FTC報告書が確認：商業的監視は制御不能な状態
(eff.org)- FTCの4年にわたる調査で、Facebook、YouTube、X など9つのソーシャルメディア・動画プラットフォームが、オンライン行動広告のために個人情報を広範囲に収集・共有しており、消費者がこれを適切にコントロールするのは困難だったことが明らかになった
- 収集範囲はプラットフォーム内での活動を超えて、他のウェブサイト・アプリでの活動、非ユーザーの情報、第三者データブローカーから購入した情報にまで広がっており、一部企業はデータの出所を正確に説明できなかった
- ほとんどの企業が個人情報を第三者と共有していたが、一部は共有先の全一覧すら提示できず、第三者検証や利用制限の順守確認もほとんど行われていなかった
- 監視は舞台裏で行われ、プライバシー設定も不透明、または効果が限定的で、一部企業は削除要請後もユーザーデータを実際には削除していなかった
- EFFは、行動広告のビジネスモデルこそが商業的監視を生む根本的な圧力だと見ており、データ最小化・ユーザーの権利、オンライン行動広告の禁止、私的訴権を含む強力な連邦プライバシー法を求めている
FTC調査で明らかになった商業的監視の規模
- FTCの新たな報告書は、大手テック企業がオンライン行動広告事業のために個人情報を収集・共有してきたというEFFの長年の警告を裏付けている
- 調査では、Facebook、YouTube、X（旧Twitter）を含む9つのソーシャルメディア・動画プラットフォームのデータ慣行を4年間にわたって扱った
- すべての調査対象企業が同じ形でプライバシーを侵害していたわけではないが、全体としてプライバシーより収益を優先する構造が浮かび上がった
ユーザーの想定を超える個人情報収集
- 企業は自社プラットフォーム内での活動だけを追跡していたわけではなかった
- 他のウェブサイトやアプリでの活動も監視していた
- 非ユーザーに関する情報も収集していた
- 第三者データブローカーから個人情報を購入していた
- 一部企業は、ユーザーデータが正確にどこから来たのかをFTCに説明できなかった、あるいは説明しなかった
- 収集項目には、訪問したウェブサイト、位置データ、人口統計情報、関心分野が含まれる
- 関心分野には、"divorce support" や "beer and spirits" のようなセンシティブな関心事も含まれていた
- 一部企業は追跡したユーザー属性を大まかな説明でしか報告できなかった一方、別の企業は数千の属性を含むスプレッドシートを提出した
第三者共有と検証の欠如
- ほとんどの企業は、個人情報を第三者と共有したと報告した
- 一部企業は、個人情報をあまりに広く共有しているため、すべての第三者受領者の一覧を提供できないと主張した
- 受領者を特定できた企業の一覧には、法執行機関や米国内外の他企業が含まれていた
- データ共有前に第三者を審査する手続きはほとんどの企業になく、どの企業もデータ利用制限の順守状況を継続的に確認していなかった
- 企業が分析のような比較的侵襲性が低く見える目的を掲げていても、データがその目的にのみ使われる保証はない
- こうした保護策の欠如は、消費者を重大なプライバシーリスクにさらす
消費者には把握しにくいデータ処理
- 個人情報がどのように収集・共有・利用されているのかについて、透明性が不足している
- 企業がFTCに対してさえデータ共有先を説明できないのであれば、ユーザーに誠実に知らせると期待するのは難しい
- 追跡と共有は舞台裏で行われるため、ユーザーはプラットフォームごとにどれほどのプライバシーを差し出しているのか把握しにくい
- 企業は自社プラットフォームのデータだけでなく、ウェブ全体でのユーザー活動や非ユーザー情報まで収集している
- 自分のデータが巨大なデジタル監視網に巻き込まれるのを個人が避けるのは、ほぼ不可能だ
- プライバシー制御機能が提供されていても、不透明だったり効果が限定的だったりすることが多い
- 一部企業は削除要請に応答した後でも、ユーザーデータを実際には削除していなかった
- FTCが扱った商業的監視の規模と秘匿性は、プライバシー保護の負担を個々の消費者だけに負わせることはできないことを示している
行動広告のビジネスモデルが生む圧力
- プライバシー侵害は一度きりの失敗ではなく、オンライン行動広告ビジネスモデルに内在する問題である
- 企業はターゲット広告のために膨大なデータを集め、詳細なユーザープロファイルを作成する
- 個人情報ベースの広告ターゲティングから生じる収益は、より侵襲的なデータ収集手法を開発するよう企業を駆り立てる
- FTCは、調査対象の大半の企業のビジネスモデルがプライバシー侵害を誘発していると判断した
EFFが求める連邦プライバシー立法
- 連邦プライバシー法が存在しない状況で、企業はほとんど保護策のないまま数十億人分の個人情報を収集・共有できていた
- FTC報告書は、自主規制が失敗したことを確認している
- 企業内部のデータプライバシー方針は一貫性がなく、不十分だった
