高木浩光＠自宅の日記

■ 日本道路公団がクレジットカード会社に伝える個人の位置移動履歴

RFIDなど、社会システムのプライバシー懸念の議論をしていると、「問題ない派」の人から、「クレジットカードだって同じだ」とか、「クレジットカードを使った時点で既にあなたの購買履歴は蓄積されているのだ」という主張が聞こえてくることがある。12月7日の日記「IP meetingパネル討論の報告」の中でも

村井先生からのご質問では、私が、クレジットカードの場合は契約でしばられているので問題が別だと話したことに対して、情報を他の目的で使うということが約款に書かれているカードもあるとのご指摘だった。後で見せていただけるとのことだったが、推察するに、それは、そのカードでどんなものを買ったかの記録がマーケに使われるという話ではないかと思う。その意味であるなら、それは当然あり得るだろう。私が述べたのは、それではなく、一般の店舗が、（略）

そのときは「それは当然あり得るだろう」と書いたが、自分の使っているカード会社がそれをやっているかどうかを確認してみた。ソニーファイナンスに電話で問い合わせたところ、そうしたことは現時点ではやっていないとのことだった。つまり、会員ひとりひとりの購買動向に応じた案内等は現時点ではやっていないとのことだ。もしやるにしても、会員の同意を得た上でないとやることはないとのことだった。

ついでにもう一点を確認した。加盟店からカード会社に送られてくる会員の購買情報には、どのような内容のものがあるのかだ。例えば、ある百貨店で買い物をしたとき、百貨店の名前は利用明細に書かれているが、その百貨店でどんな商品を買ったかは、カード会社に伝わっているのかどうかだ。

結論から言うと、加盟店からカード会社に伝えられる情報は、利用明細に記載されているものが全てだとのことだ。（ソニーファイナンスに電話で聞いたところでは。）

さて、本題であるが、高速道路の料金所でクレジットカード決済をすると、クレジットカードの利用明細に以下のように記載される。

つまり、誰が何月何日にどこからどこへ移動したかが、カード会社に伝達されているのだ。

たしかに、このように利用明細に詳細な情報が書かれていれば、「この請求って何のことだっけ？」といった疑問を感じることなく、「ああ、たしかにこの日はあそこに行ったね」と納得できるという意味で、便利ではある。デートで旅行した日の記録としてカードの利用明細を思い出にとっておくというような、粘着系ロマンチストもいるかもしれない。

だが、他の加盟店はこういうことをやっておらず、日本道路公団だけが突出している。

上の画像の明細にあるように、ジャスコで買い物をしても「イオン」としか記載されない。他の月の明細から例を探してみると、「石丸電気/ヤマギワ」、「ワンダーコーポレーション」、「playsation.comご利用代金」、「JTB」、「@nifty」、「So-net ご利用代金」、「ヤフージャパン」などと書かれており、何に使ったものだかは、時間が経つともうわからない。「こういうのは不便だ」と主張することは明らかに可能であるのだから、各社はあえて詳細を伏せているのだろう。

他に「摘要」欄に記載があるのは、私の場合では、「JOMO（共石）」に「○○○○店」と店名が摘要欄に書かれている事例しか見つからなかった。他に詳細なところとしては、西武百貨店が「ご利用店名」に「西武百貨店 筑波店」と店舗名まで記載している事例が珍しいくらいだった。

道路公団と同じ運輸系で言えば、JALのチケットレスサービスを利用したときは「JALチケットレスサービス」、ANAの場合は「ANAインタネットチケットレスサービス」としか記載されておらず、どこの空港からどこの空港へのチケットかという位置情報は記載されていない。JRの切符を購入したときは、「JRヒガシニホン ミドリノマドグチ」とだけ記載されていて、どの駅からどの駅なのかは記載されていない。

日本道路公団だけが違う。どうしてこうなっているのだろうか。たぶん、何も考えていないが「マジメ」な人が仕事をしているんだろうと思う。違法ではないし、加盟店規約にも違反していないだろうし、カード会社が情報を漏えいさせることはないはずなのだから。

ところで、同じ道路公団でも首都高速道路公団の場合はどうなっているのだろうか。以前は、カードで払おうとしてたら、取り扱っていないと言われたので、試しておらず、不明だ。

■ カリフォルニア州、ユタ州、ポルトガルのRFID規制

日経デジタルコアのネット会議で、夏井先生から、米国ユタ州下院で「RFID知る権利法」が可決されたとの情報を教えていただいた。上院でも可決されて法律として制定される見込みだとのことだ。

夏井先生のWebページで、ユタ州、カリフォルニア州、ポルトガルの法案等の夏井先生による邦訳が公開されている。

• アメリカ合衆国ユタ州の「RFID知る権利法案」
• アメリカ合衆国カリフォルニア州の「RFIDプライバシー保護法案」
• ポルトガルの「RFID利用規則」

ユタ州の法案では、RFIDタグを消費財に取り付ける場合には、その事実を表示することが義務付けられ、消費者が選択していないのにタグを有効にしたまま販売することが禁止されるという趣旨のものだと私は読んだ。

カリフォルニア州の法案には、次の条項があり、強い制約のように読める。

第22654条

消費者向け製品について小売店がRFIDシステムを使用する場合には，RFIDタグは，顧客が店を出る前に，取り外され，または，破壊されなければならない。

第22655条

本来の性質上収集されるものであり個人を個人識別するのではない情報をRFIDシステムを介して収集する行為は，このChapterの違反行為とはならない。

アメリカ合衆国カリフォルニア州の「RFIDプライバシー保護法案」, （仮訳）翻訳：夏井高人

ネット会議では夏井先生による解説と今後の予想が投稿されている。まだWebでは公開されていないようが、近々公開されると思われる。