Faults and Pitfalls in Implementing the Right to be Forgotten

あなたが決して忘れられないデジタル日記を持っていると想像してください。写真を投稿するたびに、メールを送るたびに、オンラインで何かを購入するたびに、その情報はコピーされ、保存され、インターネット全体に共有されます。長らく、コンピュータの世界は「書かれたことは永遠に書かれる」という考えで動いていました。

その後、「忘れられる権利（RTBF）」と呼ばれる新しい法律が到来しました。これは法的な「元に戻す」ボタンのようなものです。「私が心を変えた場合、あるいはこの情報がもはや関連性を持たなくなった場合、私は企業に対して私の個人データを削除するよう求める権利がある」と述べています。

この論文の著者たち、すなわちコンピュータ科学者チームと弁護士は、大きな問題に気づきました。「コンピュータは『忘れる』ことが極めて苦手だ」ということです。

以下に、彼らの発見と解決策を、日常的な比喩を用いて簡潔に解説します。

問題：「単に削除すればいい」という罠

企業が「忘れられる権利」を初めて聞いたとき、その反応は「それは単にファイルを削除することではないか？」というものでした。

著者たちは、これは「食べることは栄養のためではないか？」や「セックスは生殖のためではないか？」と言うのに似ていると指摘します。確かにそれらは状況の一部ですが、本質を見落としています。データを削除することは、単に「削除」ボタンを押すことだけではありません。それは複雑な法的かつ技術的なパズルなのです。

企業がこれを過度に単純化したため、彼らは繰り返し問題に巻き込まれました。この法律（GDPR）の最初の 5 年間で、規制当局は「忘れ忘れの失敗」に対して、およそ9 日ごとに罰金または警告を発しました。

解決策：2 段階のレシピ

著者たちは、実際に「忘れる」ことができるシステムを構築する新しい方法を提案しています。彼らはこれを2 段階アプローチと呼んでいます。

第 1 段階：法的マップ（法駆動設計）
まず、彼らは混乱を招く法的な文章を、4 つの明確なコンピュータタスクに翻訳します。これは、曖昧なレシピ（「美味しく作れ」）を具体的な手順（「玉ねぎ 2 個を刻み、10 分間煮る」）に変えるようなものです。

1. 扉: 人々が「私のデータを削除してください」と言って扉をノックできる方法が必要です。
2. 裁判官: そのリクエストが有効かどうかを判断するシステムが必要です。（裁判所の事件や公共安全に必要な場合など、データを削除できないこともあります）。
3. 清掃員（処理）: コンピュータの「作業メモリ」（現在使用されている場所）からデータを拭き取る必要があります。
4. 金庫（保存）: 深い保存場所、バックアップ、アーカイブからデータを掘り出す必要があります。

第 2 段階：現実確認（執行駆動の洗練）
法律は大まかに書かれていますが、現実は複雑です。著者たちは、過去 5 年間に企業が犯した数千件の実際の罰金や過ちを検討しました。彼らはこの「失敗のスクラップブック」を用いて、設計を修正しました。

• 例: 多くの企業が、削除を依頼しすぎに難易度を設定した（デジタルリクエストに対して物理的な署名を要求するなど）ために失敗したことが判明しました。
• 例: 別の企業は、メインデータベースからデータを削除しましたが、バックアップテープや「ごみ箱」ログから削除するのを忘れたために失敗しました。

「アンチパターン」：私たちが打破すべき悪い習慣

著者たちは、コンピュータ設計において「忘れられる権利」に対して「毒」として作用する 6 つの一般的な習慣を特定しました。彼らはこれらをアンチパターンと呼んでいます。

1. 個人データをキーとして使用すること: 引き出しを開けるにはその人の電話番号を鍵として使う必要がある、というファイルキャビネットを想像してください。電話番号を削除すると、キャビネット全体が壊れてしまいます。コンピュータはしばしば、データを検索するための「鍵」としてメールや ID を使用しており、システムを壊さずに個人を削除することが不可能になります。
2. 「目隠し」のトリック（削除ではなく匿名化）: 一部の企業は、「あなたのデータを削除するのではなく、顔が認識できないようにぼかすだけです」と言います。著者たちはこれはトリックだと述べています。企業がまだ「ぼかされていない」鍵を持っている限り、本当にあなたを忘れたことにはなりません。さらに、ぼかすことは必ずしも永久的ではありません。
3. 「ラベルなし」の問題: ラベルの貼られていない箱でいっぱいの倉庫を想像してください。誰かが「私のものを削除してください」と言ったとき、どうやってそれを見つけるのでしょうか？多くの企業は、データに「誰のものか」というタグを付けていないため、削除リクエストが来たとき、削除すべき特定のデータを見つけることができません。
4. 「浅い」削除: これは、ほこりを絨毯の下に掃き入れるだけで部屋を掃除するようなものです。メイン画面からはデータが消えたように見えますが、裏側のログ、キャッシュ、バックアップにはまだ残っています。
5. 「ログブック」の罠: 企業は規則に従っていることを証明するために、すべての行動の詳細なログ（日記）を保持しています。しかし、削除リクエストのすべての詳細を恒久的なログに書き留めてしまうと、削除すべきだったデータを誤って保持することになります。
6. 「セキュリティゲート」の過負荷: 一部の企業は、自分が誰であるかを証明することを（パスポート、署名、血液サンプルの提出などを要求するなど）非常に難しくし、人々が諦めてしまいます。法律では、このプロセスは最初にアカウントを作成するよりも難しくしてはならないと定めています。

試運転：Elasticsearch

彼らのアイデアが機能することを証明するために、著者たちは多くの大手企業で使用されている人気検索エンジンソフトウェアElasticsearchを取り上げ、それを修正しようと試みました。

彼らは、Elasticsearch がデータを「隠す」ことは得意だが、「消去する」ことは苦手であることを発見しました。これは、本を奥の棚に移動させるが燃やすことはしない図書館のようです。著者たちは「浄化削除」ツールを構築しました。このツールは以下のことを行います。

• システムに、メモリとディスクから実際にデータを消去させる。
• バックアップとログをチェックし、何も残っていないことを確認する。
• コンピュータの速度が顕著に低下しないほど迅速にこれを行う。

結論

この論文は、「忘れられる権利」から逃れるために単に「削除」するだけではだめであると結論付けています。コンピュータがデータについて考える方法を再設計する必要があります。

「忘れる」ことを、「保存」や「検索」と同様に重要で、真剣な第一級の操作として扱い、企業がすでに犯した過ちから学ぶことで、私たちが望むときにデジタル記録から消える権利を尊重するシステムを構築することができます。