JR東日本の監視カメラ問題で露呈した「総括しない日本」 ーー崎村夏彦×クロサカタツヤ デジタルアイデンティティー対談(1)

FEATUREおすすめ
司会 桐原 永叔
IT批評編集長

これまで「IT批評」では、デジタルアイデンティティーをサイバービジネスの本質と捉え、アイデンティティー・マネジメントやデジタル庁の動きなどについてレポートしてきた。本稿では、デジタルアイデンティティー及びプライバシー関連技術の国際標準化を専門としデジタルアイデンティティーの第一人者である崎村夏彦氏と、総務省、経済産業省、OECD(経済協力開発機構)などの委員を務めるクロサカタツヤ氏を迎え、デジタルアイデンティティーをめぐる日本の行政、企業の課題について語ってもらった。

2021年9月21日 オンラインにて

 

 

 

崎村 夏彦/Natsuhiko Sakimura

NATコンサルティング代表、東京デジタルアイディアーズ主席研究員。米国OpenID Foundation理事長を2011年より、MyData Japan理事長を2019年より務める。Digital Identityおよびプライバシー関連技術の国際標準化を専門としており、現在世界で30億人以上に使われている、JWT, JWS, OAuth PKCE, OpenID Connect, FAPI, ISO/IEC 29100 Amd.1, ISO/IEC 29184など国際規格の著者・編者。ISO/IEC JTC 1/SC 27/WG 5 アイデンティティ管理とプライバシー技術国内小委員会主査。ISO/PC317 消費者保護:消費者向け製品におけるプライバシー・バイ・デザイン国内委員会委員長。OECDインターネット技術諮問委員会委員。総務省「プラットフォームに関する研究会」をはじめとして、多数の政府関連検討会にも参画。

2021年7月に『デジタルアイデンティティー 経営者が知らないサイバービジネスの核心』(日経BP)を上梓。

 

クロサカ タツヤ/Tatsuya Kurosaka

株式会社 企(くわだて)代表取締役。慶應義塾大学大学院政策・メディア研究科特任准教授。1975年生まれ。慶應義塾大学・大学院(政策・メディア研究科)修士課程修了。三菱総合研究所を経て、2008年に株式会社 企(くわだて)を設立。通信・放送セクターの経営戦略や事業開発などのコンサルティングを行うほか、総務省、経済産業省、OECD(経済協力開発機構)などの政府委員を務め、政策立案を支援。2021年7月に総務省・経済産業省が策定した「DX時代における企業のプライバシーガバナンスガイドブック」の検討に委員として関わる。2016年からは慶應義塾大学大学院特任准教授を兼務。著書に『5Gでビジネスはどう変わるのか』(日経BP刊)、『AIがつなげる社会』(弘文堂、共著)等がある。

 

 

目次

JR東日本の監視カメラ問題の本質

広告にはネガティブだが監視カメラには寛容な日本人

日本の企業は上下水道を整備するよも井戸を掘りたがる

マイナンバーのアイデンティティー・レジスターには必要なものが欠けている

失敗の本質を総括しなければ同じことを繰り返す

アカウンタビリティの欠如が信頼を毀損している

 

 

 

JR東日本の監視カメラ問題の本質

 

桐原 本日はデジタルアイデンティティーの専門家であるお二人に、デジタルアイデンティティーの重要性と日本の課題についてたっぷりと語っていただこうと思います。

対談はすこし前からご依頼していたのですが、ちょうど昨日(9月21日)、日本社会におけるアイデンティティーの取り扱いという意味で、象徴的なニュースが流れました。JR東日本が東京五輪・パラリンピックのテロ対策を理由に駅構内での顔認識カメラの運用を開始し、その対象者に出所者と仮出所者を含むことが新聞で報じられました。それが報道当日の夕方には、即座に方針転換を発表、出所者と仮出所者の検知を当面の間、取りやめました。

率直なお考えをお聞きかせいただくことで対談を始めさせてください。

 

