ブログウォッチャー流データ利活用ルール 安心・安全なデータの利活用と革新的なビジネスを両立させるために、私たちが取り組んでいること
ブログウォッチャーのデータ利活用ルール集として、社員全員が大切にしている「CRIMSON BOOK」（クリムゾンブック）。その策定秘話と背後にある考え、ブログウォッチャーで働くメンバーに浸透させるために今も続けられている努力などを、策定・運用を担ってきた株式会社プライバシーテック山下大介さんと、福士瞳さんに聞いてみました。
＜お話いただいた方＞
山下 大介（やました・だいすけ）
株式会社プライバシーテック 代表取締役/一般社団法人LBMA Japan幹事/株式会社ブログウォッチャーデータプライバシー責任者
IT関連のスタートアップ、大手通信会社における新規事業開発のコンサルティング・ハンズオン等を経てリクルート入社。ブログウォッチャーに出向し、GAFA等のプラットフォームとの提携業務や、企業向けのSaaSプロダクトの開発･検証やカスタマーサクセスグループの責任者を歴任。プライバシーガバナンス構築プロジェクトに携わり、データ利活用ルールの策定や運用を担う。リクルートのプライバシーセンター編集統括。2022年1月、株式会社プライバシーテックを創業。
福士 瞳（ふくし・ひとみ）
株式会社ブログウォッチャー経営企画室の広報担当。国内メガベンチャーにおける広報業務、海外クライアント向けコンサルティング等を経て、ブログウォッチャーに参画。当初よりプライバシーガバナンス構築プロジェクトに携わり、データ利活用ルール集の策定・運用のほか、広報担当として社外向け資料のリスクチェックやレビューを担当する。
福士
2019年の末頃から長いこと一緒にお仕事させていただいてますが、今回は山下さんのご経験なども改めて深掘りしたいと思っています。どのような経緯から、プライバシー関連のお仕事を担当されるようになったのですか？元々興味のあった分野なのでしょうか？
山下
元々はプライバシーの専門でもなく、ブログウォッチャーの中では、位置情報データを増やしていくというミッションを担っていました。
ブログウォッチャーでは、自社がユーザーから直接データを取得するのではなく、PPSDK（Profile Passport SDK*）をパートナー企業のアプリに実装してもらって、そのデータを間接的に取得するという形になっていますよね。
だから、データを増やすために、新たなパートナー企業を開拓するところからはじまります。パートナー企業はPPSDKを導入するだけで、ユーザーの屋外での行動に合わせたプッシュ通知が送信できるなどメリットは多いのですが、やはりブログウォッチャーによる活用に対しては、当初なかなか理解を得ることができませんでした。その理由として、エンドユーザーから取得した位置情報データを、外部の会社に広告や分析目的で提供することへの抵抗感があったりしたんです。
* Software Development Kit：ソフトウェア開発に必要なツールやリソースのセット
福士
当時から、位置情報データのリスクみたいなものは、皆さん感じていたのでしょうか？
山下
ブログウォッチャーがアプローチしていたアプリ運営企業が、いわゆる大企業が多かったので、担当者だけでなく法務担当などにも理解していただく必要がありましたし、位置情報データの利活用が広がる中で、データをより安全に使うという意識が高まっていたんです。
そんな時期に、当時の上長であった酒田さんから、パートナー企業さんに正しく理解していただくためには、ブログウォッチャーがデータを安心安全に利活用するための「憲法」みたいなものが必要だよねという話をされて…
福士
なるほど、それが後の「CRIMSON BOOK」の策定につながるんですね！ちなみに過去に、同じような仕事をされたことはあったんでしょうか？
山下
データ利活用の憲法をつくる、という仕事は、さすがにない…ですね。ただ、ごちゃっとした状況を整理することは好きだったし、仕組みを作っていくことや、言葉を使って表現する仕事はやっていました。あと、子どもの頃から、理不尽なルールで押さえつけられることが嫌いで、自分でルールを作る方が性に合っていたと思います。
福士
私がちょうどブログウォッチャーに参画した2019年の末頃は、LBMAのガイドライン策定にも携わられていましたよね。私もそれまでは広報業務が中心だったので、急にガイドラインの草案を作るサポートをしてほしいと言われて…どうしたらいいんだろうって（笑）
山下
懐かしいですね。当時はそんな経験を持った人は身近にはいなかったですしね。お手伝いしていただく方を考えた時、文章力があって、不確実性への耐性が強くて、バリバリ賢い人、ってお願いしたら、福士さんがきてくださいました。
