氏名を消しても、検索履歴から個人が見えてくる――AOL検索ログ公開事件

私たちはインターネットで何かを調べるとき、検索窓にさまざまな言葉を入力します。

商品の名前や旅行先だけでなく、体調の悩み、家族のこと、仕事上の不安など、他人には知られたくない内容を検索することもあるでしょう。また、自分の住所を確認したり、知人の名前や勤務先を調べたりすることもあります。

検索履歴には、その人が何に関心を持ち、何に悩み、誰と関わり、どのような地域で生活しているのかを推測できる情報が蓄積されています。一つの検索だけでは分からなくても、長期間の検索をまとめて見ることで、一人の人物の生活や関心が浮かび上がることがあります。

今回は、研究目的で公開された検索履歴から、実際に利用者の身元が特定された「AOL検索ログ公開事件」[1]を紹介します。

2006年8月、米国のインターネット企業AOLは、検索技術の研究に利用してもらうことを目的として、同社の検索サービスを利用した人々の検索履歴をインターネット上に公開しました。AOLは、インターネットが家庭に普及し始めた1990年代から、接続サービスや電子メール、ニュース、検索などを提供し、多くの利用者を抱えていた米国の大手インターネット企業です。

公開されたのは、約65万人の利用者が、2006年3月から5月までの約3か月間に行った、約2,000万件の検索に関するデータでした。

データには、主に次のような情報が含まれていました。

• 利用者ごとに付けられた識別番号
• 検索窓に入力された検索語
• 検索した日時
• 検索結果の何番目をクリックしたか
• クリックしたウェブサイトのURL

このデータがあれば、利用者がどのような検索語を入力し、どの検索結果を選んだのかを分析できます。そのため、検索結果の順位の改善、利用者が求めている情報の分析、検索語の修正候補の提示など、検索サービスに関する研究への活用が期待されていました。

実際の利用者による大量の検索履歴は、研究者にとって価値の高いデータです。一方で、その中には、実際の人々が日常生活の中で入力した、極めて私的な内容も含まれていました。

AOLが公開したデータには、利用者の氏名やAOL上の利用者名はそのまま掲載されていませんでした。

その代わりに、それぞれの利用者には固有の識別番号が付けられていました。データの一部を簡略化すると、次のような形式です。

識別番号：4417749
検索日時：4月1日 10時15分
検索語：○○
クリックしたサイト：○○

氏名を識別番号に置き換えれば、その記録が誰のものかは分からなくなるように見えます。氏名など、個人を直接特定できる情報を削除・加工し、誰のデータか分からないようにすることを「仮名化」※といいます。しかし、氏名を識別番号に置き換えただけで、十分に匿名化※されたとは限りません。

しかし、同じ利用者が行った検索には、すべて同じ識別番号が付けられていました。そのため、識別番号を手がかりとして、一人の利用者が約3か月間に行った検索をまとめてたどることができました。

AOLが公開したのは、互いに関係のない検索語の一覧ではありませんでした。一人ひとりの検索が番号によってつながった、継続的な検索履歴だったのです。

一つの検索語だけを見ても、それを誰が入力したのかを判断することは通常困難です。

例えば、「指のしびれ」と検索した人が誰なのか、それだけで特定することはできません。「犬のしつけ」や「住宅の売却価格」といった検索も、個人の身元を直接示すものではありません。

しかし、同じ識別番号にひも付いた多数の検索をまとめると、状況は変わります。

ある地域の店舗や事業者を繰り返し調べていれば、その地域が生活圏であると推測される可能性があります。特定の姓や人物名を何度も検索していれば、家族や知人とのつながりが見えてくるかもしれません。住宅、医療機関、学校、旅行先などに関する検索を時系列で見ることで、生活上の出来事まで想像できる場合があります。

つまり、個々の検索語は小さな断片にすぎなくても、それらが同じ人物の記録として集められると、断片同士がつながり、次第に人物像が形成されます。

この事件の問題は、検索語の中に直接氏名が含まれていたことだけではありません。多数の検索が同一人物のものとして結び付けられ、長期間にわたって追跡できる形で公開されていたことにもありました。

公開された検索履歴に注目したのが、米国の新聞『ニューヨーク・タイムズ』の記者でした。記者は、公開データの中から利用者番号「4417749」を選び、その検索履歴を調べました。[1]

