分散PDSと集めないビッグデータ
Decentralized PDS and Distributed Big Data

東京大学大学院情報理工学系研究科ソーシャル ICT 研究センター教授

橋田浩一

1986〜2001 年電子技術総合研究所、2001〜2013 年産業技術総合研究所、2013 年７月より現職。
PROFILE

人や後見人であろう。分散管理の下では一挙に利用され

1

個人データの管理たり漏洩したりし得るデータは１人分のみである。したがって、たとえば個人データが数千万人分あるとすると、

180

データの管理とは、データを保管しつつ、データの利集中管理よりも分散管理の方が数千万倍安全である。ま用の可否を決定するということである。管理者の意思また、分散管理においては個人データの利用が本人（代理たは過失によってデータが利用されたり漏洩したりする人）の同意に基づくので、分散管理は本人のメリットがわけである。

明確なデータの利用に適する。たとえば、ある病院での個人データの集中管理（centralized management）

治療の記録を別の病院で開示することによって安全で効とは、管理者が多数の個人のデータをまとめて管理する

果的な治療を受ける場合などが考えられる。逆に、上述ことである。ゆえに集中管理の下では、多数の個人のデー

したビッグデータの分析のように本人のメリットが不明

タを一挙に利用することができ、また多数の個人のデー

確なデータ利用のためには分散管理は不適切かも知れな

タが一挙に漏洩することがあり得る。集中管理においてい。

は、定義により、個人データの利用に際してその都度本

このように、個人データの集中管理と分散管理はそれ人の同意を求めないので、多人数のデータを活用するのぞれに有用で相補う関係にあり、いずれも必要だが、問が簡単である。したがって集中管理は、本人たちのメリッ

題は分散管理が実際にはほとんどなされていないことでトがあまり明確でないデータの利用に適している。それある。前記の通り、個人データの分散管理は本人のメリッは典型的には多数の人々のデータの分析であり、たとえ

トを高めるために有効だが、現在は個人が自分のデータ

ばある疾患の治療法を発見するために多数の患者から集を体系的に管理できていないことが多く、過剰な集中管めたビッグデータを分析する場合などが考えられる。

理と相俟って、それが個人のプライバシを脅かすのみな

逆に、本人のメリットが明確なデータの利用には集らず、B2C サービスの価値の向上や市場の拡大を阻害

中管理は適さない。これは、管理者の利害と本人の利害している。前述の医療の例のように、個人が本人のデーが一致しないことが多いからである。たとえば、病院がタを自らの判断に基づいて自ら指定する事業者と簡単に治療のデータを他の病院や診療所と共有すれば患者のメ共有できれば、各 B2C サービスの価値が高まり、市場

リットになるはずだが、従来はデータを共有しても病院全体のパイが大きくなるはずである。さらに、商品やサーが儲からなかったので、医療データの共有はほとんど進

ビスの利用等に関するデータを個々の消費者が管理し社んでいない。

会的に共有し分析して事業者を比較評価することで競争

一方、個人データの分散管理（decentralized manage-

環境を整え、その産業の国際的な競争力および他産業とment）とは、管理者が１人分の個人データのみを管理の競争力を高めることによっても、当該産業のパイが拡することだが、その管理者は典型的には本人または代理大するだろう。

2.1

寄稿集３

ここで、データ管理における上記の集中・分散の区別

集中 PDSPDS にも個人データを集中管理するものと分散管理異なることに注意されたい。たとえば SDN（software

するものとがある。集中 PDS（centralized PDS）は、

deﬁned network）は集中型の通信制御を可能にする

個人データを本人の役に立てるだけでなく、多数の個人技術だが、それとデータの分散管理は両立する。本稿でのデータに匿名化等の処理を施した上で事業者に提供すの以下の議論の妥当性も、通信制御が集中型であるか分

るデータブローカの機能も備える場合が多い。ヘルスケ

散型であるかに依存しない。

アに関する集中 PDS として、Google Health や MS

データによる分析と評価

が通信ネットワークの制御における集中・分散の区別と「どこ
HealthVault や PicnicHealth［PicnicHealth］ や日本のでも MY 病院」構想の下で開発されたシステム［厚労省 13a］

2

PDS

など、
集中管理に基づく PHR（personal health record；
個人が本人の医療データを管理しヘルスケア事業者と共個人が本人のデータを電子的に蓄積・保管して他者と有して活用する仕組み）が挙げられる。これらはヘルスケ

共有し活用できるようにする仕組みを PDS（personal

アのための民間の PDS だが、
デンマークの Borger［Borger］

data store、personal digital store、personal dataなどは、ヘルスケアに限らない多様な個人データを政府［Bell 01］と 言 う。

