# データのプライバシーと同意 ## 定義 ユーザーが明示的に入力したデータだけをシステムが保存・処理する場合、システムはユーザーへのサービスを提供している。しかしユーザーの行動が他の目的の副産物として追跡・記録される場合、関係はより不明瞭になる。サービスはユーザーの指示どおりに動くだけでなく、ユーザーの利益と衝突しうる独自の関心を持つようになる。検索結果のクリック追跡はランキング改善に、レコメンドはユーザーの発見体験に、A/Bテストはユーザーインターフェース改善に資する。しかし収益源が広告であるサービスでは、真の顧客は広告主であり、ユーザーの利益は二の次になる。トラッキングはより詳細になり、分析はより広範囲に及び、マーケティング目的で各人の詳細なプロファイルを構築するためにデータが長期間保持されるようになる。この関係はより不穏な含意を持つ語、すなわち「サーベイランス(surveillance)」で適切に表現できる。(Source: [[@2026__OReilly__Designing Data-Intensive Applications 2E - Chapter 14 Doing the Right Thing]] "Privacy and Tracking") 「データ」という語を「サーベイランス」に置き換える思考実験を行うと、「我々のサーベイランス駆動型組織では、リアルタイムのサーベイランスストリームを収集しサーベイランスウェアハウスに格納する。サーベイランス科学者は高度な分析とサーベイランス処理を用いて新たな知見を導出する」という文になる。ソフトウェアが「世界を食べる」過程で、私たちは史上最大の大衆サーベイランス基盤を構築してしまった。スマートフォン・スマートTV・音声アシスタント・ベビーモニター・子ども向けおもちゃに至るまで、インターネット接続されたマイクがあらゆる居住空間に存在する世界に急速に近づいている。(Source: [[@2026__OReilly__Designing Data-Intensive Applications 2E - Chapter 14 Doing the Right Thing]] "Surveillance") ## プライバシーは秘密にすることではない 「プライバシーは死んだ」という主張は、プライバシーという語の誤解に基づく誤りである。プライバシーを持つとは何もかも秘密にすることではなく、誰に何を明かすか、何を公開し何を秘密にするかを選ぶ自由を持つことを意味する。プライバシー権は決定権(decision right)であり、各人が秘密と透明性のスペクトラムのどこに位置したいかを状況ごとに決められることを保証する。サーベイランス基盤を通じてデータが個人から抽出されるとき、プライバシー権は失われるのではなく、個人からデータ収集者へと移転する。企業は「あなたのデータで正しいことをすると信じてほしい」と述べるにとどまり、何を明かし何を秘密にするかを決めるのは個人ではなく、利益最大化を目的とする企業になる。(Source: [[@2026__OReilly__Designing Data-Intensive Applications 2E - Chapter 14 Doing the Right Thing]] "Privacy and Use of Data") ## 同意と選択の自由の限界 ユーザーは利用規約とプライバシーポリシーに同意してサービスを自発的に選んでいる、というのが同意による正当化の骨子である。しかしこの主張には少なくとも3つの問題がある。第一に、追跡が本当にユーザーの利益のために必要かが不明瞭である(広告収益のためだけに必要な場合が多い)。第二に、大半のユーザーはどんなデータがどう保持・処理されるかをほとんど理解しておらず、プライバシーポリシーはむしろ実態を覆い隠すことが多い。ユーザーの利用実態を理解せずに、意味のある同意は成立しない。加えて、あるユーザーのデータは、そのサービスの利用者ではなく同意もしていない他者についても多くを語る。本書の前章までで議論された導出データセット(ユーザーベース全体の行動トラッキングと外部データソースを組み合わせたもの)は、まさにユーザー自身が理解できない種類のデータである。第三に、データはユーザーから一方的に抽出されるのであり、真の互恵性や公正な価値交換を伴う関係ではない。条件を決めるのはサービス側であってユーザー側ではない。(Source: [[@2026__OReilly__Designing Data-Intensive Applications 2E - Chapter 14 Doing the Right Thing]] "Consent and Freedom of Choice") EUのGDPRは、同意が「自由に与えられ、具体的で、説明を受けた上での、明確な」ものであり、ユーザーが「不利益を受けることなく同意を拒否・撤回できる」ことを求める。「沈黙、事前チェック済みのボックス、不作為」は同意にあたらない。しかし、あるサービスが「基本的な社会参加に不可欠と大半の人にみなされる」ほど普及している場合、それを使わないという選択は現実的ではなく、事実上利用が強制される。ネットワーク効果を持つサービスから離脱することには社会的コストが伴う。