個人情報が“匿名化”されても、決してプライヴァシーは守られない
Acxiom（アクシオム）やLexisNexis（レクシスネクシス）など、いわゆる「データブローカー」と呼ばれる企業が存在する。それらの仕事とは、ほかの企業からデータを購入して集約・整理し、販売することだ。
「個人情報が“匿名化”されても、決してプライヴァシーは守られない」の写真・リンク付きの記事はこちらこうした企業は、氏名のように個人を特定できる情報が含まれていない限りは、取り扱いに注意を要する個人情報を収集・共有しても問題はないと主張する。“匿名化”したデータは個人をひも付けできないので無害である、というのがその理屈だ。
しかし、2021年12月7日に開かれた米上院の公聴会で証言した通り、実際のところどんな情報からも個人は特定できる。「匿名性」とは抽象的な概念なのだ。仮に企業があなたの名前のデータをもっていなくとも（おそらくもっているだろうが）、住所やインターネットの検索履歴、スマートフォンの位置情報など、あなたを特定するほかのデータは手に入れられる。
それにもかかわらず、欠陥だらけのこの危険な言論が世にはびこり、立法者を説得できるほどになってしまっている。それゆえ、強力なプライヴァシー保護の法的規制が阻まれているのだ。
「匿名なら個人は特定できない」の嘘
人種やジェンダー、民族、宗教、性的指向、政治的信条、インターネット検索履歴、薬の処方歴、GPSの位置情報の履歴といった数千万人の米国人の情報が、市場では自由に売られている。そして、こうした情報に喜んで金を出す人間も非常に多い。
例えば、商品を売りたい広告主や保険会社、悪徳なローン会社、米国の法執行機関、詐欺師、悪用を企む国内外の個人などだ。ところが、米国のデータ仲介業者に対する規制は、ほぼないに等しい。
多くのデータブローカーは、自分たちが売買するデータは「個人と結びついていない」ので規制は不要だと主張する。数百万人の米国人の心の病の詳細が一覧になっているスプレッドシートでも、名前の欄がないので問題なし、というわけだ。
例えば、消費者の信用に関する調査を手がける調査会社のExperianは、同社が第三者と広く共有するデータには「個人情報ではない情報、個人を識別できない情報、あるいは匿名の情報」しか含まれないとしている。また、全米最大の金融データブローカーであるYodleeも、自社が販売するデータはすべて「匿名化されている」と説明する。
しかし、こうした「匿名性」によって個人への被害が防げるとする考えは、明らかに誤りだ。
膨大なデータから見えてくること
もちろん、個人の名前（または社会保障番号など、個人を明確に識別できる情報）が含まれるデータと、そうでないデータには多少の違いはある。しかし、データセットが大きくなればなるほど、その差はどんどん小さくなるのだ。
あなたにまつわる“豆知識”を例に挙げよう。あなたがもし1,000人の聴衆に向かって「好きな食べ物はカルボナーラ！」と言ったとすると、自分もそうだと言う人はおそらくほかにもいるはずだ。好きな色や旅行先、次の選挙の候補者についても同じことが言える。
ただし、自分の嗜好などの情報を50個挙げた場合、そのすべてに当てはまる人がほかにいる確率はぐっと下がるだろう。50項目のリストが手元にあれば、その簡易的なプロフィールをたどってあなたを特定できてしまう。
膨大なデータセットを保有する企業も同じだ。Acxiomのような大手データブローカーのなかには、1人の個人につき文字通り数千、数万に及ぶデータポイントを保有すると謳う企業もある。
その広範さ（性的指向や所得から購買履歴、よく行くショッピングモールや在住都市、国内での移動履歴や行動履歴まで）を考えると、各個人の唯一無二のプロフィールができるだろう。また、その深さ（検索履歴からGPSの位置履歴、薬の処方箋まで）においても、個人のプロフィールに含まれる多数の各データポイントは、やはりその人に固有のものになる。
膨大なデータを保有する企業、そしてそのデータを購入したり盗んだりする人々にとって、こうした情報と特定の人物をひも付けることは極めて簡単だ。データブローカーなどの企業はまさにそのために自ら名前以外のデータを生成している。携帯電話に付与される広告IDなどのデータを使い、ウェブサイトやデヴァイスを横断して個人を追跡するのだ。
個人を特定できずともデータは悪用される