が集中管理して本人の役に立てたり企業等に提供したり

Acxiom や Bluekai などのいわゆるデータブローカは、することによって産業や文化の振興を図っている。米国（個人データの売買以外に）個人データを本人のために

政 府 が 運 用 す る Blue Button［HealthIT］ と Green

活用する機能を持たないので、本稿では PDS から除外

Button［GreenButton］ はそれぞれヘルスケアと電力エネル

して考える。

ギーに関する集中 PDS と言えるだろう。現在開発が構

service、personal data vault な ど ）PDS は、後述のような官製のトップダウンな仕組み
以外にはまだほとんど普及していない。その原因は、多想されている日本の情報銀行［iBank］もデータブローカの機能を備える集中 PDS の一種と言えよう。

くの PDS は運用コストがかかり、良い収益モデルがまだ確立しておらず、サードパーティとして参画するサー

2.2

分散 PDS

ビス事業者のメリットが不明確なことなどであろう。以分散 PDS（decentralized PDS または distributed

下では、PDS の諸相について本節で論じた後に、サーPDS）は、図１のように、集中 PDS を含む多くの集ビス事業者にとっての PDS のメリットや日本の政策の中管理型サービスを個人が自由に組み合わせて利用す動向など PDS（特に後述の分散 PDS）を普及させるることを可能にする。この図は、Google や CCC や日契機となる社会的要因について３節以降で述べる。

本政府がそれぞれ ID 連携等の仕組みを用いたデータの

図1

多数の集中管理型サービスを個人利用者が分散 PDS で相互連携させる

YEAR BOOK 2O14

181

集中管理に基づくサービスを行ない、個人がそうしたて利用者間でのデータ共有を実現するものと、個人用端

複数のサービスを利用している様子を表わす。たとえ末以外にサーバ（ホームサーバや事業者が運営するサー

ば、YouTube の 利 用 履 歴 と iTunes の 利 用 履 歴 を 統バ）を用いてサーバ同士またはサーバと個人用端末との合して分析したいとか、日本政府がマイナンバーで管通信によりデータを共有するものとがある。

理する預貯金のデータと CCC が T-ID で管理する購買前 者 の P2P 型 分 散 PDS と し て は Personalのデータを統合して分析したいとか言っても、Google

Server［Want 02］などが提案されている。しかし、その後と Apple が顧客のデータを共有するとか、日本政府とはいまのところ実験的にでも稼働しているものはなさそ

CCC が個人データを融通し合うとかいうことはあり得うである。スマートフォン等の個人用端末による P2P

ないし、あってはなるまい。YouTube と iTunes の利型の分散 PDS の実装は、端末の通信量や電力消費量に用履歴を統合するとか預貯金のデータと購買のデータを関する制約により当面は難しいだろう。

統合するとかいうことは、個人が本人の意思に基づいてデータ共有にサーバを用いる分散 PDS は、データ共

分散 PDS で行なうしかない。さらに、この統合を多数

有以外のさまざまな情報処理におけるサーバと個人端末の個人のデータに拡張するにはその人々から同意を取得との役割分担の観点から分類することができる。そこでする必要があるが、それも分散 PDS によって容易になサーバが主要な役割を果たす方式の分散 PDS としてる。

は、Persona［Baden 09］、VIS［Cáceres 09］、PDV［Mun 10］、

だが、各集中型サービスがより多くの個別サービス

PrPl［Seon 10］、openPDS［deMontjoye 14］、Respectを相互連携させ、またその顧客が増えると、分散 PDS

Network［RespectNetwork］ な ど が あ る。 こ れ ら の う ちによって統合すべき集中型サービスが少なくなる。こPersona は個人ごとのデータの暗号化によって、VISの意味において、集中型サービスの間での統合は分散と PDV と PrPl と openPDS は各個人専用の仮想計算

PDS の運用にとって好都合である。たとえば、EHR機等を用いて分散管理を実現する。Respect Network（electronic health record；病院等が運営するサーバにおける個人データの分散管理の方法はサーバ運営事業

によって複数の医療機関の間で患者のデータを共有する者によって異なる可能性がある。

仕組み）によって多くの医療機関がつながっていれば、

一方、個人端末が主要な役割を果たす分散 PDS として個人が分散 PDS によってつながるべき医療機関（また［橋田 13］［Hasida14］
PLR（personal life repository；個人生活録）

