Loading article…
プライバシー設定プラットフォームプロジェクト（P3P ）は、WebサイトがWebブラウザユーザーから収集した情報の使用目的を宣言できるようにする廃止されたプロトコルです。閲覧時にユーザーが個人情報をより細かく制御できるように設計されたP3Pは、 World Wide Web Consortium （W3C）によって開発され、2002年4月16日に正式に推奨されました。その後まもなく開発は中止され、P3Pの実装はごくわずかでした。Internet ExplorerとMicrosoft Edge Legacyは、P3Pをサポートしていた唯一の主要なブラウザでした。MicrosoftはWindows 10以降、サポートを終了しました。Windows 10のInternet ExplorerとEdge [Legacy]は、2016年現在、P3Pをサポートしていません。 [ 3 ] W3Cは2018年8月30日にP3Pを正式に廃止しました。[ 4 ] TRUSTeの会長は、P3Pは実装が難しく、価値がないために広く実装されていないと述べています。[ 5 ]
ワールドワイドウェブが製品やサービスを販売する真の媒体となるにつれ、電子商取引ウェブサイトは、自社の商品を購入した人々に関するより多くの情報を収集しようとしました。一部の企業は、トラッカークッキーなどの物議を醸す手法を用いて、ユーザーの人口統計情報や購買習慣を把握し、この情報に基づいて特定のターゲット広告を提供しました。これをプライバシーの侵害とみなしたユーザーは、個人情報を保護するためにHTTPクッキーを無効にしたり、プロキシサーバーを使用したりすることがありました。P3Pは、ユーザーが公開する情報の種類をより正確に制御できるように設計されました。W3Cによると、P3Pの主な目標は「技術的な権限付与を通じて、ウェブに対するユーザーの信頼と信用を高めること」です。[ 6 ]
P3Pは、ウェブサイトのデータ管理方法を記述するのに役立つ機械可読言語です。P3Pはプライバシーポリシーを通じて情報を管理します。ウェブサイトがP3Pを使用する場合、サイト訪問者から収集される可能性のある個人情報の使用目的を明記できる一連のポリシーを設定します。ユーザーがP3Pを使用することを選択した場合、独自のポリシーを設定し、訪問するサイトにどのような個人情報の閲覧を許可するかを指定します。その後、ユーザーがサイトを訪問すると、P3Pはユーザーが公開する意思のある個人情報とサーバーが取得したい情報を比較します。両者が一致しない場合、P3Pはユーザーに通知し、サイトに進んでより多くの個人情報を提供するリスクを負う意思があるかどうかを尋ねます。[ 7 ]例えば、ユーザーはブラウザの設定で、閲覧習慣に関する情報が収集されないように設定できます。ウェブサイトのポリシーで、この目的のためにCookieが使用されると規定されている場合、ブラウザは自動的にCookieを拒否します。プライバシーポリシーの主な内容は次のとおりです。
プライバシーポリシーはXMLファイルとして取得することも、 HTTPヘッダーにコンパクトな形式で含めることもできます。特定のドキュメントに適用されるXMLポリシーファイルの場所は次のとおりです。
/w3c/p3p.xmlが使用されます（類似の場所については、こちらを参照してください/favicon.ico）。P3Pではキャッシュの指定が可能ですmax-age。ダミー/w3c/p3p.xmlファイルでこの機能を使用できます。
<META xmlns= "http://www.w3.org/2002/01/P3Pv1" > <POLICY-REFERENCES> <EXPIRY max-age= "10000000" /> <!-- 約4ヶ月 --> </POLICY-REFERENCES> </META>
MicrosoftのInternet ExplorerとEdge [Legacy]は、P3P をサポートする唯一の主流 Web ブラウザでした。[ 8 ]他のブラウザは、価値がないと認識されていたため、これを実装しませんでした。IE は、P3P プライバシーポリシーを表示し、P3P ポリシーをブラウザの設定と比較して、特定のサイトからの Cookie を許可するかどうかを決定する機能を提供します。ただし、Internet Explorer の P3P 機能は Cookie のブロックにのみ拡張され、アクティブなプライバシー設定に違反する Web サイト全体をユーザーに警告することはありません。Microsoft は、この機能をブラウザでは非推奨とみなし、Windows 10 で P3P サポートを完全に削除しました。[ 8 ]
Mozillaは数年間P3Pの一部の機能をサポートしていましたが、2007年までにP3P関連のソースコードはすべて削除されました。[ 9 ]