この利用者は、ジョージア州リルバーンの造園業者、同地域の住宅、Arnoldという姓を持つ複数の人物などについて検索していました。これらの検索は、一つだけでは本人を特定する決定的な情報ではありません。しかし、地域名、住宅地、姓などの手がかりを組み合わせることで、対象となる人物を徐々に絞り込むことができました。（図1）

図1. 同じ識別番号の検索履歴から見えてくる人物像と身元特定の手がかり

記者は、検索履歴に含まれていた情報を電話帳などの公開情報と照合し、この利用者がジョージア州リルバーンに住むThelma Arnold氏であることを突き止めました。このように、氏名などが削除されたデータから、それが誰のデータであるかを明らかにすることを「再識別」※といいます。

Arnold氏本人も、記者から検索履歴の一部を示され、それが自分の検索であることを認めました。

AOLは、氏名と識別番号の対応表を公開していたわけではありません。それでも、検索履歴に含まれる地域名、姓、住宅や知人に関する情報が手がかりとなり、識別番号と実在する人物が結び付けられたのです。

検索履歴から個人を特定する手がかりは、生活圏や関心の組合せだけではありません。

利用者自身が、検索窓に氏名、住所、電話番号などを入力することがあります。例えば、自分の名前がインターネット上に掲載されているかを確認したり、自宅周辺の情報を調べたり、連絡先を検索したりする場合です。

検索サービスの利用者は、検索窓に入力した内容が、将来一般に公開されるとは通常考えていません。そのため、検索履歴には、公開用の資料には書かないような具体的な情報が含まれることがあります。

インターネット上の自由やプライバシー、表現の自由、デジタル権利の保護に取り組む、米国の非営利団体であるElectronic Frontier Foundation（EFF）がAOLの公開データを調査したところ、社会保障番号、電話番号、住所などとみられる文字列を含む検索が多数確認されたと報告されています。[2]

これは、データの公開者が氏名や住所の欄を削除したとしても、自由に入力できる文章の中に、同じ種類の情報が入り込む可能性があることを示しています。

表の中に「氏名」という項目がないからといって、データのどこにも氏名が存在しないとは限りません。自由記述や検索語のようなデータを扱う場合には、その内容自体を確認しなければならないのです。

利用者番号「4417749」の履歴から分かったのは、Arnold氏の氏名や居住地域だけではありませんでした。

検索履歴には、健康、旅行、住宅、知人の病気、飼っている犬などに関する検索が含まれていました。長期間の履歴を読むことで、その人が何に関心を持ち、誰のことを気にかけ、日常生活でどのような問題に直面しているのかまで想像できる状態になっていました。

検索履歴は、買った商品や訪れた場所の記録とは少し性質が異なります。

人は、まだ誰にも話していない悩みや、単に気になっただけの疑問、将来行うかもしれない行動についても検索します。検索窓には、実際に行ったことだけでなく、考えていること、恐れていること、知りたいことも入力されます。

そのため、検索履歴には、外から観察できる行動だけでは捉えられない、本人の内面的な関心が表れる場合があります。

検索履歴が誰のものか明らかになれば、その人が他人に知られたくないと考えていた内容まで、本人と結び付けて読まれる可能性があります。

一方で、検索履歴から読み取られる人物像が、必ずしも正しいとは限りません。

ある病気について何度も検索していたとしても、検索した本人がその病気にかかっているとは限りません。家族や友人のために調べている場合もあれば、ニュースを見て関心を持っただけかもしれません。

Arnold氏も、履歴に含まれていた複数の病気について、自分のためではなく、友人のために調べていたと説明しています。[1]

また、検索した言葉が、その人の考えや行動をそのまま表すとも限りません。単なる好奇心から検索した可能性も、仕事や学習のために調べた可能性もあります。

しかし、検索履歴だけを見た第三者は、その背景を知ることができません。検索語から健康状態、思想、犯罪への関心、人間関係などを推測し、誤った人物像をつくるおそれがあります。

したがって、検索履歴の公開によって生じる問題は、本人が特定されることだけではありません。

検索内容から私生活を詳しく推測されたり、事実とは異なる評価を受けたりすることも、重大なプライバシー上のリスクです。

AOLは批判を受け、公開から数日後に検索ログを自社のウェブサイトから削除し、公開は誤りだったとして謝罪しました。

しかし、その時点ですでにデータは第三者によってダウンロードされ、複製されていました。別のウェブサイトにも転載され、AOLが元のファイルを削除した後も、データを入手できる状態が続きました。

