-
お電話での問い合わせは03-6805-2586
- メールフォーム
お電話での問い合わせは03-6805-2586
英国情報コミッショナーの「オンライン広告提案のためのデータ保護とプライバシーの期待」というガイダンスがでています。リンクは、こちらです。
プレスリリースは、こちらで、その日本語訳は、まるやまさんのところ。
サマリーは、こんな感じです
オンライン広告は、広告主が自社の製品やブランドを個人に届けることを可能にすると同時に、組織がオンラインサービスの資金源となる収入を得るのにも役立ちます。オンライン広告は、広告技術（アドテック）プロバイダー、パブリッシャー、広告主からなる大規模なエコシステムを支えています。また、大手テクノロジー企業の収益のかなりの部分を占めています。
広告主は自社製品を購入する可能性のある個人に広告を表示したいと考え、個人は自分に関連のある広告を見たいと考えているというシンプルなコンセプトです。その背景には、個人データのプロファイリング、トラッキング、オークション、共有など、複雑なデータ処理の仕組みがあります。個人データに依存しているということは、データ保護法が、信頼と信用を築き、個人データの悪用から国民を守るために重要な役割を担っていることを意味します。
オンライン広告で使用される技術とその展開方法は、プライバシーを非常に侵害する可能性があります。アドテックとリアルタイム入札に関するコミッショナーの2019年のアップデートレポートでは、アドテックのエコシステムに関する懸念が示されています。特に、1をターゲットにしてプロファイリングするための個人データの収集と処理を可能にする上で、Cookieと同様の技術が果たす重要な役割について取り上げています。
2019年以降、業界は、アドテックがもたらすリスクに対処し、より侵入性の低いトラッキングおよびプロファイリング手法に移行しようとするいくつかのイニシアチブを展開してきました。これらの中には、「サードパーティークッキー」（TPC）やその他の形態のクロスサイトトラッキングの使用を段階的に廃止し、代替手段に置き換えるというGoogleやその他の市場参加者の提案が含まれています。
情報コミッショナーは、競争市場局（CMA）と協力してこれらの動向を評価し、データ保護法と競争法の要件を満たすようにしている。2021年5月に発表された情報コミッショナー事務所（ICO）とCMAの共同声明では、競争とデータ保護の両方の目的が達成されたときに、消費者の利益が最も守られると概説されています。 ICOとCMAは、アドテクノロジー業界の開発がデータ保護に準拠した方法で行われ、適切なレベルの競争が確保されるよう、今後も緊密に協力していきます。Googleと他の市場参加者の両方からの提案は、まだ完全には実現していません。提案の開発者にとっては、データ保護を設計上のアプローチで純粋に適用することを考える機会の窓があります。コミッショナーは、グーグルや他の参加者には、彼らの提案が本意見書で示された期待にどのように応えているかを示すことをお勧めします。
新しい取り組みは、アドテックがもたらすリスクに対処し、データ保護要件を最初から考慮しなければなりません。既存のトラッキング慣行（2019年の報告書に記載されているようなもの）を維持または再現する効果のある提案は、ICOがすでに説明している重大なデータ保護リスクへの対応としては受け入れられない。
情報コミッショナーは、以下のような提案を期待しています。
本意見書は、発行時点での情報コミッショナーの見解を示すものです。情報コミッショナーは、さらなる調査結果や主要な利害関係者との関わりに基づいて、異なる見解を示す可能性があります。
2 序(Introduction)
この意見書の目的は、オンライン広告の市場の参加者に対して
デザインによるデータ保護とデフォルトによるデータ保護の原則を真摯に遵守することを示し、
オンライン広告への現行のアプローチに特徴的なデータ保護とプライバシーの害に効果的に対処する提案を行うこと。
であるとされています(5頁)。また、
2019年の報告書で提起された懸念事項に対処する必要性を強化すること、 CMAとの共同作業に関するコミッショナーの見解を明確にすること、 データ保護およびその他の関連法の適用に関するよくある誤解に対処すること。
も、目的としています。
コミッショナーの広告テックに対する検討として、リアルタイムビッディング、OpenRTB、 Google Authorized Buyersd への取組があります。また、公表者(publisher)などの財務的に脆弱なオンラインサービスについての報告もあります(Cairncross review )。もっとも2020年からのコロナウイルス対応のために、優先が変わり、一時休止しました(以上2.1 アドテックへのコミッショナーの取組)。
