追跡禁止法

Do Not Track法は、第三者のウェブサイトによる追跡を希望するかどうかを選択するインターネットユーザーの権利を保護します。これは「 Do Not Call」のオンライン版と呼ばれています。^[1]この種の法律はプライバシー擁護者によって支持され、追跡情報を使用してウェブコンテンツをパーソナライズする広告主やサービスによって反対されています。^[2] Do Not Track（DNT）は、以前は公式のHTTPヘッダーフィールドであり、インターネットユーザーがウェブサイトによる追跡をオプトアウトできるように設計されています。追跡には、複数の異なるコンテキストにわたるユーザーの活動に関するデータの収集、およびそのコンテキスト外でのデータの保持、使用、または共有が含まれます。ワールドワイドウェブコンソーシアムによるDo Not Trackの標準化の取り組みは目標に到達せず、展開とサポートが不十分なため2018年9月に終了しました。

インターネット技術の発展により、多くの人々、企業、組織が互いに頻繁に交流するようになりました。たとえば、Facebook では、ユーザー同士の交流が可能です。Googleは、GmailとYouTubeを通じて電子メール サービスとエンターテイメントを提供しています。顧客はサービス料金を支払ったり、広告を表示したりします。この交流が処理される間、ユーザーはIP アドレスや検索履歴などの個人情報の痕跡をインターネット上に残します。

多くの起業家がターゲット広告やマーケティングプロモーションを実施するために個人情報を活用しているため、個人情報は貴重な資産となっている。^{[3]しかし、}消費者ウォッチドッグのプレスリリースによると、個人情報の横行する収集に対する懸念が高まっている。^{[4] [5]}プライバシー擁護派は、検索エンジン企業がユーザーのプロフィール、病歴、犯罪歴、場所、志向を保存し、マーケティング戦略を実施できるという事実を懸念している。これらの懸念を軽減するために、米国の複数の立法者は、インターネットユーザーのプライバシーを保護する法律を制定しようとしている。

米国民のほとんどは、自分たちのオンライン行動が広告主によって追跡されていることを認識しており、この行為に反対することが多い。ギャラップ社とUSAトゥデイが実施した調査によると、回答者の61%が、自分の興味に基づいて一部の広告が表示されることを知っている。回答者の67%は、消費者のオンライン行動に基づくターゲティング広告は許容できないと述べ、回答者の61%はオンライン行動の追跡は不当であると主張した。回答者の37%はターゲティング広告を望まないと回答し、14%はそれらの広告を許可すると答えた。^[6]

2010年12月1日、米国連邦取引委員会（FTC）は、消費者がウェブサイトによるオンライン行動の追跡を阻止する権利を強調した予備報告書を発表した。^[7]この法案の中心となるのは、ウェブブラウザに「追跡拒否」オプトアウト機能を追加することだった。FTCは、オンラインマーケターによる個人情報の広範な収集はプライバシーを侵害する可能性があると判断した。この問題は、Googleが新しいプライバシーポリシーを発表した2012年に再び表面化し始めた。エドワード・マーキー、ジョー・バートン、クリフ・スターンズの各議員は、FTCにGoogleのプライバシーポリシー変更の合法性を調査するよう要請した。彼らは、Googleの変更されたプライバシーポリシーに関する書簡をFTCに送った。^{[8] [9]}

最新の法案は、2019年にジョシュ・ホーリー上院議員によって提出されました。^[9]この法案は、ウェブブラウザを超えてモバイルアプリケーションを含むすべてのインターネットアクティビティに概念を適用することにより、Do Not Trackプログラムを作成するための以前の取り組みを更新します。この法案により、個人はボタンを押すだけで、企業がサービスを提供するために不可欠なデータを超えてデータを収集することを禁止できるようになり、法案は法律に違反した企業に厳しい罰則を課します。^{[10] [9]}

2011年のDo Not Track Me Online法は、FTCに米国におけるオンラインオプトアウト機能の使用基準を設定させようとした。この機能により、消費者は個人情報の収集や使用を禁止し、企業体に対して消費者のそのような収集や使用からのオプトアウトの選択に従うよう要求することができる。^{[11]この法案は、電話勧誘業者が電話を受けたくない個人に電話をかけることを禁止する}Do Not Call法のオンライン版とみなされていた。この法案ではまた、各企業は個人情報の収集状況とその情報を共有する相手を公開すべきであるとも規定されている。

