移動履歴は誰のもの？――Suicaデータの外部提供をめぐる問題

本連載第2回の記事『匿名化研究の出発点――William Weld知事の医療情報「再識別」事件』では、匿名化された医療データから個人が再識別された事例を紹介しました。幸い、日本では同様の再識別事案は今のところ確認されていません。しかし、匿名化したデータの提供方法や利用者への説明のあり方が問われ、大きな社会的批判を招いた出来事はあります。2013年の交通系ICカード「Suica」の利用履歴をめぐる一件です [1] 。法的に個人情報に該当しないデータであっても、説明やプライバシーへの配慮が不十分であれば、利用者の不安や批判を招きかねない——そうした教訓を残した出来事として、今回はこの問題を振り返ります。

まず、事の経緯を振り返っておきましょう。JR東日本は2008年、中期経営構想「グループ経営ビジョン2020 －挑む－」の取組の一環として、Suicaデータを鉄道サービスの向上や地域・駅・沿線の活性化に役立てる方法の検討を開始しました [1] 。鉄道部門や生活サービス部門、グループ企業数社を交えた検討の結果、駅の利用状況や人々の移動、決済の状況を分析することで、鉄道サービスや駅構内店舗の運営改善に活用できることが分かり、同社は2013年4月、情報分析を本格的に推進するための社内組織「情報ビジネスセンター」を立ち上げます。一方、社外からもSuicaデータを活用したいという要望が寄せられていました。そこでJR東日本は、ビッグデータ※分析の技術と幅広い業種にわたる知見を持つ日立製作所（以下、日立）への提供を検討します。日立の技術ノウハウとSuicaデータを組み合わせれば、自社単独では見いだせない大きな価値を創造できると考えたのです。

事態が動いたのは2013年6月27日でした。日立が、JR東日本から提供を受けたSuicaの履歴情報を分析し、首都圏の駅エリアの利用状況をレポートとして提供する新サービスを7月1日に開始すると発表しました [2] 。2013年3月時点で、Suicaの発行枚数は約4,250万枚に達し、電子マネーとしての利用だけでも月間8,000万件を超える規模でした [3] 。これは日立に提供されたデータの対象となった人数を示す数字ではありませんが、Suicaの利用が生み出すデータの規模をうかがわせます。

日立に提供されたデータには、匿名化の処理が施されていました。氏名・電話番号・物販情報等は削除され、生年月日は生年月に変換されたうえ、Suica固有のID番号も別の番号に置き換えられていました。さらにJR東日本は、日立との間で特定の個人を識別することを禁じる契約も結んでいました。これらの処理により、同社は、提供したデータは特定の個人を識別できない状態にあり、個人情報保護法上の「個人情報」には当たらないと判断していました。

ただし、削除されたのは氏名や電話番号といった直接識別子であって、いつ・どの駅で乗降したか、利用額、性別、生年月といった情報はそのまま残っていました。この点が、後に専門家から指摘を受けることになります。

そして何より、利用者に対しては、データが社外に提供されることが事前に周知されていませんでした。約款等への記載も、個別の許諾を得る手続きも行われていなかったのです。「自分がいつ、どの駅からどの駅まで移動したのかという情報が、知らないうちに別の企業に渡っていた」——プレスリリースを通じてこの事実を知った利用者から、日立へのデータ提供は許されるのか、本当に個人が特定されないのか、周知が不足していたのではないか、といった問い合わせや懸念を示す声が相次ぎました。

そうした批判を受けて、JR東日本は2013年7月25日、事前説明が不十分だったことを謝罪しました [4] 。あわせて、データの取り扱いとプライバシーへの配慮について説明し、希望する利用者が自身のデータを社外提供分から除外できるオプトアウト※の受付を、翌日の7月26日から開始すると発表します。さらに同年9月6日には有識者会議を設置し、9月20日には社外提供の当面の見合わせを発表しました [5] 。この時点で、提供済みデータが日立において削除済みであることも報告されています。翌年2014年2月には、有識者会議による中間とりまとめが公表されました。

JR東日本は、Suicaの利用データを分析することで、鉄道サービスの改善や、駅・沿線地域の活性化に役立てる取り組みを進めていました。Suicaを使って改札を通ると、乗降駅、日時、金額などが記録されます [6] 。さらに、記名式のSuicaや定期券、モバイルSuicaでは、購入・登録の際に氏名・性別・生年月日なども記録されています。これらを大量に集めれば、利用者アンケートだけでは捉えにくい人々の移動の流れを、詳しく分析できます。

たとえば、次のようなことが分かります。

• どの駅を、どの年代・性別の利用者が多く使っているか
• 平日と休日で利用状況がどう異なるか
• 利用者が駅周辺にどのくらい滞在しているか
• その駅が住宅地・オフィス街・商業地・観光地のいずれの性格を持つか
• どの地域から駅の利用者が訪れているか