Privacy Finder [ 10 ]サービスも、カーネギーメロン大学のユーザブルプライバシーおよびセキュリティ研究所によって開発されました。これは、一般公開されている「P3P対応検索エンジン」です。ユーザーは検索語とプライバシー設定を入力すると、サイトがその設定に準拠しているかどうかに基づいて並べ替えられた検索結果のリストが表示されます。これは、Web をクロールし、検索クエリに表示されるすべてのサイトの P3P キャッシュを維持することによって機能します。キャッシュは 24 時間ごとに更新されるため、すべてのポリシーが比較的最新の状態であることが保証されます。このサービスでは、サイトがユーザーの設定に準拠していない理由をユーザーが迅速に判断できるだけでなく、P3P データに基づいて動的に生成された自然言語のプライバシーポリシーを表示することもできます。これは、多くのプライバシーポリシーが法律用語で書かれており、非常に複雑であるため、Web サイト上の元の自然言語のプライバシーポリシーを読むよりも有利です。さらに、この場合、ユーザーはプライバシーポリシーを読むために Web サイトにアクセスする必要はありません。
P3Pは、ブラウザがウェブサイト全体を検索する代わりに、簡潔かつ整理された方法でプライバシーポリシーを理解できるようにします。ユーザーはプライバシー設定を一定レベルに設定することで、P3Pがユーザーがコンピュータに保存したくないCookieを自動的にブロックするように設定できます。さらに、W3Cは、P3Pによってブラウザがユーザーデータをサービスに転送できるようになり、最終的にはオンライン共有コミュニティの促進につながると説明しています。
さらに、インターネット教育財団が開発したP3Pツールボックス[ 11 ]では、ユーザーの信頼とプライバシーの向上に関心のある人は誰でもP3Pの実装を検討すべきだと推奨しています。P3Pツールボックスのサイトでは、企業が新製品や新サービスを宣伝するために個人データをどのように利用してきたかが説明されています。さらに、近年、企業は個人の情報を取得してプロファイルを作成し、個人の同意なしにそれを販売しています。さらに、これらのデータはすべて悪用され、消費者である私たちはその代償を払い、迷惑メール、個人情報盗難、差別などの問題に悩まされています。したがって、P3Pプロトコルを実装することは、ウェブブラウザにとって有益です。
さらに、ブラウザの増加に伴い、プライバシー問題に遭遇するリスクのあるユーザーも増加しています。しかし、インターネット教育財団は、「P3Pは、データ管理慣行と個人のプライバシー設定の自動通信に向けて、テクノロジーの力をさらに一歩進めるために開発された」と指摘しています。[ 11 ]
電子プライバシー情報センター（EPIC）はP3Pを批判しており、P3Pによってユーザーがプライバシーを保護することが難しくなると考えている。[ 12 ] 2002年にP3Pを評価し、この技術を「かなり不適切なポリシー」と呼んだ。[ 12 ] EPICによると、一部のP3Pソフトウェアは複雑すぎて一般の人には理解しにくく、多くのインターネットユーザーは、コンピュータのデフォルトのP3Pソフトウェアの使い方や追加のP3Pソフトウェアのインストール方法がわからない。もう1つの懸念は、WebサイトもインターネットユーザーもP3Pを使用する義務がないことである。さらに、EPICのWebサイトでは、P3Pプロトコルはブラウザに負担をかけ、意図したほど有益でも効率的でもないと主張している。
P3P の使用に伴う重要な問題は、執行が不十分であることです。そのため、P3P のユーザーに対してなされた約束が履行されない可能性があります。P3P を使用することで、企業やウェブサイトはサイトのユーザーに対してプライバシーと収集したデータの使用について約束しますが、企業がその情報を他の機能に使用することを決定した場合、実際の法的影響はありません。現在、米国ではデータ保護に関する実際の法律は制定されていません。理想的には、企業は顧客の個人情報の使用について正直であるべきですが、企業が遵守すると言っている規則に実際に従わなければならない拘束力のある理由はありません。P3P の使用は技術的には契約に該当しますが、連邦規制の欠如により、企業が遵守する必要性は軽視されています。[ 13 ]
P3P を使用するという合意は、強制力のない約束を定めるだけでなく、実際には個人情報へのアクセスと使用能力を阻害する連邦法の制定を遅らせることにもなります。政府が介入し、アクセスできる情報に関する連邦法や、ユーザー情報の使用方法に関する具体的な規制によってインターネットユーザーを保護しようとすれば、企業は、ユーザーに実際に何を伝えているかに関わらず、現在のように情報を自由に使う自由を維持できなくなるでしょう。2002 年、当時 EPIC の従業員だったクリス・フーナグルは、P3P がプライバシーに関する政府の規制の機会を奪っていると主張しました。[ 14 ]
