『厳格なヨーロッパ』と『ビジネスのアメリカ』— 世界が挑む『同意』の問題と、日本の現在地

皆さん、こんにちは。Social Pentagon マーケ部（仮）です 👋

私たちは、社会に潜む見過ごされがちな課題を「ビジネスの力」で解決しようと取り組んでいる、ソーシャルビジネスのスタートアップです 🚀

前回は、日本の「特商法」という法律が、今のデジタル社会のワナ（脆弱性につけ込む手口）に、残念ながら追いついていないという国内のお話をしました。

「では、海外はどうなっているの？」、 「日本だけが、この問題で悩んでいるの？」

もちろん、そんなことはありません。 以前にもお話ししたように、「未読同意」や「ダークパターン」は、世界共通の社会課題です。今回は、この課題に世界はどう立ち向かっているのか、代表的な二つの地域、「ヨーロッパ（EU）」と「アメリカ」の取り組みを、少し覗いてみましょう 🔍

導入の名言：困難なことへの挑戦 💡

ソニーの創業者の一人である井深大（いぶか まさる）氏は、こんな言葉を残しています。

WEB社会における「同意」のあり方や、「個人情報」の扱いは、まさに世界中が頭を悩ませる「困難な挑戦」です。 ヨーロッパとアメリカ、それぞれの挑戦の仕方には、興味深い違いがありました 🤔

【パターン1】厳格なルールで守る「ヨーロッパ（EU）」🌍

まず、ヨーロッパ（EU）です。 EUは、「個人のデータ（プライバシー）は、企業が好きにしていいものではなく、本人に属する基本的人権であるという考え方が、非常に強い地域です。

この理念のもと、2018年に施行されたのが、「GDPR（一般データ保護規則）」という、世界で最も厳しいと言われる法律です。

「GDPR」という言葉、ニュースなどで耳にしたことがあるかもしれませんね。 これは、企業が個人情報を扱う際のルールを、ものすごく厳しく定めたものです。
※「EU域内に住む人々」のデータを扱う場合は、たとえ日本の企業であっても、この法律を守る必要があります。

GDPRの厳しさが分かるポイント：

「同意」の定義が、とにかく厳格。
日本のサイトでよく見る「（最初からチェックが入っている）同意ボタン」のようなダークパターンは、原則として「同意」とは認められません。
消費者自身が、自ら「積極的に」チェックを入れる（＝オプトインと言います）行為がなければ、データを収集・利用してはいけない、と定められました。

「同意の撤回」も、簡単でなければならない。
登録は簡単だったのに、解約（同意の撤回）ページがどこにあるか分からない…といったダークパターンもNGです。

そして何より、罰金（制裁金）が、ケタ違いです！
違反した場合の罰金の上限は、「最大2,000万ユーロ（現在のレートで約32億円以上）」または「その企業の世界全体の年間売上の4％」のうち、どちらか高い方。まさにケタ違い！
実際に、Amazonには約7億4600万ユーロ（約1,190億円以上）、Meta（旧Facebook）には12億ユーロ（約1,900億円以上）といった、天文学的な金額の制裁金が課された事例がすでに出ており、企業側も「知らなかった」では済まされない状況なのです。
※ちなみに、日本の企業（NTTデータのスペイン子会社）も、GDPR違反で約1,000万円の制裁金を課された事例があり、他人事ではありません。

【パターン2】市場と州の力で追う「アメリカ」🌍

一方、アメリカはどうでしょうか。 アメリカは、EUとは対照的にビジネスの自由や市場の原理を重んじる国柄もあり、国（連邦）全体で統一されたGDPRのような法律は、まだありません。

しかし、そのアメリカで、巨大IT企業（GAFAMなど）のお膝元であるカリフォルニア州が、ついに動きました。 2020年に施行された、「CCPA（カリフォルニア州消費者プライバシー法）」です。

「たかが一つの州の法律でしょ？」と侮ってはいけません。カリフォルニア州の経済規模（州内総生産）は、2024年のデータで、なんと日本（国）のGDPを抜き、ドイツに次ぐ「世界第4位」となっています。
※1位米国、2位中国、3位ドイツ

日本という国よりも大きな経済圏であるカリフォルニアが定めたルールですから、そこでビジネスを行う世界中の企業（もちろんGAFAMも）は、このCCPAに従わざるを得ません。事実上、アメリカの標準（デファクトスタンダード）となりつつあるのです。

CCPAのユニークなポイント：

EUとは、アプローチが少し違います。
CCPAは、「私のデータを販売しないでください（Do Not Sell My Personal Information）」と、消費者が企業に要求する権利（＝オプトアウト）を強く認めた点が特徴です。
企業は、そのための「リンクボタン」を、WEBサイトに分かりやすく設置することが義務付けられました。

3. 「EU（オプトイン）」と「アメリカ（オプトアウト）」、そして「日本」

ここで、二つのアプローチの違いを、レストランの水に例えて整理してみましょうか。

EU（オプトイン）型 ＝「積極的な同意」
「お客様、お水はいかがですか？」と店員が聞き、あなたが「はい、お願いします」と積極的に言うまで、水は出てこない。
（＝企業は、消費者が『はい、どうぞ』と言うまで、データを使ってはダメ）

US/カリフォルニア（オプトアウト）型 ＝「拒否する権利」
席に着くと、水は自動的に出てくる。
しかし、あなたが「すみません、お水は要りません」と拒否したら、店員はすぐに下げなければならない。
（＝企業はデータを使ってもよいが、消費者が『やめて（売らないで）』と言ったら、即座に従わなければダメ）

アプローチは違えど、どちらも「消費者の意思を、企業が無視してはならない」という強いメッセージであり、世界はその方向に急速に動いています。

…さて、そこで「日本」です。日本の個人情報保護法も近年、改正を重ねてはいます。しかし、現実にはどうでしょう。同意の取り方はまだまだ企業任せで、「オプトイン」なのか「オプトアウト」なのかも曖昧なまま、「とりあえず同意ボタンを置きました」（＝包括同意）というサイトが溢れています。 そして何より、「ダークパターン」そのものを直接取り締まる力は、まだ弱いままです（前回のおさらい）。

まとめ：日本から、私たちがやるべきこと

EUのように厳格な法律（権利）でトップダウンに縛るのか。アメリカのように巨大な市場（州）の力でボトムアップに変えていくのか。同意とプライバシーをめぐる世界の試行錯誤は、今も続いています。

ただ一つ確かなのは、どちらの先進事例を見ても、 「サービス開始時の、たった一回の包括同意で、何でも許される時代は、もう終わった」 ということです 🛡️

私たちは、日本の法律が、EUやアメリカの良いところを取り入れてアップデートされるのを、ただ待つだけではありません。 「誠実な企業が、ビジネス的にもきちんと報われる」 というソーシャルビジネスの力で、この世界的な課題に、日本から新しい「誠実な解」を示していきたい。 私たちは、そう強く考えています。

最後までお読みいただき、ありがとうございました 🙏

いかがでしたでしょうか。 世界が『同意』のあり方を真剣に悩んでいること、そして日本の現在地について、何か新しい気づきがあれば幸いです。

次回は、いよいよ業界別の深掘りシリーズを開始し、まずは皆さんに最も身近なあの業界の課題について、一緒に考えていきたいと思います 🤝