こうした情報は、駅設備の改善だけでなく、駅周辺への出店、広告・宣伝、商圏の分析などにも活用できます。実際にJR東日本は、その後2016年から2017年にかけて、社内での活用事例を公表しています [2] 。

• 神奈川県横浜市の日産スタジアムで大規模イベントが開催される日に、最寄りの小机駅・新横浜駅の利用状況を分析。サッカーとコンサートでは来場・帰宅の動きが異なることが判明し、下り方面の臨時列車の行先と本数、混雑時のホーム運用を見直した。
• JR東日本を含む3社の路線が乗り入れる西船橋駅（千葉県船橋市）で、誤って別の鉄道会社の改札に入場してしまう状況を分析。案内サインを改善した結果、入場間違いが約1割減少したことをSuicaのデータで確認した。

このように、Suicaの利用データには、鉄道サービスや駅利用者の利便性を高める価値があります。ただし、ここまでの例はいずれもJR東日本が自社内で分析を行ったものです。2013年に日立が開始を発表したサービスは、これとは異なり、JR東日本から提供を受けたSuicaの履歴情報を日立が分析し、駅周辺で事業を行う企業などに「駅利用状況分析リポート」として提供するというものでした（図1）。

図1. 2013年のデータ提供の流れ

JR東日本から日立に提供されたデータには、主に次の項目が含まれていました。

• 乗車駅・降車駅
• 利用日時
• 鉄道利用額
• 生年月
• 性別
• 変換後の識別番号（SuicaID番号を変換したもの）

氏名や電話番号、Suicaを使った買い物の情報などは削除されていました。また、生年月日は日付までではなく「年月」に変換されています。そしてSuicaID番号は、不可逆※の別の番号へと変換されていました。「不可逆」とは、変換後の番号から元のSuicaID番号を計算し直すことはできない、という意味です。ただし、ここには注意すべき性質があります。同じSuicaには、常に同じ変換後の番号が割り当てられるということです。この性質が、このあと説明する「特定の個人の乗降履歴を追う」ことに、重要な意味を持ってきます。

データの構造も見ておきましょう。一件ごとの利用記録は、データ上では一つの「レコード」※として扱われます。たとえば、ある利用者がA駅からB駅まで鉄道を利用すると、利用日時、乗車駅、降車駅、利用額などが一件のレコードとして記録されます。実際のデータには、多数の利用者による大量のレコードが含まれます。イメージは図2のとおりで、異なる識別番号を持つ複数の利用者の記録が並んでいる状態です。（図2）

図2. 複数の利用者の乗降履歴レコードのイメージ

一見すると、誰のデータかは分かりません。しかし、ここでポイントとなるのが、先ほどの変換後の識別番号です。この番号を使えば、氏名が分からなくても、同じSuicaによる複数回の乗降履歴を互いに結びつけることができます。同じ識別番号にひもづく履歴を時系列で並べると、図3のようになります（図3）。このように、直接識別子を取り除いても、一貫した識別番号によって履歴を結びつけられる状態を、匿名化と区別して「仮名化」※と呼びます。

図3. 同じ識別番号の履歴を時系列に並べた例

乗降履歴を継続して分析すると、単に駅の利用傾向だけでなく、特定の利用者の生活圏や行動パターンなどのプライバシーに関する情報が推測できる可能性があります。移動履歴には、利用した場所と時刻の組み合わせに一人ひとりの行動パターンの特徴が表れやすい、という性質があるからです。たとえば図3の乗降履歴を見ると、識別番号A001の利用者は、毎朝ほぼ同じ時間にA駅から乗車してB駅で降車し、夜にはB駅からA駅へ戻っています。こうした記録が繰り返し蓄積されれば、氏名が分からなくても、A駅が自宅の最寄り駅、B駅が勤務先や学校の最寄り駅である可能性や、日常的な行動の時間帯まで推測できてしまいます。さらに、A駅からC駅への休日の移動が記録されていれば、外出先が推測されます。そのC駅の近くに病院や特定の施設があれば、本人が知られたくない生活上の情報まで推し量られるおそれもあります。

実際、当時の有識者会議 [1] でも、専門家から、Suicaデータを継続して提供すると個人が識別でき、他の情報との照合によって個人の特定につながるのではないかという指摘がなされていました。なお、JR東日本は日立との間で特定の個人を識別することを禁じる契約を結んでおり、実際に個人の追跡が行われたわけではありません。ここで問題にしているのは、あくまで「そうした分析が技術的に可能なデータだった」という点です。

この事例では、実際に特定のSuica利用者が再識別されたことや、データが外部へ漏えいしたことは確認されていません。それでも問題になったのは、主に2つの理由からです。

