと思いますが、データ提供と利活用における消費者への透明性や自身のデータをコントロール出来る機能を充実させることなどによる信頼性確保が必要不可欠です。今でも個人情報の収集や第三者提供時には、個人情報保護法に基づき消費者の同意を取得しているものの、消費者本人の同意意識が十分ではないケースが実態としてありますので、それを助長するのではなく解決するための要件が前述の認定制度には求められます。

また、企業によるパーソナルデータ利活用に対して不安を感じている層において情報銀行利用意向が低い傾向があるため、いかに生活者に対して明確なメリットを提示できるかということも、情報銀行事業者には求められます。今回の調査で、PDS・情報銀行利用意向者には３つの特徴が見られました。まず、企業が保有している自身に関するパーソナルデータは自分のモノであるという、データオーナーシップの意識が高いということ。そして、日頃から自分でプライバシーを保護する意識が高い傾向がありました。この２つの特徴からだと、単純に自身に関するデータを企業に使われたくないからPDSを利用したいのでは？と考えてしまいますが、もう一つの特徴として、自身が受けられるメリットが明確であればデータ提供意向が高まることがわかりました。当然のことですが、情報銀行事業者には生活者がデータを信託しても良いと思える説明が求められます。

データの信託に躊躇する回答が多いということですが、個人情報が漏洩したときのリスクとは何でしょうか。

氏名や住所、電話番号、クレジットカード等の漏洩による直接的な被害というより、インターネットのアクセス履歴や購買履歴など他人に知られたくないことが知られるというプライバシーの問題が大きいのではないでしょうか。クレジットカード番号等と違い、ほとんどのデータはどんな使われ方をするのかわからないものです。嗜好性の高い商品の情報が知られたときに、類似商品の業者から集中してターゲティングされたり、自分が不利益を被るプロファイリングがされたりすることがあります。そもそもその情報をどこで提供したものなのかもはっきりしない。こうしたことが漠然とした不安につながっているのでしょう。

なぜこんなことを聞いたかというと、リスクはクリアにしたほうが今後の情報流通にとっていいと思ったからです。信頼できる組織に情報を預けている分には問題ないと思ってもらえないと消費者の不安はぬぐえません。欧米では個人の履歴で差別されることがあります。階級社会が残っていたり宗教で差別をされたりといったリスクも伝えたほうがいい。リスクはあるけれども集約することでさらなるメリットも期待できるときちんと伝えていかないと、器を作っても普及しないと思うのです。

確かに消費者のデータリテラシーやプライバシーリテラシーを引き上げ、個人の意識と理解を深めていく取り組みは不可欠です。