個人情報は「漏れている前提」で生きる（個人情報保護法とGDPR、情報漏洩、トラッキング、そしてITリテラシーの話）

　前回の記事では、情報民主主義──正しい情報・誤情報・偽情報をどう見分けるかという話を書きました。今回はその続きとして、自分の個人情報をどう守るかという、もう一段手前の話を書いておきたいと思います。

　結論を先に書いてしまうと、わたしは「個人情報は、すでにどこかから漏れている前提で生きる」という立場です。悲観しているわけではありません。前提を正しく置いたほうが、打つべき手が具体的になるからです。

　この記事は、法律の話（日本の個人情報保護法、EUのGDPRとデジタル関連法）から始めて、企業からの情報漏洩、AIによる個人情報の解析、世代別のセキュリティ意識、そして最後に「広告業界の追跡技術」まで、順番に降りていく構成になっています。技術的な話が苦手な方は、各項目の図解と要約だけを追いかけてください。仕組みを知らなくても、「こういう追跡行為が存在する」という事実を知っているだけで、防げる被害はかなりあります。

個人情報保護に関して

　まずは制度の話からです。日本の個人情報保護法と、EUのGDPRを含むデジタル関連法。この2つを大づかみに理解しておくと、企業のプライバシーポリシーを読んだときに「これは何を言っているのか」が分かるようになります。

個人情報保護法の基礎

　日本の個人情報保護法は、2003年に成立し、2005年4月に全面施行されました。監督官庁は、内閣府の外局である個人情報保護委員会（PPC）です。

　この法律のポイントは、「個人情報」という言葉が、実は3段階に分かれていることです。

個人情報：生存する個人に関する情報で、氏名・生年月日などから特定の個人を識別できるもの。他の情報と照合して識別できるものも含みます。運転免許証番号やマイナンバーのような「個人識別符号」も、それ単体で個人情報になります
個人データ：個人情報をデータベース化して、検索できる状態にしたもの。顧客名簿がこれにあたります
保有個人データ：事業者が開示・訂正・利用停止などの権限を持っている個人データ。本人が「見せてください」「消してください」と請求できるのは、この範囲です

　さらに、人種・信条・病歴・犯罪歴といった、取り扱いに特に配慮が必要な情報は「要配慮個人情報」として区別され、取得する時点で原則として本人の同意が必要になります。

　事業者側の主な義務は、次のとおりです。

利用目的の特定と通知・公表（何に使うのかを先に言う）
目的外利用の禁止（言っていない用途に流用しない）
安全管理措置（漏らさないための技術的・組織的な対策）
第三者提供の制限（原則、本人同意なしに他社へ渡さない）
開示・訂正・利用停止への対応（本人からの請求に応じる）
漏えい等が起きたときの報告・通知

　このうち6番目は、2020年改正（2022年4月1日施行）で義務化された、比較的新しいルールです。要配慮個人情報の漏えい、財産的被害のおそれがある漏えい、不正アクセスによる漏えい、1,000人を超える漏えいなどが起きた場合、事業者は個人情報保護委員会への速報（速やかに、おおむね3〜5日以内）と確報（30日以内、不正アクセス等は60日以内）、そして本人への通知が必要になります。ニュースで「◯◯社が個人情報保護委員会に報告」と流れるのは、この義務に基づくものです。

　もうひとつ覚えておきたいのが、この法律には「3年ごと見直し」の規定があることです。2015年改正（2017年施行）では、それまで「5,000件以下の事業者は対象外」だった除外規定が撤廃され、町の小さな会社や個人事業主も、全員が対象になりました。2020年改正では前述の漏えい報告義務や、仮名加工情報、越境移転時の情報提供義務が加わりました。2021年改正では、それまでバラバラだった官民の規律が一本化されています。

　直近の見直しでは、違反企業に対する課徴金制度や、消費者団体による差止請求（団体訴訟）の導入が議論されています。EUのように「売上高の何%」という金額を科す方向へ寄っていくのかどうか、今後の焦点だと見ています。

