【プライバシー保護】米バージニア州が位置情報データの販売を禁止へ

米バージニア州が、個人の位置情報データを販売する行為を禁止する法案を可決しました。これにより、データブローカーによる追跡や売買に対する規制が一段と強まることになります。

補足だけど、この記事は4月のもので、禁止令自体は7月1日から施行されてるよ。

数年前にNYTimesが、自動車保険会社がいかにそういうデータを利用しているかについて記事にしてたね。急ブレーキの追跡や、夜間の運転、時速80マイル以上の走行記録とか。

じゃあ例えば、デラウェア州で法人登記してる会社が、バージニア州で収集された位置情報を販売した場合を考えてみよう。でも、その会社はバージニア州で事業活動をしていない。どうなるんだろう？一方でus-east-1はバージニア州にあって、数え切れないほどの決済処理サーバーが動いているわけだし。

正直、個人の詳細な位置情報を売るようなことが、普通にビジネスモデルとして扱われていたこと自体が異常だよ。

大規模なデータ収集が行われてきたのは周知の事実だし、こういう法律は現状に追いつくための最低限のステップでしかない。

欲を言えば、こうした企業を罰して根絶させるくらいの法律があればいいけど、まあ無理だろうな。

良いスタートだね。2024年の記事によると、「ある企業が全米48州にある約600箇所のPlanned Parenthoodへの訪問記録を追跡し、国内最大級の反中絶広告キャンペーンのためにそのデータを提供していた」という調査結果が出ている - https://www.politico.com/news/2024/02/13/planned-parenthood-... (https://www.politico.com/news/2024/02/13/planned-parenthood-location-track-abortion-ads-00141172)

興味深いね。IPアドレスからわかる広域な位置情報も「ジオロケーションデータ」に当たるからどうなのかなと思ったけど、法律では「詳細なジオロケーションデータ（precise geolocation data）」となっているから、おそらく端末から取得されるデータに限定しているんだろう。

もし本当に十分な情報提供があって強要されていない選択ができるなら、みんなこういうデータ収集、特に自分が意図したサービス（ナビや時刻設定など）以外の目的での販売や利用にはノーと言うはずだ。これは収集されるほぼすべての情報に言えること。少しでも保護のための文言が含まれるのは嬉しいけど、これには実効性を持たせて本質を突く必要がある。もし偽りの口実や強引な手法（拒否したら高い金を払ったサービスが使えなくなるなど）でデータを集めるなら、罰金だけでなく刑事罰も科すべきだ。

これが本当にデータの「販売」に焦点を当てていて、データブローカーや世にはびこる悪質な業者に厳しい制限を課すのであれば、全面的に賛成だ。

もしこれがカリフォルニア州の法律みたいに、何でもかんでもデータの利用を「販売」と呼ぶだけで、実際には業界の悪者に大した規制もできないような玉虫色のものになるなら、残念だね。

言葉の意味を明確かつ一貫して保つことは重要だ。Googleが自社のGoogle Mapsデータを活用してレコメンデーションを向上させるのは全く問題ない。でも、AT&Tが個人を特定しやすい集約化された位置情報を第三者に売るのには大いに問題がある。これが後者を禁止しつつ、前者には干渉しない道筋であることを願うよ。

わざわざ法律を作るなら、情報の共有すべてを禁止するんじゃなくて、なんで「販売」だけを禁止するの？

それは正しい方向への一歩だね。メタデータによってどれだけの被害がもたらされてきたか想像するだけで恐ろしいよ。