崎村 「こんなことをやるか」という感じで、論評に値しないくらいひどいことだと思います。ただ、JR東日本の行為に対して疑問を持たない、むしろいいことをやっているみたいな声も上がったことに、日本は不思議な社会だなと思いました。日本人は固有のケースの当事者を変数に置き換えて想像することに慣れていないんですね。今回は、前科があるといってもすでに刑期を終えて出所している人ですよね。元犯罪者を監視カメラで追跡することが一般の人々にとって利益があるという論調なのですが、元犯罪者をユダヤ人に置き換えて一般の人々をアーリア人に置き換えてみれば、ナチスの行ったことと同じ構図なんです。あるいはウイグル人と漢民族に置き換えれば中国の行っている人権弾圧と同じだと思うはずなんです。そう考えれば、いかに馬鹿げたことを言っているのかわかるはずです。

 

クロサカ またやらかしたか、というのが第一印象です。何でこんなに不用意かつ無邪気に、しかも実験ではなくいきなり本格導入に至ってしまったのか。この領域で仕事されている方であれば、「マジか?」という思いでしょう。なぜプロジェクトが事前に止まらなかったのかが不思議で仕方ありません。

 

崎村 Suica事件の時は、日本の個人情報保護法がデータ・プロセッサーと第三者を分けていないために何が問題なのかわかりにくいところがありましたが、今回はダイレクトにNGなことをやってしまいました。

 

クロサカ そうなんです。「またか」というニュアンスは、8年前に起きたSuica事件というデータプライバシーの業界ではきわめて有名なJR東日本がらみのインシデントが念頭にあったからです。2013年6月に、日立製作所がJR東日本のICカード「Suica」の乗降履歴を使った分析サービスを提供すると発表しました。JR東日本がSuicaの利用履歴というビッグデータを第三者に販売していたことが広く知れ渡り問題化しました。JR東日本としては、個人情報でもなければプライバシーでもないという認識でいたようですが、名前と紐づいていなかったとしても、乗降履歴を識別子にして個々のユニークな動きがわかるようにしてしまうということは、名前云々の問題ではなく、個人を識別している状態が高まっている状態に他ならないわけです。個人情報保護法は名前と紐付けなければいいとはけっして言っていないのです。この事件以降、大事なのは名前などで個人を特定していることではなくて、どれくらい識別しているのかが問題とされるようになりました。明確に識別をされてしまったら、名前と紐づいていようがいまいが、プライバシー影響がきわめて大きい情報であるということです。いまだに「えっ個人情報って名前のことでしょ?」というレベルの認識の方もいらっしゃいますが──。

ただ、今回の問題はもっとわかりやすくダメでしたね。そんなこと本当にやるの?と思っていたら、やっぱりやめますと取り下げました。あれだけ強烈なことを強烈に打ち出した後に、一瞬で引っ込めるこのアジャイルな感じは何でしょうか(笑)

 

崎村 補足しますと、個人情報保護法では個人情報について「特定の個人を識別することができるもの」と定義しています。その後に続けて氏名、住所などとあり、あくまでこれは例示でしかありません。その例示を浅はかに限定して個人情報だと勘違いしてしまっている人たちが多いんです。例でしかないのは当たり前で、「個人を識別することができるもの」について少し考えればわかるのに、考えないからこんなことが起こってしまう。

 

 

広告にはネガティブだが監視カメラには寛容な日本人

 

クロサカ 崎村さんが今おっしゃった「少し考えれば分かるはず」というのは、重要であると同時に苦しい話です。世の中の多くのことは、ちょっと考えればわかることが多い。でも、これだけプライバシーやアイデンティティー・マネジメントに関するインシデントが頻発すると、当事者に考えることを求めること自体が無理なのかなと暗澹としてきます。

 

桐原 日本人はアイデンティティーデータの扱いが苦手なのでしょうか。

 