- 企業がプライバシーより収益を優先する余地を残していた
- FTCは、「相当な措置がなければ、商業的監視のエコシステムはさらに悪化することに疑いの余地はない」と述べている
- EFFが求める立法要素は3つある
- データ最小化とユーザーの権利：企業は、ユーザーが求めたサービスの提供に必要な範囲を超えてデータを処理できないようにし、ユーザーにはデータへのアクセス・移転・訂正・削除の権利を与えるべきである
- オンライン行動広告の禁止：商業的監視の根本原因に対処するには行動広告を禁止すべきであり、そうしなければ企業は侵襲的なデータ収集から利益を得続けるためにプライバシー法を迂回する方法を探し続けることになる
- 私的訴権を含む強力な執行：政府の執行リソースが限られている状況で、プライバシー法違反が広範に続かないようにするため、個人がプライバシーを侵害した企業を相手取って訴訟を起こせるようにすべきである
今すぐ可能な対応と限界
- オンラインサービスを使うことが、無数の企業に個人情報を渡して好き勝手に使わせることになってはならない
- ウェブサイトのアカウントを作成するときに、任意の第三者が情報を受け取ったり、広告配信のためにすべてのクリックが監視されたりすることを心配する必要があってはならない
- EFFのPrivacy Badger拡張機能は、FTC報告書に出てきた一部の追跡技術をブロックする助けになる
- FTC調査で明らかになった商業的監視の規模は、個別ツールだけでは解決が難しく、強力な連邦プライバシー法が必要である
1件のコメント
Hacker Newsのコメント
最近、ある会社が、トラッキングコードが埋め込まれたサイトの訪問者について、勤務履歴、信用レポート、銀行残高を500ms以内に閲覧できると実演してみせた
この情報を営業チーム向けの見込み客選別製品に使い、誰を追えば時間の無駄で、誰はそうでないかを営業チームが分かるようにするという
本当にぞっとしたし、創業者たちはこうしたデータを売買し利用することに倫理的なためらいがないように見えた
銀行が個人情報付きの口座残高データを怪しい集計業者に売っているわけではない
もっと興味深くてばかげているのは、どれほど多くの集計業者がそんなゴミ同然のデータをうまく売りさばいているかという点だ
こういうものをナンバープレートデータ、不動産記録、人物認識、リアルタイム位置情報と統合すればいい
自動運転車が制御不能で差し迫った責任回避が不可能だと検知したら、周囲の消費者や財産それぞれの回避スコアを提供するAPIに問い合わせ、潜在的被害者ごとの費用便益分析を行える
そのスコアに基づいて車両は責任が最も少ない経路を見つけられ、未識別の対象にはスコア0を与えることで、消費者がこうしたサービスに連携するよう誘導することもできる
22歳、身長と体重のバランスは取れているが、意思決定能力は乏しい人
息子だったら?
家賃を払う若者向けに、こんな文言が提供されているのを見たことがある: 「Flexは、月ごとの予算により合ったスケジュールで家賃を支払い、キャッシュフローを確保できるようにします。」
「家賃を期日どおりに支払えるよう支援し、キャッシュフローを改善し、信用履歴を築けるようにします。」
GDPR以前のフランスで、天気アプリのような複数のアプリと提携してユーザーの位置情報にアクセスしていた
対象規模は正確には覚えていないが、フランス人口のかなり大きな割合だった
パリの地図を表示し、特定ユーザーが家を出た後にどの経路を通ったか、どの店の前にどれくらい立ち止まったか、別の店の中でどれくらい時間を過ごしたかまで見せていた
当時の上司はそれをとても面白がっていた
ついに。企業は文字どおり何よりも利益を優先するということを、みんな「知って」いる
FTCが戻ってきたのはうれしいし、強い規制があるときにだけ意味のある進展が起きるように思える
他の代表例としてはEPAがある。規制と執行が整う前は汚染がひどすぎて、一部の都市では人々が屋外で防毒マスクを着けなければならなかった時代もあり、CFC排出も同様だった
インターネットの発展は主に規制を巻き戻してきた保守的なリーダーシップの下で加速したが、その間に多くのイノベーションがあったとしても、こうした利益最優先の環境に集中していなければ、もっと多くを成し遂げられたはずだと思う
こういう会社で働くことを拒まず、こうしたシステムを実装して大金を稼いでいる
簡単でも迅速でもある解決策にはなり得ず、必要な法律や規制が通るように大衆がもっと関与しなければならない
データ収集規制の不足が生んだ、同じくらい具体的な被害事例はあるのだろうか?
ときどき人々が本気で「止める必要はない」と主張するのが本当に信じられない
記事の冒頭にレポートへのリンクがある:
https://www.ftc.gov/news-events/news/press-releases/2024/09/...
https://www.ftc.gov/system/files/ftc_gov/pdf/Social-Media-6b...