は EHR システム）が少ないので、ヘルスケアデータのがある。PLR では、すでにコモディティになっている

社会的共有や地域医療連携が進みやすい。

Google Drive や Dropbox 等 の ク ラ ウ ド ス ト レ ー ジ

多数のサービスを相互連携させる機能の一環として、サービスをそのままデータ共有用のサーバとして使い、分散 PDS はそれらのサービスに関するシングルサイン

データ共有以外（データの視覚化や暗号化やクラウド間オンの機能を備え、それによってパスワードの使い回し

連携など）の情報処理をすべてスマートフォン等の個人を防ぐなど、
個人レベルでのセキュリティを向上させる。

端末が担う。PLR は、非公開の個人データを暗号化し一般にデータは分散させた方がセキュリティが高いが、てからクラウドストレージに送信し、クラウドストレー

１人分のデータをあまり多数に分散させると、管理者でジからデータを取得した後に手もとで復号する。その復ある本人や代理人の認知限界を越えてしまい、アカウン

号に必要な鍵を、クラウドストレージ事業者にも PLR

トを忘れたりパスワードを使い回したりするので却ってを開発する事業者にも原則として開示せず、利用者が自危ない。１人分のデータはひとまとめにして管理するのら指定した他者にのみ開示することにより、個人データ

が実際には最も簡単で安全と思われる。ただし、データの分散管理を実現する。

の開示は一般には１人分の全データを対象とするのでは

まだコモディティになっていない類のクラウドスト

なく、各々の場合の目的に応じたごく一部のデータに限レージや ID 連携などのサーバ機能を（P2P 型以外の）ることは言うまでもない。

他の分散 PDS が必要とするのに対し、PLR 本体はス

分散 PDS には、個人用端末同士の P2P 通信によっ

182

マートフォン等のアプリに過ぎずサーバとしては既存の

PLR はきわめて簡便で運用コストの低い分散 PDS とと言えるが、今回の犯人はグループ会社の下請けの SE

言えよう。Respect Network のようなサービスがコであり、スマートフォンの持ち込みが禁止されていな

モディティとして安価に使えるようになれば、個人端末

かったという盲点を突いてスマートフォンでデータを持の機能の多くをそれらのサービスに委ねることにより、ち出したとのことである。ではさらに管理を徹底してス

PLR 本体の実装をさらに簡素化し保守を容易にできる

マートフォンの持ち込みを禁止しておけば良かったではだろう。つまり、中長期的には PLR と他の分散 PDSないかと言う向きもあろうが、徹底の度合いには際限がとが融合する可能性がある。もうひとつの可能性は、個なく、徹底すればするほどコストがかかる。スマートフォ

人端末の性能向上によって P2P 型の分散 PDS が普及

ンの持ち込みを禁止していれば良かったなどと言うのはすることであろう。PLR は両方の可能性を視野に入れ結果論であり、そのような管理の盲点を予めすべてつぶて設計されている。さらには、PLR と情報銀行とが連しておくことなど不可能であろう。

携して、PLR が個人データの分散管理、情報銀行がそ

つまり、このような個人情報漏洩のリスクは多くののデータの収集とビッグデータとしての活用を担う可能

事業者にとって人ごとではない。以下ではまず、分散性も考えられる。

PDS によって個人情報の漏洩がいかにして防げるかに

データによる分析と評価

このようにベネッセの管理はかなりしっかりしていた

寄稿集３

コモディティをそのまま活用する。この意味において、ついて考えてみよう。

3

個人情報漏洩リスクの管理

3.1

暗号化

Persona や PLR 等の分散 PDS は、
利用者の個人デー
民間の PDS があまり普及していない主な原因のひと

タを暗号化した状態で端末やクラウドに保存する。多く

つは、既存のサービス事業者が PDS と連携するメリッのユースケースにおいては、復号されたデータはプログ

トを理解していないことである。以下ではまず、個人情

ラムの実行時のメモリ空間に一時的に存在するのみであ

報漏洩のリスクを管理するために分散 PDS が有効であり、他のプログラムからアクセスできる形で保存されるることを指摘する。

ことはない。

2014 年７月９日以来の報道によれば、ベネッセホー

このような暗号化の運用によって管理が行き届きやす

ルディングズが保有する多数の顧客の個人情報が漏洩くなることが期待できる。つまり、PLR のような分散し、名簿業者に売却され、ジャストシステム等に渡っ

PDS を業務に用いる場合、ベネッセのように情報シスた。そのデータは約 4,800 万人分に上り、その内容はテムの管理を部分的に外注する際は、非公開のデータを

住所・氏名・電話番号・家族構成を含むらしい。米国

復号する必要のない作業に外注の範囲を限定し、データの Target や Home Depot でも数千万〜数億件のクレの復号が必要なメンテナンス作業を内製化することによジットカード等の情報が流出するなど、個人情報漏洩事り、個人情報漏洩等のリスクを低減できるだろう。

