店舗は顧客の行動を逐一追跡していることを顧客に伝える義務がある

WIREDに掲載されているすべての製品は、編集者が独自に選定したものです。ただし、小売店やリンクを経由した製品購入から報酬を受け取る場合があります。詳細はこちらをご覧ください。

サンフランシスコの新NBAアリーナに隣接するガジェット販売店B8taの光沢のある店舗の外にある注意書きは、膝頭に目が光る人なら誰でもすぐにわかる。「お客様のプライバシーを大切にしています」と書かれた小さな看板には、ウェブアドレスとQRコードが記載されている。

好奇心旺盛で、これらの指示に従うだけの体力がある人は、小売店のオンラインプライバシーポリシーに誘導されます。そこには、店内に入ると個人情報を自動的に収集する技術の影響を受ける可能性があることが明記されています。これには、スマートフォンの位置情報と固有識別子を記録する「スマートフォン検出器」やWi-Fiルーター、年齢と性別を推定するソフトウェアを搭載したカメラなどが含まれます。

B8taは、カリフォルニア州の6店舗にこの看板を設置し、オンラインプライバシーポリシーを昨年末に拡充しました。これは、今月施行されたカリフォルニア州消費者プライバシー法という新しい州法への準拠に向けた準備の一環です。この法律は、企業に対し、消費者から収集する個人情報の内容について、収集時または収集前に開示することを義務付けています。また、州民には、収集された個人情報の削除を要求し、企業によるデータの販売を禁止する権利が与えられています。

CCPAの最も目立った影響は、カリフォルニア州民に蔓延するウェブサイトのポップアップ広告です。しかし、この法律はオフラインでのデータ収集にも適用されます。B8taの新たな標識と開示情報は、実店舗がWi-Fiルーターやその他の店舗内センサーを利用して、オンライン小売業者や広告ネットワークの顧客分析や追跡に対抗しようとしている実態に、CCPAが新たな光を当てる可能性を示しています。

カリフォルニア州議会は、2018年にCCPA（プライバシー保護法）の成立を急ぎました。これは、60万以上の署名を集めた、プライバシーに関するより厳格な住民投票を阻止するためでした。その過程で、市民が違反を訴えることを認める条項が削除され、州司法長官が唯一の執行機関となりました。しかし、CCPAは、2018年に施行された影響力のある欧州連合（EU）のプライバシー保護法であるGDPRよりも、ある意味ではより広範なものです。

カリフォルニア州法では、個人情報の定義がより広く、例えばGDPRでは含まれていない世帯に関するデータも含まれるなど、幅広く定義されています。CCPAでは、企業に対し、個人データの販売方法の詳細を開示し、消費者が販売を拒否できる権利を与えることを義務付けており、「販売」の定義は広義で、データと価値あるものの交換も含まれるとされています。

CCPAの制定につながった法案の共同執筆者で、元CIAアナリストの弁護士メアリー・ストーン・ロス氏は、CCPAは小売業者による店舗内追跡の利用に関する研究に一部触発されたと述べている。「CCPAが効果を発揮するためには、オンラインでの収集だけでなく、あらゆる情報収集を網羅する必要があることは明らかでした」と彼女は述べている。

1月1日に施行された法律では、企業は消費者に対し、個人情報を収集する旨を「収集時または収集前に」通知しなければならないと定められています。7月の施行開始に間に合うように最終決定される予定の司法長官による規制案では、物理的な施設において、紙の通知を配布するか、ウェブリンクを記載した「目立つ標識」を掲示することが推奨されています。

B8taは、膝丈の掲示物が顧客に情報を提供する、あるいは「目立つ」とみなされる根拠について説明を拒否した。Appleストアに似た同社の店舗では、ASUSやGoogleといった有名ブランドの製品と並んで、Eインクタイプライターなどの個性的な消費者向けガジェットが並んでいる。同社は新たなパートナー獲得の売り文句として、顧客が展示商品にどのように反応し、どのように商品の近くに滞在するかに関するライブデータを提供できる店舗の能力を挙げている。

店舗で顧客からデータを収集している他の企業は、開示に関して異なるアプローチをとっています。

ブラジルのステーキハウス、フォゴ・デ・チャオの常連客は、1月初旬にサンフランシスコ店を訪れた際に、CCPAに関する印刷された通知を受け取りました。通知には、同社が購入時や予約時に個人情報を収集していること、防犯カメラを使用していること、そしてレストランのゲストWi-Fiについて言及していることが記載されていました。同社の更新されたオンラインポリシーによれば、このWi-Fiも個人情報を収集する対象となっています。

