Yahoo!スコアを契機に考えた信用スコア問題点3つ

6月15日（土）の第3回情報法制シンポジウムで「信用スコア問題」のパネルに登壇する機会をいただいたので、ひとまず現時点でYahoo!スコアを契機に考えたことをまとめ直してみた。Yahoo!JAPAにとどまらず、あらゆるサービスに対して当てはまることとして。

 

1）利用者の理解と同意の問題

利用者は、規約を十分に読んで理解した上で、同意ボタンを押しているのかという問題。実は、私は2010年以降担当した全ての授業において「利用規約やプライバシーポリシーを毎回読んでいる人？」と質問をしてきたが、2019年6月時点で、「必ず規約を全部読む」と答えた人は12名だった。

 

そもそも、規約の文章は分量が多い。2005年時点でAOLの検索データから75のサイトを対象に調べたMcDonaldの研究(2008)では*1、プライバシーポリシーの分量は、最少で144Words, 最大で7,669Words(シングルスペースで、A4　16ページ分）とのこと。中央値でも 2,514words(6ページ）で、10分かかるという計算から、時給換算して「読むことのコスト」を計算している 。また、2010年には、Facebookのプライバシーポリシーが、アメリカ合衆国憲法よりも分量が多いというニュースが出た。

www.huffpost.com

 

 現在、読みやすく整理された規約やポリシーが増えてきたとはいうものの、利用者は必ずしも注意を払って判断しているわけではなく、むしろ労力をかけずに選択行動をしているようだ。 Knijnenburgら(2013)の実証研究によれば*2 既に個人情報が入力されている状態では利用者は敢えてそれを消さないし、逆に空欄だからといって敢えて入力もしない傾向があるという。
オンになっていれば、敢えてオフにしない。逆に言えば、オフにしていたらオンにしてくれないということだ。

事業者側は「全部書いたから読んでね」「読んだ上で同意ボタン押したよね」という立場でも、利用者側は読まずに同意ボタンを押しているとしたら、その同意は実質的なものなのか、という疑問は拭えない。とは言っても、あらゆるサービスにおいて丹念に読み、判断することを人間に求めること自体が、既に人間の限界にあるわけで、ここの技術的支援は必要と考える。読みやすくするというKantara　InitiativeのInformation Sharing Labelや、MozillaのPrivacy Icon*3　のように視覚的に分かりやすく表現する試みがあるにはある。
さらには、プライバシーポリシーの矛盾の検出（Such et al, 2016）*4 や、GDPR対応のために機械学習によってプライバシーポリシーのベンチマーキングする研究(Tesfay et al, 2018)*5 などがある

重要な判断をすべきところは、「読んだよね？」という建前ではなく、実効的に同意できる仕組みは必要だ。

2）サービスによる採点結果（スコア）はMy Dataではないのか？

　Yahoo!スコアにせよ、みずほ銀行とソフトバンクによるJ.Scoreにせよ、それらはサービス側が、利用者のデータに基づいて、利用者を採点した結果を使うものと言える。

 

採点対象となるデータ、すなわち利用者が提供する情報については、利用規約第2章のプライバシーポリシーおよび、そこからリンクされているプライバシーセンターのデータの取得ページに説明が描かれている。サービスを利用している以上、これに同意したことにはなっている。ここまではいい。

 では、これらのデータから生み出された情報（＝採点結果／スコアを含む）についてはどうするか？

 

例を変えよう。たとえば、ECサイトで購入している服のサイズが大きいものに変わったという購買履歴と、ダイエットについての検索履歴からわかることについては？　これは、履歴からの計算結果なので個人情報ではない？同様の行動をする人が何を買っているかという傾向から、ダイエット関連サービスがリコメンドされるなら、サービス向上として受け入れられる可能性は高い。実際、Amazonのリコメンデーションは大いに強みだ。しかし、その優劣を評価する仕組みとなったら？肥満からの健康リスクや審美性といった、人間が設計した評価基準に基づいた採点結果＝スコアは誰のものになる？

スコアを「機械的に推定・算出」のアルゴリズムを作るのは、当然ながら人間であり、そのサービスの評価基準に基づく。あるサイトの基準では、先述の体重増加は健康リスクと評価され、別のサイトの基準では優良購買者と評価される可能性もある。この結果を、利用者自身が見られないというのは問題だと思う一方で、これが個人情報に該当しないのであればなるほどな、とも思う。ここは法的にどうなのか、法律のご専門の方に聞いてみたい。

