PLRとパーソナルデータエコシステム
PLR and Personal-Data Ecosystem

東京大学大学院情報理工学系研究科ソーシャル ICT 研究センター教授

橋田浩一

1986 年より 2001 年まで電子技術総合研究所。その間 1988 年から 1992 年まで（財）新世代コンピュータ技術開発機構に出向、2001 年から 2013 年まで産業技術総合研究所。2013 年から現職。専門は自然言語処理、認知科学、サービス科学など。日本認知科学会会長、言語処理学会会長等を歴任。
hasida.koiti@i.u-tokyo.ac.jp

1 データポータビリティと PLR高いと思われる。公的機関が保管するパーソナルデータほとんどの国々で GDP の大半を家計消費（小売を含う日本政府の方針もそれと符合する。これによってデーむ個人生活者向けサービス）が占め、さらに GDP にカタポータビリティの普及が期待される。

ウントされない個人向けサービス（勤労者としての個人GDPR は、人権を守るために企業活動を制限する側に対するサービス、および家事や近所付き合いなど無償面のみが注目されがちで、データポータビリティが個人の C2C サービス）の価値の合計も同程度と考えられるの利便性のみならず事業者の収益も向上させる点は残念から、世の中のほとんどの価値は個人向けサービスに由ながら世間ではあまり認識されていない。データポータ来すると言えよう。したがって、個人の幸福と社会の発ビリティが普及すれば、事業者がパーソナルデータの管展のため、社会全体でパーソナルデータの活用を促進す

理にまつわるリスクとコストを免れるだけでなく、個人ることにより個人向けサービスの価値を高めることが最に集約され名寄せされて価値の高まったパーソナルデー

重要課題である。

タが本人同意で容易に活用される。それにより、社会全パーソナルデータの使用には原則として本人同意が必体でパーソナルデータの活用が盛んになって全事業者の要であり、またパーソナルデータの活用による最大の受収益の合計が増大する。後述のように、パーソナルデー

益者は本人である。ゆえにデータポータビリティ（dataタの本人への提供等によってその増収に貢献した事業者

portability；本人がパーソナルデータの管理権限を持っにも収益を分配することにより、あらゆる事業者の収益て自由に使えるようにすること）によってパーソナルが増えるはずである。そうすれば、有用なパーソナルデーデータの活用が促進され、個人向けサービスの価値が高タを作って本人に提供することが持続的な収益につながまる。さらに、多数の個人から本人同意だけでパーソナるから、良質のパーソナルデータの生成・活用が促されルデータを簡単に収集できるようになり、そのデータのるだろう。

二次利用によって技術やサービスの価値を高めるのも容易になる。

210

を 2020 年からマイナポータルで本人に開示するとい

データポータビリティに応じて、個人が本人のパーソナルデータを自由に活用するツール、つまり PDS

2018 年 5 月末にヨーロッパで施行され事実上の世（personal data store）が必要である。しかし、PDS界標準になりつつある GDPR だけでなく、GDPR に先の多くは集中管理型であるため、データポータビリティ、立って 5 月初めに中国で採用された個人情報セキュリ安全性、経済性を十分確実に満たすことが難しい。

ティ規準においてもデータポータビリティの権利が明文

PDS に限らずほとんどの情報システムは集中管理さ化されている。日本の個人情報保護法も 2020 年の再れている。つまり、図 1 のようにシステム全体の管理改正の際にデータポータビリティ権を明記する可能性が者がシステム内の全データを集中的に管理する。この方

管理者の過失や悪意により全データが漏洩
集中管理者

個⼈アプリ

PLR

個⼈端末

暗号化データPLRクラウド(オンラインストレージの寄せ集め)
暗号化データ
PLR
事業者アプリ

図2

集中DBやID連携のための余計な管理コスト
図1

集中管理のコストとリスク

暗号化データPLR の仕組みの利用者の PLR とデータを共有する。PLR クラウドにおいても利用者の端末（スマートフォンや PC やサー式は、集中管理のためのハードウェアやソフトウェアのバコンピュータ）においても保存される非公開データは導入・運用コストを要するだけでなく、管理者がシステすべて暗号化され、暗号を解く鍵は本人が明示的に指定ム内の全データにアクセスすることが（契約や業務規則した者にしか開示しないので、通信の秘密やプライバシによって禁じられていても）技術的には可能なので、管が守られる。

理者の過失や悪意によって全データが漏洩するリスクをさらに、暗号を解いた状態の平文データをファイル生み、実際にそのような情報漏洩事件は枚挙に暇がない。に保存したり外部に送信したりできないように PLR ア