クロサカ 日本に限らないと信じたいのですが、日本は法的な意味での権利・利益侵害の程度と感覚的なものとの相場の不一致が顕著だと言われています。どういうことかというと、たとえば、日本人は広告に対してものすごくネガティブです。広告なんて見たくないし、すぐにスキップしたいと。とりわけターゲティング広告は属性を絞り込むだけでなく、個人をある程度識別してどこまでも追いかけてくるので、「気持ち悪い」という声は多く聞かれます。その気持ちはよくわかるし、私も鬱陶しいと思うことは少なくないのですが、一方で、法律的な感覚で言うと広告は「たかが広告」なんです。もちろん一定程度のインパクトはあるのですが、それよりもはるかに権利や利益が侵害される可能性があるものは結構あって、その代表的なものが監視カメラです。日本では『監視カメラ』と言わずに『防犯カメラ』と呼び替えています。こちらの方が、潜在的なプライバシー影響がずっと大きいはずなのですが、『防犯カメラ』と呼んだ瞬間に、反対する人が減少します。権利・利益に関する考え方が普遍的なものではないのは確かだし、コロナ前とコロナ後では、日本人の感覚もかなり変わったと思います。それにしても、権利・利益侵害の法的な理解と感覚的な理解がバランスされていない気はします。Yahoo!ニュースのコメントなどで「防犯カメラならやって当然でしょう」というコメントが上位に来ているのを見ると、この傾向が強化されているのを感じます。

 

桐原 あまり理解しないまま「中国やイギリスでもやっている。なぜ日本はダメなのか?」というコメントがいくつかあって、イメージだか意見だかはっきりしません。

 

崎村 イギリスの場合には日本と違って、監視カメラの横に「CCTV in operation(監視カメラ作動中)」とかなり大きく表示を出していますよね。しかもカメラは見えやすいところに設置してあります。

 

 

 

 

Photo by Rich Smith on Unsplash

 

クロサカ たしかにカメラはイギリスの都市部にはたくさんあって、エリアによっては東京よりも集中しているところもあります。ただ、崎村さんがおっしゃったように告知が明確にされていることと、警察が防犯の目的で使うというときには、厳しくデータが扱われているし、「あのカメラは不要である」とか、「邪魔だから撤去してくれ」といった係争も頻発しています。カメラが存在する状態をオペレーションすること、社会的に機能させることに関しては、日本よりもずっと意識されていると思います。とりわけ監視カメラ、AIカメラに関しては、世界的にもピリピリしている状況で、逆に規律の観点で言うと日本が一番ザルだと言われています。

 

 

日本の企業は上下水道を整備するよも井戸を掘りたがる

 

桐原 日本人がアイデンィティー・マネジメントに対して無邪気で意識が低いのは、どういう理由が考えられますか?

 

崎村 危機感を持たないからですね。これは日本政府が過去70年間、いい政府だったからと言えます。麻生副総理がどこかで「日本の若者が政治に興味を持たないというのはたいへん幸せなことです」とスピーチしていましたが、たしかに政府の動向にアンテナを張っていないと命が保証されない国とは自ずと違いますよね。セルフソブリン・アイデンティティー(自己主権型ID)を主張している人たちのなかにも、最終的には政府は信頼できるんだという人がいて、そこの部分はちょっと待てよと思うわけです。世界を冷静に見れば、政府に消される人ってたくさんいるんです。すぐに行方不明になりますし。よく「忘れられる権利」ということを言いますが、むしろ「忘れられない権利」のほうが先にあるし、よほど切実な問題なのです。

 

 

 

桐原 日本人が安全地帯に過剰適応していることが、アイデンティティー・マネジメントが進まなかった理由にもなるようにも思います。

 

崎村 そのことと、日本の企業がアイデンティティーを重視していないというのは別の問題だと捉えています。この本(『デジタルアイデンティティー』)にも書きましたが、日本の企業はアプリケーションばかり重視しています。インフラ的な視点が足りないのが理由だと思います。みんな井戸を掘りたいんです。単体で見ると、上下水道を整備するよも井戸を掘って浄化槽を埋めたほうがたしかにコストは安上がりです。だけどスケールしませんよね。GAFAMがスケールしているのは、インフラ的な視点を持ってちゃんと取り組んできたからです。

 