GDPR（EU一般データ保護規則）とは？

　2018年5月に施行された、個人データの収集、処理、保管、転送を包括的に管理する規則です。対象は、EU域内の個人データを扱うすべての企業です。現地に進出している日系企業はもちろん、日本にいながらEU居住者のデータを扱う企業にも適用されます（域外適用）。

　特徴は、EU域外への個人データ移転が原則禁止されている点です。日本は2019年1月に「十分性認定」を受けたため、EUから日本へのデータ移転は比較的スムーズに行えるようになりました。ただし、これは「日本の法制度がEUと同等の保護水準にある」と認められただけであって、企業がGDPRの遵守義務を免れるわけではありません。ここを勘違いしている担当者を、実際に何人も見てきました。

　GDPRが本気だと分かるのは、制裁金の規模です。重大な違反には最大2,000万ユーロ、または全世界年間売上高の4%のいずれか高いほうが科されます。日本円で数百億円規模の制裁金が実際に出ており、「注意して終わり」の世界ではありません。

　また、GDPRは本人（データ主体）に強い権利を与えています。アクセス権、訂正権、消去権（忘れられる権利）、データポータビリティ権、プロファイリングに異議を唱える権利などです。日本の法律よりも、個人の側に寄った作りになっていると感じます。

ドメイン登録のWHOIS情報から学ぶ

　GDPRが日常の景色を変えた、いちばん分かりやすい例がWHOISだと思っています。

　gTLD（Generic Top Level Domain：ジェネリックトップレベルドメイン、汎用ドメイン）に関しては、WHOISに個人情報がまったく表示されなくなりました。登録日時、有効期限、ネームサーバーなどの情報は閲覧可能ですが、個人の特定につながる氏名やメールアドレスは一切非表示となっています。GDPR施行に合わせてICANNが暫定仕様を出したのが2018年5月で、そこから一気に変わりました。以前は、個人情報の掲載を避けたくて「WHOIS代行表示サービス」というものにお金を払っていましたが、実質的に必要がなくなりました。

　なお、WHOISというプロトコル自体も世代交代が進んでいて、現在はRDAP（Registration Data Access Protocol）への移行が完了しています。認証された正当な照会者（法執行機関や商標権者など）には段階的に情報を開示する、という設計思想です。

　我が国のccTLD（Country Code Top Level Domain：国別コードトップレベルドメイン）である「.jp」においても、表示する自由は担保されつつ、非表示も選択可能となりました。汎用JPドメイン（example.jp）を個人で登録する場合、登録者情報の代わりに「公開連絡窓口」を表示させることができます。一方、属性型JPドメイン（co.jp、or.jp など）は組織の実在確認を伴うため、組織名は公開されたままです。

　ドメインひとつ取っても、「誰の情報を、誰に、どこまで見せるか」の設計は、この10年でここまで変わりました。

EU AI法（EU AI Act）

　2024年8月に発効した、生成AIを含む包括的なAI規制法です。目的は、AIをリスクレベルに応じて規制し、安全なAI開発・運用を実現することにあります。

　特徴は、AIの用途を「許容できないリスク」「高リスク」「限定的リスク」「最小リスク」の4段階に分類し、規制の強さを変えている点です。社会的スコアリングや、公共空間でのリアルタイム生体認証といった「許容できないリスク」に該当する用途は、原則として禁止されます。生成AIなどの基盤モデルを提供する事業者には、学習データの概要開示や著作権法の遵守といったルール順守が義務付けられ、違反した場合は制裁金が科されます。制裁金の上限は、最大3,500万ユーロまたは全世界年間売上高の7%と、GDPRよりさらに重い設定です。

　適用は段階的で、禁止事項は2025年2月から、汎用AIモデルの義務は2025年8月から、高リスクAIの義務は2026年8月からと、順次効力を持つスケジュールになっています。

EUデータ法（EU Data Act）

　2024年1月に発効し、2025年9月から適用が始まった、非個人データを含む産業データの公平なアクセスと利用に関する法律です。

　狙いは、IoT機器が生み出すデータを、メーカーだけが囲い込めないようにすることです。たとえばコネクテッドカーや産業機械が生成したデータについて、利用者が自分でアクセスし、第三者（別の修理業者など）に渡せるようにする。さらに、クラウド事業者を乗り換えるときの手数料や技術的障壁を撤廃する「クラウド・スイッチング」の規定も含まれています。囲い込み（ロックイン）を法律で崩しにいっている、という理解でよいと思います。