すなわち、集中管理はわざわざコストをかけてリスクをプリの機能を限定するので、まとまった平文データを取高める。

り出すにはそのような限定のない不正なアプリをインス

分散管理は管理コストをかけないことによりデータ漏トールしてそれに PLR のパスフレーズを入力する必要洩等のリスクを防ぐ。各データの管理者はそのデータ主があるが、それには明確な意思が必要である。つまり、体（個人や事業者）のみであり、データ主体の意思に反利用者の過失によるデータ漏洩はあり得ない。事業者がしてデータにアクセスすることが技術的に可能な管理者

PLR を利用する場合は、正しく機能限定されたアプリがいない。つまりデータ主体の許可がなければデータへに署名を施しておき、OS が署名を検証して不正なアプのアクセスが技術的に不可能であり、ゆえにシステム内リを排除すれば良い。すると、まとまったデータを平文のデータがすべて漏洩することはあり得ない。また、デーで取り出すには不正な OS をインストールする必要がタ主体によるデータの活用や共有を妨げる者も存在しなあるが、通常の管理の下で OS を人知れず入れ替えるい。この方法は、パーソナルデータや企業秘密等の非公のは不可能だから、セキュリティを確実かつ安価に担保開データの管理・運用に適している。

できる。

PLR（personal life repository）は、数少ない分散

また、PLR と PLR アプリの提供者にとって PLR ク管理に基づく PDS のひとつであり、個人でも事業者でラウドの運用コストはゼロだから、PLR は利用者数がも同様に利用できるおそらく世界で唯一の PDS でもあ何億になってもアプリの保守費用だけで運用できる。各る。その仕組みの概要を図 2 に示す。

PLR 利用者のデータの量がオンラインストレージにおPLR の本体は一種のミドルウェアであり、利用者（個ける所定の上限を越えると課金が発生するが、それほ人でも事業者でもよい）の PLR アプリ（PLR 本体とど PLR を使い込んでいる利用者であれば料金を支払う

直接連携して PLR のデータにアクセスするアプリ）とだろう（PLR の提供者にはコストがかからない）。また連携しつつ PLR クラウド（Google ドライブ等の出来PLR 利用者は一定の割合でオンラインストレージの有合いのオンラインストレージの寄せ集め）を経由して他料利用者になるだろうから、PLR はオンラインストレー

YEAR BOOK 2O18 211

3特許情報の高度な情報処理技術事業者のコンピュータ

ジ事業者の収益にも貢献する。

タビリティが必須であることは自明だろう。図 3 のよ

PLR クラウドはオンラインストレージの寄せ集めな

うに PLR を用いて e ポートフォリオと校務系システムをので、オンラインストレージの利用者数の上限が PLR連携させる（e ポートフォリオが校務系システムと同じの利用者数の上限となる。現在のオンラインストレージ

く校内のシステムである場合には、e ポートフォリオをの主流である Google ドライブや OneDrive 等のパブ

校務系システムと同じく PLR で PLR クラウドとつなぐ）

リッククラウドストレージは全体として数十億人が利用のが、（1）～（4）を最も明確に満たす方法であり、しか可能なので、PLR も数十億人が利用可能で、さしあたもそれは想定される他の方法よりはるかに安全かつ安価りはそれで十分である。パブリッククラウド全体の容量と考えられる。したがって、この方法が全国の高校生約は増大し続けているが、将来は個人用情報機器の記憶容330 万人とその保護者の多くに普及する可能性が高い。

量と処理能力が高まることにより、IPFS 等の P2P のファイル共有システムが PLR クラウドとして永続的にPLR使えるようになる可能性が高い。いずれにせよ PLR の運用は持続可能である。
PLR の 本 体 は す で に Android、iOS、Java の 環 境⽣徒で稼働している。また、PLR の基本機能（認証、暗号る機能とオントロジーをカスタマイズする機能を備え、版 と iOS 版 を そ れ ぞ れ Google Play ス ト ア と App

PLRクラウド

PLR
校務系システム

化 / 復号、通信）に加えてデータを作成・共有・活用す名簿管理や SNS が可能な PLR 統合アプリの Android

eポートフォリオ
アプリ図3⾼校

PLR による e ポートフォリオの運用

Store から 2018 年内および 2019 年初頭に無料でまた、e ポートフォリオを「スタディ・ログ」に拡張し、一般公開する予定である。一方、さまざまなサービスに小学校から大学を経て就職後も各個人が自らの学習等のPLR を用いる実証実験や商用化が進みつつある。