(Source: [[@2026__OReilly__Designing Data-Intensive Applications 2E - Chapter 14 Doing the Right Thing]] "Consent and Freedom of Choice") ## 横断的知見 - **前章までの「導出データ」という技術概念が、本章で同意の実効性を損なう要因として再登場する**: [[導出データ]] は第1章で「他のデータセットへのクエリ・変換の結果として生成され、記録系から再生成できるデータ」として技術的に定義されるが、本章はその同じ性質(ユーザーベース全体の行動トラッキングと外部データソースが組み合わされ、単一ソースからは予測できない形で加工される)こそが、ユーザーが自分のデータの用途を理解できず、意味のある同意を与えられない根本原因だと位置づける。技術的には無害な「派生」という操作が、同意という倫理的要件を実務上不可能にするという接続は、いずれか一方の章単独では見えない。(Source: [[@2026__OReilly__Designing Data-Intensive Applications 2E - Chapter 14 Doing the Right Thing]], [[@2026__OReilly__Designing Data-Intensive Applications 2E - Chapter 1 Trade-Offs in Data Systems Architecture]]) - **「同意の実効性を担保する監査証跡インフラ」と「同意という枠組み自体の限界」は、同じ対象を別の層から見ている**: 本概念が扱う DDIA 第14章は、同意が成立するには「大半のユーザーがどんなデータがどう保持・処理されるかをほとんど理解していない」という認識論的な壁があると論じ、同意そのものの正当化根拠を問う。『SREの探求』15章は、逆に同意の実効性を高める実務的な処方箋として「ユーザーが同意する画面について必要な監査証跡を作成するシステムを構築して、再利用する」ことを SRE の「課題の解決は一度だけ」原則の一例として挙げる(Source: [[@2021__OReillyJapan__SREの探求 - Chapter 15 信頼性とプライバシーが交わるところ]] §15.3.2.1)。監査証跡システムは「ユーザーが同意した記録を残す」技術的解であり、DDIA が指摘する「ユーザーはそもそも何に同意しているか理解していない」という認識論的な問題は解決しない。両章を並べると、同意インフラの技術的整備(ch.15)と、同意という概念そのものの正当性への疑義(DDIA第14章)は異なる問題階層にあり、前者をどれだけ整備しても後者の懸念は消えないことが明確になる。(Source: [[@2026__OReilly__Designing Data-Intensive Applications 2E - Chapter 14 Doing the Right Thing]] "Consent and Freedom of Choice", [[@2021__OReillyJapan__SREの探求 - Chapter 15 信頼性とプライバシーが交わるところ]] §15.3.2.1) ## 未解決の問い - GDPRの「意味のある同意」要件と、ネットワーク効果による事実上の利用強制との間の緊張を、法制度上どう解消しうるか。本章は問題を指摘するにとどまり、具体的な制度設計には踏み込まない。 - 導出データセットの複雑さ(第1・11章)がユーザーの理解可能性を損なうという本章の指摘に対し、技術的な透明性向上策(データ来歴の可視化等)はどこまで有効か。 - 「同意」以外のGDPRの適法根拠(正当な利益等)が事実上の同意迂回策として濫用される可能性を、本章はどう評価しているか——本文では簡単に触れられるのみで深掘りされていない。 ## 関連 - ソース: [[@2026__OReilly__Designing Data-Intensive Applications 2E - Chapter 14 Doing the Right Thing]]("Privacy and Tracking", "Surveillance", "Consent and Freedom of Choice", "Privacy and Use of Data" 節) / [[@2021__OReillyJapan__SREの探求 - Chapter 15 信頼性とプライバシーが交わるところ]](§15.3.2.1) - 概念: [[導出データ]](同意を困難にする技術的要因) / [[データを資産・権力として見る視点]](プライバシー権の移転先としての企業の権力) / [[プライバシーエンジニアリング]](同意監査証跡システムの構築を含む実務的処方箋) - 書籍: [[Designing Data-Intensive Applications 2nd Edition]] / [[SREの探求]] ## 出典 - [[@2026__OReilly__Designing Data-Intensive Applications 2E - Chapter 14 Doing the Right Thing]]("Privacy and Tracking", "Surveillance", "Consent and Freedom of Choice", "Privacy and Use of Data" 節) - [[@2021__OReillyJapan__SREの探求 - Chapter 15 信頼性とプライバシーが交わるところ]](§15.3.2.1: 同意監査証跡システムの構築・再利用)