Tracking vs privacy_protection

位置情報・人流情報が個人
の特定やプライバシー侵害
になるケースの考察
Centimani 株式会社 CEO 福崎昭伸

著者について
福崎昭伸（Fukuzaki Akinobu）
Centimani株式会社CEO、一般社団法人富士山チャレンジプラット
フォーム監事
大学での専門は協調工学を踏まえた遠隔教育技術。米国スタンフォード大学との共同研
究でProject Based Learningを遠隔で実施する研究を行う。理化学研究所では、ゲノムプロ
ジェクトなどでの実験系の研究者を支援する情報処理システムの開発を行う。その後起業。
主な実績
・都立科学技術大学大学院（現首都大学東京）において、遠隔教育システムの研究。
米Stanford大学との共同研究で、PBLと遠隔教育の実施
・理化学研究所において、高度好熱菌のゲノム、ストラクチュローム解析プロジェクトに
おける実験データ収集・分析システム開発
・Think&Win（自社）において、機械産業技術財団常設技術展のテクニカルディレク
ション、NTT西日本「ひかりグリッド」サービスシステム構築・運用支援
・NTTレゾナント（派遣先）において、インフラ、調達、構築、運用支援
・Centimani（自社）において、サイバーエージェント社その他向け社内フルスタック
エンジニア研修システムの開発・構築・運用、オンライン研修システム開発、機械学習
フレームワーク用プラットフォーム開発
・eZ Systemsにおいて、CTOとして日本市場の開拓とパートナー企業グループの組織化
・NII(特任研究員)において、ソーシャルビッグデータの人流解析を研究
・BigDataやシステムデザイン、Social Inclusionに関するワークショップ・セミナーの講師
DELLジャパン(2017)、防衛衛生学会(2018)
all rights reserved by Centimani co. 2018 2

注意
3all rights reserved by Centimani co. 2018
本資料は情報・データに関する機能的な面での考察であり、読者の所属する国家あるい
はエリアにおける法令での定義・執行時の解釈とは必ずしも一致しない事があり得ます。
※ご意見や参考情報のコメントは大歓迎です。

位置情報は個人情報では無い？
日付単独の位置移動の軌跡時刻
匿名の人特定の人人の背景・事情
単独の位置を示す情報は個人情報ではありません。例えば「New Yorkのタイムズスクエ
アのチケット売り場前」はかなり具体的な位置情報ですが単独では個人を特定も推定も
識別もできません。しかし、組み合わせる情報によってその様子が変わってきます。
機微情報：
プライベートな交友関係
病気・診療・治療
宗教・信条・その他
個人情報：
氏名・住所・属性・その他
潜在的個人情報：
個人情報への紐付け可能性有り
習慣情報・推定材料：
周期的な行動・個人推定の材料
匿名化された時空間情報：
移動特徴情報：
移動手段の推定
一般情報：

個人情報を扱わないシステムを想定してみる
日付単独の位置移動の軌跡時刻
匿名の人
個人情報を取り扱わない前提のシステムを想定して、対象のデータを限定します。ここ
では以下のデータ・項目に限定しましょう。
また、これで本当に個人情報にならず、プライバシーの侵害を侵さないで済むかどうか
データや情報の機能・特性に関して検証して行きます。
個人と見なされる仮想的存在（トラッキングIDなど）：
個人情報への紐付け可能性有り
検知日付：
周期的な行動・個人推定の材料
検知時刻
トラッキング：
移動手段の推定
GPS・センサー位置

データ→情報→個人情報
個々の検証の前にデータと情報と個人情報の関係をここでは以下のように規定します。
データに意味づけをすると情報になります。情報のうち個人に紐付く部分の情報を個人
情報と呼びます。
温度値
割合値
ラベル文字列
ID
データ情報
Aさん
意図による意味づけ
情報の利用者
北京市内の本日の気温
燃料の残量
個人情報
出荷商品タグ
住所・氏名・TEL#
購入した商品の名称
荷物の宛先Aさん
個人への紐付け