データを持ち続けて生涯学習やキャリア形成に活用するそのうち教育への応用について紹介する。東京大学・という文部科学省の構想も、この e ポートフォリオの理化学研究所・埼玉県の共同研究により、PLR による仕組みの拡張として PLR で安全かつ安価に実現できる。

e ポートフォリオ（電子学習録）の仕組みを開発して埼

もちろんその利用者は高大接続 e ポートフォリオの場

玉県等の高校で運用する予定である。2020 年度以降合よりはるかに多い。の大学入試では、受験生が高校在学中の課外活動等の電時に大学にそのデータを提出し、大学は入試の成績だけ2 マッチングと VRM

でなく e ポートフォリオのデータ等も勘案して合否を個人向けサービス（商品の小売りを含む）の販売には、決めるとの方針が文部科学省から示されている。そこで個人のニーズとサービスとのマッチングが必要である。

は以下の条件を満たす必要がある。

Amazon の推薦や Web 等のターゲティング広告は事業（1）データポータビリティ

者側でのマッチング（CRM：customer-relationship（2）e ポートフォリオと校務系システム（成績や出欠management）によるが、どの事業者も各個人のデー

子データを e ポートフォリオで予め作っておいて出願を管理するシステム）との連携（3）校 外から校内の情報システムへの不正アクセスの防止（4）生 徒による校務系システムへの不正アクセスの防止

212

タのほんの一部しか使えないのでマッチングの精度が低く、しかもそのデータを管理するコストが高い。一方、
データポータビリティが普及してパーソナルデータが本人に集約されると、個人の側でのマッチング（VRM：vendor-relationship management）の方が望ましい。

学習者の学習や進学や就業の機会を最大限に確保する

個人はどの事業者よりも網羅的に本人のデータを使うこために e ポートフォリオ等の教育・学習データのポーとができ、他人に知られたくない機微な個人情報等も使カタログ内のサービス情報と詳しいニーズとのマッチング

マッチングアプリの開発
サービスカタログの作成
サービス情報の提供

カタログの取得

PLR

事業者

個⼈

カタログ
サービスの発注

カタログ

PLR

サービスの発注

カタログ
カタログ

メディエータ
図4

メディエータによる VRM の支援えるのでマッチングの精度が高い。また個人情報を本人が他者に開示したり事業者が保管したりしないので安全かつ低コストである。
図 4 のように VRM を支援する仕組みをメディエー
タと呼ぶ。メディエータは一部の個人からパーソナルデータを取得し、図の右側のサービス提供事業者からサービス受容条件
サービス提供条件
⽬的: 私の健康管理
⽬的: 顧客の健康管理
開⽰データ: 病歴、服薬、取得データ: 病歴、バ
マッチング
バイタル、運動
イタル、運動⽀払: ≦300円/⽉
価格: 200円/⽉
相⼿の信⽤度: ≧8
信⽤度: 11

事業者

個⼈

サービスの情報を取得することにより、マッチングアプ

図5

記号的マッチング

隠れ層

リを開発しそれに入力するサービスカタログを作成して個人に提供する。

保険の約款やスマホのアプリの利用条件のような複個人を囲い込むことができず、またサービスの情報を囲雑な取引条件を各個人がいちいち吟味した上でサービス可視層受容に同意するか拒否するかを判断するのは現実的でない込むことにより事業者を囲い込むこともできない。しい。実際、そうした利用条件等はほとんど読まれない。
サービスの評価 個⼈の属性たがって、サービスの種類や地域に応じて多数のメディ

したがって一般に、図 4 のようなマッチングは自動化エータが現われるはずである。

すべきである。

メディエータはパーソナルデータを保管しないのでマッチングの対象である個人のニーズとサービスの情統計的なマッチングに用いられる取引条件は、個人の報は、個人とサービス事業者が取引（サービスの授受）体質などの属性やサービスの利用履歴だろう。それらに⽬的: 私の健康管理
⽬的: 顧客の健康管理に参加するための条件（取引条件）である。一般的なマッ

サービス受容条件

サービス提供条件

開⽰データ: 病歴、服薬、取得データ: 病歴、バ関するマッチングは、たとえば図6 のようなニューラマッチング
バイタル、運動イタル、運動
価格: 200円/⽉
信⽤度: 11

