リクナビ「内定辞退率」問題を考える

データを第三者提供する場合に「事前に利用者の同意を得ること」や「後から同意の撤回が可能なこと」などは、「同意管理」と呼ばれるものである。
③、④はXAI（Explainable Artificial Intelligence：説明可能なAI）に関する問題である。
現在のニューラルネットワークは、なぜそのような結果を推論したのか、説明することが困難だと言われている（AIのブラックボックス問題）。従って、ニューラルネットワークの技術を、個人の信用スコア算出や、自動運転、医療分野に応用する場合は、なぜそのような結論を導いたのか、根拠を利用者に説明できることが求められる。

リクナビのサービスは一種の「情報銀行」とみることができる。情報銀行とは、消費者が自身の行動履歴などのパーソナルデータを企業に提供する代わりに、何らかの対価を受け取る仕組みである。
また、企業が取得したパーソナルデータを第三者に提供する方法には大別して二つのやり方がある。ひとつは、個人を特定でないように加工する、すなわち「匿名加工情報」にして第三者に提供するやり方。いまひとつは、個人の同意を得たうえで第三者に提供するやり方である。どちらの方法も個人の了解・了承を得るのはなかなか難しい。また、匿名加工情報にしたとしても、無条件に第三者提供できるわけではない。

匿名加工情報については、2013年、JR東日本が交通系ICカード「Suica」の乗降履歴データを第三者（日立製作所）に販売したことで、利用者やマスコミから大きな反発を受けた事件が有名である。
一方、「個人の同意を得たうえで第三者に提供するやり方」というのも現実には難しい側面がある。なぜなら、多くの利用者はWeb上に表示される利用規約などをまともに読んでいない。まともに読まないで確認ボタン（同意ボタン）を押すことがあるから、オプトイン方式といえども現実には微妙な問題を含んでいる。

今回問題視されたリクナビのサービスは、「データとデジタル技術を活用して新しいサービスを提供している（競争優位を確立している）」という点で、昨今話題のDX（デジタルトランスフォーメーション）と見ることもできる。（リクナビは競合するマイナビと差別化し、競争優位を確保するためにこのサービスを開始したようだ）
情報銀行（これもDXといえる）は今後成長が見込まれる分野だと考えられるが、パーソナルデータの取り扱いを含むセキュリティ計画・セキュリティ設計が重要なポイントになるだろう。そして、このセキュリティ計画・セキュリティ設計は、ビジネスモデルを設計する上流工程から組み込んでいく必要がある。
上流工程からのセキュリティ計画、セキュリティ設計という観点では、先月（2019年7月）波紋を呼んだ「7pay」（セブン＆アイ・ホールディングスがサービス提供を開始したQRコード決済サービス）で発生した事件を想起する。この事件は、悪意を持った攻撃者が、不正に入手したIDとパスワードを使用して、タバコなど換金しやすい商品を購入していたものである。7月2日に利用者から「身に覚えのない取引があったようだ」と問い合わせがあったことで発覚。セブン＆アイ・ホールディングスが社内調査を行い、不正利用があったことを確認している。同社が被害を認定した利用者は約1600人、被害額は約3200万円に上るという（日経コンピュータ誌より）。
本件に関わる幾つかの報道を見ると、この事件は、QRコード決済サービスで後発のセブン＆アイ・ホールディングスが、サービス開始を急いだためにセキュリティ計画とセキュリティ設計が不十分であったように読める。新しいデジタルサービスを提供する場合には、ビジネスプロセス設計の上流からセキュリティ・リスクを洗い出し、対応策を計画・設計に織り込んでいくことが重要だと言える。

・個人がデータの利用停止を求められる「利用停止権」を拡充する。

・本人を直接特定できないように情報を加工した「仮名化情報」を新設し、企業のデータ活用を推進する。

なお、「匿名化情報」は個人の特定が不可能な状態のもの、「仮名化情報」は追加情報がないと個人を特定できないもの、と区別するようだ。