社会情報学

第３巻３号

2015

2014年総会シンポジウム「ビッグデータの可能性と課題
─監視・シミュレーション・プライバシー」・論文
集めないビッグデータ:
情報の分散管理による個人の尊厳と公共の福祉
Distributed Big Data: Individuals’ Dignity and Public Welfare by
Decentralized Information Management
キーワード：
個人データ，分散PDS，PLR，VRM
keyword：personal data, decentralized PDS, PLR, VRM

東京大学大学院情報理工学系研究科

橋 田 浩 一Graduate School of Information Science and Technology, the University of Tokyo
Kôiti HASIDA

要

約
個人データの集中管理とは，管理者が多数の個人のデータをまとめて管理することであり，
これによって多数の個人のデータが一挙に活用されたり漏洩したりし得る。一方，個人データの分散管理とは，個人または代理人が本人分のデータのみを管理することであり，一挙に利用されたり漏洩したりするデー
タは１人分に限られるので，セキュリティが高い。個人が本人のデータを電子的に蓄積して他者と安全に共有し活用するための仕組みをPDS (個人データ保管庫)と言う。個人はPDSによって自らの利益を高めるように自分のデータを活用することができ，こうしてB2Cサービス全体の社会的価値も向上する。
PDSにも集中型のものと分散型のものがあり，分散PDSの方がセキュリティと利便性が高い。分散PDSにもサーバ主導のものと個人端末主導のものがあるが，PLR (個人生活録)は個人端末主導の分散PDSであり，個人端末もサーバ側の仕組みもすでにコモディティになっているものを使うので，導入・運用コ
ストが非常に小さい。マーケティング，電力小売の自由化，マイナンバー，スーパーハイビジョン放送，
医療制度改革等に伴う個人データの安全・安価な管理と活用に対するニーズの高まりがPLRのような分散PDSを普及させる契機になるものと考えられる。

87

集めないビッグデータ: 情報の分散管理による個人の尊厳と公共の福祉

橋田浩一

Abstract
Centralized management of personal data means that the manager is in charge of many people’s
personal data, so that this big data can be utilized or leak at one time. On the other hand,decentralized management of personal data means that each individual or her agent manages
her own data only, so that the data utilized or leaking at one time is just part of her own data,entailing much higher security. PDS (personal data store) is a mechanism to allow each individual
to electronically accumulate and utilize her own data by sharing the data with others. Individuals
can use their own data so as to improve their own benefits, hence improving the whole social
value of B2C services. PDS is either centralized or decentralized, and decentralized PDSs aremuch more secure and convenient. Decentralized PDSs are either server oriented or personaldevice oriented. PLR (personal life repository) is a personal-device oriented, decentralized PDS,
whose introduction and operation costs are very low because it uses commodities for both
personal devices and servers. The spread of such decentralized PDSs will be triggered by theincreasing needs for secure and low-cost management and utilization of personal data in line withto marketing, liberalization of power retailing, My Number, super high vision broadcasting, reformof medical system, and so on.

88社会情報学

１

第３巻３号

2015

することによって安全で効果的な治療を受ける場

個人データの管理合などが考えられる。逆に，上述したビッグデー

データの管理とは，データを保管しつつ，データの分析のように本人のメリットが不明確なデー

タの利用の可否を決定するということである。管タ利用のためには分散管理は不適切かも知れな

理者の意思または過失によってデータが利用されい。

たり漏洩したりするわけである。

このように，個人データの集中管理と分散管理

個人データの集中管理（centralized management）

はそれぞれに有用で相補う関係にあり，いずれもとは，管理者が多数の個人のデータをまとめて管必要だが，問題は分散管理が実際にはほとんどな

理することである。ゆえに集中管理の下では，多されていないことである。前記の通り，個人デー

数の個人のデータを一挙に利用することができ，タの分散管理は本人のメリットを高めるために有また多数の個人のデータが一挙に漏洩することが効だが，現在は個人が自分のデータを体系的に管あり得る。個人データの利用に際してその都度本理できていないことが多く，過剰な集中管理と相人の同意を求めなければ，多人数のデータを活用

俟って，それが個人のプライバシを脅かすのみなするのが簡単である。したがって集中管理は，本らず，B2Cサービスの価値の向上や市場の拡大を人たちのメリットがあまり明確でないデータの利阻害している。前述の医療の例のように，個人が用に適する。それは典型的には多数の人々のデー