2011 年の「Do Not Track Me Online Act」によれば、個人情報には以下が含まれます。

• 名前、郵便番号またはその他の場所、電子メールアドレスまたはその他のユーザー名、電話番号またはファックス番号
• 納税者番号、パスポート番号、運転免許証番号などの政府発行の身分証明書番号
• 金融口座番号、クレジットカードまたはデビットカード番号、または個人の金融口座へのアクセスを許可するために必要なセキュリティコード、アクセスコード、またはパスワード

この法案では、以下の事項に関するデータ収集も禁止されています。

• 病歴、身体的または精神的健康、または個人に対する医療の提供
• 人種または民族
• 宗教的信仰と所属
• 性的指向または性的行動
• 金融口座に関連する収入、資産、負債、または財務記録、およびその他の財務情報（残高およびその他の財務情報を含む）（ただし、金融口座情報が個人によって提供され、口座への承認された入金または出金の処理にのみ使用される場合を除く）
• 正確な地理位置情報および当該地理位置情報に関連する個人の活動や関係についてのあらゆる情報
• 指紋や網膜スキャンなどの生体認証データ
• 社会保障番号

この法案は2011年2月11日に提出されたが、成立しなかった。^[12]

カリフォルニア州上院法案761号は、2011年2月18日にアラン・ローエンタール上院議員によって提出され、2011年5月10日にカリフォルニア州上院によって修正されました。^{[13]この法案の目的は、企業の}個人情報漏洩の責任逃れを防ぎ、顧客保護を強化することです。この法案には以下の内容も含まれています。

• 法案に従わない企業に罰金を課す
• カリフォルニア州のすべての企業に、顧客の個人情報の収集、利用、保管などの活動を公表することを義務付ける
• 顧客が追跡するかどうかを選択できる方法を提供する

しかし、2011年4月27日、いくつかの企業が書簡でこの法案に強く反対する旨を表明した。反対者はこの法案を次のように特徴づけた。^[14]

• 不要
• カリフォルニアのインターネット経済とイノベーションに有害
• 実行不可能かつ強制不可能
• 広告会社を不当に特別規制の対象にしている
• 法案によって直接規制される団体以外にも影響を及ぼす可能性がある
• カリフォルニア州にとって大きな負担
• 違憲

同州の議会と上院は、商業ウェブサイトやオンライン サービスに対し、インターネット ブラウザーの「追跡拒否」信号にどのように対応するか、また、第三者がそれらのサイトを訪問した消費者から個人を特定できる情報を収集するかどうか、また収集方法をどのように収集するかを開示することを義務付ける法案 (AB 370) を承認しました。

カリフォルニア州民は以下のように制定する。

セクション 1。ビジネスおよび職業法のセクション 22575 は、次のように改正されます。 22575. (a) カリフォルニア州に居住し、その商業 Web サイトまたはオンライン サービスを使用または訪問する個々の消費者に関する個人を特定できる情報をインターネットを通じて収集する商業 Web サイトまたはオンライン サービスの運営者は、そのプライバシー ポリシーをその Web サイトに目立つように掲載するか、オンライン サービスの運営者の場合は、セクション 22577 のサブディビジョン (b) のパラグラフ (5) に従ってそのポリシーを公開する必要があります。運営者は、不遵守の通知を受けてから 30 日以内にポリシーを掲載しなかった場合のみ、このサブディビジョンに違反したことになります。 (b) サブディビジョン (a) で要求されるプライバシー ポリシーは、次のすべてを実行する必要があります。

（１）運営者が、その商業ウェブサイトまたはオンラインサービスを利用または訪問する個々の消費者について、ウェブサイトまたはオンラインサービスを通じて収集する個人情報の種類、および運営者がその個人情報を共有する可能性のある第三者の個人または団体の種類を特定する。

（２）事業者が、その商業ウェブサイトまたはオンラインサービスを利用または訪問する個々の消費者が、当該ウェブサイトまたはオンラインサービスを通じて収集された個人情報を確認し、変更を要求するためのプロセスを維持している場合、そのプロセスの説明を提供する。

（３）事業者が、その商業ウェブサイトまたはオンラインサービスを利用または訪問する消費者に対し、当該ウェブサイトまたはオンラインサービスに関する事業者のプライバシーポリシーの重要な変更を通知するプロセスについて説明する。

（４）発効日を特定する。

（５）事業者が個人情報を収集する場合、ウェブブラウザの「追跡しない」信号や、第三者のウェブサイトやオンラインサービス全体にわたる個々の消費者のオンライン活動に関する個人を特定できる情報の収集に関して消費者が選択権を行使できるようにするその他のメカニズムに対して事業者がどのように対応するかを明らかにする。

