受信トレイを埋め尽くすプライバシー通知メールの正体――GDPRはあなたにどんな影響を与えるのか？

2018年5月25日、EU（欧州連合）の一般データ保護規則、いわゆるGDPRが発効しました。「あなたの受信トレイに未読メールが300万通もたまっている原因」として有名になったあの法律です。この規則は、ヨーロッパのインターネット利用者の個人情報を、盗難や同意なき利用から守ることを目的としています。しかし、ヨーロッパとビジネスを行うすべての企業に遵守義務が課されるため、結果として世界中のユーザーの受信トレイが崩壊の危機に瀕することになったのです。

エンドユーザーとしてのあなたへの実際の影響は、主に「ヨーロッパ在住かどうか」「プライバシーをどれほど重視するか」によって変わります。基本的には何か特別な対応をする必要はありませんが、よく使うサービスからのメールには重要な内容が含まれている可能性があるため、一度目を通しておく価値はあるでしょう。

GDPRで良くなること

EU法であるため、最も大きな変化はヨーロッパ諸国で起こります。Brexit（英国のEU離脱）が議論されていた当時も英国は依然としてEUの一員であり、離脱後も大陸側とのビジネスが続くと見込まれていたため、この枠組みに含まれています。消費者にとって最大の変化は実は目に見えません。というのも、変更の多くは暗号化方式やデータ保存プロトコルなど、舞台裏のデータ管理体制に関するものだからです。ただし、ヨーロッパ在住者には以下のような目に見える変化もあります。

• インフォームド・コンセント（知情同意）：企業はより多くの場面でユーザーの許可を求める必要があります。つまり、「この企業が私のこのデータをこの目的で使用することに同意します」といったチェックボックスに、以前よりも頻繁にチェックを入れることになるのです。
• 削除権（忘れられる権利）：データを最初に提供したウェブサイトだけでなく、その後に情報が共有された先のサイトでも、自分のデータを完全に削除する選択肢が得られます。企業に「もう私の情報を保持しないでほしい」と伝えれば、企業は法律上、あなたに関するすべての情報を破棄する義務を負います。
• アクセス権：企業が保有する自分の情報を閲覧できるようになります。理論上は、企業があなたについて把握しているすべての情報にアクセス可能であり、前述の「削除権」と組み合わせれば、その情報を記録から消去してもらうこともできます。将来的にはデータポータビリティの向上にもつながるかもしれません。これは、あるサービス（たとえばFacebook）から自分のデータを取り出し、別のサービスへ移行できるようにする仕組みです。
• カスタマーサポートの改善：「顧客でなければ、あなた自身が商品だ」という言葉は、もはや当てはまらなくなりました。自分のデータの扱いに不満がある場合や、情報に誤りがある場合は、企業が苦情に応じることが義務付けられています。

GDPRで問題になること

• コストが膨大：企業は製品の作り直しや人材の追加採用を迫られ、広告収入の一部を失う可能性もあります。
• サービスを終了する企業も：高額で困難なシステム改修を前に、事業そのものをやめてしまう企業が出てきました。最も注目を集めたのは（GDPRだけが原因ではありませんが）、ソーシャルメディアの影響力を採点していたサービス「Klout」の終了です。
• ヨーロッパを締め出す企業も：LA TimesやNPRといった米国の大手メディアサイトは、ヨーロッパのユーザーを完全にブロックするか、機能を絞った簡易版へリダイレクトしています。メール一括退会サービスのUnroll.me、オンラインゲームのラグナロクオンライン、Pinterest傘下のInstapaperも市場から撤退しており、一時的なケースもあれば恒久的なケースもあります。
• 相変わらず大量のメール：もううんざりしているかもしれませんが、企業が新ルールへの対応を続ける限り、通知メールはまだしばらく続くでしょう。皮肉なことに、プライバシー保護を目的としたブラウザ拡張機能「Ghostery」が、プライバシー通知メールの送信時に数千件のメールアドレスを誤って公開してしまう失態も犯しており、この移行期は決して順風満帆とは言えませんでした。
• ただし将来はメールが減るかも：「5月25日までにオプトインしなければ、メーリングリストから削除します」という文言が添えられたメールも多かったはずです。今となっては手遅れですが、お気に入りの「猫の豆知識」ニュースレターが届かなくなったとしたら、それはGDPRのおかげ（？）かもしれません。

EU以外の地域はどうなる？

厳密に言えば、ヨーロッパに居住していなければGDPRは直接適用されません。しかし、ヨーロッパと何らかのつながりを持つ企業は世界的に非常に多いため、事実上、世界の大部分が何らかの形で影響を受けます。企業にとっては、地域ごとに対応を変えるよりシステム全体を一律に更新する方が簡単なため、EU圏外のユーザーにもより厳格なデータ基準が適用されていきます。

Facebookのように、所在地にかかわらず全ユーザーにGDPR準拠のサービスを提供すると表明した企業もあります。一方で、前述の通りヨーロッパ市場から撤退を選んだ企業もありました。とはいえ、EU圏外在住の場合、大規模な変更を実施するのはごく一部の企業にとどまるでしょう。長期的に見れば、今のうちにGDPRへ準拠しておくことは、他の国々がEUの動向に倣い始めた将来のための時短投資になると考えられます。

結論：GDPRは正しい方向なのか？

データ保護は非常に複雑なテーマであり、ここ数年でようやく大規模な社会課題として認識されるようになりました。GDPRは現状の市場における欠陥の一部を是正する一方で、企業に厳しいコストを押し付ける側面もあります。ブロックチェーンを活用した分散型IDのような代替ソリューションが将来の答えになるかもしれませんが、少なくとも現時点では、オンラインの世界は少しだけ安全になりました。そして私たちは全員、読む気が起きない利用規約の山を、さらに積み上げることになったのです。