筆者は、たまたま米国の人権擁護団体であるEFF(Electronic Frontier Foundation)のサイトで、主要電子出版社のプライバシー保護内容の比較を行った結果を一覧にしたもの(2012年版)を読んだ。
他方、わが国の公立図書館の電子図書館への取り組みの例として、千代田区図書館は2007年11月に千代田区立図書館ではインターネットを活用した日本初のインターネットを使用して電子図書を貸出返却が可能な国内サービスとして千代田Web図書館サービスを開始したという記事を読んだ。
また、同図書館は「千代田Web図書館は、インターネット上で電子書籍の貸出･返却ができるサービスです。・・このページでは、現在所蔵している約7,500タイトルのコンテンツ(電子書籍)の中から、代表的なコンテンツをリストで紹介しますので、ぜひお試しください。」と謳っている。
ところが、千代田区立図書館サイトを見ても、横浜市立図書館の「個人情報保護に関する方針（プライバシー・ポリシー）」のような「プライバシー・ポリシー」が見当たらない。
そのような状況下で、筆者はわが国の国立国会図書館サイトで「米国図書館協会(American Library Association:ALA)がデジタル環境下での利用者のプライバシー保護を目的とした4つのプラーバシー・ガイドラインを公表」したというの記事を読んだ。
今回のブログは、第一に米電子出版社のプライバシー保護内容の比較を行い、、第二にALAのプライバシー保護にかかるガイドラインの内容を検証した。特にALAのガイドランはIT化が進んだ米国の図書館サービスの実態に即した内容であり、他方わが国の国会図書館も翻訳する予定が見えないことから先行して仮訳したものである。なお、ALAのガイドラインに内容は決して平易なものではない。筆者なりにIT分野の注記を加えたが、専門家による補記を期待する。
なお、今回のブログは2回に分ける。
１．EFFが独自に行った主要電子出版社のプライバシー保護内容の比較
2012年版ではあるが、EFFが独自に主要電子出版社のプライバシー保護内容の比較を行った結果を一覧にしたもの(EFF「E-Reader Privacy Chart, 2012 Edition 」を公表している。
米国の以下の主要電子出版社9社につき、Q1～Q7として比較を行っている。
(1)調査対象の出版社
①「Google Books」
② 「Amazon Kindle」
③ 「Barnes & Noble Nook」
④「Kobo」
⑤ 「Sony」8/22(26) (note1)
⑥ 「OverDrive」
⑦ 「IndieBound」
⑧「Internet Archive」
⑨ 「Adobe Content Server」
(2)質問事項
以下の質問事項につき「Yes 」, 「No」,「Unclear」という回答ならびに簡単な補足説明がある。
Q1:ユーザーの電子書籍の検索内容を追跡しているか？
Q2:ユーザーが書籍購入後に、何を読んだり、どのように読んだかにつきモニタリングしたり、またその情報を読者に還元すべくリンクをはっているか？
Q3:端末に関し、提携する電子書籍ストアーから買わないことにつきどのような互換性を持っているか？
Q4:書籍の購入記録を保持しているか？電子書籍以外の購入や取得につき追跡しているか？
Q5:非統合の様式で集めるた個人情報を誰と共有しているか？
Q6:顧客に対し、個人情報へのアクセス、収集および削除につきいかなるメカニズムを用意しているか？
Q7:顧客の同意なし自社以外と顧客情報を共有しうるか？
２．アリゾナ州の例で電子書籍のE-booksも含むライブラリアンに対するプライバシー保護義務や罰則規定
アリゾナ州「41-151.22. Privacy of user records; violation; classification; definition」の例で見てみた。わが国においても電子書籍の閲覧が公共図書館等でも開放されるること広く行われていることから、保護ルールの明確化の検討 が喫緊に取り組むべき時期に入っていると考える。
なお、アリゾナ州では違反者に対し、次の刑罰が科される。
・Sentencing Range for Class 3 Misdemeanor Offensesクラス3の軽犯罪
・Maximum Probation：最高1年の執行猶予
・Maximum Jail：最高30日の拘禁刑
・Maximum Fine for a Person個人の違反行為：500ドル(約5万円)＋課徴金(surcharges)
・Maximum Fine for an Enterprise法人の違反行為：2,000ドル(約20万円)＋課徴金
３．わが国の電子書籍会社のプライバシー・ポリシーに見る顧客情報の取扱い
2社の例で、内容を見ておく。
①電子書籍「ADTHREE」のプライバシー・ポリシー
次に挙げるソニーの利用規約の内容と比較されたい。Sonyの米国等法人は2014年に顧客をKoboに引き継いだが、やはり米国並みのプライバシーポリシーや利用規約の内容を持っていると考えざるを得ない。
「株式会社 アドスリーは、 個人情報保護の重要性に鑑み、「個人情報の保護に関する法律」及び本プライバシーポリシーを遵守し、お客さまのプライバシー保護に努めます。
個人情報の定義
お客さま個人に関する情報(以下「個人情報」といいます)であって、お客さまのお名前、住所、電話番号など当該お客さま個人を識別することができる情報をさします。他の情報と組み合わせて照合することにより個人を識別することができる情報も含まれます。」
・・・これだけである。
②ソニーJP「Reader™ Storeサービス利用規約」から一部抜粋
第５章：ご利用者の情報の取り扱い
第27条（本サービス収集情報の取り扱い）