件は枚挙に暇がない。

しかし、業態によっては、システム管理作業においてベネッセでは社内システムを 24 時間監視しており、データを復号せざるを得ないことが多く、それをすべて

全社員や委託先の従業員に個人情報の取り扱いに関する内製化できない場合もあるだろう。そもそも、個人デー

教育をし、定期的な外部監査も受け、個人情報を適切にタを集中管理している限り、そのデータが一挙に漏洩す

管理しているという旨の「プライバシーマーク」も取得る恐れは常にある。

していた。社内で顧客の情報にアクセスできるのは透明のガラスで仕切られた小部屋にある専用端末のみであ

3.2

アドホックなデータ収集

り、その部屋に入るには、事前の予約とセキュリティー

大量データの漏洩を防ぐには集中管理を避けねばなら

カードによるチェックが義務づけられ、端末から顧客情ない。そうは言っても、ビッグデータの分析等のために報を取り出す際には、パスワードの入力が必要だという。

多数の個人からデータを集めたい場合もあるが、データ

YEAR BOOK 2O14183

を集めてしまうと必然的に集中管理が発生する。
しかし、ンラインで広告を配信したりキャンペーンを打ったりで集中管理の常態化を分散管理で防ぐことによってリスクきることは言うまでもない。しかも、そのために購買記を低減できるだろう。

録等の個人データをすべて常に保管しておかなくても済つまり、いきなり大量のデータを集めてずっと抱え込
んでおくのではなく、必要に応じてアドホックにデータむ。個人データは必要に応じてアドホックに顧客から集めれば良い。

を集め、分析が終わったらその結果だけ残して元データ

だが、データを集めることができるということは、集を破棄してしまえば、漏洩のリスクが激減する。現状でめたデータが漏れる恐れがあるということである。デーは、何のためにどう使うのかよくわからないような大量タ利用の利便性と漏洩のリスクは同じコインの表裏であの個人データを不用意に集め、さらに用済みのデータまる。したがって、氏名や住所や電話番号や医療記録など

で未練がましく保管して管理コストと漏洩リスクを無闇機微性の高いデータの収集・利用を面倒くさくすることに高め、リソースを浪費し経営を危険に晒している事業

によってその漏洩のリスクを低減させるしかない。

者があまりにも多い。

そのためには機微なデータを集める際の認証を厳しく分散 PDS の多くの利用者とつながっていれば、いきすれば良い。分散 PDS を使えばそれは簡単である。各なり大量の個人データを集めるのではなく、分析の目的個人にとって機微性の高いデータを開示する際には本人と方法と効能が十分明らかになった後に分散 PDS 利用の分散 PDS が通常より厳しい認証を要求するわけであ者からデータを本格的に集めることができる。その気にる。個人の分散 PDS の設定を変更する権限は原則としなればいつでも再びデータを集められるから、分析し終て本人だけにあるので、事業者がその設定を変更して機わったデータはすぐに消去して構わない。大量のデータ

微性の高いデータを大量に集めるのはほぼ不可能であを保管してわざわざ漏洩のリスクに晒す必要はない。もる。このように、分散 PDS によって個人データの主た

ちろん、短期間のうちに繰り返し使うようなデータは破る管理者を事業者ではなく本人とすることにより、事業棄せずに保存しておいた方が効率が良いこともあろう。

者からのデータ漏洩をかなりの程度まで防止できるだろ

しかし、保存が長期に及ぶと、漏洩のリスクが高まるだ

う。個人が本人のデータだけを管理するという意味でのけでなく、保存中のデータが多岐にわたり、どのデータ分散管理は、一度に漏洩するデータを１人分に限るゆえ

は他のデータと照合禁止等々に関するコンプライアンスに集中管理より圧倒的に安全であるが、事業者によるの管理が煩雑になり、それもリスクの元になる。

データ収集を統制しやすいという意味においても安全性

従来、各事業者は自ら提供するサービスに直結するが高い。

データは普通に取得できた。たとえば、クレジット機能付の会員カードを顧客に使ってもらえば、顧客別の購買

184

3.3

VRM

データが取れる。同様のデータを分散 PDS で取得・保さらに言うと、個人データを本人が分散 PDS で管理管することは易しい。クレジット機能付会員カード等にしていれば、事業者は個人データに直接触れずに結構い

よって自分の ID 付きの購買データを事業者が取得する

ろいろなことが今までよりも効果的にできる。

ことに同意していた顧客であれば、代わりに分散 PDS

たとえば、イベントや新商品のお知らせを個人に届けを使って自分の ID 付きの購買データを提供することにるためにダイレクトメールや電子メール等が使われてき抵抗はなかろう。

