名前を消しても残るもの 破産した航空会社の従業員メール1億通

3行まとめ

• 破産した航空会社の従業員データを、Googleが1,000万ドルで落札しました
• 顧客データは対象外で、従業員のメール約1億通や給与記録が含まれます
• 個人を特定できないよう加工されますが、内容の機密性は別の問題です

何が起きたか

Googleが8月14日の競売で、Spirit Airlinesの従業員データを落札しました。落札額は1,000万ドルです。

Spirit Airlinesは破産し、5月2日に運航を止めた航空会社です。売りに出されたのは、その従業員側の記録でした。約1億通の従業員メール、人事情報、給与データ、業務プログラムやコードが含まれます。

従業員の行動や生産性を測ったデータも対象です。期間は十年以上に及びます。顧客プロフィールや通話録音は含まれません。

競売は2時間半続きました。Googleの開始額は500万ドルです。個人特定情報の除去を第三者に任せ、費用も負担すると最初から申し出ています。

競ったMercor Corporationは、除去を自社で行う案を出して退けられました。Googleが履行しない場合の代替として、750万ドルのMercor案も承認されています。

裁判所の承認はまだ出ていません。9月の審理で判断される見込みです。

なぜ難しい・何がすごいか

争点は、名前を消せば守ったことになるのかという点です。

客室乗務員の労働組合AFAが、裁判所に申立を出しました。Googleが約束した個人特定情報の除去は、消費者保護法を根拠にしています。ところが同じ法律は、働く人の機密性についての規定を持ちません。

買われているのは消費者データではなく従業員データなのに、保護の設計は消費者向けのまま。AFAはそこに穴があると主張しています。申立は売却の阻止までは求めない限定的なもので、日付は異議期限の翌日でした。

AFAは申立でこう述べています。

非識別化非識別化氏名などを取り除き、記録を特定の個人に辿れなくする加工です。用語集でこの語を見るが扱うのは、記録が名前のある個人に辿れるかどうかだ。記録の中身が機密かどうかは扱わない。

懲戒のやりとり、訓練での不合格、休職や配慮の申請、人員配置への不満を交わした社内チャット。名前を外しても機微さは残る、という指摘です。

この枠組みはGoogleへの信頼を前提にします。Googleは2024年、Incognitoモードの利用者による集団訴訟で和解し、収集した閲覧記録の削除に応じました。その翌年には、テキサス州に14億ドルを支払う和解もしています。

たとえ話

配布された社内文書の署名欄を、黒塗りしたところを想像してください。名前は読めなくなります。それでも「この拠点で訓練の不合格が続いている」という本文は残ります。

所属する人数が少なければ、読んだ人には誰の話か見当がつきます。黒塗りが隠せるのは名前だけです。中身には手が届きません。

用語ミニ辞典

• 非識別化: 氏名などを取り除き、記録を特定の個人に辿れなくする加工です。
• 個人特定情報（PII）: 氏名やメールアドレスのように、それ自体で個人を指せる情報です。
• 仮名化: 実名を別の記号に置き換える方式です。記録同士のつながりは保たれます。
• 再識別: 加工済みのデータを他のデータと突き合わせ、個人を割り出すことです。
• オンブズマン: 今回は裁判所が任命し、除去の手続きを監督する第三者を指します。

技術者向けの深掘り

除去の実装は、構造化されたフィールドから識別子を落とす方式に寄っています。メールアドレスやチャットのセッションに紐づいた名前を消す作業です。AFAはこれを、機密情報を取り除く道具としては粗いと評しました。

契約の射程も限られます。Googleが負ったのは、意図的に再識別再識別加工済みのデータを他のデータと突き合わせ、個人を割り出すことです。用語集でこの語を見るしないという義務です。AI学習で他のデータと混ざり、意図せず結びつく経路までは届きません。

母集団の小ささも関わります。人数が少なく構造の決まった集団では、業務ログと通信記録を横に繋ぐだけで属性が推定できます。AFAは特定の記録が再識別できるという技術的な主張はしていません。

それでもリスクは仮定の話ではない、というのが組合の立場です。計算資源が強力になり、公開データと突き合わせた再識別は容易になりました。2017年にジョージア大ロースクールの研究者が指摘しています。

これは自分に関係ある？

• 会社員として: 業務で書いたメールやチャットは会社の資産です。会社が破産すれば、売却される資産の一部になりえます。今回の対象は約1億通でした。
• データを扱う技術者として: PIIの除去が法令の要件を満たしても、記録の機密性は別に残ります。今回はその差が法廷の争点になりました。
• 利用者として: 顧客プロフィールや通話録音は対象から外れました。何が入り何が外れるかは、売買契約の一覧が決めています。