本人のデータを自らの判断に基づいて自ら指定すタの分析であり，たとえばある疾患の治療法を発る事業者と簡単に共有できれば，各B2Cサービス

見するために多数の患者から集めたビッグデータの価値が高まり，市場全体のパイが大きくなるはを分析する場合などが考えられる。

ずである。さらに，商品やサービスの利用等に関逆に，本人のメリットが明確なデータの利用にするデータを個々の消費者が管理し社会的に共有

は集中管理は適さない。これは，管理者の利害とし分析して事業者を比較評価することで競争環境

本人の利害が一致しないことが多いからである。

を整え，その産業の国際的な競争的および他産業

たとえば，病院が治療のデータを他の病院や診療との競争力を高めることによっても，当該産業の所と共有すれば患者のメリットになるはずだが，パイが拡大するだろう。

従来はデータを共有しても病院が儲からなかった
ので，医療データの共有はほとんど進んでいない。

２

一方，個人データの分散管理（decentralized

PDS

個人が本人のデータを電子的に蓄積・保管してmanagement）とは，管理者が１人分の個人デー
タのみを管理することだが，その管理者は典型的

他者と共有し活用できるようにする仕組みをPDSには本人または代理人や後見人であろう。分散管（personal data store，personal digital store，

理の下では一挙に利用されたり漏洩したりし得る

personal data service，personal data vaultなど）

データは１人分のみである。したがって，たとえ（Bell, 2001）と言う。AcxiomやBluekaiなどのいば個人データが数千万人分あるとすると，集中管

わゆるデータブローカは，（個人データの売買以理よりも分散管理の方が数千万倍安全である。ま外に）個人データを本人のために活用する機能をた，分散管理においては個人データの利用が本人持たないので，本稿ではPDSから除外して考える。

（代理人）の同意に基づくので，分散管理は本人

PDSは，後述のような官製のトップダウンな仕のメリットが明確なデータの利用に適する。たと組み以外にはまだほとんど普及していない。そのえば，ある病院での治療の記録を別の病院で開示

原因は，良い収益モデルがまだ確立しておらず，

89

集めないビッグデータ: 情報の分散管理による個人の尊厳と公共の福祉

サードパーティとして参画するサービス事業者の橋田浩一

アのための民間のPDSだが，デンマークのBorger

メリットが不明確なことなどであろう。以下では， （Borger, 2014）などは，ヘルスケアに限らない
PDSの諸相について本節で論じた後に，サービス

多様な個人データを政府が集中管理して本人の役

事業者にとってのPDSのメリットや日本の政策のに立てたり企業等に提供したりすることによって動向などPDS（特に後述の分散PDS）を普及させ産業や文化の振興を図っている。米国政府が運用る契機について３節以降で述べる。

するBlue Button（HealthIT.gov, 2014）とGreen
Button（Department of Energy, 2014） は そ れ

2.1

集中PDS

ぞれヘルスケアと電力エネルギーに関する集中

PDSにも個人データを集中管理するものと分

PDSと言えるだろう。現在開発が構想されている散管理するものとがある。集中PDS（centralized

日本の情報銀行（東京大学, 2013）もデータブロー

PDS）は，個人データを本人の役に立てるだけでカの機能を備える集中PDSの一種と言えよう。

なく，多数の個人のデータに匿名化等の処理を施した上で事業者に提供するデータブローカの機能

2.2

分散PDS

も備える場合が多い。ヘルスケアに関する集中

分散PDS（decentralized PDSまたはdistributed

PDSとして，Google HealthやMS HealthVaultやPDS） は， 図 －１ の よ う に， 集 中PDSを 含 む 多

PicnicHealth（PicnicHealth, 2014）や日本の「どくの集中管理型サービスを個人が自由に組み合こでもMY病院」構想の下で開発されたシステム

わせて利用することを可能にする。この図は，（厚生労働省, 2013a）など，集中管理に基づく

GoogleやCCCや日本政府がそれぞれID連携等のPHR（personal health record; 個人が本人の医仕組みを用いたデータの集中管理に基づくサービ

療データを管理しヘルスケア事業者と共有して活スを行ない，個人がそうした複数のサービスを利用する仕組み）が挙げられる。これらはヘルスケ用している様子を表わす。たとえば，YouTube

図－１

多数の集中管理型サービスを個人利用者が分散PDSで相互連携させる

90

社会情報学

第３巻３号

2015

の利用履歴とiTunesの利用履歴を統合して分析対象とせず，各々の場合の目的に応じたごく一部

したいとか，日本政府がマイナンバーで管理すのデータに限ることは言うまでもない。

る預貯金のデータとCCCがT-IDで管理する購買分 散PDSに は， 個 人 用 端 末 同 士 のP2P通 信 にのデータを統合して分析したいとか言っても，よって利用者間でのデータ共有を実現するもの

