セス・シェーン著

2009年9月11日

X氏は郵便番号02138の地域に住んでおり、1945年7月31日生まれだ。

彼に関するこれらの事実は、一般に公開された匿名化された医療記録に含まれていた。X氏はかなり匿名性が高いと思うだろう？

しかし、カーネギーメロン大学のコンピュータサイエンス教授であるラタニャ・スウィーニーにとってはそうではない。彼女は1997年に、この情報だけでX氏の正体を特定できることを実証した――その正体とは、1990年代を通じてマサチューセッツ州知事を務めたウィリアム・ウェルドだった。

性別、郵便番号、生年月日は一見「匿名」に思えるが、スウィーニー教授がこれらを通じてウェルド知事を特定できたのには2つの理由がある。第一に、個人に関するこれらの各事実（あるいは通常は特定情報とは考えられないような他の種類の事実）は、それぞれ独立して対象集団を絞り込むものであり、その効果は極めて大きく、（性別、郵便番号、生年月日）の組み合わせは米国人口の約87％において一意のものだった。米国に住んでいる場合、これら3つの属性を他の米国居住者全員と共有していない確率がおよそ87％というわけだ。第二に、特定のデータソース（スウィーニー教授はマサチューセッツ州の有権者登録データベースを用いた）を利用すれば、名前や住所といった従来の識別子を含め、その人物について知っている情報を基に検索を行い、さらなる情報を引き出すことが可能になる。極めて具体的な意味において、人々に関する「匿名化された」あるいは「単なる人口統計学的」情報は、実はそのいずれでもない可能性がある。（また、「匿名」のユーザーに、一見些細な個人情報を尋ねるウェブサイトは、その情報を利用して個人固有のプロファイルを作成したり、他のデータベースでその個人を検索したりできるかもしれない。）

現代の多くのプライバシー規制や議論は、「個人を特定できる情報」（PII）という概念を中心に展開されている。PIIの概念は、いくつかの法制度や多くの組織のプライバシーポリシーで使用されている。一般的に、特定の個人を特定する情報は、そうでない情報よりもはるかに機密性が高いとみなされる。例えば、

• 連邦の電気通信プライバシー法では、（加入者に関する）「個人を特定可能な情報」を、顧客専有ネットワーク情報（CPNI）と呼ばれる保護対象情報のカテゴリーの根拠としている；
• 連邦の医療プライバシー規制では、「個人を特定可能な医療情報」（患者に関するもの）を、保護対象医療情報（PHI）と呼ばれるカテゴリーの根拠として用いている；
• 連邦の金融プライバシー法、EUデータ保護指令、および各州のプライバシー法は、いずれも同様の用語や概念を採用している；

そして、いずれの場合も、「個人を特定可能」または「個人を特定可能」とみなされる事実は、これらの法律や規制の下で、非常に高いレベルの保護を受ける可能性がある。

しかし、スウィーニー教授や他の専門家による研究は、一見すると極めて無害で中立的、あるいは「ありふれた」と思われる事実を含め、驚くほど多くの事実が個人を特定できる可能性を秘めていることを示している。プライバシー法は、主に「識別可能性」に関する伝統的な直感的な概念に固執しており、技術的な現実にはほとんど追いついていない。

ポール・オームによる最近の論文「プライバシーの破られた約束：匿名化の驚くべき失敗への対応」は、この問題について徹底的な解説と有益な視点を提示している。オーム教授の論文は、個人のプライバシーに関心のある者にとって必読の文献である。なぜなら、ラタニャ・スウィーニーやアルヴィンド・ナラヤナンといった研究者らによって得られた匿名化の解除（de-anonymization）の結果が、従来のプライバシーに関する前提をいかに深刻に揺るがしているかを示しているからだ。特に、「個人を特定できる情報」と「個人を特定できない情報」という二分法を維持することは、ますます困難になっている。ある情報が「匿名」であるという私たちの実感は、しばしば間違っているのだ。相応の状況と知見が揃えば、ほぼあらゆる種類の情報が個人を特定する要因となり得る。人々に関する情報は、これまで想定されていた以上に個人を特定しやすく、長期的には、事実を「PII」か「非PII」かに分類するという取り組みそのものが疑問視されることになるだろう。

統計的推論とデータベースの精巧な活用により、一見匿名に見えるデータ――ほとんどの組織がPIIとは見なしていなかった種類のデータ――から個人を特定する驚くべき事例が報告されてもいる。人口統計データの組み合わせとは別に、あなたを唯一無二に特定しうる要素には、あなたが検索したキーワード、購買習慣、音楽、書籍、映画に関する好みや意見、さらにはあなたのソーシャルネットワークの構造さえも含まれる――純粋に抽象的な意味において、友人や知人の身元情報が一切含まれていない場合でもそうだ。匿名化解除は実効性があり、私たちの直感よりもはるかに容易だ。私たちを特定する可能性がある変数の数を考えれば、私たちは予想以上に互いに異なっており、特定の記録が誰を指すかを絞り込むために利用可能なデータ源は、私たちが認識している以上に存在する。

これらの論文の多くは概念実証を目的としていた。つまり、こうしたデータによって人々が潜在的には再特定され得ることを示していても、誰もがそうなるわけではないということだ。全員の医療記録が、ウェルド知事の場合のように簡単に名前と結びつけられるわけではなかった。また、ナラヤナンとシュマティコフの研究では、映画の評価情報から特定できたのはNetflixユーザーのうち2人だけであり、Netflixが公開した評価情報からすべてのユーザーを特定できたわけではない。とはいえ、こうした研究結果の多くは、個人のプライバシーを侵害することよりも、数学的手法の有効性を示すことを目的としているため、個人に関する利用可能な全てのデータを意図的に使用していない。現実世界の攻撃では、人々の身元を特定するために、入手可能なより多くの種類の情報を同時に利用することになるだろう。ブルース・シュナイアーが指摘しているように、こうした攻撃は時が経つにつれて高度化するだけであり、決して弱まることはない。

オームは、特定可能性を連続体として捉える方が適切だと主張している。そうなると、「匿名化」または「無害化」されたデータという概念は疑問を招く。研究者たちは、個人にコード番号を割り当てたデータセットを習慣的に共有し、さらには公開さえしているからだ。この慣行にはすでに顕著な問題が生じており、例えばAOLが「匿名化」された検索ログを公開した際、検索用語の内容だけで一部の個人を特定できてしまった事例がある。

『Broken Promises of Privacy』が、個人データを扱う人々にとって、データの保持や共有の慣行、そして使用している匿名化や仮名化技術の有効性について、より批判的に考えるきっかけとなることを私たちは何よりも願っている。また、本書が幅広い読者に読まれ、脱匿名化の時代において「プライバシー保護」が何を意味すべきかについて、研究者、技術者、法律家の間でより広範な議論が始まる一助となることを期待している。

https://www.eff.org/deeplinks/2009/09/what-information-personally-identifiable