百貨店メイシーズがCCPA（消費者プライバシー法）に準拠するためにプライバシーポリシーを更新した際、驚くべき開示事項を追加しました。それは、「セキュリティおよび不正行為検出の目的」で顧客の顔認識技術が使用される可能性があることです。同社はまた、Wi-Fiルーターを使用して買い物客の居場所を追跡し、「レーダーと同じように近くのBluetooth対応デバイスをマッピングする」ビーコンを使用し、デバイスやネットワーク情報を含む顧客データを販売していると述べました。

今週、サンフランシスコのユニオンスクエアにあるメイシーズ店内では、顔認識機能を使用していると思われるカメラが目立っていましたが、膝の高さにあるにもかかわらず、プライバシーに関する注意書きは見当たりませんでした。同社は本記事の掲載前に何度もコメントを求めたが、回答は得られませんでした。本記事の掲載後、メイシーズは声明で「メイシーズはお客様のプライバシー保護に尽力しています。新しいCCPAプライバシー法に準拠するために必要な措置を講じています」と述べました。

カリフォルニア州の新たなプライバシー規制は、顔認識技術がより利用しやすくなるにつれ、店舗やその他の半公共の場での顔認識技術の利用がどのように広がっていくかを明らかにするのに役立つ可能性がある。ロウズは、以前に3店舗でこの技術をテストしたが、最終的には使用しないことを決定したと述べている。

顔認識技術を提供するFaceFirstのCEO、ピーター・トレップ氏は、カリフォルニア州で小売店の顧客に対し、顔認証が行われる可能性があることを告知する掲示を店員に指示しているかどうかについて、明言を避けた。同社は、空港、スポーツチーム、フォーチュン500企業の小売業者と提携しており、これらの企業は、店舗で知られている万引き犯が再び店に戻ってきた際にスタッフに警告を発するために同社のソフトウェアを利用しているという。

「まだ新しい法律で、実際にはまだ十分に検証されていません」とトレップ氏はCCPAについて語る。同社やその顧客は、現地の法律で義務付けられている場所には既に通知を掲載しているが、具体的な場所については言及を避けた。「必要な場合には通知を行うようにしています」とトレップ氏は述べた。

ペンシルベニア大学のジョセフ・トゥロウ教授は、店舗でのデータ収集をより透明化するという考えを歓迎している。このテーマに関する2017年の著書『The Aisles Have Eyes』は、ロス氏がカリフォルニア州のプライバシー法をオンラインだけでなくオフラインのデータ収集にも適用すべきだと確信する上で役立った。

しかし、トゥロウ氏は、紙の伝票やQRコード付きの通知が消費者の反応を大きく引き起こすかどうか疑問視している。彼が実施したプライバシーとマーケティングに関する全国調査では、アメリカ人は自分に関するデータに対するコントロールを強化したいと考えている一方で、全くコントロールできないとも感じていることが分かった。

「データ収集に対する諦めの気持ちがあります」とトゥロウ氏は言う。「人々はそれが21世紀の世界の常だと思っているのです。」CCPAの警告は、カリフォルニア州で至る所で見られるプロポジション65の警告のように、建物、車、携帯電話の充電器、その他数え切れないほど多くの製品に貼られ、「カリフォルニア州で発がん性があると知られている」化学物質が含まれていることを警告することになるかもしれない、と彼は言う。

CCPA（中央データ保護法）の前身となるイニシアチブの共同執筆者であるロス氏は、この比較に少し不安げに笑う。彼女自身も懸念していたことだ。しかし、CCPAでは消費者が企業に対し、データを削除したり販売しないように要請できるという事実が、同法に基づく通知をより実効性のあるものにしている、と彼女は主張する。「私たちはただ人々を不安にさせたかったわけではありません。収集に関して行動を起こすためのツールを提供したかったのです」と彼女は言う。「データ収集を止めることはできませんが、次の法律でそれが可能になるかもしれません。」

更新日：2020年1月15日午後12時（東部標準時）：この記事は、Macy's からの声明を含めるように更新されました。

WIREDのその他の素晴らしい記事