GoogleとAppleが顧客のデータを共有するとか，と，個人用端末以外にサーバ（ホームサーバや事日本政府とCCCが個人データを融通し合うとか業者が運営するサーバ）を用いてサーバ同士またいうことはあり得ないし，あってはなるまい。

はサーバと個人用端末との通信によりデータを共YouTubeとiTunesの利用履歴を統合するとか預有するものとがある。

貯金のデータと購買のデータを統合するとかいう

前者のP2P型分散PDSとしてはPersonal Server

ことは，個人が本人の意思に基づいて分散PDSで（Want, 2002）などが提案されている。しかし，行なうしかない。さらに，この統合を多数の個人

その後はいまのところ実験的にでも稼働しているのデータに拡張するにはその人々から同意を取得

ものはなさそうである。スマートフォン等の個人する必要があるが，それも分散PDSによって容易用端末によるP2P型の分散PDSの実装は，端末のになる。

通信量や電力消費量に関する制約により当面は難だが，各集中型サービスがより多くの個別サーしいだろう。

ビスを相互連携させ，またその顧客が増えると，データ共有にサーバを用いる分散PDSは，サー分散PDSによって統合すべき集中型サービスが少バと個人端末との役割分担の観点から分類するこなくなるので，集中型サービスの間での統合はとができる。サーバが主要な役割を果たす方式

分散PDSの運用にとって好都合である。たとえの分散PDSとしては，Persona（Baden, 2009），

ば，EHR（electronic health record; 病院等が運

VIS （Cáceres, 2009），PDV （Mun, et al.,

営するサーバによって複数の医療機関の間で患者

2010），PrPl（Seon, et al., 2010），openPDSのデータを共有する仕組み）によって多くの医療（de Montjoye, et al., 2014），Respect Network

機関がつながっていれば，個人が分散PDSによっ（RespectNetwork, 2014） な ど が あ る。 こ れ らてつながるべき医療機関（またはEHRシステム）のうちPersonaは個人ごとのデータの暗号化にが少ないので，ヘルスケアデータの社会的共有やよって，VISとPDVとPrPlとopenPDSは各個人専

地域医療連携が進みやすい。

用の仮想計算機等を用いて分散管理を実現する。

多数のサービスを相互連携させる機能の一環とRespect Networkにおける個人データの分散管理

して，分散PDSはそれらのサービスに関するシンは，利用者との（個人データの利用が本人同意をグルサインオンの機能を備え，それによってパス必要とする旨の）契約に基づく運用によるものとワードの使い回しを防ぐなど，個人レベルでのセ思われる。

キュリティを向上させる。一般にデータは分散さ

一方，個人端末が主要な役割を果たす分散PDSせた方がセキュリティが高いが，１人分のデータとしてPLR（personal life repository; 個人生活をあまり多数に分散させると，管理者である本人録）（橋田, 2013; Hasida, 2014）がある。PLR

や代理人の認知限界を越えてしまい，アカウント

では，すでにコモディティになっているGoogleを忘れたりパスワードを使い回したりするのでDriveやDropbox等のクラウドストレージサービ

却って危ない。１人分のデータはひとまとめにしスをそのままデータ共有用のサーバとして使い，て管理するのが実際には最も簡単で安全と思われデータ共有以外（データの視覚化や暗号化やクラる。データの開示は一般には１人分の全データをウド間連携など）の情報処理をすべてスマート91

集めないビッグデータ: 情報の分散管理による個人の尊厳と公共の福祉

橋田浩一

フォン等の個人端末が担う。PLRは，非公開の個情報が漏洩し，名簿業者に売却され，ジャストシ

人データを暗号化してからクラウドストレージにステム等に渡った。そのデータは約4,800万人分

送信し，クラウドストレージからデータを取得しに上り，その内容は住所・氏名・電話番号・家族

た後に手もとで復号する。その復号に必要な鍵を，構成を含むらしい。米国のTargetやHome Depot

クラウドストレージ事業者にもPLRを開発する事でも数千万～数億件のクレジットカード等の情報業者にも原則として開示せず，利用者が自ら指定が流出するなど，個人情報漏洩事件は枚挙に暇がした他者にのみ開示することにより，個人データない。