（６）消費者が運営者のウェブサイトまたはサービスを使用する場合、他の当事者が、個々の消費者のオンライン活動に関する個人を特定できる情報を、時間の経過に伴って、また、異なるウェブサイトにわたって収集する可能性があるかどうかを開示する。

（７）事業者は、事業者のプライバシーポリシーにおいて、消費者にその選択肢を提供する事業者が従うプログラムまたはプロトコルの効果を含む説明を含むオンラインの場所への明確で目立つハイパーリンクを提供することにより、第（５）項の要件を満たすことができる。

2000年4月21日に発効した児童オンラインプライバシー保護法（COPPA）は、米国の管轄下にある個人または団体による13歳未満の児童に関する個人情報のオンライン収集に適用されます。この法律では、ウェブサイト運営者がプライバシーポリシーに何を記載しなければならないか、親または保護者から検証可能な同意をいつどのように求めるか、13歳未満の児童に対するマーケティングの制限など、オンラインで児童のプライバシーと安全を保護するために運営者が負う責任について詳細に規定しています。^[15]

米国下院議員クリフ・スターンズとジム・マセソンは、2011年4月13日に消費者のプライバシーを改善し保護するための法案を提出した。この法案は、消費者がウェブサイトによって収集された個人情報の使用を管理することを提案している。この法案はまた、消費者が第三者のウェブサイトへの情報開示を制限できるべきだと述べている。この法案によると、ウェブサイトは、主要な取引に関係のない個人情報を収集する前に、顧客に明確で目立つ通知を促さなければならない。 ^[16]さらに、情報収集時に、ウェブサイトは顧客にプライバシーポリシーを表示しなければならない。このポリシーは、収集される情報の種類と、情報の利用方法を明確にすることになっている。ウェブサイトはまた、消費者に「オプトアウト」オプションを提供することが義務付けられている。顧客が決定を下すと、ウェブサイトは顧客の選択から少なくとも1年間はオプトアウトステータスの変更を求めることはできない。

この法案は下院エネルギー・商業委員会を通過できなかった。

ジョン・ケリー上院議員とジョン・マケイン上院議員は、2011年4月12日の記者会見で、超党派の商業プライバシー権利法案を発表した。彼らは、これが米国初の包括的なプライバシー法になると述べた。^{[17] [18]} 消費者のプライバシー権を規定したこの法案の目的は、個人の個人データを包括的に保護するための規制枠組みを確立することだった。^[19]この法案は、5,000人以上のユーザー情報を収集するウェブサイトに、以下のことを義務付けるものだった。

• セキュリティ対策を実施する
• 顧客に明確な通知を提供する
• ユーザーにオプトアウトの仕組みを提供する
• 取引の処理またはサービスの質の向上のためだけに個人情報を収集します
• 一定期間経過後に収集した情報を破棄する

この法案は上院の商務科学運輸委員会を通過できなかった。^[17]

2011年5月6日、ジェイ・ロックフェラー上院議員は、オンライン事業者がオンラインユーザーの位置情報の収集を禁止する法案を米国上院に提出した。 ^[20]この法案によれば、企業は明白な同意があればユーザー情報を収集できることになる。情報の収集と使用に関する通知は、ユーザーに明確かつ目立つ形で正確に提供されなければならない。この法案は、企業がユーザーの情報収集拒否を尊重することを義務付け、さらにFTCがこの法案に従わない企業を罰することを義務付けるものだった。この法案には、違反者に対する1日当たり1万6000ドルの民事罰が盛り込まれており、最大で総額1500万ドルの賠償責任が規定されている。

エドワード・マーキー下院議員は「2011年児童追跡禁止法」と呼ばれる法案を提出した。^[21]この法案は、オンラインストアが児童の情報を収集する際には親の同意を得ることを義務付けている。たとえ情報を収集することはできるが、マーケティング目的に使用することはできない。^[22]「2011年児童追跡禁止法」の目標は、以下の方法で児童のプライバシー保護を強化することである。

• データブローカーに、収集される情報の種類、情報の使用方法、および情報収集に関連するポリシーを説明することを要求する
• オンライン企業に子供の情報を収集する前に親の同意を得ることを義務付ける
• オンライン企業が収集したデータをターゲットマーケティングの目的で利用することを防ぐ
• 親と子どものために、オンラインで公開されている情報コンテンツを削除するための「消去ボタン」を提供する

