同社は、プライバシー保護のため、米政府の召喚状に対してユーザーは「意味のある制限と独立した監督」を受ける権利があると主張しています。
Microsoftの最高法務責任者は火曜日、LinkedInユーザーに関する情報を求める政府の召喚状において、立法者は「秘密命令を例外扱いにしなければならない」と主張しました。
Microsoft傘下のLinkedInは、米政府による過度に広範な召喚状の要求と闘っています。こうした要求には、情報を求められている当人にLinkedInが知らせることを禁じる秘密命令が伴うことがあります。
同社は連邦裁判所に対し、「政府の要求の範囲と、それに伴う秘密保持の両方に、意味のある制限を課す」よう求めていると、MicrosoftのJon Palmer最高法務責任者は火曜日のブログ記事に書いています。「法執行機関が公共の安全を守り、犯罪を捜査する上で重要な役割を担っていることは認識していますし、それを非公開で行う必要がある場合もあります。同時に、顧客やユーザーは、対審手続きを通じた意味のある制限と独立した監督を受ける権利があります」
彼はさらにこう指摘しています。「人々や組織は、最も機密性の高い情報をオンラインサービスにますます委ねるようになっています。プロバイダーが過度に広範だと分かっている要求に異議を唱えられなかったり、裁判所が厳格な対審審査なしにプロバイダーを黙らせることができたりすれば、法が求める保護策は、最も必要とされるまさにそのときに弱体化してしまいます」
難しい問題
この問題は一筋縄ではいきません。法執行機関は、違法行為に関与している人物を特定するための捜査手段として、この種の召喚状をよく利用します。秘密保持を求める建前上の理由は、捜査対象者に知られてしまうと、証拠隠滅や逃亡の可能性が高まるため、それを避けるというものです。
政府の弁護士は、秘密保持の要求を絶対に必要な場合に限って行うべきとされています。Microsoftは、政府による包括的な取り組みを抑制するために、裁判所と議会が介入する必要があると示唆しています。
「修正第4条は、不合理な捜索・押収から自由である権利を保護しています。この権利は、机の中に保管された書類にも適用されますし、個人情報や業務記録がオンラインに保存されている場合にも適用されます」とPalmer氏は書いています。「LinkedInやMicrosoftのようなオンラインサービスプロバイダーにも、政府が顧客の非公開情報を捜索する命令を取得した際、その顧客に伝える修正第1条上の権利があります。秘密保持が正当化される場合もありますが、それは立証された必要性に見合ったものであるべきで、意味のある審査の対象となるべきです」
さらに彼はこう付け加えています。「政府は関連性のある情報のみを求め、秘密保持については具体的な証拠によって正当化し、言論の自由への制約は必要最小限にとどめなければなりません」。彼は投稿の中で、もし法律として成立すればこの問題の緩和につながりうる、米下院での最近の立法努力を挙げています。
「8月31日、下院は秘密の監視活動を抑制し、政府がテクノロジー企業の保有するデータを求める際の通知保護を強化する法案を可決しました」と彼は書いています。「この改革は、秘密命令に対してより明確な制限を設け、説明責任の強化を求めるもので、秘密保持が原則ではなく例外となることを確実にする助けとなります。上院は速やかに行動し、この歴史的な改革を大統領のもとへ送るべきです」
LinkedInのプライバシーをめぐる闘い
LinkedIn自身も現在、顧客のプライバシー権を直接侵害していると訴える訴訟と闘っています。また、連邦判事は今月、別の同種の訴訟を却下しましたが、原告に対しては、ある条件付きで再提訴を認めました。
「LinkedInが、ユーザーはその性質上意図的にデータをウェブサイトに晒すブラウザ拡張機能を自主的にダウンロードしているという点をさらに主張していることを踏まえると、原告がプライバシー侵害を主張できる見込みは薄いように思われますし、まして最終的に勝訴できる見込みはなおさら薄いでしょう」と、米連邦地裁のVince Chhabria判事は書いています。「しかし、念のため、修正の機会を残した上での却下とします」
ただし、修正訴状が14日以内に提出されなければ、「その却下は、再訴を許さないものとなります」と彼は付け加えています。
プライバシーはいまや「データ管理責任」に
AcceligenceのディレクターであるJeff Valdes氏は、「ここには明らかに皮肉がある」と指摘しています。
「Microsoftが、政府が情報提供を求めてきた際に自社を顧客のプライバシーの管理者だと顧客に受け止めてほしいのであれば、顧客はMicrosoftやLinkedInが自ら情報をどう収集し、利用し、保護し、開示しているかについても、当然ながら同じ基準を当てはめようとするでしょう」と彼は述べています。「プライバシーを切り分けて考えるのは困難です。政府によるアクセスに対する顧客プライバシーの哲学と、製品設計における哲学、そして自社の商用データの取り扱いにおける哲学を別々に持つことは、いずれ信頼性の問題を招かずには成り立ちません」
Aikido SecurityのエンタープライズCISOであるMike Wilkes氏も同意見で、次のように指摘しています。「意味のある制限、司法による精査、そして失効の仕組みがなければ、一時的な捜査上の必要性は、目に見えない監視のための恒久的な仕組みに限りなく近づいていきます。個人はその要求の範囲に異議を唱える機会を一度も持てないかもしれません。なぜなら、検察官が起訴状を手に現れるまで、その要求が存在したことすら知らない可能性があるからです」
だからこそ、「LinkedIn自身が自社のユーザーからのプライバシー侵害の訴えに対して防御しているという明らかな皮肉があるにもかかわらず、Microsoftの主張には意味がある」と彼は述べています。
一方、IDCのリサーチディレクターであるRyan O’Leary氏は、異なる見方を示しています。
「Microsoftは、自社システム内に保有するデータを自社の目的のために利用していることを隠していません。両方が同時に成り立ちうるのです。Microsoftは、自社プラットフォームのプライバシーのために闘う一方で、必ずしもエンドユーザーのプライバシー権を尊重しているとは限りません」とO’Leary氏は指摘しています。「これは結局のところ、自社の独自データセットを守ることが目的であって、何か崇高なプライバシー擁護運動というわけではないように見えます」
同時に、プライバシーが企業ITにおける最優先事項の一つへと急速に位置づけを高めていることを、Palmer氏の投稿は浮き彫りにしているとValdes氏は指摘しています。
「プライバシーは急速に、はるかに広範な『データ管理責任』へと変わりつつあります」と彼は述べています。「機密情報を保有する企業は、政府からの要求、第三者によるアクセス、自社の収集慣行、AIの利用、データの保持期間、そしてそれらすべてについて顧客にどう説明するかを、同時に考えなければならなくなっています。世界のデータの管理者として信頼されたいのであれば、顧客はあらゆる方向からそのデータの守り方を判断することになります」
しかし、Wilkes氏が指摘するように、「Microsoftはこの特定の問題について正しい主張をするために、完璧なプライバシーの聖人である必要はありません」。