 

3）スコアはどこまで振る舞いを変えるのか

話をYahoo!スコアに戻す。サービス提供者から見て好ましい行動をとるユーザは高スコアを得て、好ましくない行動をとるならば低スコアとなる−であれば、プラットフォームたるYahoo!JAPANは利用者たちの行動を相当にコントロールできることにならないか。たしかに、ヘイト投稿や明らかな嫌がらせといった違反行為の抑止にはなり得るかもしれないが、その他の行動はどうか。

たとえば、利用データに挙げられている「Yahoo!知恵袋」の「活躍度」とは、投稿数なのか、ベストアンサーの割合なのか、あるいは回答数を稼いだ質問なのか。そのパターンが見えてくれば、他社にも提供されるスコアを上げるために、利用者たちはサービスの使い方や行動を変えるかもしれない。その結果は、炎上や誹謗中傷のない穏やかなコミュニティかもしれないし、自分のスコアを上げることを優先するような利用かもしれない。また、常に監視されていることを意識しながら、抑制された自己開示しかなされないコミュニティかもしれない。

 

　それでも、実は、私個人はYahoo!スコアがついた状態でYahoo! JAPANサービスを使うだけならば、自分でそのスコアを確認できるという条件つきではあるが、それほど悪くないとは思っている。性別と年代のステレオタイプで判断されるのは、もううんざりだ。40代女性だから云々というよりは、オンラインの行動を見て評価したりリコメンドしたりして欲しい。知恵袋でベストアンサーとなるべくまっとうな回答を投稿したり、購入したもののクチコミを書いたり。もちろん、支払いの滞納もせず、違反行為もせず、個人情報も提供しており、ニックネームは使っているけれどいざとなれば社は本人を特定できる、という「ハイスコアユーザ」になって、Yahoo! JAPANサービスの恩恵を受けられるという話なら、まだありかもしれない思うのだ。

 

けれども、それはYahoo! JAPANというサービスの系の内に閉じている限りにおいて、だ。他サービスへのスコア提供について、事例紹介を見ると、スコアの高いユーザとマナーの良さや、仕事の積極性に相関関係があることがわかった、といったことが書かれている。

info-score.yahoo.co.jp

相関関係があるので、仮に私が「すごい知恵袋ユーザ」でYahoo!スコアが高くなったとして、その評価が、例えばランサーズで仕事をもらう上でも使われるということなのか？　それは、コンテクストが違うのではないか。

 

このほか、ID連携時のアンバンドルの問題とか（Yahoo!スコアに関しては、藤代さんのブログの追記によればスコアをオフにした上でID連携すればよい、という話があるが）、サービスを利用しなかったり、匿名で利用したりした場合に利用者が不利益をこうむるのではないかといった疑問はあるが、ひとまずここまで。

*1:McDonald, A. M., and Cranor, L. F. 2008. “The Cost of Reading Privacy Policies,” A Journal of Law and Policy for the Information Society (4:3), pp. 1–22.

*2:Knijnenburg, B. P. ;, Kobsa, A., Jin, H., Hall, and Kobsa, Alfred; Jin, H. 2013. “Counteracting the Negative Effect of Form Auto-Completion on the Privacy Caluclus,” in ICIS2013, pp. 1–21.

*3:Privacy Iconは検索すると山のようにでてくるが、Mozillaの色分けはISO 22324 Societal security --- Emergency management --- Guidelines for colour-coded alerts　に準じて緑と黄色で描かれている

*4:Jose M. Such and Michael Rovatsos. 2016. Privacy Policy Negotiation in Social Media. ACM Trans. Auton. Adapt. Syst. 11, 1, Article 4 (February 2016), 29 pages. DOI=http://dx.doi.org/10.1145/2821512

*5:Welderufael B. Tesfay, Peter Hofmann, Toru Nakamura, Shinsaku Kiyomoto, and Jetzabel Serna. 2018. PrivacyGuide: Towards an Implementation of the EU GDPR on Internet Privacy Policy Evaluation. In Proceedings of the Fourth ACM International Workshop on Security and Privacy Analytics (IWSPA '18). ACM, New York, NY, USA, 15-21. DOI: https://doi.org/10.1145/3180445.3180447