2.2 近時の市場の発展においては、サードパーティクッキーのフェードアウトの方向性、アップルの追跡透明性、トラッキング防止の技術動向などがふれられています。特にグーグルの動向が注目がなされています。
2.3は、この意見の目的です。
これらのイニシアチブを開発する人々へ
設計段階でデータ保護原則に準拠して構築する。
長期的には、データ保護の不履行や個人への損害のリスクを軽減する。長期的に個人に害を及ぼすリスクを軽減すること
ができるようにすることが目的であるとされています。
2.4 この意見の範囲であって、UK GDPRの58条(3)、2018年データ保護法115条(3)によるものであることが明らかにされています。また、2003年プライバシー電子通信規則(改正)も根拠になります。
3 オンライン広告の発展(Online advertising developments )
2019年にICOが報告をなしてから、特にクッキーの利用を制限することについて、たくさんの発展があったことがふれられている。コミッショナーは、オンライン広告の押しつけがましくないアプローチへの移行を支持している。一方で、アドテック市場とブラウザおよびモバイルプラットフォーム事業者との間に大きな緊張関係が生まれている動きもある。例えば、パーソナライズされた広告ターゲティングの役割と、その広告の価値測定（すなわち、どのようにしてユーザーに広告を届けるか、そして、その広告が価値を生み出したかどうかをどのように測定するか）である。
コミッショナーは、
を支援するとしています。
まずは、定義から、W3Cの定義で、「オンライン追跡」とは
複数の異なる文脈における特定のユーザーの活動に関するデータを収集し、その活動から得られたデータをその活動が発生した文脈の外で保持、使用、共有すること。
をオンライン追跡と呼んでいます。 データ保護では、オンライントラッキングとは、異なる目的のために、異なる手段で行われる、異なる処理活動を説明または参照する用語です。一企業から大企業まで、さまざまな組織がこれを実施することができるので、
原則として、オンライントラッキングは、特に長期間にわたる個人の行動（個人およびそのデバイスの行動、位置、動きを含む）を監視することを含む処理活動とみなされ、特に以下の目的に使用されます。
- 個人に関するプロファイルの作成
- 個人に関する行動や意思決定
- 個人への商品やサービスの提供
- 個人が利用するサービスの有効性の評価
- 個人の嗜好、行動、態度の分析や予測.
いかなる目的であれ、オンライントラッキングは、個人の権利や法律の広範な規定の遵守を犠牲にして行われてはならない。
とされます。
この法律は、個人の権利を保護すると同時に、個人データが経済やより広い社会にもたらす機能を認識することで、バランスを取ることを意図しています。これは、オンライントラッキングが行われてはならないということではありません。重要なのは、その目的が合法的であり、除外事項が適用されない限り、個人が以下のことを行うことです。
- 個人が取扱を意識していること
- 自分のデータを意味のある形でコントロールできること、
- 自分の権利を行使できること。
これについては、
があげられています。
IETFがクッキー(RFC2109)の使用を公表したのは、1997年2月のことであったこと、この時点では、ブラウザのURLとマッチするものでなければならなかったこと、きわめて個人的な性質をもつデータを収集し、取り扱うものへと代わっていったこと、コミッショナーは、トラッキングは、他の手段でも継続していくこと、重要なデータ保護のリスクが、データを含む取扱を意識しないところで、発生することなどを論じています。
ここでは、私のブログでもふれているアップルの動き以外にも、ブレーブソフトウエア(Braveブラウザ)、マイクロソフト、モジラの動きにをふれています。
これは、他のエントリでもふれているので省略。
透明性同意フレームワークは、ブログでもふれています(3.6.1)。
GPCは、個人がオンラインサービスに自分のプライバシー設定を通知できるようにするための仕様案です。GPCは、ブラウザの設定や、個人がインストールできる拡張機能の形で提供されます。有効にすると、データの販売や共有に関する個人の好みを伝える信号が各サイトに送信されます。これは、歴史的なTracking Preference Expression仕様（「Do Not Track」またはDNT）と類似しています。
先進データ保護コントロール(Advanced Data Protection Control (ADPC))(3.6.3)
これは、RESPECTeD Projectによって開発されています。ADPCは、ユーザーのプライバシーに関する意思決定とデータ管理者の対応を伝達するための自動化されたメカニズムです。ADPCは、ユーザーが自らのオンライン・プライバシーを、人間中心の強制力のある方法で保護できるようにすることを目的としています。また、オンライン出版社やサービスプロバイダーがデータ保護や消費者保護の規制を遵守することを支援しています。
