ベルリンでオンライン・プライバシーについてのTOAサテライト・イベントに行きました。ホストはJOLOCOM。分散型ID（DIDs）〜自己主権型IDとも呼ぶ〜のサービス開発するブロックチェーン企業です。
分散型IDとは、従来のようにユーザーのID管理を中央集権的に行うものではなく、DIF（Decentralized Identity Foundation）が推進する分散型IDの記述フォーマットや専用サーバを用いて、IDに関する情報を暗号化し、窃視されたり第三者に委ねたりせずにユーザー自身が管理するIDを指します。JOLOCOMは、そんなDIDsをユーザー自身がスマホで管理できるためのアプリを開発しています。
セッションには、モジラ、Tactical Techほかが講師として登壇。
Tactical Techは市民のためのテクノロジーを調査するNGO（ドイツ拠点）で、テクノロジーが健全な市民社会に与える影響を軽減させることを目標にしています。たとえば、フェイクニュースやAIを使ったディープ・フェイク問題、ダークパターン問題などが挙げられます。ダークパターンとは、ユーザーの情報を抜くために作られたオンライン上のUIを指します。ダークパターンの事例は以下のまとめが詳しいです。
なかにはオプトアウト（ユーザーにSPAMなどを送りつける企業は得てしてその許諾を解除する場所がわかりづらい）したくてもできないとき、あるいはどんな個人情報を集めているのか知りたいとき、米国では以下のようなサイトでリソースを共有できます。
セッションのなかで、The Glass Roomの話が出てきました。The Glass Roomはいかにわたしたちがデジタル上では裸に近い姿で行動しているかを可視化します。そして、その事実を啓蒙し、注意喚起する活動で、期間限定展示を世界の各都市で行っています。The Glass Roomが実際に行っている展示についての記事はFUZEの記事「私たちは皆、ガラスの部屋で生きている」に詳しいのでご参照ください。
Tactical Techが作成するWebサイト内に「Data and Activism」というページがありますが、こちらにソーシャルメディアの注意点のほか、飛行機の予約などで用いられるPNRというデータの構造とPNRが政府機関に報告されていることが記載されいています。ほかにも、イベント・アプリやVISA申請におけるリスクやそれらが集めたデータがどのように統合されて、本人の政治的傾向や個人データが分析されるかなどを指摘。だんだん気分が滅入ってきます（苦笑）。
ほかにもExposingtheinvisibleというサイトが紹介されました。こちらには、個人情報がどのようにハックされ晒されているかという事例が多く載っています。
続くセッションでは、2018年に施行されたGDPR（EU一般データ保護）についての解説が中心でした。GDPRはご存知のように個人情報における主権を個人に取り戻すことを目的した保護規制であり、EU内での規制を統合しています。本セッションはいわば「GDPR早わかり」ですが、企業等による個人情報管理の濫用を防ぐ努力がなされているかを問う内容でした。
そこでは、GDPRを4項目にわけて説明が行われました。「役割（Roles）」「原則（Principles）」「権利（Rights）」「コンピテンシー（Conpetencies）」です。
「役割」は、ユーザー（データサブジェクト）、企業などのデータ収集者（データ・コントローラー）、処理者（データ・プロセッサー）、受取人（データ・レシピエント）、移転（データ・トランスファー）となります。
「原則」には、合法であること、目的の限定、データの最小化、データの正確さ、保存期限、完全性と秘匿（セキュリティ）、説明責任が含まれます。
「権利」は、アクセスする権利、訂正する権利、忘れる権利（削除の権利）、制限する権利、移転する権利、異議を申し立てる権利が含まれます。
「コンピテンシー」について、監督を行う組織として、欧州保護データ会議（EDPB）、欧州各国のデータ保護機関（DPA）の名前が挙げられました。そのうえで、当局は「役割」に登場する各組織への教育、調整、査察、計測の要求、罰金を科すことができます。
その後、企業側がどのような対策をなすべきかといった説明が行われ、セッションは終了します。
聴講した感想としては、ますます自己主権的なデータ管理が求められるという一方、一般ユーザーがその管理を行うにはソリューションが少なすぎるということです。おそらく、Web3.0のような分散型ウェブの本領はオンラインプライバシーで発揮されるだろうという予感がありますが、本格的に稼働するにはまだ時間がかかりそうな気がします。
加えて言えば、日本ではユーザーの権利やプライバシーについての意識が低いため、啓蒙活動がまだまだ必要だと思います。事実、以前に朝日新聞にGAFAについてのコメントを寄せ、プライバシーについても語りましたが、他の「IT評論家」を名乗る識者は「気にしなくていい」と語っていました。専門家にしてこの程度の感覚ですので、驚きを禁じえません。
GDPRについて以下にすぐ読める概要がまとまっているので、参考までにリンクを貼っておきます。
GDPRの概要（前編）・GDPRの概要（後編） by NTTデータ先端技術株式会社
＊本記事内の訳語は法律用語と相違する可能性があります。間違い等があればご指摘ください。また、筆者はあくまで聴講した内容を伝える目的で訳しているので、正確を期するには直接原文の資料（EU deta Protection Rules by European Commission）にあたっていただき、専門家の指示を仰いでください。
コメント