デジタルサービス法（DSA）とデジタル市場法（DMA）

　DSA（デジタルサービス法）は、オンラインプラットフォームのコンテンツモデレーション（違法コンテンツへの対応など）を強化する法律です。2024年2月から全面適用されました。月間利用者4,500万人以上の「超大規模プラットフォーム（VLOP）」には、リスク評価や外部監査、広告のターゲティング情報の透明化といった、重い義務が課されます。

　DMA（デジタル市場法）は、巨大IT企業を「ゲートキーパー」として指定し、公正な競争環境を確保する法律です。自社サービスの優遇表示（セルフプリファレンシング）の禁止、他社アプリストアの許容、サービス間でのデータ結合の制限などが柱になっています。iPhoneでEU圏だけサードパーティのアプリストアが使える、という話の根拠がこれです。

Cookie規制

　Cookie（クッキー）の利用に関しては、特にユーザーのトラッキングを行うサードパーティCookieについて、原則としてユーザーの事前同意（オプトイン）が必要とされています。

　根拠はGDPRだけではなく、ePrivacy指令（いわゆるCookie指令）にあります。海外サイトを開いたときに、あの鬱陶しい同意バナーが出てくるのはこのためです。ちなみに、「同意する」だけが目立っていて「拒否する」がリンク文字で小さく置いてあるようなバナーは、EUの当局が繰り返し是正を求めている典型的なパターンです。後述する「スラッジ」に近い話でもあります。

21世紀は、企業から個人情報が漏洩する時代、何の保証もない

　昨今、上場している大企業が1億人規模の情報漏洩をする時代です。それも、複数の企業が何度もです。10年ほど前は、1件でも大問題となっておりましたが、現在は感覚が麻痺しつつあるようにも感じます。

　構造も変わりました。大企業は自社でデータセンターを持たないことも多く、クラウド事業者から漏洩する場合もあります。さらにその下に、業務委託先、再委託先、開発ベンダー、コールセンター運営会社と連なっていきます。そうなった時に、誰に責任の所在があるのか不明瞭になります。

　法律上は「個人データを預けた元請け企業に監督義務がある」という整理なのですが、被害を受けた本人からすると、そんな話は何の慰めにもなりません。個人情報は漏洩しているものとして、生きて行く他ありません。

　もちろん、諦めろという話ではありません。市民社会の場において、企業のデータセキュリティガバナンス向上を求めて行くのも有効でしょう。わたしがインターネットガバナンスの場に関わり続けているのも、その一環です。

逆に企業にとっては、情報漏洩事件が起きると、取引停止、倒産の恐れあり

　大企業にとっても、情報漏洩が起きると、ダメージは大きいでしょう。しかし、体力・資金力があるので、倒産する事は少ないかと思います。ただし、コンプライアンス問題として、株価の低下は避けられません。特に欧米諸国はコンプライアンスに敏感なので、株式保有比率における欧米の資産家・機関投資家の割合が高い企業では、株価低下が顕著に起きる事でしょう。近年はESG投資の文脈でも、データガバナンスが評価項目に入ってきています。

　逆に、中堅企業、中小企業だと話が変わります。信用力の低下、消費者から敬遠されることによる売り上げ減少、取引先からの取引停止、そして融資の貸し剥がしによる倒産も起こる事でしょう。

　特に怖いのは、取引停止です。大企業のサプライチェーンに組み込まれている中小企業の場合、親会社側のセキュリティ監査に落ちた時点で、売上の大半を失います。事故そのものの損害額より、その後の商流断絶のほうが致命傷になる、というのが実感です。

ナッジ、スラッジを意識するべき

　少し聞き慣れない単語が出てきますが、知っておくと世の中の見え方が変わるので、やさしく解説します。

　もともとナッジ（nudge：ひじで軽くつつく）は行動経済学の用語で、選択の自由を残したまま、人がより良い選択をしやすくなる仕掛けのことを指します。逆にスラッジ（sludge：ヘドロ）は、本来やるべきことを妨げる余計な手間・摩擦のことです。解約ボタンだけ異様に見つけづらい、といったアレです。