1.当社は、本サービスにもとづく取引を通じてご利用者から収集した、クレジットカード情報、メールアドレス、コミュニケーション機能利用時のユーザー名その他個人を識別または特定できる情報（以下「本サービス個人情報」といいます）および取引情報（ご利用者のコンテンツの購入履歴、本サービスのご利用状況、クッキーを利用して収集する本ウェブサイトの閲覧履歴等に関する情報を含む）を、本サービスを提供する目的、ご利用者に対して、当社ならびにソニー株式会社およびその子会社のコンテンツやサービスを紹介する目的、およびご利用者の属性（年齢、住所など）ごとに分類された統計的資料を作成する目的のために利用させていただきます。
また、当社は、潜在的な情報セキュリティ上の脅威を特定し、かかる脅威からお客様および当社を保護する目的で、当社が必要と判断する分析を実施するために、本サービス個人情報を利用することがあります。
2.当社は、以下のいずれかに該当する場合を除き、本サービス個人情報を第三者に開示いたしません。尚、第1号、第2号および第6号に基づく開示にあたっては、開示先に対して、本サービス個人情報を厳重な管理体制のもとで保持させかつ他の第三者への開示または当社が承認した目的以外の利用は行わせないようにします。
(1) ご利用者に本サービスを提供するうえで必要となる業務委託先に開示する場合
(2) 前項に定める利用目的のために、ソニーグループ会社に開示する場合
(3) ご利用者が事前に承諾された場合
(4) 法令により開示が要求される場合
(5) 当社、ご利用者または第三者の権利または財産を保護するために開示する必要がある場合
(6) クレジットカードの第三者による不正使用を防止するために、クレジットカード会社からの要請に応じて当該クレジットカード会社に開示する場合（当該クレジットカード会社からクレジットカードを発行している会社に対して再開示する場合を含みます）
(7) 合併、会社分割、事業譲渡その他の事業承継の場合
3.当社は、本サービス個人情報を、厳重な管理体制のもとで管理、保管し、上記に定める場合以外で、本サービス個人情報が第三者に漏洩することのないように、合理的な範囲内でセキュリティの強化に努めます。
4.本サービス個人情報については、「購入履歴確認」のウェブページより検索・照会いただけます。なお、ご利用者が当該ウェブサイトを利用できない場合、第38条（お問い合わせ先）に定めるお客様窓口（以下「お客様窓口」といいます）宛てにご連絡ください。当社は、可能な限り対処するものとします。
5.ご利用者が当社による本サービス個人情報の利用目的の通知、開示、内容の訂正、追加または削除、利用の全部または一部の停止、消去または第三者への提供の停止その他の対応を希望される場合には、お客様窓口宛てにご連絡ください。当社は、可能な限り対処するものとします。
6.ご利用者が、個人情報をご提供されない場合、利用目的に基づくご利用者への本サービスの提供その他ご案内等が行えないことがあります。
第28条（My Sony IDご登録情報の取り扱い）1.当社は、本サービスの提供にあたり、ご利用者がMy Sony IDにご登録いただいた情報を利用いたします。当該情報のうち、個人を識別または特定できる情報については、ソニーマーケティング株式会社が別途定めるMy Sony ID利用規約「第5章個人情報の取り扱い」の第27条（共同利用）（こちらの内容をご確認願います）その他の規定に従い、適切に管理のうえ、共同利用いたします。なお、この場合、My Sony ID利用規約「第５章個人情報の取り扱い」の各条項における「ソニー製品等」の用語は、本規約にて定義する「本サービス」を意味します。
前項に定めるほか、当社は、前条第１項に定めるご利用者の属性（年齢、住所など）ごとに分類された統計的資料を作成する際に、本サービス個人情報とMy Sony IDにご登録いただいている情報とを参照することがございます。
*************************************************:
(note1)EFFが調査したのが2012年でありSonyをとりあげていたが、その後、米国やカナダに展開していたSony Reader Storeはカナダのトロントに本社を置くKoboに顧客を引き継いだ。
(note2) Laptop Checkout：図書館のラップトップ端末の貸し出しの返却手続きである。
サンフランシスコ州立大学の図書館(J.Paul Reonard )の例で見ておく。貸し出し期間は4時間から最長で28日間である。また期限間までに返却しないときは罰金が課されるのが一般のようである。
(note3) わが国の日本図書館協会の1980.6.4総会決議「図書館員の倫理綱領」参照。なお、米国図書館協会の「図書館員の倫理綱領(Code of Ethics of the American Library Association)」もあわせ参照されたい。
(note4)合衆国憲法修正第一（1791年成立）の訳文を引用しておく。
「政教分離原則，信教・表現の自由」：合衆国議会は、国教を制定する法律もしくは自由な宗教活動を禁止する法律、または言論・出版の自由もしくは人民が平穏に集会して不満の解消を求めて政府に請願する権利を奪う法律を制定してはならない。
「図書館の自由」とは、言論の自由にあたると解されている。(筆者の補足)
(note5) 米国の人権擁護団体や大学図書館協会などの多くが、2001年パトリオット法に基づくNSLが大学図書館活動等にも大きな影を落としていると指摘する。
この「国家の安全保障にかかる提供強制通知(National security letters:NSL) 」は、ISPや通信会社等の通知の受取人が保有・管理する情報を、連邦捜査官に提供することを強要するために通知される行政処分をいう。
米国パトリオット法(U.S.Patriot Act)によって認可されるもので、受取人につき通知の内容や指示を議論することを禁ずる報道禁止令を含む。この通知は裁判官の認可を必要としないが、限られた範囲での司法審査を受ける。これらの通知は、連邦捜査局やその他の連邦機関によって使用される。(米国法律用語辞典(U.S.Legal)の解説)
米国の人権擁護団体であるEFFの次の説明も参考になろう。