たが、その際に各個人に合ったお知らせを送るには当該

さらには、顧客が他の事業者からの購買のデータや日個人に関する情報が必要である。ベネッセの事件では、

常生活行動のデータや医療記録やバイタルデータを分散漏洩したデータが家族構成等の情報を含んでおり、名簿

PDS で蓄積していれば、事業者はそれも顧客本人の同屋からデータを購入したジャストシステム等はそれを用意の下で見せてもらうことができる。通常のクレジット

いてダイレクトメールの送付先を選んだわけである。

カードと違ってオンラインでつながっているので、顧客

しかし、事業者が個人にダイレクトメール等を送り付にポイントを付与するだけでなくクーポンを配ったりオ

ける代わりに、個人利用者が用いる何らかのアプリ（これがマイナンバーを導入する目的のひとつである。また、に蓄積された個人データを参照することにより事業者の個人と事業者との間の契約書も、個人にとって不利な内

広報サイトから利用者に適合した情報を抽出して利用者

容を含む場合（つまりほとんどの場合）には事業者も保に通知することも可能である。たとえば、ある事業者が管する必要がある。
だがそのような場合でも、通常はなるべく集中管理さサートの演目やアーティストを好む利用者だけが自分のれているデータを使わずに個人ごとに安価に分散管理さ

VRM アプリからコンサートに関する通知を受け取る、れているデータを使うことにより、セキュリティを格段といった具合である。このように個人が自分に合った商に高めることができるだろう。個人は課税の根拠や契約品やサービスの情報を自分のアプリで取ってくれれば、書を改竄したくなるかも知れないが、政府や企業が正し事業者はダイレクトメール等の送り先を選ぶための個人

いデータを持っているのでそれは無効である。契約書等情報を直接には必要としない。ベネッセのような事業者の場合は事業者の電子署名によって真正性を保証するこも、顧客の住所や家族構成等の情報を持たずに各顧客にともできる。このあたりの仕組みの詳細は業態に依存す合った情報を提供できる。

るだろうが、いずれにせよ自律分散協調的なシステムはCRM（customer relationship management；顧客データによる分析と評価

コンサートの開催予定を広報しているとき、そのコン

寄稿集３

れを「VRM アプリ」と呼ぼう）が利用者の分散 PDS

非常に広い範囲で有効と考えられる。

関係管理）とは事業者が顧客への売り方を最適化すると
い う こ と だ が、VRM（vendor relationship manage［VRM］［Searls 12］は逆に顧客が事業者
ment；業者関係管理）

4

自律分散協調ヘルスケア

からの買い方を最適化するということであり、上記のVRM アプリはその基本的な機能を持つ。個人のデータ

医療や介護などのヘルスケアサービスは、市場規模がを本人が総合的に蓄積・管理していれば、個人はいかな

巨大で日常生活との関わりが深く、また機微な個人デー

る事業者よりも本人のデータを多く持つから、自分に適タを扱う必要がある点において、PDS を活用する場とした商品やサービスを事業者よりもずっと正確に同定でしてわかりやすくかつ重要である。以下では、ヘルスケ

きる。B2C 事業者は個人情報管理を含む CRM のコス

アデータの社会的共有に関わる政策の動向およびそれにトとリスクから解放される。

伴うヘルスケアサービス事業者の経営環境の変化と分散

当然ながら、VRM が普及すれば事業者が顧客を囲い

PDS の普及について論ずる。

込むのが難しくなる。しかし事業者は、先行して VRM

病院や診療所などの医療機関が医療データを共有すに対応することにより、CRM のコストとリスクを低減ることが医療の価値を高めるためには望ましい。各患者させつつ VRM に即した事業を早期に開始し、市場におに対してどのような治療が安全で効果的であるかは当該ける競争優位性を確保できるだろう。

患者に対するこれまでの診断や治療の内容に依存するか
ら、複数の医療者が１人の患者の治療に当たるには、そ

3.4

さらなる分散の患者に関するデータを共有すべきである。

一方、ビッグデータを１か所に集約せず分散させたまたとえばガンの場合、各患者に対する抗ガン剤の投まリアルタイムで分析や学習を行なう技術も進歩しつつ与や放射線の照射は許容される積算総量に上限があるかある。上記の VRM に加えてこのような技術を使えば、ら、その上限を越えないように管理する必要がある。しそもそも個人データを集める必要が実際にはあまりなく

かし、担当医への不満とか自らの転居などの事情によっなるかも知れない。

てある病院の患者が別の病院を受診することになった場

しかしながら、管理を個人（だけ）に任せられない個合など、それまでの抗ガン剤の投与や放射線被曝の総量

人データもある。たとえば、普通の納税者はなるべく税がわからなければ、安全で効果的な治療が難しくなる。

金を払いたくないので、課税の根拠となる個人の収入やそういうわけで、医療データの共有が望ましいことは

資産のデータは国や自治体が集中管理すべきだろう。そほとんどの医療関係者が認識しているはずである。しかYEAR BOOK 2O14

185

しこれまでのところ、データ共有はあまり進んでいない。

の間での連携が強化されるものと期待される。

富士通や NEC が EHR のパッケージを販売しているが、異種の医療機関や介護・看護事業者の間の連携を強化

全国で約 10 万の医療機関のうちまだ４千ほどにしか導して体系的・継続的なヘルスケアを提供するには、それ入されていない。これは、データを共有しても病院や診ら関係者の間でのデータの共有が必要だろう。じきに患療所の収益に直結しないからである。医療機関の経営が者もそのことに気付くだろうから、たとえば医療データ