1．利用者への事前説明がなかった

Suica利用者の多くは、自分の乗降履歴が駅の運営に利用されることは想像できても、別の企業へ提供され、マーケティング資料の作成に使われるとは認識していませんでした。JR東日本も、そのようなデータ提供について、事前に十分な説明や周知を行っていなかったことを認めています。有識者会議は、利用者への配慮が不足していたことが問題であり、公共性の高い企業として反省が必要だと指摘しました。

2．乗降履歴は個人を識別しやすい

二つ目の理由は、乗降履歴というデータそのものの性質にあります。氏名を消しても、特定の人の履歴にたどり着けてしまうのです。では、どうやってそれが可能になるのでしょうか。ポイントは、同じ人物のデータが一つの仮名でひもづけられている点にあります。そのため履歴の期間が長くなるほど、行動パターンの特徴が際立ち、個人が識別されるリスクも高まります。

ここで、データから個人を特定しようとする者（攻撃者※）が、ある人物について「ある日の朝にA駅を利用した」「別の日の夕方にB駅を利用した」といった、長い履歴のごく一部にあたる断片的な情報を知っている場合を考えてみます。こうした情報は、知人や同僚であれば日常の会話から得られますし、本人を実際に見かけた記憶や、SNSの投稿といった外部の情報源から得られることもあるでしょう。この断片を乗降履歴と照合すると、多数の履歴の中から、その人物に対応するものを少数に、場合によっては一つに絞り込めてしまう可能性があります。そして、いったん仮名が特定されると、同じ仮名にひもづく別の日や時間帯の乗降記録もすべて結びつき、その人の長期的な行動を継続して追跡できてしまいます。

つまり、移動の時系列データでは、性別や生年月といった属性だけでなく、移動軌跡の一部そのものも準識別子※になりうると考える必要があります。攻撃者が断片的に入手できる立ち寄りの情報が、個人を絞り込む手がかりになるからです。しかも厄介なことに、軌跡のどの部分が準識別子として使われるかを、あらかじめ知ることはできません。攻撃者が何を握っているかによって、危険な部分は変わってくるからです。仮名化は、氏名をそのまま扱うより安全性を高められる有効な方法ですが、それだけで完全な匿名化が保証されるわけではなく、追加のプライバシー保護の措置が必要になります。

この問題を単純に「JR東日本が個人情報を違法に販売した事件」と説明するのは正確ではありません。JR東日本と日立の間では、提供されたデータを使って特定の個人を識別する行為を禁止する契約が結ばれていました。また、他のデータとの結びつけや、提供データから個人を特定する行為も、契約上禁止されていました。当時、JR東日本は、氏名や電話番号を削除し、生年月日やSuicaID番号を加工していたことから、提供するデータは個人情報保護法上の「個人情報」には当たらないと判断していました。有識者会議 [1] も、提供時点では一定レベルの匿名化処理が行われており、直ちに個人のプライバシーが侵害されるおそれはないと評価しています。

一方で、個人情報に当たるかどうかについては、専門家の間でも解釈に幅があることや、技術の進歩によって個人が識別される可能性が生じることも指摘されました。つまり、この事例の核心は、明確な情報漏えいや再識別が起きたことではありません。法律上問題がないと考えられることと、利用者が安心し、納得できることは同じではない。この違いが、社会的に強く意識されるきっかけになったのです。

利用者から多くの不安や批判が寄せられたことを受け、JR東日本が日立へのデータ提供を停止したことはすでに述べました [5] 。その後、JR東日本は、法律、情報技術、消費者問題などの専門家からなる有識者会議を設置し、Suicaデータの社外提供のあり方について検討を進めました。有識者会議では、より安全な提供方法として、個人単位の履歴データをそのまま渡すのではなく、複数人のデータをまとめ、個々の利用者を追跡できない集計データとして提供する方法が検討されました。

有識者会議でも、乗降履歴にk-匿名化※を適用する方法が検討されました。しかし、一律にk-匿名化すると相当数の利用者のデータが使えなくなり、移動データが本来もつ価値の多くが失われてしまうこと、そして動線データの特性を活かした匿名化の手法は公的統計の分野でもまだ確立されていないことが、中間とりまとめでも指摘されています。移動履歴の有用性を保ったまま安全に匿名化する——これは当時の難問であっただけでなく、現在に至るまで、プライバシー保護技術の研究が取り組み続けている課題です。結果として現実的な選択肢となったのが、2駅間の移動のような集計統計に絞ってデータを提供する方法でした。

2013年9月の見合わせのあと、Suicaデータの社外提供は長く止まっていました。転機が訪れたのは、8年余りを経た2022年です。JR東日本は同年1月20日に「駅カルテ」という新サービスを発表し、5月から社外への販売を開始しました [7] 。販売はグループ会社のジェイアール東日本企画が担い、首都圏を中心とした約600駅を対象に、駅ごとの利用状況を月次レポートとして提供しています [8] 。自治体や企業が、まちづくりや店舗マーケティングに活用することを想定したものです。