個人情報を守るべき理由
氏名、年齢、住所、性別など個々の「個人情報」はデータとして単体で見た時に、それ
そのものは秘密にする必然性がありません。例えば一生、氏名を秘匿して生きる人生と
いうのは特殊な状況を除いてナンセンスです。人が存在する時に必然的に付帯するのが
「個人情報」なのでその存在自体は自明で、社会活動上必要に応じて他者へ開示するこ
ともあります。
では何故個人情報を守らねばならないのでしょうか？実体としての個人にそれらの情報
が明確に紐付けされる事を本人が拒否する権利が社会運営上必須だからなのです。下の
例にあるように購入した商品と自分自身、その商品を購入した名前と自分の顔の紐付け
は場合によっては拒否したいものです。その拒否権をお互いに守る事で社会が円滑に営
まれることになります。
Aさん
購入した商品の名称
荷物の宛先Aさん
宅配便のスタッフ
同好の友人
家族
商品の発送担当

情報量・確信度
情報を示すデータには情報量という概念があります。表現される事象の確率から算出さ
れる値で、情報量が多ければ多いほど物事のディティールがより細かく表されており、
それが個人情報の場合、より深刻な情報となります。よって個人情報取り扱いに関する
リスク制御の観点で重要な指標となります。
また、情報がどのくらい正しく伝わっているのかを示す指標として確信度があります。
本来はS/N比などよりシステム的な指標がありますが、受け手側の観点の指標として相対
的な確信度（増えるのか減るのか、多いのか少ないのか）を用います。
Female or Male or Unknown
Real name = 10 / 7 Billion
1.10
20.4
TKTS Times Square
7th Ave, New York, NY 10036 USA
4/7/2018 at 10:00 am
66 x 8
家族
Aさん
一緒にいた友人
完全な他人
情報情報量確信度

情報量・確信度のデータ閲覧者ケース
日時
単独の位置
匿名の人
Aさん
閲覧されるデータと比較。同じ日時・場所を共有した人にとっては情報量が増えます
（匿名の人としてのIDと見た目の特徴の紐付け）。Aさんの友人にとっては情報量と確信
度が増えます。その他の人にとっては情報量も確信度も変わりません。
Aさんと同じ日時・場所を共有した顔を覚えている他人
Aさんが日時・場所に居たことを知っている友人
その場に居合わせなかった他人
Aさんが日時・場所に居たことを知らない友人
？さん
日時のfrom-to
移動の軌跡

情報量・確信度のデータ閲覧者ケース増減
Aさん
Aさんと同じ日時・場所を
共有した顔を覚えている他人
Aさんが日時・場所に
居たことを知っている友人
Aさんが日時・場所に居たこと
を知らない友人
日時・場所と顔だけ
日時・場所と顔、名前
その他色々
この件に関してはゼロ
Aさんが日時・場所に居たという
情報に関して・・・
元々持っている情報データ閲覧で増える情報
やっぱり居たんだという
確信の補強＋匿名ID紐付け
顔と匿名IDの紐付けor紐付けなし
確信度は変わらない
日時・場所と匿名IDは得るが
Aさんとの紐付けは無し
OR

情報量・確信度の繰り返しデータケース
日時
単独の位置
匿名の人
Aさん
位置や移動が繰り返される場合に「習慣の推定」の意味では情報量と確信度が上がりま
す。ただし繰り返しそのものによってはAさんの個人特定の度合いは変わりません。
日時のfrom-to
移動の軌跡
日時
単独の位置
日時のfrom-to
移動の軌跡
日時
単独の位置
日時のfrom-to
移動の軌跡
習慣の推定
個人特定の度合いは変わらない

情報量・確信度の繰り返しデータケース増減
Aさん
Aさんが日時・場所を
繰り返していること
を知っている友人
日時・場所の繰り返し
と顔だけ
日時・場所の繰り返し
と顔、名前その他色々
Aさんが日時・場所を繰り返している
やっぱり繰り返していたんだという
確信の補強＋匿名ID紐付け
顔と匿名IDの紐付けor紐付けなし
確信度は変わらない
日時・場所の繰り返しの匿名IDは得るが
（紐付けしていないがAさんの習慣の情報
を得ている）
OR