成り立たなければ医療の価値向上もあり得ない。

を開示しない医療機関にも介護データを開示しない介護事業者にも客が付きにくくなると考えられる。

4.1

医療制度改革さらには在宅医療に関しても、複数の診療所（訪問平成15年から急性期入院医療に対してDPC（diagnosis［厚労省 10］医）の間で患者のデータを共有する必要が生ずる。新たというな診療報酬制度の下では、多くの患者について 24 時間

診療報酬の評価法が導入されているが、これは、従来の365 日の対応が訪問医に求められるからである。診療

出来高払い（検査や治療の出来高に応じた点数が付く）

所のほとんどは医師が１人で看護師が２〜３人の体制だとは異なり、非常に大雑把に言うと、各傷病について定が、それではとてもそんな対応は無理なので、複数の診額の点数が付き、検査や治療の経費を病院が負担する方療所がグループを組む必要がある。グループが機能する式である。つまり、患者の入院が長引いたり再入院したには、各患者のデータをグループ内で共有し、医師や看りすると病院が損をするわけである。

護師が外出中にも参照できるようにせねばなるまい。もprocedure combination；診断群分類）

急性期病院としては、回復期・療養期の病院や診療所
や介護・看護事業者による退院後のケアの質を高め、患ちろんそのデータ共有は病院や介護・看護事業者にも及ぶ必要がある。

者の再入院を防ぐ必要がある。それには入院の記録のデータを開示し、そのデータを他の医療機関や介護・看護事業者が参照できるようにすることが望ましい。

集中管理から分散管理へ

しかし、EHR システムは導入コストも運用コストもDPC がデータ開示を推進する効果は実際にはまだあかなり高い。病院の場合は数百万円から数億円の導入費まり顕在化していないが、現在進行中の医療制度改用を要し、その後も年間百万円以上の運用費がかかる。

［厚労省 14］

革によって徐々に顕在化するものと思われる。

厚生労働省は 2025 年までに新たな医療提供体制を確

では、多様な関係者の間でいかにして医療等のデータを安価かつ安全に共有することができるのか？

立することを目指して着々と制度の改革を進めている。

医療や介護のデータを患者や被介護者本人（またはそれに伴って医療データの共有が医療機関の経営の観点代理人）ごとに分散管理すれば、集中管理方式の場合よからも必須になりつつある。

りも圧倒的に安全にかつ小さな費用でデータの共有がこの医療制度改革において特に重要なのは下記の２点実現できる。つまり、PLR の仕組みを部分的に用いて、だろう。これらは要するに、日本の医療を自律分散協調

図２のように、個人が本人のデータを Google Drive

システムにしようということである。

や Dropbox 等の基本無料のクラウドストレージに格納［厚労省 13b］

・病院の間の役割分担［厚労省 12］186

4.2

して家族やヘルスケア事業者と共有すれば良い。非公・在宅医療の推進

開のデータは暗号化してからクラウドに格納しクラウ

病院は、その機能に関して、急性期、回復期、療養期

ドから取得の後に復号することにより、Google 社やなどに分類され、各々の段階の入院患者のケアに特化しDropbox 社にも内容がわからないようにデータを運用つつあり、2018 年にはこの分類が完了する予定であできる。

る。たとえば急性期病院への保険点数の付与は急性期の

図 ２ に お い て は、 各 患 者 は（ 健 康 な 人 も ） ま ず

入院医療と紹介による外来診療に重点化される。このよ

Google Drive 等にアカウントを作り、そこに所定の形

うにして、各種の医療機関は特有の機能に専門化するこのフォルダを作成し、それを自分がかかる可能性の高いとによって医療サービスの質が高まり、異種の医療機関

病院や診療所や老人ホーム等のヘルスケア事業者（の寄稿集３
データによる分析と評価

図2

患者個人をハブとして医療機関同士が患者のデータを共有するPLR）と共有するだけである。その共有の際にこのフォ

一方、従来の発想に従えば、ヘルスケア事業者が集中

ルダ用の暗号鍵を事業者に渡す必要があり、それには管理型のデータ共有システム（EHR）を用いるメリッ

PLR が必要だが、各患者が自らスマートフォン等によっトとして、たとえば病院が診療所や老人ホームや患者をて PLR を利用する必要はなく、他人の PLR アプリで囲い込めると考える向きもあるかも知れない。しかし実この作業を代行することができる。つまり、そのような際にはそのような囲い込みは不可能である。囲い込みが相互扶助により患者にとっての基本コストはほぼゼロに可能なのは他の選択肢を選ぶのに伴うコストが大きい場なる。自ら PLR を利用しなければ、ヘルスケア事業者