P3Pの批判者たちは、準拠していないサイトが除外されるとも主張している。カーネギーメロン大学のCyLabプライバシー関心グループが行った調査[ 15 ]によると、上位5,000のウェブサイトのうちP3Pを組み込んでいるのはわずか15%である。そのため、コードを含めていないものの、高いプライバシー基準を実践している多くのサイトは、P3Pを唯一のオンラインプライバシーガイドとして利用するユーザーにはアクセスできないことになる。
EPICはまた、P3Pの開発と実装が個人情報の独占を引き起こす可能性があることについても言及している。P3Pを自社のウェブサイトに実装するのは大手企業に限られる傾向があるため、ユーザーのプライバシー設定に匹敵できるのは大手企業のプライバシーポリシーだけであり、これらの大手企業だけがこの情報を収集する傾向がある。EPICのウェブサイトには、「P3Pの途方もない複雑さと、一般的なブラウザがこのプロトコルを実装するであろう方法を考えると、プライバシー保護技術としては不適切と思われる」とあり、EPICはさらに「むしろ、P3Pは米国のデータマーケターが現在享受している個人情報に対する独占的地位を実際に強化する可能性がある」と述べている。[ 12 ]
すぐに採用されなかった理由は、公正情報慣行に準拠しない通知と選択のアプローチであるという考え方に関連している可能性があります。FTC の委員長によると、[ 16 ]消費者が他人の利益のために過剰な個人情報を提供することから保護するために、プライバシー法は今日の社会で重要です。消費者の個人データのオンラインでの収集と使用には制限があるべきだと考える人もいます。現在、米国の法律では、サイトが公開するプライバシーポリシーを遵守する義務はありません。そのため、個人情報の開示を懸念し、プライバシーを保護するために P3P のプロトコルに頼るしかない消費者の間で、P3P は論争を引き起こしています。
IBMのマイケル・カプリーは、2004年にMozilla FoundationがブラウザラインからP3Pサポートを削除することを検討していた際に、次のように述べたと伝えられています。 [ 17 ]
ああ、懐かしい思い出だ。
我々（IBM）が当初P3Pの実装を開発し、その後Netscapeが独自の実装を開発しました。つまり、両社とも膨大な時間を無駄にした上に、そもそも誰もがひどい提案だと考えていたのです。
削除してください。
Opera SoftwareのPRマネージャーであるLive Leerは、2001年に同社のブラウザでP3Pサポートを意図的に欠いている理由を説明した。[ 18 ]
現時点では、P3Pが最適なソリューションであるかどうかは確信が持てません。P3Pは、将来的にサポートを検討している仕様の一つです。P3Pのプライバシー保護性能にはいくつかの問題点があり、そのため、これらの問題が解決されるまで待つことにしました。
P3Pユーザーエージェントは、プライバシーを確保したいインターネットユーザーにとって唯一の選択肢ではありません。P3Pに代わる主な方法としては、ウェブブラウザのプライバシーモード、匿名メールサービス、匿名プロキシサーバーなどが挙げられます。
P3P の主な代替手段は、これらの技術ではなく、ウェブサイトがインターネット ユーザーからどのような情報を収集および保持できるかを規制するより強力な法律である可能性があります。たとえば、ヨーロッパでは、一般データ保護規則 (GDPR)により、個人情報がどのように収集されるか、および個人が自分の個人データを保護する権利に関する一連の原則が個人に提供されます。[ 19 ]この法律により、個人は自分から収集される情報の種類を管理できます。この法律には、個人が特定の条件下でいつでも自分について収集されたデータを取得する権利があるという規則など、さまざまな原則が含まれています。さらに、個人の個人情報は必要以上に長く保持することはできず、最初に合意された目的以外に使用することもできません。
現在、米国にはオンラインで共有される個人情報のプライバシーを保護する連邦法はありません。ただし、連邦および州レベルで、個人に関して収集された特定の種類の情報を保護する分野別法がいくつかあります。[ 20 ]例えば、 1970年の公正信用報告法（FCRA）では、消費者信用情報機関が個人情報を開示できるのは、信用、雇用または保険の評価、政府の助成金またはライセンス、または消費者が関与する「正当なビジネス上の必要性」という3つの特定の状況に限られています。米国のその他の分野別プライバシー法の一覧は、消費者プライバシーガイドのウェブサイトで確認できます。[ 20 ]