一昨年の7月に設立されたオプトとCCCの合弁会社「株式会社Platform ID」の広告システム「オープンデータプラットフォーム「Xrost」」について書いておかねばならない。
Xrostは、Web向けの行動ターゲティング広告を提供しているが、通常のそれとは異なる手段で、T-SITEと連係している。これは、設立当初の報道から窺い知ることができたし、以下の書籍にも「リアル店舗での購買行動履歴に基づくターゲティング」と書かれている。
そして、Xrostの最も特徴的なオーディエンスターゲティングは、CCCが運営するT（ポイントカード）会員データベースを広告の配信対象とするものである。
年齢、性別、居住地域などのグラフィックデータのほかにTSUTAYAでの購買データをマージして活用できる。DVDやCDのレンタルで有名なTSUTAYAであるが、実は書籍雑誌の販売数でも全国で1番の店舗網である。趣向が購買結果に結びつきやすい雑誌や書籍、DVDなどのレンタル・購買データによってターゲティングするという、従来にない手法が活用可能となってきた。現在はTSUTAYAのデータのみを活用しているが、今後はさらに80社以上あるTカードの提携から許諾を得て、それらの購買行動データをマージさせた活用に発展することも期待できる。
リアル店舗での購買行動履歴に基づくターゲティングは、ネット上だけの行動履歴より大きな可能性がある。また複数業態の行動データをマージすると、人間の頭で連想的に関連づける（たとえば、韓流映画をレンタルしたユーザーに韓国旅行の広告を配信する）ということだけでなく、購買行動と相関のある行動データが発見できる可能性がある。それにより、新たな見込み客との接点の開発、メディア開発、コミュニケーション開発につながる可能性がある。
問題は、これが適法かという点と、利用者に説明されているか（利用者は理解できる状態にあるか）という点である。
Xrostが狙っているところは、いわゆる「O2O (Online to Offline)」のところで、リアルの履歴とネットの履歴をマージして、それぞれで使うというものと考えられる。
Tポイントカードに紐付けられた履歴が、どうやってXrostのWebのアドネットワークに反映されるのか。それは、T-SITEに（T会員番号を登録して）ログインしたときに、Xrostの広告サーバ用のcookie内ID（乱数で生成される行動ターゲティング用のIDを第三者cookieに格納したもの）と、T会員番号が紐付けられるからだ。その後は、CCCの履歴データベースと、XrostのWebの履歴データベースが、直接通信し合って、何らかの形でマージされる。
どこまでのことが行われているのか、各種規約を読んでもさっぱりわからなかったので、電話で問い合わせた。最初に問い合わせたのは、昨年5月のことで、Tカードサポートセンターに以下の点を尋ねた。
（9）サイトへアクセスしたことを契機に機械的に取得された、お使いのブラウザの種類・バージョン、オペレーションシステム、プラットフォーム等のほか、閲覧履歴、購入の履歴を含むサービスご利用履歴
これの回答は、「当社のグループ内のサイト（T-SITE、TSUTAYA Online、TSUTAYA DISCAS）を指す」との回答であった。
なぜこの質問を真っ先にしたかというと、ほとんどのTポイント利用者は、Webのアクセス履歴までもが、Tポイントに記録されるとは予想だにしないだろうからだ。もしそんなことをやっているのなら、Tポイントツールバーと同様の問題*1があることになる。
例によって例の如く「規約に書いてあるので利用者は同意している」と言われてしまうのか？ と、まずその点が気になったので、この質問をした。その回答が、「任意のWebサイト」ではなく、「当社のグループ内のサイト」とのことであったので、もし任意のWebサイトのアクセス履歴をTポイントの履歴にマージしているなら、利用規約にないことをやっていることになる。
Platform ID社が何をやっているかについては、Platform ID社に聞いて欲しいと言われたので、そちらに電話したところ、文書で質問して欲しいと言われ、実は、そこで作業が頓挫していた。
そして、今年4月、Tカードサポートセンターに「Tポイントツールバー」のことについていろいろと質問して追求していた流れで、Xrostについても答えて頂けることになった。1回目の質問を4月20日にしたところ回答が5月18日にあり、さらに質問したところ回答が6月8日に、さらに質問した回答が6月22日にあった。これらの回答でわかったことは以下の通りである。
まず、Platform IDに関する記述は、Tサイトサービス利用規約にあり、第15条で以下のように書かれている。
第15条 行動ターゲティング広告で利用するCookieのポリシー
当社では、本サイト及び他のウェブサイト上でよりニーズにあった広告を利用者の皆様に配信する行動ターゲティング広告を利用者に対し配信するにあたり、株式会社Platform ID（以下「Platform ID社」といいます）が提供する行動ターゲティングサービスを一部使用しております。この行動ターゲティングサービスでは、Cookieを取得することにより、利用者の行動履歴情報を蓄積して利用しております。