　わたしが所属する団体では、この考え方を情報の信頼性の判定に応用しています。

ナッジとは？

　ナッジとは、その情報が、正しくあるべき姿で提示されていて、おかしな表現がなく、消費者を惑わさない、といった特徴を持つものです。産地・原材料・効能の表示が事実に基づいており、読み手が誤解しないように書かれている。そういう情報を指します。

スラッジとは？

　スラッジとは、ナッジと逆で、情報の大半が偽情報・誤情報であったり、根拠のない「効能100％」などの表記、消費者を惑わすような詐欺的な表現が一部でも含まれるものを指します。

　厄介なのは、全体の9割が正しくても、1割に詐欺的表現が混ざっていればスラッジだという点です。全部が嘘の広告は、かえって誰も引っかかりません。本当に危ないのは、正しい情報の中に少しだけ混ぜてある嘘のほうです。

ナッジシールの事例から学ぶ

　わたしが所属する一般社団法人ネット情報信頼性機構では、情報のスラッジ・ナッジがないかを判定した「ナッジシール」というものを発行しております。

　主に食品事業者に発行しておりますが、正規種別の特産品であり、間違いなくその地域で栽培・養殖・採集されたものである事を証明しております。今後、このようなサービスを拡大し、産地偽装などの偽情報・誤情報スラッジが含まれていない企業に、認証を付与して参ります。

　個人情報の話から少し離れたように見えるかもしれませんが、根っこは同じです。「その情報の出し手を信用してよいか」を、消費者が自力で判定するのは大変です。だからこそ、第三者が判定して可視化する仕組みが要る、という話です。

情報の管理は自分で行うべき

　生成AIの台頭により、より発展した人工知能であるAGI（Artificial General Intelligence：人工汎用知能）、ASI（Artificial Superintelligence：人工超知能）の誕生も間近となっています。間近と言っても数年越しで、ASIに関しては、控えめに言っても5年〜10年はかかると言われています。

　ただ、AGIやASIを待つまでもなく、いま現在のAIですら、個人情報を扱う能力は十分にあります。ここからは、その前提で自分のデータをどう置くか、という話です。

AIは、個人情報を閲覧、分析の上、出力・結果を出している

　ウェブサイト上では、有益と思われるウェブサイトのクロール・巡回が、ほぼ終わったとされています。価値のないウェブサイトもクロールするでしょうが、いずれ枯渇します。

　では次の対象は何かというと、メールでのやり取りの情報や、お問い合わせ時のやり取りの記録（電話、メール、フォーム、チャットサポートを含むすべて）が対象となって来るでしょう。実際、サポート業務のAI化は急速に進んでおり、過去の応対ログを学習データとして使う設計は、もはや珍しくありません。

　個人が企業に問い合わせした際の個人情報は、その会社のコーポレートガバナンスに沿って管理される事でしょう。その際、私たち消費者は、個人情報を預けて良い企業であるかを判断していかなければならなくなるかもしれません。

　セキュリティガバナンスがしっかりしていない会社に、住所・氏名・電話番号・免許証の番号などを伝えてしまうと、個人情報が漏洩した時に、フィッシング詐欺や犯罪のために悪用されてしまう懸念があります。免許証やマイナンバーカードの画像を、チャットフォームにそのままアップロードさせる事業者を見かけますが、あれが本当に安全に保管されているのか、わたしはかなり懐疑的です。

自分のメールアドレスや写真、データの管理

　今後、いや既に現在もそうではありますが、自分自身の個人情報は、お金がかかっても、自分自身で管理しなければいけない時代が到達しました。

　大手クラウド事業者にメールデータや写真データの管理を任せていたり、バックアップしていると、AI・人工知能により解析される恐れがあります。解析されてメタデータだけが活用されるならまだしも、AIやクラウド事業者からの情報漏洩により、個人情報が漏洩する事も考えられます。実際、生成AI事業者においても、内部データや資料の流出が報じられる事例が出てきています。