修正: PDFリンクを追加
あらゆる細かな関心事や状況別に広告グループを精巧に掘り下げておきながら、誰かが子どもかどうかを判別する技術は完成していないというのだから面白い
きっと何年にもわたって昼夜を問わず実装しようと努力してきた、とても elusive な技術なのだろう
まるで知らないふりをすることで利益を得ているかのように見える
既に分かっていることを伝えるために4年間の調査をしたようなものだということ
本当の問いは、連邦政府であれ誰であれ、これに対して何をするのかという点だ
科学研究でも同じで、金の無駄に見えることがある
しかし、実際にそれをやるまでは知っていることにはならない
科学者や公務員は常識を引用できず、結論が正しくても詳細が重要だ
規模が重要であり、作動メカニズムが重要だ
法律では直接できない監視を、政府自身もやりたがっているからだ
企業による監視が存在すれば政府もそれを利用できるので、政府にとっても都合がいい
実際に期待しているのは、極度に侵襲的な監視を国内の統制下にある企業に限定する程度だ
決して「既に分かっていることを言っているだけ」というレベルではない
この調査は、政府が国家権力を行使する前に何が起きているのかを確信するための重要な第一歩であり、それは良いことだ
雰囲気や噂に基づいて国家権力を行使するのは望ましくない
Biden FTCは経済全体にわたるさまざまな反消費者的慣行にかなり積極的に対応してきており、この種の報告書の後にはそうした措置が続く傾向がある
比較的近いうちに行動があると思う
信用評価機関と銀行が保存している情報のほうがはるかに恐ろしい
あなたがこれまで働いたすべての職場の給与と住所を把握している
最近は漏えいがあまりにも多く、今では誰でもダークウェブでこうした情報を見つけられる
それなら、その話はもう10年も前に手遅れになっていた
以前は、迫り来る企業サイバーパンク・ディストピアの危険を減らそうとセキュリティやプライバシー保護の仕事をしていたが、今では政府が監視の独占権を持つことこそ最悪の結果だと考えている
本当の解決策は、個人情報がどのように収集されたかに応じて、民事および非暴力の刑事手続で特定カテゴリーの個人情報を法的に特権化または排除し、商業上の意思決定に重要な個人識別情報の収集元を提案書や契約書で開示させることだ
そうすれば保険会社や債権者はレントシーカーのように振る舞うのをやめ、再び実際のリスクを負わなければならず、警察は支配者ではなく公僕であるべきであり、証拠として使われる個人情報の出所が、明示的同意を含む合法的かつ規定されたソースであることを立証しなければならない
データ収集の流れを止めることはできないが、それを管理する法律は改善できる
個人情報の収集をそのまま禁止すれば、国家にも広告業者にも適用できる
情報は権力であり、保険会社や生産者があなたについてすべてを知っていれば、貧しい被害者のように搾り取られることになる
気分の悪い日には、情報を過剰に共有する人々はそうした運命を自業自得で招いているのだと信じたくもなるが、情報収集を規制したり、漏えい時に重大な金銭的罰則で強く責任を負わせたりすることに反対する論拠はほとんどない
規制そのものは難しくないだろう。執行は簡単ではないだろうが、多くの企業にとっては試みること自体のリスクが高すぎるかもしれない
広告業界を軍産複合体よりはるかに悪いものだと思うようになったし、いつかより高次の力が関係する幹部たちを大いなる復讐と激しい怒りで罰してほしい
国家が民間企業の監視を規制するのは偽善だと思う
そうした企業のデータ収集技術は使わないという選択肢があるが、国家監視は拒否できない
国家を善玉、企業を悪玉にするゲームはやめよう
もちろん、その問題とは別に国家もこうした情報を収集すべきではない
民間の私立探偵たちは、果てしない広告の泥沼しかもたらさず、それが日々私を疲れさせる
企業を無垢な傍観者、国家を邪悪な敵役にするゲームもやめよう
闇の中に閉じ込められているわけではない
今は2016年ではなく、こうした企業のサービスを使っているなら、彼らが何をしているのかを十分すぎるほど分かっているはずだ
大人になって、そのサービスを使う責任を負うか、データを消して去るべきだ
2024年になってこれを見て衝撃を受ける人には、まったく同情しない
そして、あなたは自分のデータを所有していない
その発想自体がすでに無意味な不条理だ
それを受け入れれば人生はずっと単純になる
株価の成長とテック業界の雇用を望むなら、それも取引の一部だ
私が作ったものでもなければ責任を負う話でもないが、現実はそうだ
こうなると完全な個別最適価格設定の狂った世界になるだろう
あらゆるものが各人が支払える最大額で値付けされるようになるが、人々ははるかに消費しなくなり、より惨めになって、システム全体は崩壊するだろう