当時は営業側からも、データを販売していく上での安全性をクライアントに問われるから、きちんと答えられるようにポリシーを明確にしたいという要望を受けていて。データを集める上でも、提供する上でも、何らか、みんなが判断できる基準が必要だな、という課題は顕在化していたので、急務でもありましたよね。
福士
私、そんなスキルを求められていたんですね（笑）でも色々な要望を受けて、どのような順番で作業を進めていったんですか？
山下
どうやって状況を整理していくかを悩んでいたときに、大阪大学の朱先生**の講演で「ELSI」のフレームワークの話を聞いて、「これだ！！」って思ったんです。法律で守らなければいけない内容と、それ以外のガイドラインや世論、人々の心情などに対応するために整えていくべきルールを分けて整理していく。これがブレークスルーでした。
**朱 喜哲（チュ•ヒチョル）氏（現大阪大学 社会技術共創研究センター 招へい准教授）
福士
「ELSI」のフレームワークは、今もブログウォッチャーのデータ利活用を考える際に、必ずと言っていいほど使用していますよね。
山下
そうですね。やはり、過去の失敗事例に共通しているのが、法令だけに準拠してもだめだというのは明白なので、社会受容性である「S」の観点や、そもそも人として…といった倫理的観点の「E」の観点で考えることは、すごく役立っています。この「ELSI」による課題整理によって、位置情報データは蓄積や、異なるデータとの紐付けによって個人の識別性が高まることが見えてきました。この問題の対処には、高度なデータサイエンスの知見が不可欠だったので、データサイエンティストに入ってもらい、ビジネス上の価値をできる限り損ねることなく、プライバシーを担保するデータの加工技術を研究してもらいました。
福士
データの加工技術を開発して、特許も取得したわけですよね。「CRIMSON BOOK」の策定にはどのくらいの時間がかかったんですか？
山下
およそ半年ですね。最初の4ヶ月位は現状の洗い出しをしつつ、課題特定や、対処策をどう整理していくか、悶々としていました。大阪大学の朱喜哲先生、リクルートの法務部や顧問弁護士、データの監査を受けているコンサルティングファームから意見をもらいつつ、データサイエンティストが見出した加工技術の実装方法が見えてきたタイミングで、最後は数週間でまとめていきましたね。
福士
どんな形を目指したんですか？また、参考にした事例などがあればおしえてください。
山下
まずルール自体は、やはり法令やガイドラインと矛盾ないようにつくらなければならないものの、当時はまだ個人情報保護法やそのガイドラインに位置情報に関する記述がないので、「OECD８原則」をベースに、総務省の「スマートフォン プライバシー イニシアティブ（SPI）」や「位置情報プライバシーレポート」などはかなり研究しました。
そのうえで、どう編集するかにもこだわりましたね。とにかく、メンバーにとって、親しみやすく、理解しやすいものにすることを目指していました。憲法というと、どうしても難解な文字で、骨太な日本語で書かれたものをイメージしてしまいますが、あくまでビジネスを円滑に進めること、日常業務で取り入れてもらうことで活きてくるので。
ドラフトは文字がぎっしりと書かれた、いわゆるワードで書かれた体裁でしたが、最終化する中で図表やイラストも取り入れました。イメージでいうと、都民に全戸配布されている「東京都防災ハンドブック」や「東京2020 プレイブック」のように、大事なことだけど押し付けがましくなく、ちょっと見てみようかな、と思ってもらえるようなものを意識しました。
福士
個人情報保護法も改正前でしたし、位置情報データに関する直接的な言及をしている法令がない中で、手探りの作業でしたよね。
山下
そうですね。実際に提供しているデータを洗い出して、データの項目や量、提供頻度などを洗い出しました。そのうえで新しいルールを決めるとなると、やはり既存の案件、既存のクライアントには、どうしても従来提供していたデータの形式との齟齬が生じてしまいます。そのため、営業担当者に同行してクライアントを訪問し、プライバシー対応にあたりデータ形式に変更が発生する旨を、ご理解いただくための対話を重ねました。こちらの意図や実際の影響をしっかりと説明することで、ご納得いただけました。大変な作業でしたけど、実現できればステークホルダーみんなが安心・安全な利活用を実行できる、というポジティブな機運が、顧客との間にも醸成されたと感じましたね。
福士
たしかに！明るくやってましたよね。でも、策定したら終わりではなくて、そこから社内に浸透させていく過程がまた難しいわけで…
山下
単にルールを作るだけでは誰も見ないし、忘れるだろうから、親しみやすさを持たせたいと思っていました。
福士
