ユーザー行動履歴の活用における落とし穴

ビッグデータとAIが実現する「人間中心の社会」

内閣府は「サイバー空間（仮想空間）とフィジカル空間（現実空間）を高度に融合させたシステムにより、経済発展と社会的課題の解決を両立する、人間中心の社会（Society）」であるSociety5.0^*1の実現を目指しています。人々のニーズが多様化する中、モノやサービスを、必要な人に、必要な時に、必要なだけ提供することで、快適で活力に満ちた、質の高い生活を実現すると同時に、社会システム全体を最適化し、経済発展と社会的課題の解決を目指すとされています。

こうした「人間中心の社会」を実現するためには、サイバー空間および（IoTなどを活用して）フィジカル空間から取得できるビッグデータを人工知能（AI）技術を駆使して分析することで、人々の嗜好や関心事、生活様式や置かれている環境、ライフイベントやライフステージを把握し、人々の顕在化した、あるいは潜在的なニーズに応じた、適切なモノやサービスが提供される必要があります。簡単に言えば、生活者一人ひとりを知り、一人ひとりに「パーソナライズされた体験」が提供される必要があるのです。

例えば、ユーザーのECサイトでの行動履歴と、現在地情報、近隣店舗のリアルタイムの在庫情報を組み合わせれば、ECサイトで商品Aをカートに入れたまま購入に至っていないユーザーに対して、現在地の近くの店舗に商品Aの在庫があることを知らせると同時に、30％引きのクーポンを届けることが可能です。あるいは、あるころから紙おむつや粉ミルクを購入するようになり、その後、赤い小さな長靴や、傘に興味を示していることがウェブサイトの閲覧履歴から分かっているユーザーに対しては、粉ミルクを買い始めてから6年後の春に、赤いランドセルを紹介することができるでしょう。

このように、「人間中心の社会」を実現する上では、ユーザーのオンライン、オフラインの行動履歴に基づいてパーソナライズされた体験を提供することが鍵となります。本稿では、この行動履歴を活用するにあたっての注意点を解説します。

パーソナルデータの利活用とプライバシー対応の実態

前述のマーケティング用途の事例におけるパーソナルデータの流通について図示すると、図表1の通りとなります。サービス利用にあたっての（1）基本情報（メールアドレスなどの連絡先、必要に応じて氏名や住所）に加えて、狭義の（2）利用実績（購入履歴や視聴履歴、投稿内容など）や（3）行動履歴（Cookieと紐づけられたサイト内の行動履歴など）と、さらにそれら事実の分析による（4）推知情報の4種類のデータが、サービスやサイトを通じて生成・流通していきます。図表1で示す通り、明示的に入力や選択を行って生成される（1）基本情報や（2）利用実績については、サービス内で何らかの利用がされていることをユーザーが推測することは可能ですが、（3）行動履歴や（4）推知情報については、企業側でどのように利用されているかを感覚的につかむことは難しいでしょう。

また、図表1はあくまでユーザーとサービスが1対1の関係でのデータ流通を示していますが、実際のパーソナルデータのエコシステムは、より複雑なものとなります。図表2では、3rd Party Cookieなどを利用したサイトやサービス間でのデータ連携や第三者提供、共同利用、データ販売を含めたパーソナルデータエコシステムを図示しています。プライバシーポリシーに記載された第三者提供先や共同利用者への個人情報の提供・共有に加えて、DMP（Data Management Platform）サービスを介することで、複数のサイトにおける行動履歴が集約・分析され、ユーザー自身が関知しないところでパーソナルデータが流通されることになります。

図表2は比較的シンプルなデータ流通形態を示しており、実際には複数の第三者提供先やDMPサービスが存在し、ユーザーにとってはさらに複雑なものとなるゆえ、自身のデータの流通状況を把握することは事実上、不可能と言えます。加えて、自社のデータ流通を可視化するためのデータガバナンスやデータマネジメントが機能しておらず、自社のパーソナルデータエコシステムを把握することができていない企業が少なくないのが実情です。

このパーソナルデータ流通の複雑さや管理不全に加えて、プライバシーポリシーの難読さやサービス利用開始時にしか閲覧されない性質も相まって、特に機能拡張によるデータ利用範囲の拡大や外部サービスとの連携、第三者提供にあたっては、何らかの通知などが企業側から行われているとはいえ、誤認を含めて正しくユーザーに伝わっていないことは明らかです。

^*1：内閣府, 「Society 5.0」 （2020年9月29日閲覧）

^*2：こうした形で個人情報と紐づけられることが容易に想定されるパーソナルデータについては、2020年に改正・公布された個人情報保護法では「個人関連情報」として定義され、新たな義務が規定された点を留意する必要があります。