自由意志を表現するための利用者同意とは
アプリのトラッキングが当たり前の世界で、どこまで私たちのプライバシーが守られるのかが大きなテーマになっています。
今回はオックスフォード大学の博士課程でアプリのトラッキングとプライバシーを研究しているコンラッドさんに、アプリのトラッキングとプライバシー問題に関して、お伺いしていきたいと思います。
データ保護規制をきっかけにした企業の変化
Konrad： GDPRが施行されても、私たちのデータを利用したビジネスモデルは変わっていないので、現在も私たちのデータはGoogleやFacebookに渡っているのです。
ここまで紹介したようにビジネスモデルは変わっていないのですが、一部変化が起きています。それは、データビジネス提供者が利用者からどのようにデータを取得しているのかという点です。
私たちはユーザーが同意する際に、ユーザーに対してアプリ提供者が選択肢を設置しているかどうかを分析項目に設けて研究を行いました。私たちが分析したデータには明確に反映されていなかったのですが、データを取得する変化にいくつか変化が見られました。
最後に研究を通してわかったことは、モバイルアプリからのデータ取得に関しては米国企業のGoogleとFacebookが圧倒的であったということです。
これは、欧州に住む個人のデータが幅広く米国に渡っていることを意味しています。欧州のデータ保護法が想定よりも機能していないことでもあります。
シュレムⅡの判決を発端にデータ移転規制がより厳しくなりつつありますが、残念ながら規制を厳しくしたとしても、アプリを通じたデータ提供問題へはあまり意図した影響が見られていないということがわかりました。
ただ、規制を強化する動きは進んでいるので、これからアプリのデータ提供問題も少しづつ解決に向かっていくと思います。例を挙げると、Googleはこれまでは取り組んでこなかった “全て拒否” ボタンを欧州の検索エンジンに実装すると発表しています。
図：全て拒否ボタンを導入
Googleを利用する際に、一つ一つデータ提供の有無を許可していくことはとても不便であるとフランスのデータ保護監督局が言及したことも影響し、こういった変化が生まれています。
利用者を欺くダークパターンとその傾向
Kohei： なるほど。コンラッドさんの研究結果は、GoogleやAppleが対外的に「プライバシーを守る」と発信していることが、本当に実現できているかを確認するためのエビデンスになりますね。
アプリにトラッカーを忍ばせることで、利用者の行動を正確に分析しデータ処理を行っていることは事実だと思うので、利用者が事実を理解し、アプリを利用しているのかどうかが重要になりそうです。
テクノロジー大手企業を中心に、様々なデジタル技術開発が進んでいますが、トラッキング技術の有用性を検討することも必要になりそうですね。
Googleが推進するPrivacy Sandboxのようなプライバシーを保護したアドネットワークシステムが、どこまで個人の行動をトラッキングしているか否かを利用者が自ら理解できるようになればより透明性のあるサービス利用に繋がりそうですね。
ここまでの研究内容はとても勉強になりました。ここからは趣向を変えてダークパターンの研究のお話もお伺いしたいと思います。欧州の新たな法規制でダークターンに関して言及されていますし、米国のカリフォルニア州でもダークパターンは議論されています。
企業は意図的にユーザーを誘導し、ユーザーが意図しない行動へと誘うサービスデザインの問題は、ここにきて改めて再考する必要があると思います。
コンラッドさんが公表した記事では、ウェルビーングを始めとして、ダークパターンによってユーザーへ与える影響に触れられていました。次の質問では、ダークパターンによって生み出されるプライバシー問題と解決策を教えていただけますか？
Konrad： ダークパターン問題を全て解決することはとても難しいと思います。ただ、ダークパターンの中でプライバシーに関連したテーマに関してはいくつか私の意見がありますので、お話しできればと思います。
私が思うにプライバシーとダークパターンには二つの視点が存在します。一つ目が、ウェブブラウザです。
Googleのクロムブラウザを使用した際に出てくるポップアップが代表例です。ポップアップ上でデータ提供に同意するかどうかを聞いてくると思うのですが、なかなか “No” と言いづらい設計になっていると思います。これは皆さんも経験したことがあるかもしれない、最もわかりやすいダークパターンのケースです。
図：クロムブラウザのポップアップ
ダークパターンの調査からわかったことは、多くのアプリがデータ取得同意の際にダークパターンを採用し、利用者から同意を取得しているケースが見られることがわかりました。同意を取得せずに利用者をトラッキングしているケースもあります。
