Who Owns Your Data?

Many of the most popular services on the internet, from search engines and email to video sites and social media, cost their users nothing. Yet the companies behind them are among the most valuable in the world. How is this possible? A familiar saying offers one answer: if you are not paying for a product, you may be the product. More precisely, what these companies often sell is not you, but your attention, together with the data that allows them to capture it.

検索エンジンやメールから動画サイトやSNSまで、インターネットで特に人気のあるサービスの多くは、使う人にとって無料です。それなのに、そうしたサービスを運営する企業は、世界でも指折りの価値をもつ会社になっています。なぜそんなことができるのでしょうか。よく知られた言い回しが、一つの答えを示しています。「お金を払っていないなら、あなた自身が商品なのかもしれない」というものです。もっと正確に言えば、こうした企業が売っていることが多いのは、あなた自身ではなく、あなたの「注目」です。つまり、あなたに広告を見てもらう機会と、あなたの注目を引きつけるのに役立つデータを売っているのです。

Every time we use a smartphone or browse the web, we leave a trail of information: the pages we visit, the videos we watch to the end, the things we search for late at night, and the places we carry our phones. Some of this data we give knowingly, such as our name and birthday when we create an account. Much more of it is collected automatically, in the background, as a by-product of daily life.

スマホを使ったりウェブを見たりするたびに、私たちは情報の足あとを残しています。訪れたページ、最後まで見た動画、夜中に検索したこと、スマホを持って出かけた場所などです。こうしたデータの一部は、自分で分かったうえで差し出しています。アカウントを作るときに入力する名前や誕生日がそうです。しかし、それよりはるかに多くのデータが、日々の暮らしの副産物として、見えないところで自動的に集められているのです。

One of the main tools for collecting such data is the cookie, a small file that a website stores in your browser. Cookies themselves are not harmful. They allow a site to remember that you are logged in or what is in your shopping cart. However, so-called third-party cookies, which are placed by advertising companies rather than by the site you are visiting, can follow you from site to site. Combined with other information, they can be used to build a detailed profile of your interests.

こうしたデータを集める主な道具の一つが、Cookie です。Cookie とは、ウェブサイトがブラウザーの中に保存する小さなファイルのことです。Cookie そのものは、害のあるものではありません。サイトはそれを使って、あなたがログインしていることや、買い物かごに何が入っているかを覚えておけます。ところが、いわゆるサードパーティ Cookie は、あなたが見ているサイトではなく、広告会社が置くものです。これを使うと、サイトからサイトへとあなたを追いかけることができます。ほかの情報と組み合わせれば、あなたの興味や関心をくわしく記したプロフィールを作ることもできてしまいます。

This profile powers targeted advertising. If you search for running shoes, you may soon see advertisements for shoes on news sites, video apps, and social media. Advertisers value this precision, because it means their money is spent on people who are likely to buy. Supporters of the system argue that it is a fair exchange: users receive free services and more relevant advertisements, and small businesses can reach customers without paying for expensive television commercials.

このプロフィールが、ターゲティング広告を動かしています。ランニングシューズを検索すると、ほどなくして、ニュースサイトや動画アプリ、SNSにくつの広告が出てくるかもしれません。広告を出す側は、この正確さを高く評価しています。買ってくれそうな人に向けてお金を使えるからです。このしくみを支持する人は、これは公平な取り引きだと主張します。利用者は無料のサービスと、自分に合った広告を受け取ります。そして小さな会社も、高いテレビCMにお金をかけなくても、お客さんになりそうな人に広告を届けられる、というのです。

Critics, however, argue that the exchange is far from equal. Few users read the long privacy policies they agree to, and even fewer understand how their data is shared among companies they have never heard of. Profiles can also reveal sensitive information that a person never chose to share, such as health problems, money troubles, or political views, simply from patterns in their behavior. Once such information has been collected, the person loses control over how it might be used in the future.

しかし、批判する人は、この取り引きは決して対等ではない、と主張します。自分が同意したプライバシーポリシーの長い文章を読む人は、ほとんどいません。聞いたこともない会社どうしの間で、自分のデータがどう受けわたされているのかを分かっている人は、さらに少ないでしょう。また、プロフィールからは、本人が明かすつもりのなかった、知られたくない情報が分かってしまうこともあります。病気のこと、お金に困っていること、政治についての考えなどが、行動のパターンだけから見えてしまうのです。そうした情報が一度集められると、将来それがどう使われるかを、本人はもう決められなくなります。

A turning point in public awareness came in 2018. It was revealed that the data of up to 87 million Facebook users, according to Facebook's own estimate, may have been improperly shared with a political consulting company, Cambridge Analytica. Only a small fraction of them had used the personality quiz app through which the data was collected; most were simply friends of people who had used it. The scandal led to government investigations in several countries and raised a basic question: if data about us can be passed around in this way, in what sense is it still ours?