　これが大手検索エンジンの事業者で、写真データを預けており、AIにより分類や思い出のリマインドが組まれていた場合、私的な写真がインターネット上に漏洩するリスクになります。

　同様にメールデータも、ログイン情報や、インターネット通販利用による住所・電話番号・買い物リストの漏洩につながる危険があります。メールボックスは、その人の生活のほぼ全部が入っている、いちばん濃い個人情報の塊です。

　既にわたしも、一度、経験があります。台湾のAPrIGF（アジア太平洋インターネットガバナンスフォーラム）という国際セミナーに参加した際、オンライン詐欺の対策セッションのスライドの写真を撮影しました。データ検閲が入っているのか定かではありませんが、詐欺師と間違えられたのか、マイクロソフトのOneDriveのアカウントが凍結されたことがあります。中身を機械的に判別しているのはもちろんの事、凍結されて二度とデータにアクセスできないリスクもありました。幸いなことに、クレームの連絡を入れ、無事に凍結は解除されました。

　この時に強く感じたのは、「規約に基づく凍結」には、こちらから反論する手段がほとんどないということです。詐欺対策の資料を撮影しただけで凍結されるのですから、判定は機械的です。

　今後、情報漏洩にリスクを感じる人や企業は、AIによる情報の読み取りがないメールサーバーの利用や、写真・スマートフォンに保存されているデータのクラウドバックアップの見直しの必要性が増して行く事でしょう。特に外国の企業のサービスを利用している場合、問答無用でアカウント凍結、「約款に書いてある」という理由でデータへのアクセス権を戻してくれる可能性は、かなり低いと想定されます。外国まで出向いて裁判してまで取り戻せるかも不明です。貴重なデータの管理・バックアップには、慎重にならざるを得ません。

　特に危ないのが、スマートフォンのストレージ（ROM、512GBや1TBなど）の空き容量を確保するために、元データを消してクラウドストレージへ「移動」してしまうパターンです。この状態でアカウント凍結されてしまったら、目も当てられません。クラウドは「コピー先」であって「移動先」ではない、と考えるべきです。

　わたし自身は、NASを自宅に置いて、そこを一次保管にしています。手間もお金もかかりますが、少なくとも「誰かの判断で、ある日突然アクセスできなくなる」ことはありません。

情報の信頼性とセキュリティ

　本章では、情報の信頼性とセキュリティについて扱います。個人情報を守る話から、そもそも受け取っている情報自体が信用できるのか、という話に視点を移します。

根底となる情報の信頼性

　あらゆる電波や光回線から送られて来る情報の信頼性、信ぴょう性を気にした事はありますか？　もちろん、新聞や雑誌なども同様です。

　電波は、その性質上、受信機さえあれば誰でも傍受が可能です。光回線に関しても、ファイバーを微妙に曲げることで漏れ出す光エネルギーを計測する「ベンディング」という手法により、物理的な盗聴が可能とされています。物理的なケーブル、無線、電波、Wi-Fi問わず、情報が改ざんされている恐れがあります。

　一般的な消費者ができる対策はほとんどありませんが、まったく無いわけでもありません。通信が暗号化されているか（URLがhttpsで始まっているか）を確認する、公衆Wi-Fiで重要な操作をしない、といった基本を守るだけでも、盗聴された内容が読まれるリスクは大きく下がります。こういったセキュリティリスクがある事を知っておくのは、非常に重要です。

デジタルネイティブ時代のセキュリティ管理

　デジタルネイティブは、大きく下記の4つに分かれるでしょう。

就業年齢の時から、インターネット・デジタル製品（PC-98、パソコン、PDA、ゲーム機）と触れ合って活用している世代：1960〜1970年前後生まれ
生まれ育った時、あるいはその後から、インターネット・デジタル製品（パソコン、ゲーム機、携帯電話、スマートフォン）と触れ合って育った世代：1980〜1990年前後生まれ
学生の頃にスマートフォンなどの最新デジタル端末を使って育った世代：2000年前後生まれ
生まれた時から、スマートフォン、タブレット、人工知能・AIが存在した世代：2020年前後生まれ