オバマ政権は、消費者はどの企業が自分の情報を収集し使用するかを管理する権利があると発表した。また、企業のプライバシーポリシーは透明で理解しやすいものでなければならず、ハッキングや個人情報の漏洩は完全に阻止されるべきだとも述べた。^{[23] [24]}消費者プライバシー権利章典は、消費者が以下の権利を持つと規定することで、これらの目的を推進している。

• 個人のコントロール：消費者は、企業が収集する個人データの内容とその使用方法を管理する権利を有する。
• 透明性：消費者は、プライバシーとセキュリティの実践に関する、理解しやすくアクセスしやすい情報を得る権利がある。
• 文脈の尊重：消費者は、企業が消費者がデータを提供する文脈に沿った方法で個人データを収集、使用、開示することを期待する権利がある。
• セキュリティ：消費者は個人データを安全かつ責任を持って取り扱う権利を有する
• アクセスと正確性：消費者は、データの機密性と、データが不正確である場合に消費者に悪影響が及ぶリスクに適した方法で、使用可能な形式で個人データにアクセスし、修正する権利を有します。
• 集中的な収集：消費者は、企業が収集し保持する個人データに対して合理的な制限を受ける権利がある。
• 説明責任：消費者は、消費者プライバシー権利章典を遵守するために適切な措置を講じた企業に個人データを取り扱う権利を有する。

消費者プライバシー権利章典の目的は、インターネット企業がターゲット広告のために個人情報を無差別に収集するのを阻止することです。これに対して、Mozilla、Google、Microsoft、Yahoo!、AOLなどのインターネット企業は、顧客がオンライン行動ターゲティング広告に参加するかどうかを選択できるように、「追跡しない」メカニズムを提供することを約束しました。^{[25] [26]}しかし、このガイドラインには強制力がないという制限があります。オバマ政権は、米国議会に連邦取引委員会に法定消費者プライバシー権利章典の各要素を強制する権限を与えるよう奨励しました。このガイドラインが施行されると、このガイドラインで示された権利を侵害するインターネット企業は、FTCから制裁を受ける可能性があります。

「新たな商業プライバシー権利法案」はジョン・ケリー上院議員とジョン・マケイン上院議員によって導入された。^[17]

2012年3月、米国連邦取引委員会（FTC）は「急速な変化の時代における消費者のプライバシー保護」という報告書を発表しました。^[27] FTCのジョン・ライボウィッツ委員長は、「データブローカーはインターネットユーザーを欺いてきた」とし、「データブローカーがユーザーに知られることなく個人情報を収集していることに焦点を当てる必要がある」と述べました。^[28]

FTC は、この報告書の目的は、インターネット閲覧中に常にさらされるユーザーのプライバシーを保護することだと明言しました。さらに、FTC は Do Not Track メカニズムについて議論し、オプトアウト機能を採用することでユーザーが個人情報の追跡レベルを制御できるようにすることをブラウザベンダーに推奨しました。デジタル広告連合は FTC の提案に同意し、2012 年中に オプトアウト機能を採用する予定です。

FTCはまた、モバイルアプリケーション企業に対し、シンプルで効果的かつ取り組みやすいプライバシー保護対策を講じるよう勧告している。また、データブローカーに対しては、個人情報の透明性のある収集を可能にする集中型ウェブサイトを設立して身元を明らかにし、データブローカーが収集した個人情報にユーザーがアクセスできるようにすることも義務付けている。

欧州連合は個人情報管理について懸念を表明した。2012年1月25日、欧州委員会副委員長のヴィヴィアン・レディングは、指令95/46/ECよりも厳しい一般データ保護規則を提案した。これは、ユーザーの情報保護を強化するために、ユーザーの同意を得てデータブローカーが収集した個人情報をサービスプロバイダーに削除するよう求める権利である。忘れられる権利には、検索されないという概念や情報の消滅時効も含まれる。^[29]

この規則は、サービスプロバイダーが機密性の高い個人情報を取り扱う際にユーザーの同意を求めることを推奨している。この規則に従わなかった場合、サービスプロバイダーは最大100万ユーロまたは売上高の2％の罰金を科せられる。^{[30] [31]}

レディング氏は、技術の発展やグローバル化などデジタル環境の変化により、過去のインターネット環境に関する規制の変更は避けられないと明言した。また、個人情報管理が弱いため、現在のインターネット企業の信頼性は低いと述べた。提案された法律には、以下の内容が含まれる。

