「Do Not Track」が復活、今回は効果があるかもしれない

ユーザーがデータの共有を停止したいサイトやアプリごとに個別にオプトアウトした場合にのみ機能するプライバシー法を何と呼びますか？ 一枚の紙です。

あるいは、カリフォルニア州消費者プライバシー法と呼ぶこともできるでしょう。理論上、この法律はカリフォルニア州の住民に、あらゆる事業者によるデータ販売をオプトアウトする権利を与えています。しかし、実際にはあまり活用されていません。ほとんどの人は、すべてのウェブサイトから一つ一つオプトアウトする手間をかけません。プライバシーコンプライアンス企業であるDataGrailの分析によると、今年最初の6ヶ月間で、消費者データ100万件あたりわずか82件の「販売拒否」リクエストがあったことがわかりました。先週Consumer Reportsが発表した調査は、その理由を説明しています。すべてからオプトアウトするのは、非常に複雑で面倒な作業なのです。

しかし、変化は訪れるかもしれません。CCPAには、この個別対応の問題を解決するための仕組みが含まれています。この法律を解釈する規則では、企業はブラウザやデバイスから送信される「グローバルプライバシーコントロール」を尊重する必要があると規定されています。これは、新しいサイトにアクセスしたり新しいアプリを使用したりするたびにプライバシー設定を変更するのではなく、スマートフォンやブラウザ拡張機能で一度設定すれば済むという考えに基づいています。

司法長官がこれらの規制を発布した当時、グローバルオプトアウトを実現する技術は存在していませんでした。しかし、今日では存在します。今朝、ニューヨーク・タイムズ、電子フロンティア財団、検索エンジン兼ブラウザのDuckDuckGoなど、プライバシーに重点を置くテクノロジー企業、非営利団体、出版社のグループが、新たなグローバルプライバシーコントロールのベータ版リリースを発表しました。その狙いは、CCPAに基づくユニバーサルオプトアウトとして認められる技術仕様を作成することです。これにより、CCPAに基づく権利行使が、絶望的に複雑なものから極めて容易なものへと変化します。

「これはカリフォルニア州法で求められている重要な要素、つまり消費者が各ウェブサイトにアクセスしてボタンを探すことなく権利を行使できる簡便な方法を提供するものとなるでしょう」と、この取り組みを主導したプライバシー研究者のアシュカン・ソルタニ氏は述べた。ソルタニ氏はプライバシー管理の最前線で誰よりも多くの時間を費やしてきた。10年前、連邦取引委員会の技術者として、彼は「Do Not Track」ウェブ標準の開発に携わった。これは普遍的なオプトアウトを確立することを目指したものだった。しかし、この取り組みは最終的に失敗に終わった。企業にはDo Not Trackの要請に応じる法的義務がなく、ほとんどの企業が応じなかったからだ。

言い換えれば、当時の技術は法律をはるかに先取りしていたと言えるでしょう。しかし今、CCPAによって状況は逆転しています。「法律は、初めて、ある意味で技術を先取りしていると言えるでしょう」とソルタニ氏は言います。

新しいグローバルオプトアウトのアイデアは、ウェズリアン大学のコンピュータサイエンス教授であるセバスチャン・ジメック氏が始めたものです。ジメック氏は昨春、学生たちと共に「OptMeowt」と呼ばれるChrome拡張機能の開発に着手しました。4月にはソルタニ氏と連携し、ソルタニ氏の協力を得て、より多くの協力者をこの取り組みに引き入れました。本日より、ユーザーはMozilla、Brave、DuckDuckGoなどのブラウザ、およびChrome用のDuckDuckGoプライバシー拡張機能で、グローバルブラウザオプトアウトを設定できるようになります。企業がプライバシーコントロールに対応するために必要なコードは公開されています。ニューヨーク・タイムズ紙とワシントン・ポスト紙をはじめとする、賛同を表明した出版社は、このシグナルを尊重することに同意しています。

カリフォルニア州の住民にとって、司法長官がグローバルプライバシーコントロールを施行した場合、サードパーティのCookieブロッカーなどの既存のプライバシーコントロールとは大きく異なる影響が生じることになります。これらの設定は、ウェブサイトやアプリがユーザーから直接収集したデータをどのように扱うかを制御できません。一方、グローバルコントロールは法的拘束力のある命令を発令し、違反した場合には多額の罰金が科せられることになります。

この新しい仕様は、カリフォルニア州司法長官の承認を得るまで法的拘束力を持たない。承認を得たとしても、いくつかの障害が大きな影響を及ぼさない可能性がある。CCPAにおける「販売」の定義は依然として議論の的となっており、最終的には裁判で決着をつける必要があるかもしれない。しかし、たとえこの問題が多くのユーザーデータ共有を免除する形で解決されたとしても、その後退はおそらく一時的なものにとどまるだろう。11月に住民投票にかけられる提案24号として、カリフォルニア州プライバシー権法は「販売禁止」を「販売・共有禁止」に明確に変更している。成立が見込まれるこの法律は2023年まで施行されないものの、最終的には企業にグローバルなプライバシー管理の遵守を義務付けることになるだろう。

これにより、カリフォルニア州のインターネットユーザーにとって、そしてワシントンが注目すれば全米規模で、プライバシーが真の権利となる可能性がようやく高まる。また、マイクロターゲティング広告をベースとしたビジネスモデルから企業を遠ざける可能性もある。「この法律は、企業が他の収益源を見つけるよう促すものであり、その方法は数多く存在します」とソルタニ氏は述べた。これはひいては、苦境に立たされているニュース業界にとって救いとなる可能性がある。クロスサイトトラッキングに頼ってユーザーをターゲティングできない広告主は、特定の出版物への広告掲載を通じてオーディエンスにリーチするインセンティブが高まるからだ。

ニューヨーク・タイムズのデータ​​ガバナンス担当バイスプレジデント、ロビン・バージョン氏は、アドテク企業とのデータ共有契約により、「パブリッシャーはもはや自社のオーディエンスデータの独占的な所有者ではない」と述べた。そのため、忠実なオーディエンスを構築して収益を上げることが難しくなっている。タイムズは読者から得た独自のファーストパーティデータに基づくターゲティング広告への移行を示唆しているが、それに追随できるほどの規模の購読者基盤を持つパブリッシャーはごくわずかだ。サードパーティ広告の蛇口を一方的に閉めるのはリスクが大きすぎる。しかし、ユーザーがグローバルなプライバシーコントロールを大規模に導入すれば、集団行動の問題を解決し、パブリッシャー自身を救うことができるかもしれない。「パブリッシャー同士が競争する市場で、もし私たちの1社がデータを引き出すことを決定すれば、そのパブリッシャーは広告市場で不利な立場に置かれる可能性が高い。しかし、ユーザーが強制力を持ち、『待ってください、もう私のデータは売らない』と言うなら、それはすべてのパブリッシャーに平等に適用されるのです。」