「USA PATRIOT法によって拡大されたすべての危険な政府監視力強化のうち、PATRIOT第505条によって拡大されたU.S.C第18編.§2709 (Counterintelligence access to telephone toll and transactional records)の下で国家安全保障にかかる強制的情報提供通知（NSL）の権限は、国民をもっともこわがらせまた人権を侵す1つである。
これらの通知は、電話会社やISP等の通信サービスプロバイダーに向けて発せられ、そしてFBIに対し、いかなる監視や事前の司法審査なしで普通のアメリカ市民の個人的な通信やインターネット活動についてひそかにデータを要求するのを許すものである。NSLの受取人は、彼らの友人や彼らの同僚に、または彼らの家族にさえ手紙の存在を示すことを禁ずる「口外禁止命令(gag order)」に従うことが義務付けられる。
この権限に関するFBIの全体的な濫用実態は、連邦司法省の調査およびEFFの情報公開法に基づく開示要求から得られた文書内で文書化された」EFFのNSLの解説文から引用した。
参考までに、U.S.Patriot Act 第505条全文を以下あげる。
SEC. 505. MISCELLANEOUS NATIONAL SECURITY AUTHORITIES.
(a) TELEPHONE TOLL AND TRANSACTIONAL RECORDS- Section 2709(b) of title 18, United States Code, is amended--
(1) in the matter preceding paragraph (1), by inserting `at Bureau headquarters or a Special Agent in Charge in a Bureau field office designated by the Director' after `Assistant Director';
(2) in paragraph (1)--
(A) by striking `in a position not lower than Deputy Assistant Director'; and
(B) by striking `made that' and all that follows and inserting the following: `made that the name, address, length of service, and toll billing records sought are relevant to an authorized investigation to protect against international terrorism or clandestine intelligence activities, provided that such an investigation of a United States person is not conducted solely on the basis of activities protected by the first amendment to the Constitution of the United States; and'; and
(3) in paragraph (2)--
(A) by striking `in a position not lower than Deputy Assistant Director'; and
(B) by striking `made that' and all that follows and inserting the following: `made that the information sought is relevant to an authorized investigation to protect against international terrorism or clandestine intelligence activities, provided that such an investigation of a United States person is not conducted solely upon the basis of activities protected by the first amendment to the Constitution of the United States.'.
(b) FINANCIAL RECORDS- Section 1114(a)(5)(A) of the Right to Financial Privacy Act of 1978 (12 U.S.C. 3414(a)(5)(A)) is amended--
(1) by inserting `in a position not lower than Deputy Assistant Director at Bureau headquarters or a Special Agent in Charge in a Bureau field office designated by the Director' after `designee'; and
(2) by striking `sought' and all that follows and inserting `sought for foreign counter intelligence purposes to protect against international terrorism or clandestine intelligence activities, provided that such an investigation of a United States person is not conducted solely upon the basis of activities protected by the first amendment to the Constitution of the United States.'.