1960〜1970年前後生まれ

　仕事でSE、システム管理者等のエンジニアをされていた方を除いて、ITリテラシー・セキュリティ意識が高い人は少ない傾向にあります。

　職務上、必ずパソコンスキル（マイクロソフトのオフィス、Word、Excel）が必須となっていった世代であり、デジタル機器には多くの人が接していることでしょう。ただし「業務で使うために覚えた」のであって、仕組みから理解しているとは限りません。職務上の会社の通信機器の規則、セキュリティルールを意識されると良いでしょう。

　この世代は、詐欺の標的として最も狙われやすい層でもあります。資産を持っており、かつ検証手段を持たないためです。

1980〜1990年前後生まれ

　学生の時代から、インターネットが爆発的に普及した世代です。iモードやインターネットが学生時代に身の回りにあり、メールのやり取りやmixiなどのSNSが発達した時代です。

　この時代は、セキュリティに関して通信キャリアに依存しており、携帯電話もSIMカードがなかった時代を含んでおり、改ざんが難しい時代でした。インターネットにおいては、P2Pや音楽ファイルのウェブ公開などアンダーグラウンドな時代の初期世代であり、ダイヤルQ2に引っかかったり、ウイルスに感染してしまった方もいるでしょう。

　わたしもこの時代の生まれで、ダイヤルQ2でダイヤルアップされた際には、モジュラージャックを抜いたり、急ぎすぎて破損させた事もありました。ADSL、光ファイバーに移行してからは無くなりましたが、懐かしい思い出です。

　「自分で調べて自分で直す」という経験を積んでいる人が多く、4世代の中では平均的なリテラシーが比較的高い層だと感じています。

2000年前後生まれ

　学生の時代に、スマートフォンによるSNSや各種アプリ、ゲームを楽しんだ世代でしょう。

　AndroidもiOSもUNIX系の系譜を汲むOSで、Androidに至ってはLinuxカーネルをベースにしています。アプリごとに権限が分離されており、OSの設計としてはかなり堅牢です。Google PlayやApp Storeでダウンロードしたアプリは、しっかり署名がされているので比較的安全です。それ以外の経路でアプリをダウンロード・インストールする事も出来ますが、それには危険を伴います。

　この世代のセキュリティ課題は、OSの脆弱性よりも、顔写真のSNSアップによる第三者の悪用といった側面の方が強いかもしれません。技術で守られている範囲が広い分、リスクは「自分で出してしまう情報」に移っています。

2020年前後生まれ

　生まれた時からタブレット端末で、動画を見たり、ゲームをしたりしている世代です。

　2026年現在、この世代で最年長にあたるのは小学一年生ですので、スマートフォンの所有率は大きくないでしょう。自宅にあるタブレット、及び学校で配布されるタブレット・ノートパソコンを使う機会の方が多いでしょう。

　小学一年生にセキュリティの意識を教育するのは困難であり、学校側・両親が対策する必要があるでしょう。フィルタリング、利用時間、課金の管理といった、環境側での防御が中心になります。数年後には、小学生自身が自分たちを守るためにセキュリティ意識を持つ必要は出て来るでしょう。

インターネットサービスプロバイダー（ISP）による社会的責任

　インターネットサービスプロバイダー（ISP）は、インターネット接続や、自宅・学校・店舗の無料Wi-Fiなどを提供する事業者です。プロバイダーは情報の根幹を支えているインフラであり、道路でいうと、幹線道路や高速道路に該当します。社会インフラを支えるインフラ企業として、消費者に対してセキュリティ対策を行う社会的責任があります。

　例えば、古いONU（光終端装置）の脆弱性の管理や、有償レンタルで提供しているWi-Fiルーターのファームウェア更新は、プロバイダーの責任の範疇でしょう。実際、家庭用ルーターが乗っ取られてDDoS攻撃の踏み台にされたり、DNS設定を書き換えられて偽サイトへ誘導される事案は、繰り返し起きています。利用者側では、まず気づけません。