合だが、上記のように分散管理は圧倒的に安価であり、の間での自分のデータの共有を仲介するだけだが、ス

しかも安全性においても利便性において集中管理を凌駕

マートフォン等を持っている患者は自ら PLR を使うこするからである。

とによって自分のデータを閲覧したり分析したりすることができる。
一方、各ヘルスケア事業者は（病院の場合は診療科ご

5展望とでも可）タブレット PC 等を導入して PLR とアプリをインストールし、既存の電子カルテシステム等があれ

以上のように、個人情報漏洩のリスク管理や医療制

ばそれとつないでデータ連携する必要があるが、それに度改革が分散 PDS を普及させるきっかけになる可能性かかる事業者（病院の場合は診療科）のコストはきわめが高い。このように分散 PDS が普及する環境は徐々にて小さい。まず、タブレット PC は３万円ほどで十分な整ってきており、個人データの分散管理に対する批

性能のものが入手可能である。また、各電子カルテシス

判［Narayanan 12］ の論点の多くは本稿での議論に照らして

テム等は数百の医療機関に導入されているのが普通であ精査する必要があろう。特に、前記の通り、データ管理

り、ひとつのシステムを PLR と連携させるための改修における集中・分散の区別と通信ネットワーク制御におにかかる費用はせいぜい 200 万円程度だろうから、各ける集中・分散の区別とは異なるが、Narayanan らの機関あたり数千円程度で済む。これらに間接経費等を加議論には、データ管理と通信制御との区別が不明確な点

えても、各事業者が負担する導入コストは EHR の場合があり、また 2.2 節で述べたようなデータの集中管理の数百万円より圧倒的に安い。運用コストも PLR の場と分散管理の組み合わせを想定していない議論もある。

合はタブレット PC の減価償却費程度であろう。

さらに、分散 PDS を普及させるきっかけは他にもあ分散 PDS によってこのように低コストのデータ共有

る。たとえば、スーパーハイビジョン（SHV）放送やが実現できるだけでなく、既述の通り、セキュリティもマイナンバーや電力小売の自由化も分散 PDS の普及に大幅に高まる。さらに、集中管理方式だと医療機関の間貢献するのではないだろうか。

でしかデータが共有できないのに対して、個人による分

総務省が SHV 放送の普及を推進しているが、地上波

散管理方式は、患者が自分の端末で任意の医療者等にの帯域では SHV に対応できないので、SHV のコンテ

データを開示できるという意味で利便性も高い。

ンツは光ケーブルで配信することになるだろう。さらに、

YEAR BOOK 2O14

187

マイナンバーのサービスをそれに乗せれば、独居老人宅

参考文献なども含む全国のほぼ全世帯のテレビがインターネット［Baden 09］Randy Baden, Adam Bender, Neilにブロードバンドで接続される。それにより、ほとんど

Spring, Bobby Bhattacharjee, and Daniel Starin :どの家にもあるテレビが医療・介護や購買支援など生活

Persona : an online social network with user-

サービス用の端末になると考えられる。放送の IP 化に

defined privacy.

よって収入の基盤が揺るがない NHK はともかく民放各局は抵抗するだろうが、高々 1.8 兆円程度の産業が医療や介護や小売よりも優先されるとは到底考えられな. Vol. 39, pp. 135146.（2009）［Bell 01］Gordon Bell : A Personal Digital Store.

い。
テレビを通じた総合生活サービスにおいて個人データ, 44 : 86‒91（2001）

を安全かつ安価に管理・活用するためには PLR 等の分［Borger］borger.dk : https://www.borger.dk/

散 PDS が必要と考えられる。それに関連して、マイナ［Cáceres 09］Ramon Cáceres, Landon Cox, Harold

ンバーに基づく本人認証を分散 PDS のアプリとするこLim, Amre Shakimov, and Alexander Varshavsky :とでマイナンバーと分散 PDS を連携させ、図１のようVirtual individual servers as privacy preservingに数多あるサービス ID のひとつとしてマイナンバーを

proxies for mobile devices.

位置付けることにより、マイナンバーの運用に伴うプライバシに関する懸念を払拭し、マイナンバーの普及を促すことにもなるだろう。

. ACM,
pp. 37-42.（2009）

さらに、自由化後の電力小売市場において適正な競［deMontjoye 14］Yves-Alexandre de Montjoye,

争を促すには、各需要家が自分のエネルギー消費に関す

Erez Shmueli, Samuel S. Wang, and Alexるデータを持ち、それに基づいて電力小売事業者を正しSandy Pentland : openPDS: Protecting the

く選択できるようにする必要がある。そのために米国のPrivacy of Metadata through SafeAnswers.