仮名化といわれますが、その場合には、端末機器の情報が処理される場合、その情報が個人データであるか否かに関わらず、PECRの第6規則が適用されます。また、個人データの概念は、直接的な識別可能性よりも幅広い。情報は、それが識別されたまたは識別可能な個人に関連する場合、個人データとなります。識別可能な個人とは、直接的または間接的に識別できる個人を指します。データ保護法では、個人データの定義に「オンライン識別子」も含まれていることは、留意が必要であるとされています。
したがって、ICOは、個人が自分の好みを簡単に表明し、それが訪問するオンラインサービスに反映されるような手段を提供しようとする提案の一般的な意図を歓迎します。コンセプトとしては、これらの提案は、2019年の報告書で指摘されたリスクや有害性の一部を軽減する可能性がある（例えば、個人のコントロールを強化することで）。また、G7当局の活動にも貢献する可能性がある。ICOは、どのような提案であっても、ユーザーに意味のある選択肢を提供し、追跡やプロファイリングを受けないことを決定できるようにしなければならないと繰り返し述べています。2019年の報告書で強調された基本的な問題を本質的に再パッケージ化した提案は、コミッショナーの期待に合致しません。ICOは、他のデータ保護当局やCMAと協力して、ユーザーが意味のある選択とコントロールを行使する能力を探求し、さらに強化していきます。
アプローチが潜在的なウェブ標準に関わる場合や、より広範なウェブに大きな影響を与える可能性がある場合、コミッショナーはすべての提案に、 開発ライフサイクルの適切な段階でW3Cのような組織と連携していること 、 適用されるレビュープロセスを経ていることを期待しています。
共同声明をだしたこと、グーグルプライバシーサンドボックスについての調査を開始したことなどが紹介されています。
これについては、
データ保護法は、ウェブ標準化団体またはデータ分類がこれらの用語に与える意味の中で、第一当事者の概念を第三当事者の概念に比して本質的に有利にするものではありません。
これらの区別は、以下の点に関連しています。
- 行われている処理活動
- 処理に関与する組織の役割の特定（例：処理の目的と手段を決定する責任者）
- 処理が個人の権利と自由に及ぼすリスクと、その検討方法。
(略)どのような場合でも、データ保護に関する主な検討事項は以下の通りです。
- 情報が個人データであるかどうか – 処理の目的と手段を決定する責任が誰にあるか
- 処理が公正、適法かつ透明であるかどうか（すなわち、データが収集されたときに個人に何が伝えられたか）
- データが処理される予定の目的
ここでは、UK GDPRにおける目的の限定が述べられており、また、PECR(電子通信プライバシー規則)も同様です。また、目的の適用可能性、目的の変更についても論じられています。
データ保護法における正当な利益は、処理のための最も柔軟な合法的根拠ですが、組織はそれが最も適切な根拠であると仮定することはできず、正当な利益に依拠する場合、組織は人々の権利と利益を考慮し保護するための特別な責任を負うことになること、正当な利益には3つの要素があり、組織はこれを3つの部分からなるテストと考えることができます。組織は、正当な利益を特定し（「目的テスト」）、それを達成するために処理が必要であることを示し（「必要性テスト」）、個人の利益、権利、自由とのバランスをとる（「バランステスト」）必要がある。
3つのパートからなるテストの詳細については、組織は関連する事実についてケースバイケースの評価を行う必要があります。
組織は、開示が公正で本来の目的に適合している場合、グループ内での送信または他の組織との共有に関連してデータを処理することができる。
開示側の企業は開示を正当化する必要があり、また、データを受け取る企業は、データを受け取った経緯を考慮して、自らの処理を正当化する必要がある。
内部または外部の新しい目的のためにデータを渡すことは、状況を考慮して当初の目的と両立しない場合にはできない。さらに、内部管理目的のグループ内送信に関する英国GDPRの説明書に記載されている解釈指針は、組織がこの種の処理について常に正当な利益に依拠できることを意味するものではありません。4内部管理目的」という言葉は、その言葉の通常の意味が示すように、広い範囲に適用されるものではありません。他の目的のための送信は、この状況の外にあります（例えば、新しい商業目的のため）。
プラットフォームがデータ保護を「楯」として使っているのではないかという点について、ICOは、 データ保護法 は、 公正かつ妥当なデータ共有を可能にすること（例えば、信頼性を高め、個人の選択の幅を広げ、イノベーション、競争、経済成長を促進する手段として） 、 個人データを特定の目的のために収集し、その目的と両立しない方法でさらに処理しないことを要求しているとします。