　プロバイダーは、通信速度などの表記やPRに目が行きがちですが、セキュリティをしっかり管理してくれるプロバイダーを選ぶ、あるいはセキュリティ意識の高いプロバイダーを調べた上で、少し値段が高くてもそちらを選ぶ、というのも、自分たちの個人情報を守るためには良い判断だと思います。

ITリテラシーを上げて行こう

情報弱者にならないために

　資本主義経済は、資本を持つ者が持たない者を支配する構造が強いです。同様に情報管理においても、情報戦において優位に立つ者が、情報弱者に対して支配構造を成り立たせます。

情報弱者になると、こんな不利益を受ける

　ITリテラシーが低く、情報弱者になってしまうと、情報強者から搾取されてしまいます。

　具体的には、オレオレ詐欺（特殊詐欺）だったり、オンラインカジノ、アダルトサイトを騙る不当請求などが挙げられます。近年は、SNS型投資詐欺やロマンス詐欺のように、数か月かけて信頼関係を作ってから資産を奪う手口も増えました。

　通販であっても、スラッジ情報で消費者を騙し、価値のない商品を高く販売するなど、比較的軽微な物もあります。「初回500円」と大きく書いてあり、実際には数回の継続購入が条件になっている定期購入トラブルなどは、その典型です。

なぜ情報強者は、弱者に対して、搾取するのか？

　これは、単純明快な答えです。お金が儲かるからです。

　そして、この構造は放っておいても解消しません。対策としては、消費者のITリテラシーを上げて行く他ありません。自衛して行きましょう。

自分たちの身を守るには？

　面倒かと思いますが、総務省の指針や、消費者庁・国民生活センターの事例を読むのが最短ルートでしょう。実際の被害事例が、手口ごとに整理されて無料で公開されています。市販の本を買うより早く、しかも新しいです。

　そして、それらを井戸端会議で情報交換できれば、近しい人同士で情報共有が出来て理想でしょう。詐欺の手口は数か月単位で変わりますので、「最近こんなのが来た」という話を、家族や近所で気軽に出せる関係があること自体が、いちばんの防御になります。

　迷ったときは、消費者ホットライン「188（いやや）」に電話すれば、最寄りの消費生活センターにつながります。番号ひとつ覚えておくだけでも違います。

各種追跡（トラッキング）に注意しよう

　まず初めに。技術的な事が分からない人は、本項目の図解と要約だけご覧ください。技術的な事を知らずとも、こういう追跡行為、個人情報漏洩があると言う事を知っている事実だけでも価値があります。

　要約すると、こうです。あなたがどのサイトを見たかは、そのサイトの運営者だけでなく、そこに広告や解析タグを埋め込んでいる何十社もの会社に、同時に伝わっています。そして、その会社同士は、あなたに付けた識別番号を突き合わせて共有しています。

フィルターバブルを知ろう

　フィルターバブルとは、検索エンジンやSNSのアルゴリズムが「あなたが好みそうな情報」を優先的に表示し続けた結果、自分の周りが自分好みの情報だけの泡（バブル）で包まれてしまう現象を指します。2011年にイーライ・パリサーが提唱した言葉です。

　厄介なのは、本人にはまったく自覚がないことです。同じキーワードで検索しても、人によって出てくる順番は違います。隣の人と違う世界を見ているのに、双方とも「これが世の中の標準的な意見だ」と思い込んでしまう。

　似た概念に「エコーチェンバー」があります。こちらは、同じ意見の人同士でフォローし合った結果、反響室のように同じ主張ばかりが増幅されて聞こえる状態です。フィルターバブルはアルゴリズムが作り、エコーチェンバーは人間関係が作る、という違いがあります。

　わたしの対策はシンプルで、定期的にログアウト状態やプライベートウィンドウで同じ検索をしてみる、というものです。ログイン状態で見ている検索結果と、どれだけ違うか。それを年に何度か確認するだけでも、自分がどのくらい泡の中にいるかが分かります。前回の記事で書いた「複数の情報源を持つ」という話とも、直接つながります。