人々の意識が大きく変わったのは、2018年のことです。最大8700万人のフェイスブック利用者のデータが、政治コンサルティング会社のケンブリッジ・アナリティカに不適切にわたっていたかもしれないことが明らかになったのです。8700万人というのは、フェイスブック社自身の推計です。データは性格診断のクイズアプリを通じて集められましたが、そのアプリを実際に使ったのは、ごく一部の人だけでした。ほとんどは、アプリを使った人の友達だったというだけでした。この事件をきっかけに、いくつもの国で政府による調査が行われました。そして、根本的な問いが投げかけられました。自分についてのデータがこんなふうに受けわたされてしまうのなら、それはどんな意味で、まだ自分のものだと言えるのでしょうか。

In the same year, the European Union's General Data Protection Regulation, or GDPR, began to apply. Adopted in 2016 and in force across the EU from May 2018, it is often described as one of the strictest data protection laws in the world. It treats the protection of personal data as a fundamental right. Under the GDPR, organizations need a legal basis, such as a person's clear consent, to use personal data.

同じ年、欧州連合（EU）の一般データ保護規則、略してGDPRの適用が始まりました。2016年に採択され、2018年5月からEU全体で適用されたこの規則は、世界で最も厳しいデータ保護の法律の一つだと、よく言われます。GDPRは、個人データの保護を基本的な権利と位置づけています。GDPRのもとでは、団体や企業が個人データを使うには、本人のはっきりした同意のような、法的な根拠が必要です。

The GDPR also gives people a set of rights. They can see the data that an organization holds about them, correct it, have it deleted in certain cases, and move it to another service. For the most serious violations, companies can be fined up to 4 percent of their worldwide annual sales or 20 million euros, whichever is higher.

GDPRは、人々にいくつかの権利もあたえています。団体や企業が自分について持っているデータを見ること、それを訂正すること、場合によっては消してもらうこと、そして別のサービスに移すことができます。最も重大な違反をした企業には、全世界での年間売上高の4パーセントか2000万ユーロの、どちらか高いほうを上限とする制裁金が科されることがあります。

These are not empty threats. In 2023, Meta, the company that owns Facebook, was fined a record 1.2 billion euros for transferring the personal data of European users to the United States without adequate protection. The company appealed the decision. The GDPR has also influenced the rest of the world. Because global companies must follow it to do business in Europe, many have changed their practices everywhere, and a number of countries have written new laws that borrow its ideas.

これは、ただのおどしではありません。2023年、フェイスブックを運営するメタ社は、ヨーロッパの利用者の個人データを、十分な保護のないままアメリカに移したとして、過去最高となる12億ユーロの制裁金を科されました。メタ社はこの決定に不服を申し立てました。GDPRは、世界のほかの地域にも影響をあたえています。世界で事業を行う企業は、ヨーロッパで商売をするためにGDPRを守らなければなりません。そのため、多くの企業が、世界中でやり方を変えました。また、GDPRの考え方を取り入れた新しい法律を作った国もたくさんあります。

One visible result is the cookie banner, the message that appears on many websites asking visitors to accept or refuse cookies. In theory, it gives users a real choice. In practice, many people find these messages annoying and click "accept all" simply to make them disappear. Some websites make accepting easy and refusing difficult, a design trick that regulators have criticized. This reveals a key weakness of any system built on consent: when people are asked to decide too often, consent can become a meaningless habit.

目に見える結果の一つが、Cookie のバナーです。多くのウェブサイトで表示される、Cookie を受け入れるか断るかをたずねるメッセージのことです。理屈の上では、これによって利用者は本当の意味で選べるようになります。しかし実際には、このメッセージをうるさく感じて、消すためだけに「すべて受け入れる」をクリックしてしまう人がたくさんいます。受け入れるのは簡単で、断るのは面倒になるように作られたサイトもあり、規制当局はこうしたデザインの手口を批判してきました。ここから、同意にもとづくしくみの大きな弱点が見えてきます。人はあまりにひんぱんに判断を求められると、同意することが、意味のないただの習慣になってしまうのです。

Japan has followed its own path. Its Act on the Protection of Personal Information was passed in 2003 and has been revised several times. Revisions that took effect in 2022 strengthened individuals' rights, for example by making it easier to ask companies to stop using or to delete their data in certain situations. They also introduced rules for information such as cookie data when it is passed to another company that can link it to a specific person.

日本は、独自の道を歩んできました。日本の個人情報保護法は2003年に成立し、それから何度か改正されてきました。2022年に施行された改正では、個人の権利が強められました。たとえば、決まった場合には、自分のデータの利用をやめたり、消したりするよう、企業に求めやすくなりました。また、Cookie のデータのような情報を、それを特定の個人と結びつけられる別の会社にわたす場合のルールも設けられました。

In 2023, another law began to require many websites and apps to inform users when information about them is being sent to outside companies. Meanwhile, in 2019, the EU officially recognized that Japan's protection of personal data was at a level similar to its own, which allows personal data to flow more freely between the two.

2023年には、別の法律によって、多くのウェブサイトやアプリが、利用者についての情報を外部の会社に送っているときは、そのことを利用者に知らせなければならなくなりました。一方、2019年には、EUが、日本の個人データの保護は自分たちと同じくらいの水準にあると正式に認めました。これによって、日本とEUの間で、個人データをより自由にやりとりできるようになっています。

Behind all these rules lies a deeper question: who actually owns personal data? One answer is that it belongs to the individual, just like a bicycle or a house. Some thinkers have even proposed that companies should pay people for the data they produce. Supporters say this would correct an unfair situation in which companies profit from information created by ordinary people. Critics point out problems with the idea. The value of a single person's data is usually very small, so payments would be tiny, and treating privacy as something to be sold might encourage poorer people to give up their privacy for money.

