米国FTCのデータブローカー企業に対する対応状況

1.はじめに

米国連邦取引委員会（FTC）は、2014年5月27日に「データブローカー：透明性と説明責任を求める」と題するレポートを公表した（※1）。本レポートは米国におけるデータブローカー（日本では「名簿屋」と呼ばれることが多い）9社の分析とその問題点を指摘し、その対策としての立法化の提案を行っている。本稿では、本レポートの概要とその論点について紹介をする。

２．レポートの概要

本レポートでは、米国における９つの主要データブローカー企業を対象に、これらデータブローカー企業がどのように消費者の個人データを収集しており、そして収集したデータをもとにどのようなビジネスを展開しているのかについての分析がなされている。本レポートで分析対象としている9つのデータブローカー企業は以下の9社である（※2）。

本レポートでは、これらデータブローカーのビジネス実態を分析した上で、彼らが保有する消費者のデータに、消費者自身がアクセス、修正、削除する機会が明確に提供されていないことを問題点として指摘している。そして最後にこれらプライバシーリスクに対応するために、データブローカー対策としての立法化を提言している。

FTCが立法化を求める点は主にデータブローカーの透明性と説明責任(Transparency and Accountability)にある。たとえば、消費者が自身のどのようなデータが収集されているのかを確認できるようオンラインポータルを用意したり、消費者がデータ収集をオプトアウトできる仕組みや収集されたデータを修正できたりするような権利を持たせるといった点を提言している。具体的な提言内容については、【別紙１】にまとめたので、そちらを参照いただきたい。

３．論点

FTCの本レポートは、同じく5月にホワイトハウスが公表したいわゆるビッグデータレポート（※3）と同様の問題点を指摘している。ビッグデータレポートでは、「データブローカーサービスは無規制」になっているとし、「消費者が不正確な情報を修正したり削除したりできる能力を特に重視すべき」と指摘していた（※4）。この指摘も踏まえて、FTCはレポートにおいて、いかに既存のデータブローカー企業がこういった消費者情報へのアクセス権を与えていないのかついて明らかにしたといえるだろう。

しかしながら、FTCはデータブローカー対策については、2012年に公表されたレポート（※5）でも対策の必要性を訴えてから、以降現在までデータブローカー対策については継続的に取り組んでいる活動でありながら、未だにデータブローカー対策のための新たな規制や、データブローカーの企業慣行に大きな変化をもたらすに至っていないのも事実である。

こういった対応の遅さもあり、今回のFTCレポートの分析についてもまだ不十分であると指摘する声もある。例えばTechnology Policy Instituteのトーマス・レナード社長は、「実際にデータブローカー企業によるどのような実害（harm）があるのか明らかにせず、潜在的なリスクがあるという理由だけで規制しようとしている」といった指摘をしている（※6）。この点につき、例えば、ホワイトハウスのビッグデータレポートと同時に公表された大統領科学技術諮問委員会のレポートでは、具体的な利用にあたっての被害を踏まえ、政策が必要といった主旨の以下の提言がなされていた（※7）。

政策はデータ収集・分析にではなく、ビッグデータの実際の利用に焦点をあてるべきである。実際の利用とは、個人に対する不利な結果や被害をもたらす何かが起こる特定のイベントを意味している。

上記提言を踏まえると、データブローカーに対する規制を導入するためには、FTCはデータブローカーがもたらす「具体的な被害」が何かを明らかにすることが求められるといえるだろう。

また、本FTCレポートで分析対象となっているAcxiom社のチームプライバシーオフィサー(CPO)である、Jennifer Barrett Glasgow氏は本FTCレポートについて以下のようにコメントをしている（※8）。

FTCレポートにおける、長年産業全体の行動規範であると同様、我々の行動規範でもあった慣行を求めているという分析に対しては概ね同意する。レポートではこれら行動規範を具体的に法律にすることを求めている。

また、ダイレクトマーケティング協会(DMA)の取締役であるPeggy Hudson氏も、同様にFTCレポートの内容については同意する形で以下のようにコメントしている（※9）。

我々はFTCのこの問題に対する継続的な関心に対して感謝する。告知や選択、透明性といった要求は、我々の業界の倫理規範として既に保障されており、DMAも40年以上も取組み、強制化してきたものである。

以上のような（皮肉的な？）コメントからも明らかな通り、今回公表されたレポートは実際のデータブローカー企業に対しては大きなインパクトを与えるものとなっていないといえるだろう。この点は、今後FTCは「具体的な被害」を明確に提示した上で、明確な提言が求められるのではないか。上述のTechnology Policy Instituteのトーマス・レナード社長の下記のような指摘は、この問題に対する一つの問題提起を投げかけているといえるだろう（※10）。

FTCも「より具体的な法制立案にあたっては費用便益に重点を置いて検討していくことが重要になる」ことは認識している。この費用便益分析はFTCの仕事であり、FTCの経済部局はこれができる十分な能力を有するエコノミストを数多く有している。しかし、私の知る限り、FTCはこれまでの何年もの間に出されたどのようなプライバシー提言レポートにおいても、費用便益分析はなされていない。

４．まとめ

今回FTCが公表したデータブローカーレポートによって政策や産業慣行に大きな変化がでてくるかについては、上記でも記載したとおり、まだ乗り越えるハードルは多く、本レポートによってすぐに大きな変化がでてくる可能性は低いと思われる。立法化については、現在Jay Rockefeller上院議員、Ed Markey上院議員が上院に「データブローカー説明責任と透明性法案（※11）」を提出しているが、本法案も現在のところ成立できるかどうかは不透明なところが大きい。なお、同様のデータブローカー対策法案（※12）がカリフォルニア州でも提出されていたが、2014年5月8日に開かれた上院では承認されたものの、2014年6月26日の下院において否決されている（※13）。米国内において最もプライバシー権の取組みに先進的なカリフォルニア州でさえもデータブローカー対策にあたっては苦労していることから、全米での立法化についてはより難しいと考えられる。

（7月28日追記）
「４．まとめ」にて、カリフォルニア州のデータブローカー対策法案の状況に関し、2014年6月26日の下院において否決されたと記載し ておりましたが、正式にはまだ否決されておらず審議中となっておりましたので、修正いたします。ただし、6月26日の委員会にて法案の修 正が指示されたため、成立は難しいと見られています（※14）。本点について、記載内容が不正確だったため、修正・追記します。