情報量・確信度のヴォリュームデータケース
日時
単独の位置
群衆
同一の日時、場所に関して集計されたヴォリュームデータとするとAさん特定という意味
においては情報量・確信度は減少し個人特定の度合いが低くなります。ただし、ヴォ
リューム値が低いケースではそれらの減少・低下の効果が減退します。
日時のfrom-to
移動の軌跡
群流
Aさん
Aさんと同じ日時・場所を共有した顔を覚えている他人
Aさんが日時・場所に居たことを知っている友人
Aさんが日時・場所に居たことを知らない友人
？さん
既に知っているケースのみ確信度が上がる

情報量・確信度のヴォリュームケース増減
Aさん
日時・場所と顔だけ
日時・場所と顔、名前
その他色々
Aさんが日時・場所に居たという
やっぱり居たんだという
確信の補強
情報量・確信度は変わらない
日時・場所とヴォリュームは得るが

情報量・確信度の飽和
位置情報、人流情報を示すデータをさらに増やして行った場合それの情報量と確信度は
増加しますが、それらは飽和します。そして、例え飽和まで情報量と確信度を増やして
もこれらは個人の特定には繋がりませんし、プライバシーの侵害も引き起こしません。
単独データ
繰り返し
データ
ヴォリューム
データ
飽和
飽和
飽和
最初の匿名IDの分だけ情報量が上昇しそれ以降は上がらない
匿名IDと顔の一致に関して確信度が上がっていき飽和
顔の認識に関しての情報量や確信度は上がらない
本人から聞いている情報に関しての確信度は上昇するがすぐに飽和
匿名IDと本人の一致に関して確信度が上がっていき飽和
本人から聞いている情報に関しての確信度は上昇するがすぐに飽和
ヴォリューム情報に関する確信度は場合によっては上がり飽和

リスクについて
個人の特定やプライバシー侵害に繋がらないとして、位置情報や人流情報は本当に安全
なのでしょうか？
これらの情報には実は潜在的なリスクがあり、情報量や確信度が高ければ高いほどそれ
らのリスクおよび実際に問題が起こった時の被害やその対応コストが高くなります。
他のデータとの紐付け時犯罪の助長となる時
単独の位置
日時
匿名の人
Aさん
匿名の人
特殊な意味の
ある場所
例：特殊な場所へ行き来している
という機微情報の暴露
日時のfrom-to
移動の軌跡
群流
人数小
人数大
強盗しやすい！
沢山殺せる！
※極めて重要な観点だが本資料では
示唆だけに留める

情報閲覧の制御の必要性
個人情報が閲覧されたら必ずプライバシーの侵害に繋がるかというと、そうではありま
せん。本人が必要な時に閲覧の相手や対象の情報とその精度や粒度を制御できることが
求められており、本人の意図に反して個人情報が閲覧されてしまった時にプライバシー
の侵害となります。位置情報、人流情報の場合、そのものは個人情報ではありませんが、
閲覧されたことにより将来のリスクや被害の増大が考えられるため、やはり閲覧される
状況の制御（本人による理解も含む）が必要とされるのです。
理解・把握
単独の位置
日時
匿名の人
Aさん
匿名の人
特殊な意味の
ある場所
Aさん
親しい友人に限定
予定や速報は不許可
場所の粒度は市町村
選択・制限

利便性トレードオフ、公共での利用
個人情報に纏わるリスクを考えると、あらゆるデータの生成を禁止し、情報の利用や公
開をしないようにすれば安全ではあります。しかし私たちの社会は複雑化が進んでいる
ため、個人に関わる様々な情報を利活用することが個人レベルでも公共レベルでも求め
られています。利便性、公共性とリスクの程よいバランスをとって、より便利な機能や
安全・安心な社会運営を提供するツールを社会に提供する意義がここにあります。
リスク
利便性、公共性
社会ビッグデータ
システム

まとめ・システムのモデルアーキテクチャ案
データ・情報の種類
公的な情報利用
位置情報・人流情報収集・解析・提供システム
情報の特性リスクリスク低減利用目的アクセス
理解・把握選択・制限
データ源
利用者
個人的な情報利用
本人
UI・UXの要件
日時
単独の位置
日時のfrom-to
移動の軌跡
個人的記録・友人家族と共有
災害対策・混雑緩和・政策立案

Tracking vs privacy_protection

Recommended

Recommended

More Related Content

Similar to Tracking vs privacy_protection

Similar to Tracking vs privacy_protection (20)

Tracking vs privacy_protection