今回は、スタートアップの全面的支援を行っているベンチャー・キャピタル「NTTドコモ・ベンチャーズ」シリコンバレー支店の下城 拓也さんに、「米国・欧州の個人情報保護をめぐる状況」について、お話を伺います。

―――世界各国の先進的な取り組みから、旬で“GROWTH”につながりそうな企業・サービスをご紹介する「海外Hot Info」。10年以上デジタルマーケティングに携わってきたGROWTH INNOVATION LABの三石所長(当時)が、その知見をもとに海外のデジタルマーケティングのトレンドについて切り込みます。

（編集部注：NTTドコモベンチャーズ様については、vol.1 の記事で詳しく紹介させていただいておりますので、ぜひご覧ください！）

三石所長（当時。以下、三石）　本日はお時間頂き、ありがとうございます！

下城 拓也さん（以下、下城）　はい、よろしくお願いいたします！

国全体で個人情報を保護！米国・欧州の個人情報保護をめぐる状況

三石　それではまず、米国や欧州の個人情報保護をめぐる状況について教えていただけますか？

下城　はい。今米国や欧米では、「個人情報の利用を厳密に管理しましょう」という動きが広まってきています。2018年5月にはEUでGDPR（General Data Protection Regulation：一般データ保護制度）が制定され、2020年1月には米国カリフォルニア州でCCPA（California Consumer Privacy Act：消費者プライバシー法）が制定されました。

こうした制度の対象は主に、制度がある国や州の事業者（企業）です。その内容は、情報の開示やメール配信の停止などさまざまで、事業者はこうしたリクエストにすぐ応えなければならない義務があります。

また、こういった個人情報保護の制度は、高い罰金を科すことで有名です。情報開示のリクエストに応えられなかったり、不当に個人情報を取得・管理したりした場合、たとえばGDPRのケースでは数百億円規模の罰金が科されています。

さらに、CCPAのような制度は他の州でも制定されていたり、COPRA（Consumer Online Privacy Rights Act）という国単位での個人情報保護法の制定も議論されていたりと、全米的に個人情報の保護を重要視する風潮が見られます。

三石　なるほど。ちなみに、個人情報・個人データの定義は、日本とアメリカで違うんでしょうか。

下城　定義は微妙に違いますね。たとえば、GDPRにおける個人データの定義は、「そのひとつ、あるいは複数を使うことによって、個人を一意に定義することができる識別子」です。

具体的には、氏名や識別番号、位置データ、IPアドレスやクッキーなどの情報を指します。たとえば、「アメリカカリフォルニア州クパチーノ在住の日本人で、家族が2人で年齢が30歳で…」と条件を絞った結果、1人に特定できるのであれば、それらの条件は個人データとして扱われます。

最近、どのHPに行ってもクッキーを収集していいか聞かれますよね。「クッキー情報を無断で集めてはいけない」という風潮は、こうした個人情報保護条例が背景にあります。

三石　なるほど！ありがとうございます。

アメリカが重視する「オプトアウトの権利」

下城　続いて、オプトアウトの権利についてです。オプトアウトとは、通知の受領や個人データの第三者への提供を拒否できる権利を指します。メールマガジンの配信停止が代表的ですね。

CCPAでは、本人からの求めがあった場合、オプトアウトを速やかに実行するよう義務付けているんです。しかし、日本はそのあたりが、アメリカと比べてなかなか複雑な印象です。

アメリカでは、どのメールマガジンにも「配信停止はこちら」といった解除リンクやボタンがあります。購読解除のページに行ってワンクリックするだけ、あるいはメールの「unsubscribe」ボタンをクリックするだけで、すぐ解除できるんです。

日本の場合は、購読解除のためにマイページにログインする必要があったり、デフォルト設定が「配信を希望する」になっていたりしますよね。こういう形はアメリカでは違法になる可能性があるので、日本のサービスを海外に持っていく場合は、気を付けないと高額な罰金が科されるリスクが発生してしまいます。

そのほかにも、個人情報取り扱いポリシーは様々な場面で厳密に定められていて、自社で管理するデータが各ガイドラインに沿っているかを管理してくれるスタートアップのツールに注目が集まっていて、そこがひとつのビジネス領域となっているんですね。