さらにTログインIDと紐づけることによってさらに利用者にマッチした価値ある行動ターゲティングサービスを行います。
また、利用者の皆様に安心して行動ターゲティング広告をご利用いただくために、下記Platform ID社のリンク先ページにてポリシーを詳しく規定しておりますのでご覧下さい。なお、Cookieを利用した行動ターゲティング広告の配信を希望されない方は、同ページにて「オプトアウト」（配信停止）の処理を実行することができます。
Platform ID社 Cookieポリシー http://www.xrost.ne.jp/contents/policy/privacy.html
このうち、第1段落の記述は、ごく一般的なWebのアドネットワークの内容が書かれている。第3段落もそうである。問題は第2段落に、「さらにTログインIDと紐づけることによってさらに」と、さらっと書かれているわけだが、これは、手段であって、何が行われるのかは書かれていない。
Tサイトサービス利用規約は、第14条で以下のことが書かれており、
第14条 広告表示におけるCookie無効化：オプトアウトについて
当社では、上記の「Cookie」や「WEBビーコン」を元に、お客様のウェブサイト閲覧履歴を取得させていいただきます。このデータは、当社がサービス改善やお客様に関連ある情報を提供したり、第三者が提供する広告表示技術を用いたサービス（以下「ターゲティング広告」といいます）を利用する目的で使用しています。該当サービスで利用するCookie情報は、その他の目的や、お客様の個人情報の取得には一切使用しません。ウェブサイトの閲覧履歴は匿名そのままに保たれ、個人を特定できる情報は一切取得できない仕組みとなっています。
「ウェブサイト閲覧履歴」とあり「ターゲティング広告」に使うとある。これが、Xrostの件かと質問したところ、そうではないという回答だった。第14条は、T-SITEのWebサイトでの閲覧履歴を自社で使うこと（ごく平凡な話）について書かれたものだとのことだった。
そうすると、結局、CCCとPlatform IDの間でどんな情報のやりとりがあるのかは、規約に書かれていないことになる。そこで、単刀直入に以下の質問をした。
これに対する回答は以下のものであった。
なお、ここで言う、T-IDに紐づくお客様の識別コードは、弊社システム上でT-IDを識別するコード体系を表しており、Tカード番号とはまた別のものである。Platform ID社では、当該データを用いてオーディエンスターゲティング広告の精度を上げるために活用している。
具体的には、20代女性にファッションの広告を配信したり、アクション映画を好んでご覧になる方にアクション映画の広告を配信したりといった活用方法をとっている。なお、この場合であっても、Platfotm ID社が当該データを元にした広告商品を自由に販売できるわけではなく、販売先の訴求内容の精査や、当社が定めた審査基準の下、当社が承諾した案件のみ販売が可能となっている。
Platform ID社では、T-IDを識別するためのコードをさらに置換したものとcookieのみで識別し、保有しているため、個人を特定することはできない。当社からPlatform ID社への当該データの提供は、受領者であるPlatform ID社において個人識別性を有することがあり得ないことから、個人情報保護法に言う個人情報の第三者提供には当たらないと解釈している。
第三者提供時において、提供元と提供先のいずれを基準にして個人識別性を判断すべきかについては、現段階では複数の解釈があることは承知しているが、本人の同意なき第三者提供が禁じられている趣旨は、通常、個人データと他のデータとの結合、照合等が容易であり、本人の予想外の個人データが流出することによる、本人の予想を超えた権利の侵害の可能性を避けるものと理解している。この趣旨を鑑みれば、提供先において個人識別性を取得する可能性がなければ、その趣旨に反しないと解釈しているし、現にその旨を明記する岡村久道弁護士等の学説などもある*2。当社において、提供に先立ち、あえてT-IDを置換したコードを作成しているのは、提携先において個人識別性が獲得されることがないのを確実とするためのものである。
Tサイトサービス利用規約第15条で、「TログインIDと紐づけることによってさらに利用者にマッチした価値ある行動ターゲティングサービスを行います」と記載があるのは、以上の事象が表現されている。
Platform ID社では、オーディエンスターゲティング広告を販売するために、cookie情報を各種オーディエンス像にカテゴライズしている。当社では、広告主様からの発注があった場合のみ、Platform ID社より対象として該当する置換データを受領し、これに基づき当社が対象T会員様にダイレクトメールや電子メールを配信するサービスを提供している。このデータの流れは、広告主様からの発注時にのみ発生し、当社が受け取ったデータは、ダイレクトメールや電子メールが配信された後に削除しており、当社会員データベースへ保存や二次活用が行われないよう制御されている。
このことは、Platform ID社の「Cookieポリシーについて」第5条に書かれている。