(c) CONSUMER REPORTS- Section 624 of the Fair Credit Reporting Act (15 U.S.C. 1681u) is amended--
(1) in subsection (a)--
(A) by inserting `in a position not lower than Deputy Assistant Director at Bureau headquarters or a Special Agent in Charge of a Bureau field office designated by the Director' after `designee' the first place it appears; and
(B) by striking `in writing that' and all that follows through the end and inserting the following: `in writing, that such information is sought for the conduct of an authorized investigation to protect against international terrorism or clandestine intelligence activities, provided that such an investigation of a United States person is not conducted solely upon the basis of activities protected by the first amendment to the Constitution of the United States.';
(2) in subsection (b)--
(3) (A) by inserting `in a position not lower than Deputy Assistant Director at Bureau headquarters or a Special Agent in Charge of a Bureau field office designated by the Director' after `designee' the first place it appears; and
(B) by striking `in writing that' and all that follows through the end and inserting the following: `in writing that such information is sought for the conduct of an authorized investigation to protect against international terrorism or clandestine intelligence activities, provided that such an investigation of a United States person is not conducted solely upon the basis of activities protected by the first amendment to the Constitution of the United States.'; and
(3) in subsection (c)--
(A) by inserting `in a position not lower than Deputy Assistant Director at Bureau headquarters or a Special Agent in Charge in a Bureau field office designated by the Director' after `designee of the Director'; and
(B) by striking `in camera that' and all that follows through `States.' and inserting the following: `in camera that the consumer report is sought for the conduct of an authorized investigation to protect against international terrorism or clandestine intelligence activities, provided that such an investigation of a United States person is not conducted solely upon the basis of activities protected by the first amendment to the Constitution of the United States.'.
(note6) わが国の「プライバシー・スクリーン」の商品例：コクヨ
「パソコンディスプレイが他人にのぞき見られるのを防ぐ「のぞき見防止セキュリティフィルター」は、内部に組み込んだ微細なルーバーによって、ディスプレイ画面の発光方向を正面から左右30度の範囲に制限したフィルターです。横から見ると画面が真っ暗に見えるため、外出先や移動中、または機密情報を扱う際など、画面からの機密情報の漏洩を防ぎ、他人の視線を気にせず作業に集中できる環境をつくります。」
(note7) プラグインとは、一言でいうと「ソフトに機能を追加するための小さなプログラム」をいう。一般的に利用されているものとしては、次のようなものがある。
Java、Quicktime、Silverlight、Adobe Reader、Windows Media Player等が挙げられる。
(note8)一般的にキーロガーは、パソコンに接続ないしインストールされ、ユーザーがどんなキーやコマンドを入力したかを逐一記録して内部メモリに記録したりログファイルを出力するプログラムで、監視目的のほか、データのバックアップなどにも利用できる。(Wikipediaから一部抜粋)
(note9)「復元ソフトウェア(restoration software)」は、ここで言う使用履歴の完全削除とは機能が基本的に異なる。ガイドラインの作成者であるALAに直接確認する必要があると考えるが、とりあえずは原文のまま訳しておく。
(note10)マルウェア（malware）の「mal-」には、「悪、不良」などの意味があり、「マルウェア」という言葉には「不正かつ有害な動作を行う意図で作成された悪意のあるソフトウェア」あるいは「悪質なコード」などの意味がある。[コンピュータウイルス」、「ワーム」、「トロイの木馬」、「ランサムウェア」、「ボット」、「バックドア」、「スパイウェア」等が含まれる。
なお、経済産業省のコンピュータウイルス対策基準(告示)の「コンピュータウイルス」の定義は次のとおりである。
コンピュータウイルス（以下「ウイルス」とする。）
第三者のプログラムやデータべースに対して意図的に何らかの被害を及ぼすように作られたプログラムであり、 次の機能を一つ以上有するもの。
(1)自己伝染機能
自らの機能によって他のプログラムに自らをコピーし又はシステム機能を利用して自らを他のシステムにコピーすることにより、 他のシステムに伝染する機能
(2)潜伏機能
発病するための特定時刻、一定時間、処理回数等の条件を記憶させて、発病するまで症状を出さない機能
(3)発病機能
プログラム、データ等のファイルの破壊を行ったり、設計者の意図しない動作をする等の機能 なお、筆者はたまたまあるブログで「経済産業省の「コンピューター・ウィルス対策基準」という告示で、マルウェアは規定されています。この告示によれば、第三者のデータベースやプログラムへ意図的に被害を与えるプログラム＝マルウェアとされます」を読んだ。しかし、同告示にはマルウェアの定義はない。誤った情報が独り歩きしている。
***********************************************
Copyright © 2006-2016 平野龍冶(Ryuji Hirano)．All rights reserved. No part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form or by any means, including electronic, mechanical, photocopying, recording, or otherwise, without prior written permission of the author.