クロサカ 日本の政府を信頼しているという話と、崎村さんのインフラ以外のアプリ重視というのは、僕は相似の話だと捉えています。つまり、インフラ部分を政府ないしは公的サービス事業者が割と真面目かつ市民側の権利・利益に配慮するかたちでこれまで運営してきたと思うんです。多くの市民はそれに対して信頼感や安心感を持っている。実際、インシデントもそれほど起きているわけではない。戦後の多くの日本人は、インフラのことを考えなくても別にいいじゃないかみたいに考えてきました。それは世界的に見るときわめて珍しいケースで、似ていると言われる韓国ですらも、軍がいて政権がひっくり返って、大統領が自害するようなことさえある。日本の政治の安定性は際立っていると思います。

 

崎村 たしかに日本はずっと温室状態で、日本人は温室育ちではありますね。なおかつ、他に国のように多様性にはさらされていません。

 

クロサカ その状態だとアイデンティティー・マネジメントに関心を持ちにくいですよ。多様でないということは、いわばデータベースの体系が複雑ではなく一意的なんです。一意的なデータベースであれば、ユニークにデータを管理していくことはやりやすいし、そんなに複雑なシステムにならない。ところが不思議だなと思うのは、そんなシンプルな国であるにかかわらず、何でマイナンバーシステムがこんなにうまくいっていないのかということです。いろんなアプリケーションで使えればいいとまでは期待しませんが、去年の10万円給付や今年のワクチン接種など、いちばん力を発揮しなければならない大事なところで使いものにならない。

 

 

マイナンバーのアイデンティティー・レジスターには必要なものが欠けている

 

崎村 結局、マイナンバーもアプリケーション志向なんです。マイナンバーシステムというと、カードの話になってしまいます。カードというのは表層でしかなくて、本質はデータベースのほうなんです。アイデンティティーとは属性の集合ですが、データベースにどういう属性を捉えておいたらいいのかをちゃんと考えるべきなのです。たとえば、1952年に運用を開始された住民票というのは、食糧の配給を念頭に置いてつくられたシステムですから、配給するために必要な情報が書かれている。しかも当時の本人確認は、村の人が全員顔見知りというレベルですから、村役場に行けばできました。本人確認の最初のイニシャルなものは情報と肉体を結びつける書類がないですから結びつけるのは人の証言しかないんですよね。それを村役場の担当官は担っていたんですね。都市化した現在、それはフィクションでしかありません。加えて、お米を配給するわけでもないのに、配給先の住所を持っていても意味がない。配給がお米ではなくて給付金などのお金ですから、銀行口座がデータベースに入っていなければならないんです。それがあれば10万円は一瞬で給付できましたよね。

 

クロサカ おっしゃる通り、カードこそレガシーで、しかも何重もの意味でレガシーです。単なるプラスティックカードであったとしてもアイデンティティー・ドキュメントですから、それを外形的に持ち歩くこと自体がもはやレガシーですし、しかもICチップが入っていますが、そのプロトコルもソフトウェアエンジニアリング的にレガシーです。カード捨てちゃえばいいのに、とさえ思いますね。

 

崎村 私は、カードはあってもいいとは思いますが、カードがなければ使えないというのがおかしいし、カードにとらわれて、本来必要なアイデンティティー・レジスター(アイデンティティーに関連するデータを格納するデータベース)の整備を怠っているということが問題だと思います。現代で住民サービスを提供するときに何が必要なのかといったら、まず銀行口座ですね。それから、連絡先として封書やハガキでもらっても困るわけですから、携帯電話番号もしくはメールアドレスは必須です。これが入っていない今のマイナンバーのアイデンティティー・レジスターって何なの?という話です。

 

 

失敗の本質を総括しなければ同じことを繰り返す

 

クロサカ 視点を変えると、デジタル庁が突貫工事の末、1年でできました。その背景にある大きな動機は去年の10万円給付金問題だったんです。あれで当時の安倍首相はまずいと思って5月にはデジタル庁の検討につながるワーキンググループができています。そこは政治家の嗅覚だと思うのです。つまりこれまでは、ITとかデジタルは票につながらなかったのが、あの10万円問題を経て、ちゃんとやっていないことが知れると票を失うということに気がつきました。しかし、ちゃんとやるとはどういうことなのかは、失敗の本質を総括しなければわからないんです。デジタル庁ができたときに、何で今までダメだったのかについて総括しなければならないと思っていたんですが──。今からでも遅くないからやってほしいですね。

 

