データ主権の壁：消費者がデータアクセス権を行使する際の巨大企業の抵抗と課題
筆者は、カリフォルニア州消費者プライバシー法（CCPA）に基づき、自身に関する個人データへのアクセス権を大規模企業に対して行使する試みについて報告しています。CCPAは、個人情報が「販売されることを拒否する権利」「削除を要求する権利」「自身のコピーを要求する権利」の3つの主要な規定を定めています。
筆者はこの「アクセス要求」の権利に焦点を絞り、100社以上の企業に問い合わせを行いました。その結果、企業側がこの権利の行使に対して、組織的かつ官僚的な抵抗を示す実態が明らかになりました。具体的な事例として、マクドナルドからは詳細なアプリ利用履歴が記された515ページに及ぶレポートが提供された一方、データデータベースのクランチベース（Crunchbase）では、アクセス要求を誤って「データ削除要求」と取り扱い、アカウントを永久に削除するというミスが発生しました。また、公開記録を集めるBeenVerifiedでは、アクセス要求にもかかわらず、繰り返し情報削除やオプトアウトに関するメッセージが送られ、混乱を招きました。さらに、送金サービスCash Appでは、電話でのアクセス要求プロセス自体が複雑化され、実質的な利用が困難な状況が報告されています。
消費者擁護団体からは、こうした企業の対応は「受け入れられる現状ではない」と批判が上がっています。専門家たちは、企業がコンプライアンスに十分なリソースを割いていない可能性を指摘し、消費者側が手続きの「官僚的な障害コース」をたどらなければならない現状を問題視しています。代替案として、企業がそもそも収集するデータを必要最小限に抑える「データ最小化」のアプローチが、より包括的で根本的な解決策として提言されています。
背景
本ニュースは、デジタル時代における個人データの所有権とプライバシー保護に関する問題を取り上げています。CCPA（カリフォルニア州消費者プライバシー法）は、消費者に自身のデータに対する権利を付与しましたが、実際の企業対応がこの権利行使を困難にしている実態を浮き彫りにしています。
重要用語解説
- カリフォルニア州消費者プライバシー法（CCPA）: カリフォルニア州が制定した、消費者の個人データ保護を目的とした法律。データ主体にアクセス権や削除権などの権利を付与している。
- データ最小化: 企業が事業運営に必要不可欠な最小限のデータのみを収集・保持する原則。過剰なデータ収集を防ぐための概念。
- データブローカー: 公開情報や個人記録を収集・集積し、それを第三者に販売する企業。個人のプライバシー侵害のリスクが高い存在とされる。
今後の影響
本件は、単なる個人の事例に留まらず、グローバルなデータガバナンスの課題を提起しています。企業側のコンプライアンス意識の向上や、法制度のさらなる強化（データ最小化の義務化など）が求められ、今後の法整備や業界標準の変革を促す可能性があります。