三石　ありがとうございます、分かりやすいですね。こうした個人情報保護規制については、FaceBookからの不正取得データが選挙戦に流用された「ケンブリッジアナリティカ問題（2016年）」がトリガーになったと記憶しています。

日本でも、就活性のサイト・アプリ閲覧データを無断利用した「リクナビ個人情報保護問題」がきっかけで、改正個人保護法の施行が決まりましたよね。2022年4月から試行ということでそろそろなんですけど、なかなか自分事として捉えられていない企業も多い印象です。

ロイヤルカスタマーを育てるアメリカ、サイレントカスタマーを「しゃぶりつくす」日本

三石　個人情報保護について、下城さんの上司の加納さんにも意見をお伺いしてよろしいですか？

加納 出亜さん（以下、加納）　はい。これまでの話を簡単に言うと、ちょっとでも「個人情報の扱い方が嫌だな」と思ったら、積極的に抜けられる権利がアメリカにはあるんですよ。その結果、アメリカはロイヤルカスタマーしかワークしない世界になっています。

一方、日本では「嫌だ」と思ったら、サイトにログインして購読解除するといった「努力」をしないと抜けられないため、サイレントカスタマーにも価値がある世界になってしまっています。

たとえば米国企業のNetflixでは、「サービスを使っていない人から料金を徴収したくない」と、条件を満たした休眠アカウントを自動解約しています。一方、日本の企業は逆の姿勢であることが多くて、一回捕まえた顧客はとにかく囲い込んであれやこれや提案するみたいなところがありますよね。その感覚が日本とアメリカでは違うのかなと。

今後、日本もアメリカの流れに追従していくなら、ロイヤルカスタマーをしっかり作る努力をするべきだと思っています。

三石　そうですよね、それがまさしくゼロパーティデータの重要性だと思います。本当の意味でのロイヤルカスタマーというか、しっかりエンゲージしているユーザー群を作っていくことの大切さは、ここ最近すごく言われ始めているというか。

加納　その一方でロイヤルカスタマーって、顧客にうまく働きかけながら、緩やかに育てる必要がありますよね。下城さん、その点アメリカのやり方で「うまいな」と思うところはありますか？

下城　どんなサービスでも、すごく解約しやすいと思います。興味のない通知でも、解約しやすいと「初回は許してやるか」って気持ちになりますよね。たとえば、以前レンタルバイクを利用したとき、1週間後くらいにメールが届いたんです。でも、一番下までスクロールしたら「unsubscribe」と書いてあって簡単に解除できたので、「まあいっか」と。

三石　おっしゃる通りだと思います。僕らも本業でマーケティング戦略を手掛けていますが、日本ではそういうタッチポイントの仕組み化はできているんですけど、ロイヤリティを育てることはできていないと思うんです。両方の視点が必要だし、Netflixのように顧客視点を大事にする企業としての姿勢が、重要になってきますよね。

下城　似たような例ですと、アメリカのAmazonは返品がとても簡単です。商品を1週間使った後でも、返品ボタンを押したらすぐ返品が成立して、あとは近所にあるリターンセンターに持っていくだけです。しかも、リターンした瞬間にすぐポイントで返金されます。私の時は、リターンセンターの入っているデパートで使える20ドルクーポンまでくれました。そこまでしてくれたら、気分は悪くないですよね。

こんな風に、「不安な時の印象をひっくり返してくれるような体験を提供できれば、逆にファンになってくれる」っていうことを、アメリカは踏まえているんだと思います。

三石　なるほど、ありがとうございます。長期的なロイヤリティを作っていくために、僕らもフリクションレスな体験設計を重視しています。今はSNSの時代ですぐに評判が広まりますし、日本でも徐々にNetflixのような成功事例が市民権を得ていって、顧客視点の正攻法が主流になっていくかもしれないですね。

下城　そうですね、ぜひそうなってほしいですね。

―――次回の【海外Hot Info】も、引き続きNTTドコモベンチャーズ様に「クラウドサービスの発展とデータセキュリティ」について教えていただきます。ぜひお楽しみに！