このサービスには、2013年の教訓を踏まえたいくつもの配慮が組み込まれています。第一に、外部に渡すのは利用履歴そのものではなく、JR東日本が社内で集計・統計処理を終えたデータに限られます。第二に、特定個人の動線を類推・抽出できないよう、集計の粒度が粗く設定されています。駅カルテ [7] では、時間帯を1時間単位、年齢を10歳単位で集計し、人数は50人単位で表示します。さらに、30人未満となる集計結果はそもそも表示されません。集計しても、なお細かすぎて個人にたどり着ける値は、公開しないという工夫です。第三に、利用目的をまちづくりやマーケティングと明示しています。そして、提供を望まない利用者を集計対象から除外するオプトアウトも継続しており、2013年以降に手続きした人は、改めての登録が不要とされています。

整理すると、2013年に問題となった点は、駅カルテでは次のように設計し直されています。個人単位の履歴を外部に渡さない。提供物を集計・統計処理した結果に限る。利用目的を具体的に示す。そして、利用を望まない人の除外手続きを用意する。個人単位の履歴を渡すのではなく、駅ごとの統計情報としてまとめる——2013年に受け入れられなかったデータ活用は、その形を変えることで、社会に受け入れられる道を見つけたのです。

Suicaの事例では、個人情報の漏えいも、特定の利用者の再識別も確認されていません。それでも、多くの利用者が不安を感じました。自分が日常的に使う交通サービスから生まれた乗降履歴が、十分な説明のないまま、本人の知らないところで別の企業の分析に使われる仕組みができていた——その事実そのものが、不安の源だったのです。

この事例が示したのは、データを匿名化したという事実だけでは、その活用が適切かどうかを判断できない、ということです。利用目的は何か、どこに提供されるのか、個人を追跡できてしまわないか、どう管理されるのか、利用者にきちんと説明されているか、そして望まない人が断る機会はあるか。これらすべてを含めて、データの扱い方は考えられなければなりません。

自分の移動から生まれたデータは、事業者のものなのか、本人のものなのか——Suicaの事例は、その問いに社会が向き合う出発点になりました。どれほど高度な分析技術があっても、利用者の信頼を失えば、データ活用そのものが立ち行かなくなります。実際、Suicaの社外提供は9年近く中断し、再開できたのは、提供するデータの形そのものを見直したあとでした。安全なデータ活用に必要なのは、個人を特定できないようにする技術だけではありません。利用者が内容を理解し、納得できる仕組みこそが、その土台になるのです。

• ビッグデータ・・・人の行動や機器の利用などから大量に集められる、種類の多い膨大なデータ。交通系ICカードの利用履歴、購買履歴、位置情報、ウェブサイトの閲覧履歴などが例として挙げられます。
• オプトアウト・・・本人がデータの利用や外部への提供を望まない場合に、申し出ることで、その対象から外してもらう仕組み。
• 不可逆・・・一度変換すると、変換後の情報だけから元の状態に戻すことができないこと。例えば、元の番号を復元できないように別の番号へ変換する場合などに使われます。
• 仮名化・・・氏名や会員番号などを別の番号や記号に置き換え、誰のデータかをすぐには分からないようにする処理。匿名化とは異なり、対応関係を示す情報などがあれば、元の本人と結びつけられる場合があります。
• 攻撃者・・・データから個人や機密情報を特定・推測しようとする人や組織。必ずしも不正な侵入を行う人物だけを指すのではなく、公開情報や別のデータを組み合わせて分析する者も含みます。

• レコード（第3回）
• 準識別子（第2回）
• k-匿名化（第3回）

1. Suicaに関するデータの社外への提供についての有識者会議，Suicaに関するデータの社外への提供について 中間とりまとめ，2014年2月．
2. 株式会社日立製作所，交通系ICカードのビッグデータ利活用による駅エリアマーケティング情報提供サービスを開始，2013年6月27日．
3. 東日本旅客鉄道株式会社, 2013年3月期 期末決算説明会, 2013年5月1日.
4. 東日本旅客鉄道株式会社, Suicaに関するデータの社外への提供について, 2013年7月25日.
5. 東日本旅客鉄道株式会社, Suicaに関するデータの社外への提供における対応について, 2013年9月20日.
6. 東日本旅客鉄道株式会社, Suicaデータの活用について, (閲覧日：2026年7月31日).
7. 東日本旅客鉄道株式会社, Suica統計情報の定型レポート「駅カルテ」の販売を開始します, 2022年3月16日.
8. 株式会社ジェイアール東日本企画, Suica統計情報の分析レポートを提供するサービスを開始します, 2022年3月17日.