こうしたルールの奥には、もっと根本的な問いがあります。個人データは、そもそもだれのものなのでしょうか。一つの答えは、自転車や家と同じように、データはその本人のものだ、というものです。企業は、人々が生み出したデータに対してお金を払うべきだ、と提案する人までいます。賛成する人は、ふつうの人が生み出した情報で企業がもうけている、という不公平な状態がこれで正される、と言います。しかし批判する人は、この考えの問題点を指摘します。一人分のデータの価値はふつうとても小さいので、支払われる額はごくわずかでしょう。また、プライバシーを売り物のように扱うと、貧しい人ほどお金のためにプライバシーを手放すようになるかもしれません。

Others argue that the language of ownership does not fit data well. Unlike a bicycle, data can be copied endlessly, and much of it is about more than one person, such as a group photo, a conversation, or a family's medical history. From this point of view, the important question is not who owns data, but who may use it, for what purpose, and under what conditions. This is in fact closer to how the GDPR and Japan's law work. They do not make people the owners of their data, but they give them rights to know, to control, and to object.

そもそも「所有」という言葉はデータには合わない、と主張する人もいます。自転車とちがって、データはいくらでもコピーできます。また、データの多くは一人だけのものではありません。集合写真や会話、家族の病歴などがそうです。この考え方からすれば、大切なのは、データがだれのものかではありません。だれが、何のために、どんな条件のもとでそれを使ってよいか、なのです。実は、GDPRや日本の法律のしくみは、この考え方のほうに近いものです。人々をデータの持ち主にするわけではありませんが、知る権利、管理する権利、そして異議を唱える権利をあたえているのです。

It is also important to remember that data can serve the public good. Data from smartphones, with names and other details removed, helped governments understand how people moved during the COVID-19 pandemic, and large collections of medical records can help researchers discover which treatments work best. Rules that are too strict might block such benefits. The challenge for lawmakers is to protect individuals without preventing useful research and innovation.

データが社会全体の役に立つこともある、という点も忘れてはなりません。名前などをのぞいたスマホのデータは、新型コロナウイルスの流行中に、人々がどう動いたかを政府がつかむのに役立ちました。また、たくさんの医療記録を集めれば、どの治療がいちばん効くのかを研究者が見つける助けになります。ルールが厳しすぎると、こうした恩恵がさまたげられるかもしれません。個人を守りながら、役に立つ研究や技術革新をさまたげないようにすること。それが、法律を作る人たちにとっての課題です。

Technology companies are adjusting too, though not always in a straight line. In 2021, Apple began requiring apps on its phones to ask users for permission before tracking them across other companies' apps and websites. Google announced plans to end support for third-party cookies in its Chrome browser, but in 2024 and 2025 it changed course and decided to keep them, leaving users to manage cookies through their settings instead. These changes show that the rules of the data economy are still being written.

テクノロジー企業も対応を進めていますが、その道のりはまっすぐではありません。2021年、アップル社は、自社のスマホのアプリが、ほかの会社のアプリやウェブサイトをまたいで利用者を追跡する前に、利用者の許可を求めるよう義務づけはじめました。グーグル社は、自社のブラウザーであるクロームで、サードパーティ Cookie を使えなくする計画を発表していました。しかし2024年と2025年に方針を変え、Cookie を残すことにしました。その代わりに、利用者が設定で Cookie を管理できるようにしています。こうした変化を見ると、データ経済のルールは、まだ作られている最中なのだと分かります。

In the end, the question of who owns your data may have no single answer. What is clear is that data has become one of the most important resources of the modern economy, and that individuals, companies, and governments all have a stake in how it is used. For young people who have grown up online, understanding this system, and deciding how much of themselves to share, is an essential part of being a citizen in the digital age.

結局のところ、データはだれのものかという問いには、ただ一つの答えはないのかもしれません。はっきりしているのは、データが現代の経済で最も大切な資源の一つになっていること、そして、データがどう使われるかに、個人も企業も政府も、それぞれ利害を持っているということです。ネットとともに育ってきた若い人たちにとって、このしくみを理解し、自分についてどれだけのことを人に明かすかを決めることは、デジタル時代の市民として欠かせないことなのです。

What do you think? Some people say that companies should be allowed to collect and use personal data freely, because it pays for free services and helps create useful products. Others say that the use of personal data should be strictly controlled, because people cannot really understand or control what happens to their information.

あなたはどう思いますか。企業が個人データを自由に集めて使うのを認めるべきだ、と言う人もいます。それが無料のサービスの費用をまかない、役に立つ製品を生み出す助けにもなるからです。一方、個人データの利用は厳しく規制するべきだ、と言う人もいます。自分の情報がどうなるのかを、人々は本当には理解することも、管理することもできないからです。

— The End —