データからの個人の特定は、恐ろしいほど容易になった。2006年にアメリカ・オンライン（AOL）がユーザー65万人の検索履歴データ2,000万件を、個人名を任意の番号に置き換えて公表した際、『ニューヨーク・タイムズ』はそのデータをもとにあっという間に個人を特定してみせている（「たいした労力はかからなかった」と記者は書いている）。
その2年後にはテキサス大学オースティン校の研究者が、Netflixのユーザー50万人の映画への評価と映画データベース「IMDb」を照らし合わせた。この有名な調査で研究者らはユーザーを特定したほか、「政治的傾向と考えられる情報やその他の機密情報」も明らかになっている。
また、ニューヨーク市が保有するタクシー走行履歴のデータセットを運転手の名前を抜いた状態で分析した研究では、ずさんな生成のハッシュコードにより91％のタクシーをたどれたうえ、運転手の収入レヴェルまで分類できてしまった。
匿名化されたデータならリスクがないとするデータブローカーの主張は、皮肉もはなはだしい。そもそもこうした企業のビジネスモデルとマーケティング手法は、実に詳細かつ高度に精選したうえで個人を追跡し、把握し、ピンポイントで的を絞ることによって成り立っているのだ。
この主張は詭弁であるだけでなく、論点ずらしでもある。データブローカーはたいてい個人名も知っているが、そもそもデータに個人の名前や社会保障番号がひも付けされていなくても、害は及ぶのだ。悪徳なローン会社や保険会社が金を出して広告ネットワークにアクセスし、ターゲットになりやすい層を搾取するといったことは相手の名前を知らなくてもできてしまう。
ブローカーがもつ詳細なユーザーデータを外国政府が利用し、ソーシャルメディアで偽の情報を流したりプロパガンダキャンペーンを打ったりするために、ユーザーの名前は必要ない。データセットに個人の名前がなくても、プログラマーは女性や黒人の顔を正確に識別しない人工知能（AI）ツールや、ただでさえ厳重に監視されている非白人住民の多い地区の警戒を強化するよう促すソフトをつくれる。
「匿名化」を軸にした法案は見直すべき
対策もとられつつあるが、多くの場合はやはりブローカー側の自主規制が求められる。数学的な手法を使って個人のデータを識別できないようにする研究も進んでおり、これがうまくいけばデータセットが漏洩したり、特定の人を狙って違法に入手されたりするリスクを減らせる。
例えば、米国勢調査局は統計的に計算したノイズを付加し、回答者から集めたデータを加工する試みを始めたところだ。これにより、データセットを閲覧する人は特定の身元を明らかにするために何らかの作業をしなければならなくなる。
ただし、その作業は必ずしも被害を防げるほど大変なものではない。繰り返しになるが、機密性の高い個人情報を大量に保有する企業であれば、個人はあまりにも簡単に特定されてしまうのだ。
機密情報や大規模なデータセットも、多少の加工があれば情報を収集、統合、分析、売買、共有しても問題ないという主張を今後も企業は通してくるだろう。議員の多くはこの主張を鵜呑みにしているようだ。プライヴァシー関連の法整備が進められているが、企業はこうした情報の加工を求められる一方で、それによって開示命令やデータ収集制限を免除されうる。
米証券取引委員会（SEC）が収集できるデータを制限する法案から、新型コロナウイルス対策の濃厚接触者の追跡に関する法案まで、プライヴァシーとデータ関連法案の多くは「個人を識別できる」データかそうでないかを区別している。この線引きをしておけば、十分な規制になるとの前提に立っているのだ。
しかし、現実には個人の識別や“匿名化”されたデータからの個人の特定がいかに容易かを示す研究や事例は、次々に示されている。
統計手法に明確に言及しないまま「匿名化」されたデータと「個人を識別できる情報」を対比させるこの考え方を、果たしてプライヴァシー保護の連邦法に援用していいものなのか、議会は真剣に見直すべきだろう。まずはGPSの位置履歴のような特にセンシティヴなデータの販売は禁じるなど、対象となるデータの種類やデータを収集・共有する手法の種類に論点を移すことから始めるべきではないだろうか。
ジャスティン・シャーマン｜JUSTIN SHERMAN
デューク大学の研究イニシアチヴ「Ethical Tech」の共同創設者でシニアフェロー。サイバーセキュリティやデータガヴァナンス、プライヴァシー、人工知能などについて研究している。
※『WIRED』によるプライヴァシーの関連記事はこちら。