そもそも内容が簡単ではないですし、法律の改正やデータ加工形式の更新にともなって、アップデートもする必要がありますし…
山下
ルールを強化することが、営業やエンジニアがせっか積み上げてきた努力やモチベーションにに、ブレーキをかけるものであってはならないことを意識してきました。ルールだから仕方ないとか、審査を通すのが面倒だからアイデアを潰してしまうのでは、革新の芽を潰すことになるし、そもそもやる気もなくなってしまうと思うんです。だからこそ「CRIMSON BOOK」は、革新的な施策にチャレンジし続けるためにある、ということを繰り返し伝えてきました。
福士
社内でのデータ利活用ルールに関する相談窓口をSlackに設けたことで、気軽に相談できる雰囲気が生まれましたし、過去の相談履歴をみんなが見られるので、ナレッジが蓄積されていますよね。
山下
ルールで押さえつけるのではなくて、最前線で働く一人ひとりが自発的にリスクに気付ける状態が理想ですね。従来のガバナンスとはちょっと違うかもしれませんが、自ら考えてほしいから、我々は考えるきっかけと、そのための材料を提示するというスタンスです。ガバナンスを理解した上で、革新的な施策を進めよ。そのために必要な知識は、すべて共有しますよ、と。
福士
データプライバシーを学ぶための社内勉強会も、かつてはルール説明会的な構成だったものが、徐々にワークやディスカッションを中心とした形になってきましたよね。自ら考えて発表したり、意見を交換する中で、リスクがありえることに体験として気づく。
ルールを全て暗記するのは難しくても、相談する場所や参照するものがあることや、事前に確認することの意義を知ってもらうのは、非常に重要ですね。
山下
そうですね。そして、困った時に相談や議論のできる雰囲気作りをしていくということもまた、とても大切です。
福士
法律もデータ利活用技術も変化していますが、データプライバシーを考える上で、これだけは絶対に重要だと考えていることは何ですか？
山下
差別や偏見の助長や、個人の利益の侵害につながりうる利活用を行わないこと、です。「CRIMSON BOOK」にもいろんな情報を記載していますが、これだけは覚えといて、と言ってますし、私自身も判断に迷ったときに立ち返る原則はこのことですね。
福士
生活者目線に立って、気持ちの悪さを感じないかなどの、心情に配慮することも含めて、ですよね。
山下
ですね。社会の利益と個人の権利の絶妙なバランスなのかなと。自分がそれを見極められる、というつもりは全くないんですけど。生活者や、良心的な知見を持っている有識者など、アクセスし得る人たちの意見を取り入れていくこと、そのための場を実装していくこと、対話の機会を創っていくことが重要なのではないでしょうか。
福士
ユーザーヒアリングも、繰り返し実施してきましたよね。
山下
商品開発等では頻繁に行われるユーザーヒアリングも、プライバシーの分野ではあまり活用されていないけれど、実はすごく有効だと思うんです。
福士
たしかに、どこかの会社が勝手に決めたルールだったら、反発があるかもしれないけれど、有識者やユーザーの声が正しく反映されたルールだったら、守るべきものとして捉えられるわけで。
山下
これだけ情報が溢れていて、あらゆる情報にアクセスのできる時代に、「知らなかった」では済まされないことが増えています。ただし、リスクのあり得ることに一切手を出さないというのが正義だとは思わないんです。目的や主義・主張があるなら、事前に影響範囲を調査して、配慮して、議論を重ねて、その過程を残した上で、実施の可否を判断することが重要です。
福士
PIA（Privacy Impact Assessment：プライバシー影響評価）ですね。
山下
そうですね。一般的に言われているPIAよりも、かなり踏み込んで、多角的・多段階で評価し、具体的な対応策に落とし込んでいくことが求められます。新しいことをしなければ、停滞するしかないし、無難なものしか残らなくなってしまいます。革新的なデータ活用をしていくためのルールは、事業者が主体となって、行政や有識者を巻き込みながら策定していくべきです。
福士
現場を一番知っている人たち、最前線にいる人たちが、ルールを作っていく、ボトムアップしていくということですね。
山下
そうですね。イケてるデータ組織って、営業もデータサイエンティストも法務部も関係なく、施策のデータフローを書けるし、ビジネス側の論理と生活者側の懸念の両方をフラットに語れることだと思っています。ルールや「CRIMSON BOOK」をつくったからといって、すぐにそんな組織がつくれるわけではないのですが、コミュニケーションの土壌としてすごく機能しているし、何度も何度も繰り返し同じツールで、同じ言葉で語っていくことが、今考えられる、近道だと思っています。