人間には「忘れられる権利」がある - EUが17年ぶりにデータ保護法改正

コンピュータと人間の違いの1つに「記憶」があるだろう。記憶と一口にいってもさまざまだが、人間が「5年前の夏休み、どこに・だれとキャンプに行ったのか」をすぐに細部まで思い出せなくても、Facebookに写真を投稿しておけば一目でわかる記録ができる。SNSの機能は増えており、その気になればFacebookのタイムラインを使って過去に遡って人生の重要なイベントを書き込み、チェックインでいつ、誰とどこにいたのか詳細な記録を作っていくことができる。そう、コンピュータは正確に記憶してくれる。

インターネットで広がったサイバー空間は、SNSとモバイルにより現実との距離がさらに縮まった。だが、「ユーザーが忘れてほしいと思った場合はコンピュータの記憶(記録)から抹殺(削除)できるようにすべきだ」と欧州連合(EU)の人々は考えているようだ。というのも、EUは1月末、「忘れられる権利(right to be forgotten)」を含む新しいデータ保護条例案を提出したのだ。

FacebookやTwitterでの発言や掲載した写真、GoogleのWebサービスに入力した情報は、1ヵ月後、5年後、10年後を想定して、アップされたものではないはずだ。だが、遊び三昧だった学生も就職活動をし、友達やパートナーも代わるだろう。その時、現在掲載されている写真は、5年後に就職したい企業の人事担当者、2ヵ月後の新しい彼女や彼に見られたくない、知られたくない過去の自分になるかもしれない。

EUが審議する新しいデータ保護法案では、このような場合への対策として第17条に忘れられる権利を盛り込む。忘れられる権利という通称だが、要するに、SNS、検索サービス、Webサイトなどに対してユーザーが過去の投稿や写真の削除を要求できる権利だ。

多数のサービスが削除の機能を提供しているが、権利となることで企業側は応じる義務が生じる(応じなかった場合は罰金支払いを命じられる)。ただし、犯罪に関するものなど法的に保持が必要なデータは対象外となる。統計的・科学的なデータも含まれ、例として事実を伝えるニュース記事などは削除を要求できないとされている。つまり、企業や政治家が不祥事を隠そうと思っても、そうはいかないというわけだ。EUは、この権利は特に若い人にメリットがあると見ているようだ。

この新たなデータ保護法、実は1995年に成立した現行のデータ保護法の大改正となり、EUが優先課題の1つとしているものだ。1995年から20年弱の間にデジタル時代は本格的に幕を開けた。Google、Facebookなど新しいサービスが、次々とこれまでにはなかったプライバシー問題を突きつけている。そもそもはCookieをどうするかから始まった議論であり、1995年に成立した内容では対応できないことから根本的に改正することになった。

新法案では忘れられる権利のほかにも、いくつかの目玉がある。

ユーザーからすると、個人データの扱いに関する説明がシンプルでわかりやくなることが期待できる。「どのデータが、何の目的で、どのぐらいの期間保存されるのか、サードパーティと共有する可能性があるのか」などを明確に知らされることで、個人データの安全性を自分で確認できるとEUは見ている。個人データ取り扱いに対するユーザーの合意は明示的になされる必要があり、企業に対してはユーザーによる個人データへのアクセスを容易にし、ユーザーが望めば他のサービスへの移管に応じなければならない、とも規定している。

企業からすると、もう1つ厳しい規制が課される。個人データの漏洩などの事件が発生したら至急ユーザーと当局に通知しなければならなくなる。「至急」の目安は「24時間以内が現実的」とされている。

新しい法律は、EU内で事業展開している企業であれば、たとえ本拠地やデータセンターがEU外にあっても批准しなければならない。

新しい法律は、こうした細かな変更だけでなく、加盟国がバラバラに制定していたデータプライバシー関連のルールを一本化するという役割も持つ。これまで企業はビジネスを展開している各国のデータ保護法に順ずる必要があったが、EU内で単一のルールとなるため作業を簡素化できるようになるという。EU全体で単一の当局を設け、企業はメインの拠点を置く国のデータ保護機関を窓口とする。これにより、企業側が削減できるコストは総額で年間1億3,000万ユーロ、EUは23億ユーロのコストを削減できると推計している。

企業側の反応はさまざまだ。法律の1本化は評価されているが、Financial Times紙はMicrosoft EuropeでCOOを務めるRon Zink氏の「あまりに厳しすぎる」というコメントを引用している。通信事業者の業界団体「ETNO(European Telecommunications Network Operators' Association)」は、クラウドがもたらす将来のイノベーションをそぐのではないか懸念している。EUは反対に、データを管理できるという安心感により、オンラインショッピングなどの利用が増えると見ているが。

法案は今後、欧州議会での審議などを経ることになっており、成立は約2年先と見られている。その後さらに、加盟国レベルでの作業に2年の期間が設けられることになる。