の分散管理を実現する。

ベネッセでは社内システムを24時間監視してまだコモディティになっていない類のクラウ

おり，全社員や委託先の従業員に個人情報の取りドストレージやID連携などのサーバ機能を（P2P扱いに関する教育をし，定期的な外部監査も受け，型以外の）他の分散PDSが必要とするのに対し，個人情報を適切に管理しているという旨の「プラPLR本体はスマートフォン等のアプリに過ぎず

イバシーマーク」も取得していた。社内で顧客のサーバとしては既存のコモディティをそのまま情報にアクセスできるのは透明のガラスで仕切ら活用する。この意味において，PLRはきわめてれた小部屋にある専用端末のみであり，その部屋

簡便で運用コストの低い分散PDSと言えよう。

に入るには，事前の予約とセキュリティーカード

Respect Networkのようなサービスがコモディ

によるチェックが義務づけられ，端末から顧客情ティとして安価に使えるようになれば，個人端末

報を取り出す際には，パスワードの入力が必要だの機能の多くをそれらのサービスに委ねることにという。

より，PLR本体の実装をさらに簡素化し保守を容このようにベネッセの管理はかなりしっかりし易にできるだろう。つまり，中長期的にはPLRとていたと言えるが，今回の犯人はグループ会社の他の分散PDSとが融合する可能性がある。もうひ下請けのSEであり，スマートフォンの持ち込み

とつの可能性は，個人端末の性能向上によってが禁止されていなかったという盲点を突いてス

P2P型の分散PDSが普及することであろう。PLR

マートフォンでデータを持ち出したとのことであは両方の可能性を視野に入れて設計されている。

る。ではさらに管理を徹底してスマートフォンのさらには，PLRと情報銀行とが連携して，PLRが持ち込みを禁止しておけば良かったではないかと

個人データの分散管理，情報銀行がそのデータの言う向きもあろうが，徹底の度合いには際限がな

収集とビッグデータとしての活用を担う可能性もく，徹底すればするほどコストがかかる。スマー考えられる。

トフォンの持ち込みを禁止していれば良かったな
どと言うのは結果論であり，そのような管理の盲３

点を予めすべてつぶしておくことなど不可能であ

個人情報漏洩リスクの管理

ろう。

民間のPDSがあまり普及していない主な原因のつまり，このような個人情報漏洩のリスクは多

ひとつは，既存のサービス事業者がPDSと連携すくの事業者にとって人ごとではない。以下ではまるメリットを理解していないことである。以下でず，分散PDSによって個人情報の漏洩がいかにしはまず，個人情報漏洩のリスクを管理するためにて防げるかについて考えてみよう。

分散PDSが有効であることを指摘する。
2014年７月９日以来の報道によれば，ベネッ

3.1

セホールディングズが保有する多数の顧客の個人

暗号化

PersonaやPLR等の分散PDSは，利用者の個人

92

社会情報学

第３巻３号

2015

データを暗号化した状態で端末やクラウドに保存を集められるから，分析し終わったデータはすぐする。多くのユースケースにおいては，復号されに消去して構わない。大量のデータを保管してわたデータはプログラムの実行時のメモリ空間に一ざわざ漏洩のリスクに晒す必要はない。
もちろん，