サードパーティCookie（Third-party Cookie）

　訪問しているサイトとは別のドメイン（広告会社・解析会社）のタグが埋め込まれている事があります。

　その外部ドメインがCookieを発行し、複数サイトを横断して同じIDで追跡されるため、閲覧行動という個人情報が外部に渡ります。「A社のニュースサイトを見た」「B社の通販で妊娠関連の商品を見た」といった情報が、同一人物のものとして1つのIDに紐づいていきます。

　なお、SafariとFirefoxはすでにサードパーティCookieを標準でブロックしています。Chromeは廃止の方針を何度も表明したのち、最終的に廃止しない方向へ舵を切りました。「そのうちブラウザ側が守ってくれる」という期待は、いったん捨てたほうが現実的です。

トラッキングCookie（Tracking Cookie）

　行動履歴（閲覧ページ、滞在時間、広告クリックなど）を長期的に記録する目的のCookieが存在します。

　行動ターゲティング広告やリターゲティング広告に利用されます。一度見た商品が、その後しばらく他のサイトでも表示され続けるアレです。便利な面もありますが、悪用する事も出来ますので注意が必要です。同居している家族と同じ端末を使っている場合、自分の検索内容が家族の見る広告に出てくるという、地味に困る事故も起きます。

Cookie Sync（ID同期）

　広告会社同士がユーザーIDを照合・共有する仕組みがあります。

　これにより、A社で付与されたIDがB社でも同一人物として扱われます。情報が「葉脈状に広がる」感覚の正体に、最も近いイメージです。1つのサイトを開いた裏側で、数十社に対して「この人はうちの何番です」という照合リクエストが飛んでいます。

　某新聞社のサイトでは、100社以上のトラッキングが行われていました。結果として、個人の閲覧行動が広範囲に渡り、同種の広告ばかり出てくるといった被害が出ます。自分がどのサイトで何社に追跡されているかは、ブラウザの拡張機能（トラッカーブロッカー）を入れると数字で見えるようになります。一度見てみると、かなり驚くと思います。

ブラウザフィンガープリンティング

　Cookieを使わず、端末の特徴（OS、ブラウザのバージョン、インストール済みフォント、画面サイズ、タイムゾーン、GPUの描画結果など）を組み合わせて識別する方法です。

　これらを何十項目も組み合わせると、多くの場合、個人をほぼ一意に特定できるだけの指紋になります。Cookieを拒否しても、シークレットモードを使っても追跡されるケースです。

　厄介なのは、利用者側に有効な対抗手段がほとんどないことです。「対策のために設定をいじる」と、かえって珍しい構成になり、特定しやすくなるという皮肉もあります。現実的には、トラッカーブロッカーを入れる、追跡を制限するブラウザを選ぶ、といったところが落としどころでしょう。

まとめ：漏れている前提で、それでも打てる手はある

　ここまで、制度・漏洩・AI・世代・追跡技術と、かなり広い範囲を扱ってきました。最後に、わたしが実際に意識していることを整理しておきます。

個人情報は、すでにどこかから漏れている前提で考える。だからこそ、パスワードの使い回しをやめる、二段階認証を入れる、といった「漏れた後に効く対策」を優先する
預ける相手を選ぶ。免許証やマイナンバーカードの画像を求めてくる事業者には、本当に必要か一度立ち止まって聞く
クラウドは「コピー先」であって「移動先」ではない。手元にも原本を残す
一次情報に当たる。総務省・消費者庁・国民生活センター・個人情報保護委員会。無料で、しかも早い
年に一度、自分の泡の外を見る。ログアウト状態での検索、海外メディア、意見の違う人の話

　個人情報保護は、法律だけでは守り切れません。GDPRのように強い制度があっても、漏洩そのものは止まっていないのが現実です。最終的に自分のデータを守れるのは、自分の判断だけです。

　難しい話に聞こえるかもしれませんが、実際にやることは地味です。パスワードを使い回さない。原本を手元に残す。おかしいと思ったら188に電話する。それだけでも、被害の大半は避けられます。ITリテラシーというのは、結局のところ「知っているかどうか」でしかありません。この記事が、そのきっかけになれば嬉しく思います。

2026.07.29 / written by 中澤祐樹

更新履歴

第1稿投稿 2026年7月29日 21:00（下書き作成、図解17点を追加）

Post Views: 14