デジタルデータは、短時間でも公開されれば、容易に複製できます。公開元が削除しても、誰が保存したのか、どこに複製されたのかを完全に把握することは困難です。このように、一度インターネット上に公開された情報が複製・転載され、完全に削除することが難しくなる状態は、「デジタルタトゥー」※と呼ばれることがあります。

紙の資料であれば、配布した部数を確認し、一定程度回収できるかもしれません。しかし、インターネット上のデータは、ほとんど劣化することなく、短時間で多数の人に複製されます。

そのため、データの公開については、「問題があれば後で削除すればよい」と考えることはできません。公開する前に、個人が特定される可能性や、含まれる情報の内容を十分に検討する必要があります。

AOLが検索ログを公開した目的は、検索技術に関する研究を促進することでした。

実際の利用者による大量のデータは、検索サービスの改善や、人がどのように情報を探すのかを研究するうえで大きな価値があります。研究目的でのデータ活用自体が問題なのではありません。

問題は、研究上の有用性を保つことを優先するあまり、利用者ごとの詳細な履歴が、一般の人も取得できる形で公開されたことです。

データを安全に活用するためには、氏名を番号に置き換えるだけではなく、例えば次のような検討が必要になります。

• 利用者ごとの履歴を長期間つなげる必要があるか
• 氏名、住所、電話番号などを含む検索語を除去できないか
• 検索日時を分単位や秒単位で公開する必要があるか
• クリック先のURLをそのまま提供する必要があるか
• 利用者数や検索回数の少ない記録を除外できないか
• データを一般公開せず、利用目的や利用者を限定できないか
• 公開前に、外部情報と組み合わせた場合のリスクを評価したか

データを加工すればするほど、研究に利用できる情報が失われる場合があります。一方で、有用性を優先して詳細なデータをそのまま残せば、プライバシー上の危険が高まります。

重要なのは、データを「公開するか、まったく使わないか」の二択で考えることではありません。利用目的に応じて必要な情報を見極め、公開範囲、利用者、利用環境、データの細かさなどを組み合わせて、安全な利用方法を検討することです。

AOL検索ログ公開事件から得られる教訓は、氏名や利用者名を番号に置き換えただけでは、必ずしも個人を特定できない状態にはならないということです。

特に検索履歴のようなデータには、次の特徴があります。

• 利用者自身が氏名や住所などを入力することがある
• 同じ利用者の記録が長期間にわたって蓄積される
• 複数の検索を組み合わせると、生活圏や人間関係を推測できる
• 公開情報と照合すると、本人を絞り込める場合がある
• 健康、悩み、関心など、内面的な情報まで推測される
• 検索の背景が分からないため、誤った人物像を形成されるおそれがある

この事件では、氏名を示す欄が公開されたわけではありません。それでも、検索履歴そのものに、利用者へとつながる多くの手がかりが残されていました。

データを安全に活用するためには、「氏名を削除したか」だけを見るのではなく、記録が集まったときに何が分かるのか、別の情報と組み合わせると誰に結び付くのか、そこからどのような私生活が推測されるのかまで考える必要があります。

検索履歴は、単なる検索操作の一覧ではありません。

一つひとつの検索は小さな断片であっても、それらが時系列でつながることで、一人の人物の生活や関心を映し出すことがあります。AOL検索ログ公開事件は、データの中から氏名を消すことと、データと本人とのつながりを消すことは同じではないと示した事例なのです。

• デジタルタトゥー・・・インターネット上に一度公開・記録された情報が、複製や転載、保存などによって拡散し、後から完全に削除することが難しくなる状態を、消しにくい入れ墨になぞらえた言葉。本人が自ら発信した情報に限らず、第三者や企業によって公開された個人に関する情報も含まれる。

• 仮名化（第4回）
• 匿名化（第3回）
• 再識別（第1回）

1. Michael Barbaro and Tom Zeller Jr., “A Face Is Exposed for AOL Searcher No. 4417749,” *The New York Times*, August 9, 2006.
2. Electronic Frontier Foundation, “EFF Demands FTC Investigation and Privacy Reform After AOL Data Release,” August 14, 2006.