誰が｢個人情報の警察｣になるのか。アメリカで進むプライバシー規制と提言

こんにちは。パロアルトインサイトCEO・AIビジネスデザイナーの石角友愛です。2019年の11月19日に、政府が首相官邸でデジタル市場競争会議を開き、GAFAからヒアリングを実施したことがニュースになっていました。

2020年の通常国会に規制強化の法案を提出する予定で、私も内閣官房の｢デジタル市場競争評価体制準備室｣という専門組織のメンバーにデジタル市場のルール整備に関して定期的に意見提供をしています。

その中で感じる、日本政府が現在懸念していることを踏まえて、アメリカにいる立場から見える｢プライバシーの問題｣を今回はまとめたいと思います。

カリフォルニアのプライバシー規制｢CCPA｣が大きな一歩である理由

アメリカでは、Facebookによるケンブリッジ・アナリティカ疑惑のあと、プライバシーに関する課題がさまざまな側面から議論されています。

例えば、カリフォルニア州ではCCPA（California Consumer Privacy Act、カリフォルニア州消費者プライバシー法）が2020年1月から施行されます。

法律の中身としては、GDPRと比較されることも多いので、ここに簡易的な比較チャートを作りました。

（参考：https://www.bakerlaw.com/webfiles/Privacy/2018/Articles/CCPA-GDPR-Chart.pdfとhttp://www.intellilink.co.jp/article/column/security-gdpr01.html）

2つの規制を比べると、GDPRはCCPAよりはるかに広義な領域で規制をかけている（EUの消費者へサービスを提供する事業者がほぼ全て対象になるGDPRに対し、CCPAは売上規模などで線引きをしている）ことが分かります。

また、GDPRは基本的にデータの共有や処理、販売に関して消費者の同意を取らなければいけないオプトイン制なのに反し、CCPAはデータ販売を個人が拒否することができるオプトアウト制なのが大きな違いです。

CCPAで面白い点は、企業が収集した個人情報のカテゴリーや情報源、情報の用途や情報の開示先などを消費者が開示請求する権利が与えられ、過去12カ月分の個人情報のコピーを受け取る権利も与えられます。

つまり、データの収集、処理、販売自体は規制されておらず、あくまで消費者が情報開示を求めた場合に開示する義務や、個人情報の販売停止を求める権利が与えられるというものです。

Facebookでは当時、ユーザーに全く知らされずに本人だけではなく、本人の友人のデータまで第三者機関（アプリデベロッパーなど）に共有されていた事実を踏まえると、CCPAは大きな一歩だと言えます。

さらに規制強化に向かう法案も数々提出されています。

例えば、オレゴン州のロン・ワイデン議員により提出された法案はCDPA（Consumer Data Protection Act、消費者データ保護法）というもので、個人情報の共有や販売の権利は全て消費者に与えられるものとみなし、FTC（連邦取引委員会）がそれを監視する役割を担うべきというもの。

罰金としては年間の収益の4％、また経営陣に対して10〜20年の刑事処罰という厳しい内容になっています。

また、銀行や法律事務所などが個人情報の取り扱いに関して多くの規制や義務が課されるのと同じように、ビッグテック企業（オンラインサービスプロバイダー）にも同じように義務付けるべきだという考えも生まれてきています。

ハワイ州のブライアン・シャッツ議員により提出されたData Care Act（データケア法案）は、ソーシャルセキュリティー番号や電話番号などの個人情報を扱うビッグテック企業に対しての規制強化を主な目的としています。

誰が｢個人情報の警察｣になるのか

　PAIoneerPRO会員に登録 ▷　
PAIoneer PRO
詳細はこちら

　会員の方はログイン▷