これに関連して、ICOのデータ共有コード・オブ・プラクティスは、組織がプライバシーを保護し、個人の権利を維持しながらデータを共有するために必要なステップを示しています。このコードは、組織がデータ共有について意思決定する際に役立つ実践的な枠組みを提供し、誤解を解消している。
最終的には、アドテックエコシステムは、2019年の報告書に記載されている、市場参加者がデータを利用できるようにする方法における重大な説明責任の弱点に対処しなければなりません。また、個人データを共有しなくても、競争法やデータ保護法の要件を満たすことができるかどうかを、組織が検討する必要があるということです。
コミッショナーとしては、「データ保護バイ・デザイン」「利用者の選択」「説明責任」「目的」「ハームの減少」の期待に適合した解決、提案、イニシアチブを望むとする。
上記原則をための推奨事項があげられています。
5.2.1 デザイン選択を明らかにして説明すること
5.2.2 利益について公平で、透明であること
5.2.3 データの収集と取扱を最小化すること
5.2.4 利用者を保護し、意味のあるコントロールを与えること
5.2.5 必要性と比例性
5.2.6 適法性、リスク評価および情報の権利
5.2.7 特別のカテゴリーのデータ
そして、
最終的には、新しいオンライン広告の提案は、デジタル経済を弱めるのではなく、信頼と信用を向上させるものでなければなりません。解決策は、プライバシーを尊重しつつ、他の関連法にも十分に配慮したものでなければなりません。法律に準拠していない慣行を複製したり、維持しようとしたりしてはなりません。また、ユーザーにプライバシーやセキュリティに関する新たなリスクをもたらすものであってはならず、これらのリスクはソリューションの導入前に対処・軽減されるべきである。
としています。
コミッショナーは、個人データの侵入的な取扱等に関する現在の取扱を変更しようという動きを歓迎していること、その動きは、頻繁に変更されており、コミッショナーとしては適時に適切なの提案をなす権利をそうしていること、オンライン広告産業の参加者がプライバシーサンドボックスが安定した地点に到達するもまで待つことがないように考えていること、がふれられています。
オンライン追跡技術の実務が侵害的であることを認識すべきであること、、現行の運用は、意味ある変更とならない、産業界は、変更の必要性を認識すべきであるということを論じています。
競争との関係では、デジタル経済全体で効果的な競争を確保することの重要性を認識している。しかし、プライバシーを重視した開発は、このような状況の中で維持され、増幅されるべきであり、「より良い」市場力学を生み出すために破壊されてはならなとしています。
コミッショナートCMAの協力は、
をなしています。
健全な市場とは、設計によるデータ保護に基づいて構築され、個人の利益、権利、自由に焦点を当てたプライバシーを尊重したイノベーションを可能にすること、意味のある選択は、個人に利益をもたらし、企業間の効果的な競争を支えることなどが述べられています。
コミッショナーは、特に以下のような意見を歓迎します。
この意見をどのように理解するのか、ということになるかと思います。個人的には、ICOとCMAの共同声明は、しっくり来ることがあったのですが、この意見書は、結局、データ保護の見地からの一般論を述べるだけで本当の問題、私にすると、プライバシーの保護の本質とそのもとでのデータ保護と競争の関係と考えているので、その点については、一切ふれていないということになります。
この点については、図解したので、もう一度だします。
基本権レベルで保護されるべきプライバシーの利益というのは、データ保護の規定と競争などのバランスの中で、実現されていくべきで、データ保護のみをむやみに拡大しても、逆に、競争が削減されて、かえって、プライバシーの利益が危険にさらされるのではないか、反クッキーといっていること自体プラドックスを内包しているのではないか？というのが私のブログの主張になります。
それは、コミッショナーは、データ保護の局面だけ考えていればいいということなのだろうと思いますが、むしろ、CMAから突きつけられているのは、プライバシーの保護のためには、データ保護と競争のレベルのチューニングが大事なのではないか、ということだろうと思います。デフォルトで、10％くらいしか、クッキーを有効としないナッジというのは、ユーザが適切な情報が与えられているのか？ということ、広告の規制は、結局、価格の高騰につながりますよ、ということも情報の対称性については、重要なのではないの？というわたしの疑問には、ふれられてもいないですね。
でもって、翌日に、グーグルからの確約の改正版についてのCMAのコメントがなされることになります。それは、次のエントリで。