• 個人情報の自律制御
• EU域内に拠点を置く企業だけでなく、EU市民の個人情報を取り扱う企業にも適用される規制
• 個人情報を収集する前にユーザーの明確な同意を求める
• EU全体に適用される統一規制
• 情報漏洩発生時の報告義務
• ユーザーがインターネットサービスプロバイダーを変更する際に移転可能な個人情報

この提案に対する反応として、この法律に対していくつかの異議が唱えられている。

• 企業は、厳格なインターネット基準はEUの経済状況を悪化させ、インターネット産業の発展を遅らせると主張し、これに反対している^[32]
• 英国の文化・通信・クリエイティブ産業大臣エドワード・ヴァイジー氏は、インターネット上ではコンテンツのオリジナルコピーを簡単に複製できるため、「忘れられる権利」をどのように実施できるのか疑問を呈した^[33]。
• デジタル民主主義センター（CDD）は、EUがインターネットサービスプロバイダーと合意に達するのは容易ではないと予想した^[32]

韓国では、住民登録番号（RRN）がオンライン識別の目的で使用されている。韓国放送通信委員会は、 1日あたり1万人以上のアクティブユーザーを抱えるインターネットウェブサイトがRRNを収集・使用することを禁止する法律を導入し、2012年8月18日に施行された。この法律は2013年にすべてのウェブサイトに拡大される予定である。^[34]

しかし、この法律に対しては反論もある。^[35]

• RRNは、十代の若者や障害者などの脆弱なユーザーをわいせつなコンテンツから保護する方法として、ユーザーを識別するために提示する必要があります。
• RRNはオンライン取引に広く使用されていますが、適切な代替手段はありません。
• i-PINや認証証明書などの他の検証方法のためのシステムを準備することは、サービスプロバイダーに経済的負担をかける可能性がある。

Do Not Track 提案には反対意見もあります。反対派は、オンライン行動広告の経済的メリットとサービスの質を強調しています。彼らの主張は次のとおりです。

• オンライン行動広告（OBA）と電子メールは最も効果的な広告手段である。プライバシー規制は行動広告の効果を低下させる可能性がある。OBAの効果が低下すると、広告の効果に対する信頼性が低下し、経済全体の回復を妨げることになる^{[36] [37]}
• 行動ターゲティングは、広告ネットワーク、パブリッシャー、広告主の成功に不可欠な要素です。行動ターゲティング広告は、パブリッシャーと広告ネットワークにとって重要な収入源です。広告主がサポートするコンテンツは、従来のメディアの重要な要素です。^[38]
• Googleなどのサービスプロバイダーは、より質の高いサービスを提供するために個人情報を収集しています。また、この情報収集は変化する傾向を反映して変更されています。^[39]

主要なインターネット ブラウザーと検索エンジンの間では、Do Not Track ポリシーがかなり物議を醸しています。たとえば、 2012 年にGoogleがプライバシー設定を変更したことは、企業が Do Not Track ポリシーをどのように解釈し、実装するかという疑問を引き起こしました。また、2012 年にMicrosoft は、 Internet Explorer 10ブラウザーに Do Not Track オプションをデフォルト設定として実装しましたが、これは大手企業からの多数のパブリック コメントと批判を引き起こしました。^[40] Abine Inc. の Sarah Downey 氏はFox Business Networkで、Do Not Track オプションをオプトインしても、広告主は引き続きデータを収集し、行動を追跡できるとコメントしました。Abine Inc. は、追跡を完全にブロックすると主張する Do Not Track Plusアドオンを作成しました。Downey 氏は、ブラウザー内の Do Not Track オプションは、広告主がユーザーを追跡しないようにするための「自発的なメッセージ」または「要求であり、義務ではない」ものであると続けています。^[41]

さらに、デジタル広告連合は今年初め^{[いつ? ]}、業界コンソーシアムで、Do Not Trackオプションは「個々の消費者が積極的に行う選択」であるべきだと述べており、Microsoftの新しいソフトウェアは消費者にその選択を否定している。Yahoo !ポリシーのブログ投稿でも、Microsoftの決定は「大多数のユーザーの体験を低下させ、彼らに対する当社の価値提案を実現することを困難にする」と主張している。^[42] Dell、IBM、Intel、Visa、Verizon、Walmart 、およびDo Not Trackポリシーの初期支持者の1つであるYahoo!の幹部は、Microsoftは「ブラウザの「Do Not Track」設定をデフォルトで「オフ」にすることで選択肢を提供することで、より広範なビジネスコミュニティと再調整するべき」と主張している。^[43]