高木浩光＠自宅の日記

■ 過大なポリシーが人々を麻痺させ本人同意を形骸化させる

ファミリーマートが公衆無線LANサービスを開始したが、その利用規約に、「履歴情報および特性情報の取得」として、とんでもないことが書かれていると、話題になっていた。

• ぶっこ抜き注意？ファミリーマート無料Wi-Fiサービスの利用規約に注目が集まる, NAVER まとめ, 2013年6月6日

この利用規約は、インターネットから見られないようにされており、ファミリーマートに行って、そのWi-Fiアクセスポイントに接続してからでないと閲覧できないようになっている。（25日の時点でも。）

問題となる利用規約の記述は、「当社は、利用者様が本サービスをご利用になる際に、以下の情報（略）を取得し、管理し、利用します。」として、「本サービスにより閲覧されたホームページ」と書かれている点だ。

そこで、ファミリーマートお客様相談室に電話して（6月3日）、「本サービスにより閲覧されたホームページ」が何を意味しているか質問したところ、回答は「グーグルや、ファミリーマート、その他のサイト」というものであった。

つまり、この回答は、DPI広告のように、Wi-Fiアクセスポイントのルータ上で通信内容を傍受して、誰がどこのサイトを訪れているかを収集していることを意味する。

それが事実であるなら、通信の秘密侵害、電気通信事業法違反の疑いがある。そこで、お客様相談室に「違法ではないか」と訪ねたところ、折り返し回答を頂くことになった。翌日、電話があり、その回答があったのだが、それは「同意を得ているので違法でない」というものだった。

これは重大な問題だ。総務省の第二次提言（2010年）は「ディープ・パケット・インスペクション技術（DPI技術：Deep Packet Inspection）を活用した行動ターゲティングについて」として、以下のように指摘している。

通信当事者の同意がある場合には、通信当事者の意思に反しない利用であるため、通信の秘密の侵害に当たらない。もっとも、通信の秘密という重大な事項についての同意であるから、その意味を正確に理解したうえで真意に基づいて同意したといえなければ有効な同意があるということはできない。一般に、通信当事者の同意は、「個別」かつ「明確」な同意である必要があると解されており、例えば、ホームページ上の周知だけであったり、契約約款に規定を設けるだけであったりした場合は、有効な同意があったと見なすことは出来ない。有効な同意とされるためには、例えば、新規のユーザに対して、契約の際に行動ターゲティング広告に利用するため DPI 技術により通信情報を取得することに同意する旨の項目を契約書に設けて、明示的に確認すること等の方法を行う必要がある。

利用者視点を踏まえたICTサービスに係る諸問題に関する研究会 第二次提言, 総務省, 2010年5月

ファミリーマート側は、指摘されていることの重大性を理解していないだけではないかと考え、上記の総務省第二次提言の部分を読み上げて伝えたところ、2日後の5日に、お客様相談室の責任者から回答があった。

曰く、最初の回答で「本サービスにより閲覧されたホームページ」の意味を「外部のホームページ」と回答をしたのが誤りであり、これはファミリーマートのサイト内の閲覧のことであるとのことであった。

そうならば、ごく普通のWebサーバでのアクセスログのことであり、このような利用規約で同意を求めるまでもないことである。「本サービスにより閲覧」という表現をするのが間違いである。

「本サービス」との用語は図1のように「ファミリーマートのWi-Fi無料インターネット接続サービス」と定義*1されており、インターネット接続サービス全体を通じてのホームページ閲覧を指すことになるのは必然*2である。

図1: ファミリーマートWi-Fiのサービス利用規約（序文）

社員ですら（お客様相談室がバックヤードに確認に行って出て来る回答ですら）間違うような利用規約に同意させて、いったい何の意味があるというのか。

それを伝えたところ、「わかりにくいということであればよりわかりやすい表現を検討していく。」とのお返事だったが、24日に改めて「規約はどうなったか」と尋ねたところ、お客様相談室の責任者は、「最初の回答が間違いだったので、違法ではない。」という反応であり、利用規約を緊急に直す必要性を認識していない様子だった。

25日現在、利用規約は改正されていない。

また、この問い合わせでは、MACアドレスの利用目的についても尋ねた。なぜなら、この利用規約では、取得する情報と、その利用目的が、独立に列挙されており、それらの間の関係が何ら示されていないからである。

図2: ファミリーマートWi-Fiのサービス利用規約（取得と利用目的）

この記述から論理的に導かれるのは、「MACアドレス」を「マーケティングに利用する」という意味である。「そうなのですか？」と訪ねたところ、初日の回答では、「同意を得ている」という回答だった。

2日後の回答では、この点についても訂正があり、「MACアドレスは無線LANの管理にのみ使用しており、MACアドレスをマーケティングの目的に利用することはない。」という回答であった。

そうであれば、MACアドレスを取得する事実など書く必要がない。無線LANにおいて接続元のMACアドレスを取得することになるのは、技術的に必然で、当たり前のことであり、書くまでもないことだ。こういうふうに不必要なことをダラダラと表示することで、本当に必要なことが利用者に伝わらなくなっている。

こういうアバウトな利用目的の記述が許されるのなら、「当社は、あらゆる情報を取得し、あらゆる目的で利用します。」と書けばオーケーであり、すべての事業者がポリシーをコピペで済ますことができるだろう。

当然、そんなことが許されるはずがない。こんなことすら2013年になっても理解されていないことに絶望するほかない。