自由意志を表現するための利用者同意とは
どちらのケースも欧州と英国のデータ保護法では問題になります。先程ご紹介した “No” と言えないケースの場合、GDPRで求められる十分な同意に反することになります。GDPRで求められる利用者同意は。利用者が自由に同意意思を示すこと必要になりますが、現在サービス提供者が採用しているポップアップは “No” と言いづらい設計が多く見られます。
果たしてポップアップへの同意が自由意志かどうかは問題提起されることが多いですが、GDPRで求められる同意には適していないと考えられます。ベルギーのデータ保護監督局がIAB透明性同意フレームワーク（広告業界団体）を不当であると判断して以来、欧州政府も同意に関する問題を厳しく調査するようになっています。
GDPRに加えて、各国の規制への対応も必要です。先程少し触れましたがフランス政府は、Googleに対して強硬に臨んだ結果、”全て拒否 “ ボタンが導入されることになりました。この時も同意の自由意志が問題になりました。
さらに、2009年から欧州と英国ではeプライバシー指令の見直しを行い、5条3項では利用者のデバイスへデータアクセス、データを保存する場合は、どうしても必要な場合以外には同意が必要になります。トラッキングデータはこのケースに該当しません。ここまで紹介したように、欧州では全てのトラッキングに同意が求められるようになるのです。
私たちはトラッキングに関する研究をこれまで実施してきたことで、多くのアプリが同意を取得していないこともわかりました。研究結果を通して、アプリがダークパターンを生み出している事実に対して、”No” と言える方法を探ってきました。
利用者自らデータを管理するために生まれた新たな発明
さらに私たちは、そういった課題を解決するためにいくつかソリューション開発も行なっています。ソリューションの一つがGreaseDroidです。現在はモバイルアプリのエクステンションで利用できるように進めています。現在はユーザーが普段ブラウザを利用する際に、ダークパターンアプリを回避するために、少し修正をかけているところです。
これまでは上手く機能しているので、ダークパターンによる個人への影響に関する研究と合わせて、ソリューション開発も行っていきたいと思います。これから研究していくテーマとして、ダークパターンが無くなった世界はユーザーにどういった影響があるのかも調べてみたいと思います。
GreaseDroid以外には、個人的にTrackerControlというアプリの開発にも関わっています。このアプリではユーザーデバイスにVPNを導入して、望まないネットワークへのアクセスを回避できる機能を開発しています。
（動画：TrackerControl Monitors and Blocks App Tracking on Android）
アクセス回避を行うためにリアルな VPNではなく、利用者のデバイスに限定したものを採用します。もし誰かが TrackerControlアプリをアンドロイドフォンにインストールしたとすると、インストールした利用者は “TrackerControl VPN“ に接続しても良いですかと質問を求められます。
バーチャル VPNをデバイスに導入し、TrackerControlアプリはどの企業がデータを送っているかを特定することでデータ共有をブロックすることができるというものです。ご紹介した二つのソリューション開発に取り組んでいます。
Kohei： ご紹介ありがとうございます。ダークパターン問題を解決することが難しいだけでなく、ダークパターンとは何かという根本的な問題もありますね。
ダークパターンを解決するためのソリューション開発はご紹介頂いたように、これから取り組んでいく必要があると思います。コンラッドさんは、先程ご紹介頂いたTrackerControllerアプリの開発者でもあるということで、ぜひアプリに関してもう少しお伺いできればと思います。
なぜこのアプリの開発に取り組んでいるのかをプロジェクトの詳細含めて、もう少し詳しく教えて頂いても宜しいでしょうか？
〈最後までご覧いただき、ありがとうございました。続きの後編は、次回お届けします。〉
データプライバシーに関するトレンドや今後の動きが気になる方は、Facebookで気軽にメッセージ頂ければお答えさせて頂きます！
プライバシーについて語るコミュニティを運営しています。
ご興味ある方はぜひご参加ください。
Interviewer, Translation and Edit 栗原宏平
Headline Image template author 山下夏姫
この記事が気に入ったらサポートをしてみませんか？