ここまで詳しく答えてもらえるとは正直意外*3であった。性別や生年月日だけでなく、「購買情報」も渡しているということが明らかになった。
こういうことは、サポートセンターに尋ねなくても、規約でわかるようになっているべきだ。どこに書いてあるのかと質問したところ、その回答は、Tサイトサービス利用規約第15条の「さらにTログインIDと紐づけることによってさらに利用者にマッチした価値ある行動ターゲティングサービスを行います。」との文が、その記述であるとのことだった。
それは詭弁だろう。それは、何のためにという目的であって、何をするか、何を提供するかは書いていないのだから、誰にもわからない。
次に、回答2の方だが、この回答だと若干曖昧で、Platform ID社からCCCへ提供される「該当する置換データ」というのが何なのかわからない。これを確認したところ、その意味するところは、広告主からの発注でターゲティングした該当会員の抽出はPlatform ID側で行い、該当会員のコード（T-IDを置換したコード）のみを受領する（Web閲覧履歴は受領していない）ということだった。
それで、そのような受領が行われている事実はどこに書いてあるのかと尋ねたところ、「広告主のサイトでの記載を徹底しており、オプトアウトも可能となっている」という回答だった。しかし、そのようなサイトがどこにあるのかは不明だ。
加えて、CCCにおいてはT会員規約4条2項(9)での記載「(9)サイトへアクセスしたことを契機に機械的に取得された（略）のほか、閲覧履歴、購入の履歴を含むサービスご利用履歴」が、広告主から発注があったときにPlatform IDからCCCが取得することを明記していることに該当するという。
おいおい、その「サイト」って、1年前は「当社のグループ内のサイト」を指すという回答だったよね？ とツッコミを入れたところ、既に回答が用意されていて、次の回答が読み上げられた。
「昨年5月に質問頂いたときは、「サイト」は当社のグループ内のサイト（T-SITE、TSUTAYA Online、TSUTAYA DISCAS）を指すもので、その時点ではその回答で間違いないものであったが、今年1月より、Platform IDより受領したデータに基づき当社がT会員にダイレクトメールや電子メールを配信するサービスの提供を開始したため、現在は、T会員規約第4条第2項(9)のいう「サイト」とは、本件についてPlatform ID社より弊社への情報提供が行われる件を含めて明記している。昨年5月から、規約の意図するところが変更になっている。」
おいおい。これには苦笑しながら、「規約の意図するところが変更って、文章はかわってないじゃないじゃないですか。誰がわかるんですか、ということですよ。」と電話口で言ったところ、サポートセンターの担当者も、若干ウケながら「意見として伝えさせて頂く」とのことだった。
こんな記述で「規約に明記している」と主張するのははっきり言って詭弁であるが、実際のところ、これらは個人情報保護法の言う「個人情報」の提供、取得に当たらないため、書かなくていいという腹づもりではないかと考えられる。
そこで、次の質問もした。
これに対する回答はこうだった。
まあ、想定通りの回答だ。
結局、日本のデータプライバシー法制は、米国から何年も遅れてしまっているのだ。米国では、こういうデータは、消費者プライバシー権利章典に基づくフレームワークのスコープ内とされるため、実際のところ何をやっているのか明らかにすること（透明性の確保）が求められる。しかし、日本では、このように「個人識別性がない」「個人情報に当たらない」として、利用規約にすら何ら説明しないでまま済ますことができてしまっている。
今回の取材で、XrostとTポイントの間で行われていることは、それなりに配慮されていて、重大な問題があると言われるようなこと（Xrost側で集められた任意サイトのWebサイト閲覧履歴の生データをCCCが取得して利用する等）は行われていないとわかった。
しかし、いつそれが始まってもおかしくない。なにしろ、CCCは、後になって「規約の意図するところが変更になっている」と言い出す会社なのだから。
こういうことを続けていると、こういう広告事業全体に対して人々の信頼を損ねることになる。日本の個人情報保護法はこういう状況を規律するのに全く追いつけておらず、かえって産業振興を阻害してると言えるだろう。
Tポイントツールバーにおける潜脱行為
（執筆中）（お蔵入り）
*1 Tポイントツールバーの場合は、全てのWebサイトの履歴を吸い出されるのに対し、Xrostの場合は、アドネットワークを張り巡らせたサイトの履歴のみなので、問題の大きさはツールバーよりはやや小さい。しかし、住所氏名に紐付けられたTポイントの履歴に、Webの履歴が記録されることの問題は、ツールバーと共通する。
*2 具体的にどこのことかと尋ねたところ、岡村久道「個人情報保護法新訂版」（2009年、商事法務）p.76 第4段落15行目以下に記載の部分のことだとの回答だった。
*3 昨年5月の時点でいろいろ聞いたときは、あまり詳しく教えてもらえない様子があり、企業秘密なので開示していないといった回答になるときもあった。