Green Button のような集中 PDS を構築するよりも、, 9（7）: e98790 doi : 10.1371/

分散 PDS を用いた方がはるかに社会的コストが安く、かつデータ流通の自由度が高くなるだろう。
マーケティング、ヘルスケア、SHV、マイナンバー、
エネルギー管理等に関する分散 PDS の普及が相互に促

journal.pone.0098790.（2014）［GreenButton］Department of Energy : Green
Button. http://energy.gov/data/green-button［橋田 13］橋田浩一：分散 PDS による個人データ

進し合うことは言うまでもない。これらの領域のうちの自己管理．人工知能学会誌，28（6）, 872-878.

いずれか１つにおいて分散 PDS が普及すれば、ドミノ（2013）

倒しに他の領域でも分散 PDS が広まることになるだ［Hasida 14］Kôiti Hasida : Personal Life Repository

ろう。電力小売の自由化とマイナンバーの利用開始は

as a Distributed PDS and Its Dissemination

2016 年、SHV の普及は 2020 年の東京オリンピッ

Strategy for Healthcare Services.

クまで、医療制度改革は 2025 年までの予定だから、このドミノ倒しは 2020 年までに生ずる可能性が高い。

.（2014）

東京大学は、2014 年 10 月に「集めないビッグデータ」［HealthIT］HealthIT.gov : Your Health Record.

コンソーシアムを設立し、PLR を開発しているアセン

http://www.healthit.gov/patients-families/

ブローグ（株）を含む民間企業等がこれに参画して、その

your-health-records

可能性の具現化を目指している。

［iBank］東京大学 空間情報科学研究センター/地球観
測データ統融合連携研究機構：情報銀行．https://ibank.csis.u-tokyo.ac.jp/ibank/index

188

［Seon 10］Seok-Won Seong, Jiwon Seo, Matthew

http://www.mhlw.go.jp/stf/shingi/2r9852000000

Nasielski, Debangsu Sengupta, Sudheendra

uytu-att/2r9852000000uyyr.pdf

Hangal, Seng Keat Teh, Ruven Chu, Ben
Dodson, and Monica S. Lam: PrPl : A Decent-

http://www.mhlw.go.jp/seisakunitsuite/

ralized Social Networking Infrastructure.

データによる分析と評価［厚労省 12］在宅医療・介護の推進について．
（2012）

寄稿集３［厚労省 10］DPC 制度の概要と基本的な考え方．
（2010）

bunya/kenkou̲iryou/iryou/zaitaku/dl/
zaitakuiryou̲all.pdf.

［厚労省 13a］シームレスな健康情報活用基盤実証事業（国庫債務負担行為に係るもの）平成 24 年度事業
成 果 報 告 書．（2013）http://www.mhlw.go.jp/
seisakunitsuite/bunya/kenkou̲iryou/iryou/
johoka/johokatsuyou/dl/houkokusho08.pdf（2010）［VRM］Project VRM : http://cyber.law.harvard.
edu/projectvrm/Main̲Page［Want 02］Roy Want, Trevor Pering, Gunner
Danneels, Muthu Kumar, Murali Sundar, and［厚労省 13b］病床機能報告制度及び地域医療ビジョン

John Light : The personal server : Changing

について．
（2013）http://www.mhlw.go.jp/ﬁle/the way we think about ubiquitous computing.

05-Shingikai-12601000-Seisakutoukatsukan-

2002, 223-230（2002）

Sanjikanshitsu̲Shakaihoshoutantou/
0000023379.pdf［ 厚 労 省 14］ 平 成 26 年 度 の 診 療 報 酬 改 定 の 概 要．
（2014） http://www.mhlw.go.jp/file/06Seisakujouhou-12400000-Hokenkyoku/
0000039891.pdf［Mun 10］Min Mun, Shuai Hao, Nilesh Mishra,
Katie Shilton, Jeﬀ Burke, Deborah Estrin, Mark
Hansen, and Ramesh Govindan : Personal
data vaults : a locus of control for personal
data streams.
. ACM.（2010）［Narayanan 12］Arvind Narayanan, Vincent
Toubiana, Solon Barocas, Helen Nissenbaum,and Dan Boneh : A Critical Look at Decentralized
Personal Data Architectures. CoRR abs/1202.
4503（2012）［PicnicHealth］PicnicHealth. https://picnichealth.
com/［RespectNetwork］Respect Network. https://www.respectnetwork.com/［Searls 12］Doc Searls : The Intention Economy :. Harvard
Business Review Press（2012）.（ 邦 訳 栗 原
潔：インテンション・エコノミー．翔泳社（2013））

YEAR BOOK 2O14

189