Web解析・広告で個人情報をどう扱うべきか？
プライバシー対策としての「Do Not Track」の現状と課題

　2011年10月19日～21日に米国ニューヨークで開催されたデジタルマーケティングのイベント「eMetrics:Marketing Optimization Summit」。2日目午後には「Do Not Track and the Future of Privacy」（Do Not Trackの取り組みとプライバシー保護の今後）と題し、「Do Not Track」に関する現状と課題が紹介された。

　登壇したのは、「CDT（Center for Demovracy & Technology）」のジャスティン・ブルックマン氏。CDTはインターネットをよりオープンで革新的、フリーにすることを目的として結成された非営利団体で、具体的には発言の自由、セキュリティ、プライバシーに関して米国政府に提言を行っている。

　CDTは2007年に「Do Not Track」を提唱した団体の一つであり、ブルックマン氏はCDTにおけるプライバシー問題に関するプロジェクトを率いているため、この話題に関して包括的に語れる適任者と言えるだろう。

オプトアウトをしないと、オプトインしたことになる

　ターゲティングから効果測定まで、マーケティングのために利用されるWebの閲覧履歴や訪問履歴。こうした個人に関する情報の収集や活用に関しては、明示的に許可を与える「オプトイン」と、禁止を表明する「オプトアウト」の考え方があるが、「より厳格なオプトインを実現する取り組みが何年も続いたにも関わらず、様々な困難があるため、オプトインが普及する見込みは薄い。現在はオプトアウトが主流であり、オプトアウトしないとオプトインしたことになる」とブルックマン氏は現状を説明した。

　また、消費者のデータをどう扱うべきかに関する米国の法律は実質的に無いに等しく、「嘘をつかないこと」程度の内容しか規定されていない。自分の情報がどのように収集・保管され、流通し、活用されるのかが気になる場合は、サービス毎に個別にオプトアウトしていくしかないが、それは消費者にとっての負担が大きすぎる。そのため、「個別ではなく一括でオプトアウトできる仕組みが必要だ」と同氏は続ける。

実現に向けて動き出した業界

　この一括でオプトアウトできる仕組みが、2007年にCDTと他の団体が共同で提唱した「Do Not Track」だ。2007年の時点では、追跡（Track）を望む業者側がリストに各種情報を登録し、ブラウザやセキュリティソフトがそのリストを使ってデータ送信の可否を判断する、という仕組みであった。これは、望まない勧誘電話を防止するための「National Do Not Call Registry」（※注1）に準ずるものだ。この仕組みには、運用や効果についての疑問があったため、大きな支持を得られずに数年が過ぎた。

　再び動き出したのは2010年の6月27日。上院通商・科学・運輸委員会が開催した公聴会において、FTC委員長のジョン・レイボウィッツ氏がプライバシー保護について証言する中でDo Not Trackについて言及。さらに、2010年12月にはFTCがDo Not Trackを含むプライバシー対策の必要性と方法についての122ページに及ぶレポートを発表したことで、業界が大きく動き出した。

Do Not Trackとは？

　この頃、オプトアウト用のCookieを発行する方式に代わる方式として、HTTPヘッダにオプトアウトの意思を示す行を追加する方式への支持が集まり、Mozillaがいち早くFirefoxの開発版への実装を終えた。これが現在の「Do Not Track」の原型と言える。

　技術的には簡単な仕組みで、ブラウザがWebサーバーへ送信するHTTPリクエストのヘッダの中に、以下の赤字部分の１行を追加するだけだ。

GET / HTTP/1.1

Host: s.evar7.org

User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:8.0) Gecko/20100101 Firefox/8.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Language: en-us,en;q=0.7,ja;q=0.3

Accept-Encoding: gzip, deflate

Accept-Charset: Shift_JIS,utf-8;q=0.7,*;q=0.7

DNT: 1

Connection: keep-alive

　マイクロソフトもIEへの実装を発表。続いて、2011年1月31日にCDTはDo Not Trackの定義についてのドラフトレポートを発表し、何を「Track」と定義して、どこまでを規制の対象とするかの定義を試みた。

　その後、広告系のベンダーの何社か（Media6Degrees、Blue Kai、Blue Cavaなど）が賛同を表明し始めた。DAAやIAB、NAI、AAAなどの業界団体も自主規制に向けた取り組みを始めた。IETFなどによる国際標準化の動きもある（※各団体に関しては記事末尾の関連リンク参照）。