チングは記号的なマッチングと統計的なマッチングの組

⽀払: ≦300円/⽉
ルネットワークによるだろう。

み合わせであり、取引条件もこれら 2 種類のマッチン

図 6 の制限ボルツマンマシンの可視層の各ユニット
事業者個⼈
は、ある個人による1 つのサービスの評価または当該グに用いられる 2 種類に分かれるだろう。

相⼿の信⽤度: ≧8

記号的なマッチング（おそらく Pareto 最適解の導出のようなゲームの求解）にかかる取引条件としては、た隠れ層

とえば図 5 のように、個人が健康管理をしてもらいたいとかそのために病歴や服薬のデータを開示しても良いとか月に 300 円まで払っても良いなどということが考可視層えられる。事業者のサービスとしても、病歴やバイタルデータを開示してもらいたいとか月額 200 円で良いとかいうことが考えられる。

サービスの評価
図6

個⼈の属性統計的マッチングのためのニューラルネットワーク（連続値の制限ボルツマンマシン）

YEAR BOOK 2O18 213

特許情報の高度な情報処理技術

3PLR

個人の 1 つの属性（年齢、性別、住所、バイタルデー

スの販売代行業が成立する。個人向けサービスの末端価タなど）を表わす。ある個人に対するマッチングの実行格の総和は家計消費と（GDP にカウントされない）勤は、当該個人によるサービスの評価と当該個人の属性の労者向けサービスの市場規模の合計（国内ではおそらくうち既知のものを可視層に入力して未知のものを推定す500 兆円/年程度）であり、また家事や育児など無料のる処理である。

C2C サービス（貨幣価値に換算すると 100 兆～140

サービスの種類は非常に多いので、全サービスを複数兆円/年）も合わせると個人向けサービス全体の価値はのカテゴリ（たとえば成人男性用スーツ、整髪サービス、600 兆円/年以上と考えられる。販売代行手数料はサー健康食品など）に分け、複数のニューラルネットワーク

ビスの末端価格の 10% 以上だから、無料サービスのの各々が 1 つのカテゴリに属するサービスのカタログ

マッチングにも課金できれば、この販売代行業の国内市の分冊を表現する必要がある。制限ボルツマンマシンは場規模は 60 兆円/年以上となる。

O（可視層のユニット数×隠れ層のユニット数）サイズ

これに対し、（b）の一次利用を伴う個人向けサービスのデータで表現できるので、たとえば隠れ層のユニットそのものは多数の具体的なサービスの種類に分かれ、各数が数十程度でサービスが 1 万種類程度ならカタログ

種のサービスにおけるパーソナルデータの一次利用の市の分冊のサイズは 1MB 程度以下になるから、個人端末場規模は 60 兆円/年をはるかに下回るだろう。たとえにカタログをダウンロードしてサービスとのマッチングば国内の自動車産業全体の規模が 60 兆円/年程度だが、を個人端末内で実行することが現実的に可能だろう。そ自動運転等におけるデータ活用の価値はそのごく一部にのようにサービスのカテゴリを予め設定しておけるかど過ぎない。一方、（3）の二次利用のためのデータ収集はうかは今後の研究テーマである。

狭義の情報銀行（三菱 UFJ 信託銀行等が近々始めると言われている事業）の業務である。そのデータ収集に係

3 パーソナルデータの活用と価値る国内でのキャッシュフローは 4 兆円/年程度以下（3パーソナルデータの活用法には下記の 3 種類がある。

収入はその仲介手数料なので高々 6 千億円/年程度だろ万円/人年以下×1 億 3 千万人）であり、情報銀行の（a）個人のニーズとサービスとをマッチングするう。なお、IDC の調査によれば国内の（c）の市場規模（b）通常の個人向けサービスの質を本人のデータによっは 3 千億円/年程度とのことである。て高める（一次利用）

以上をまとめると、個人向けサービスの販売代行業は（c）多 数の個人からデータを収集して統計分析や機械学習に用いる（二次利用）

市場規模が 60 兆円/年に達し、前述のマッチング技術（記号的マッチングと統計的マッチングの組合せ）がそこれらの間の関係と関連事業の市場規模を図 7 に示す。の販売代行の共通基盤として経済的価値が最大の人工知

自動マッチングを行なう個人アプリによってマッチ能技術である。その意味において、自動マッチングは人ングしたサービスを購入することもできるとすれば、そのアプリを個人に提供することによって個人向けサービ工知能の最も重要な研究テーマと言えよう。
メディエータは個人からパーソナルデータを集めて機械学習に用いることによってマッチングアプリ（およ他⼈にデータを開⽰するのはここだけ個⼈(a)マッチング