 

 

崎村 これはデンマークの財務官僚から聞いた話です。日本でデンマークの市民ポータルがもてはやされていたときに、デンマークに取材に行ったのですが、彼らは大失敗だと認識していました。彼らはこう言っていました。「鉄道の本質はレール網と運行システムにある。でもそれは見えないから政治家にとっては票にならない。一方、駅は見えやすく選挙民受けしやすいので政治家は立派な駅を建てたがる。市民ポータルはその駅に過ぎない」と。一見かっこいいポータルサイトでしたが、実は裏側はPDFが回る仕組みだったのです。本当にやらなければならなかったのは、見栄えのいいサイトをつくることではなくて、構造化データにして回して可能な限り自動処理をすすめる     ことでした。日本では注目されませんがオーストリアの電子政府システムは     そうなっています。デンマークは自らの間違いを総括して、     バージョン2で修正して構造化データにしました     。

 

クロサカ われわれも誰かを断罪するのではなくて、何がシステムとしてアプローチとして失敗だったのかを特定し、システムに関する瑕疵や課題とこれからの社会に求められる解決すべき課題を特定したうえで次の設計に入らないと、同じことをまた繰り返すだろうなと思います。

 

 

アカウンタビリティの欠如が信頼を毀損している

 

崎村 日本は総括しない社会なんじゃないかと前から感じていて、たとえば政府の予算案の話はマスコミにいっぱい出ますよね。だけど予算の執行状態や決算の話はまず出ません。

 

クロサカ 誰も気にしないし、予算の執行状況(特に消化率)とかの話をすると、みんなすごい嫌な顔をしますよね。国会の予算委員会はテレビで見るけど、決算委員会は存在さえ知らない、みたいな。

 

崎村 本当は決算の話の方が重要なんです。アメリカでは細かくチェックするサンライト財団のような組織があって、ロックフェラーやロスチャイルドが活動資金を出資しています。JR東日本も結局、Suica問題を総括してないから同じようなことを起こしてしまう。総括しないってことはアカウンタビリティの欠如ですよね。アカウンタビリティを日本語に変換すると「説明責任」って出てきて説明すれば事足りるみたいに思われていますが、本当は違います。アカウンタビリティは、アカウンタント(会計士)の責任を指す言葉です。会社の状況を財務諸表というかたちにまとめて説明して、それが第三者が検証できるように帳簿をきちんと整理して、それが間違っていたら無限責任を負うというのが会計士のあり方で、それが社会のトラストアンカーだったわけだし、アカウンタビリティなのです。「説明する」、「エビデンスを揃えて提供する」、「間違っていたら腹を切る」の3点セットですね。

 

桐原 日本では、国が主導でデジタルのシステムをつくるというと、利便性を享受できる予感がしなくなっています。この不信感を払拭しないと新しいことを導入することがどんどん難しくなると思うのですが。

 

クロサカ 政府がやることだからダメだとか言うつもりは、私はありません。割とうまくいってるものもありますから。ただし、大事なところでやらかしてしまう。そもそも過度に政府に期待しちゃいかんという前提は理解した上で、それでも政府に対する期待って、まさしくインフラを担ってくれる部分ですが、そこがうまくいってないので落胆も大きいと思うんですね。しかも法律で規定されている「政府にしかできない仕事」があるわけで、そこはちゃんとやってよ、とは思います。

 

桐原 インフラ部分も含むグランドデザインは政治家も考えていないわけではないですよね。

 

クロサカ 一人ひとりの議員と話をすると、詳しい方は本当にいろんなことを知っているし考えているし、専門家だなと思わされる方もいらっしゃいます。ただし、あえて厳しい言い方をしますが、政治活動のなかで活かしてくれなかったら、それは単にその人のなかでのマイブームですよね。いろんな知識があって課題も見えていて解決方法も知っていますということと、自分の政治活動のなかで取り組んでいきますということが分断されていたらまったく意味がありません。そういう意味で、知識のある議員はいっぱいいるけれども、取り組んでいる人がどれくらいいるんだろうかという疑問はあります。その状況も去年の10万円問題で変わってきたので、よかったと思います。

(2)に続く