いわゆる情報銀⾏

サービス販売代⾏〜 60兆円
データ収集仲介〜 0.6兆円

メディエータ
図7214

サービス提供者(b)個⼈向けサービス〜 600兆円びサービスカタログ）を開発するが、前述のように OSがアプリの署名を検証する等の方法により、そのデータの用途をこの機械学習に技術的に限定することが可能である。つまり、そのデータを第三者に提供したり、人間が生データにアクセスしたり、プログラムが特定の個人(c)統計分析

個⼈を特定せずデータ利⽤者

パーソナルデータを用いる事業の市場規模をプロファイリングしたりすることを技術的に禁止できる。これにより、メディエータのコストとリスクが最小限に抑制される。
メディエータの収入は販売代行手数料とデータ収集仲介手数料からなる。メディエータは、マッチングに使われたデータを個人に提供した事業者に対し、そのデータ

個⼈データとサービスがマッチングに貢献した度合い応じて、その手数料の一PLR⾦銭部を分配する。その様子を図 8 および図 9 に示す。図8 は販売代行、図 9 はデータ収集仲介の場合である。
個⼈

データ提供者

メディエータ

図 10

サービス提供者

サービス提供者

メディエータ

データ提供者

データデ提ー
供タ
料提供料
⼿数料
⼿数料――

データ提供者

メディエータ

収益が増す。事業者がより良質のパーソナルデータをよするほど自らの収益が増えるから、良質のパーソナルデータの生成とそのデータのポータビリティが促進され、それによりエコシステムが持続的に発展する。他の事業者がパーソナルデータを本人に提供した場合も、エコシステム

データ利⽤者全体の収益が増えるので自社の収益も増える。以上のよ

データ利⽤者

うな意味で、
このエコシステムにおけるデータ流通は協調

メディエータ図9がその収益を事業者に適正に分配することで各事業者のり多く本人に提供して本人が自由に使えるようにすればメディエータ
図 8 販売代行の収益分配
個⼈個⼈

パーソナルデータエコシステム

データ収集仲介の収益分配領域に属する。逆にデータを囲い込んでも無意味である。
この図のようにメディエータが通常の事業者と明確に区別され特別な立場にあるのは、メディエータが通常の前述のように、社会全体でパーソナルデータの活用が個人向けサービスを提供せず、また前述の通りパーソナ盛んになれば全事業者の収益の合計が増大するが、パールデータを保管しない（たとえ物理的には保管してもアソナルデータの本人への提供等によってその増収に貢献クセス権限を持たない）からである。パーソナルデータした事業者にも収益をこのように分配することにより、を持たず、顧客に提供するアプリにより顧客の手もとであらゆる事業者が増益を享受できる。パーソナルデータマッチングすることで、精度が高くリスクとコストが低を顧客本人に提供するとそのデータが顧客から競合他社い販売代行が可能になる。もし仮にメディエータが顧客に渡ったり顧客がそのデータを使って他社からサービスのデータを保管してマッチングに用いるとすれば、情報を購入したりする可能性があるため、データポータビリ漏洩等のリスクが生じるので、機微な個人情報をメディティに対して否定的な事業者が多い。しかし、顧客が自エータに開示しない個人が多く、したがってマッチング分のデータを売ったり他社からサービスを受けたりするの精度が低くリスクとコストが高いだろう。

ことによって顧客や他社に生じた収益が自社の貢献度にPLR との連携によるデータ共有はネットワーク効果応じて自社に分配されるとすれば、逆に多くの事業者がを持つ。それは、通信サービスのネットワーク効果と同データポータビリティに積極的に対応するだろう。

じく、他の多くの利用者とつながるメリットを含む。しそれによってあらゆる参加者が便益を享受できるパー

かしさらに、多くのデータ提供者が参加することによっ

ソナルデータエコシステムの概要を図 10 に示す。そこて、より多くのパーソナルデータが本人に集約され、デーでは、各事業者がパーソナルデータを本人に提供するこタの価値が高まる、というメリットをも含む。この意味とによってパーソナルデータが本人に集約され、こうしにおいてパーソナルデータエコシステムのネットワークて名寄せされ質が高まったパーソナルデータを（a）～（c）

効果は通常のネットワーク効果を越える。その点に関すに活用することでエコシステム全体として大きな価値（金る理解を広めることがエコシステムを普及させるために銭的収益と他の便益）が生まれる。さらに、メディエータ重要であろう。

YEAR BOOK 2O18 215

3特許情報の高度な情報処理技術

データ提供者

サービサ
スー
料ビス料個⼈