時的に存在するのみであり，他のプログラムから短期間のうちに繰り返し使うようなデータは破棄

直接アクセスできる形で保存されることはない。

せずに保存しておいた方が効率が良いこともあろこのような暗号化の運用によって管理が行き届う。しかし，保存が長期に及ぶと，漏洩のリスク

きやすくなることが期待できる。つまり，PLRのが高まるだけでなく，保存中のデータが多岐にわ

ような分散PDSを業務に用いる場合，ベネッセのたり，データ同士の照合禁止等々に関するコンプように情報システムの管理を部分的に外注する際

ライアンスの管理が煩雑になり，それもリスクのは，非公開のデータを復号する必要のない作業に元になる。

外注の範囲を限定し，データの復号が必要なメン

従来，各事業者は自ら提供するサービスに直結

テナンス作業を内製化することにより，個人情報するデータは普通に取得できた。たとえば，クレ

漏洩等のリスクを低減できるだろう。

ジット機能付の会員カードを顧客に使ってもらえ

しかし，業態によっては，システム管理作業にば，顧客別の購買データが取れる。同様のデータ

おいてデータを復号せざるを得ないことが多く，を分散PDSで取得・保管することは易しい。クレそれをすべて内製化できない場合もあるだろう。

ジット機能付会員カード等によって自分のID付

そもそも，個人データを集中管理している限り，

きの購買データを事業者が取得することに同意しそのデータが一挙に漏洩する恐れは常にある。

ていた顧客であれば，代わりに分散PDSを使って自分のID付きの購買データを提供することに抵

3.2

アドホックなデータ収集

抗はなかろう。

データを集めてしまうと必然的に集中管理が発さらには，顧客が他の事業者からの購買のデー

生する。しかし，集中管理の常態化を分散管理でタや日常生活行動のデータや医療記録やバイタル防ぐことによってリスクを低減できるだろう。

データを分散PDSで蓄積していれば，事業者はそつまり，いきなり大量のデータを集めてずっとれも顧客本人の同意の下で見せてもらうことがで抱え込んでおくのではなく，必要に応じてアドきる。通常のクレジットカードと違ってオンライ

ホックにデータを集め，分析が終わったらその結ンでつながっているので，顧客にポイントを付与

果だけ残して元データを破棄してしまえば，漏洩するだけでなくクーポンを配ったりオンラインでのリスクが激減する。現状では，何のためにどう広告を配信したりキャンペーンを打ったりできる

使うのかよくわからないような大量の個人データことは言うまでもない。しかも，そのために購買を不用意に集め，さらに用済みのデータまで未練

記録等の個人データをすべて常に保管しておかな

がましく保管して管理コストと漏洩リスクを無闇くても済む。個人データは必要に応じてアドホッに高め，リソースを浪費し経営を危険に晒していクに顧客から集めれば良い。

る事業者があまりにも多い。

だが，データを集めることができるということ

分散PDSの多くの利用者とつながっていれば，は，集めたデータが漏れる恐れがあるということ

いきなり大量の個人データを集めるのではなく，である。データ利用の利便性と漏洩のリスクは同分析の目的と方法と効能が十分明らかになった後じコインの表裏である。したがって，氏名や住所に分散PDS利用者からデータを本格的に集めるこや電話番号や医療記録など機微性の高いデータのとができる。その気になればいつでも再びデータ収集・利用を面倒くさくすることによってその漏93

集めないビッグデータ: 情報の分散管理による個人の尊厳と公共の福祉

洩のリスクを低減させるしかない。

橋田浩一の演目やアーティストを好む利用者だけが自分のそのためには機微なデータを集める際の認証を分散PDS からコンサートに関する通知を受け取厳しくすれば良い。分散PDSを使えばそれは簡単

る，といった具合である。このように個人が自分である。各個人にとって機微性の高いデータをに合った商品やサービスの情報を自分のアプリで開示する際には本人の分散PDSが通常より厳しい取ってくれれば，事業者はダイレクトメール等の認証を要求するわけである。個人の分散PDSの設

送り先を選ぶための個人情報を必要としない。ベ

定を変更する権限は原則として本人だけにあるの

ネッセのような事業者も，顧客の住所や家族構成

で，事業者がその設定を変更して機微性の高い等の情報を持たずに各顧客に合った情報を提供でデータを大量に集めるのはほぼ不可能である。こきる。

のように，分散PDSによって個人データの主たるCRM（Customer Relationship Management;

管理者を事業者ではなく本人とすることにより，顧客関係管理）とは事業者が顧客への売り方

事業者からのデータ漏洩をかなりの程度まで防止を 最 適 化 す る と い う こ と だ が，VRM（vendor

できるだろう。個人が本人のデータだけを管理す

relationship management; 業者関係管理）（Proj-るという意味での分散管理は，一度に漏洩する

ect VRM, 2014; Searls, 2012）は逆に顧客が事

データを１人分に限るゆえに集中管理より圧倒的業者からの買い方を最適化するということであに安全であるが，事業者によるデータ収集を統制

り，上記のVRMアプリはその基本的な機能を持しやすいという意味においても安全性が高い。

つ。個人のデータを本人が蓄積・管理していれば，個人はいかなる事業者よりも本人のデータを多く

3.3

VRM

持つから，自分に適した商品やサービスを事業者

また，個人データを本人が分散PDSで管理してよりもずっと正確に同定できる。B2C事業者は個

いれば，事業者は個人データに直接触れずに結構

人情報管理を含むCRMのコストとリスクから解いろいろなことが今までよりも効果的にできる。

放される。

たとえば，イベントや新商品のお知らせを個人

当然ながら，VRMが普及すれば事業者が顧客に届けるためにダイレクトメールや電子メール等を囲い込むのが難しくなる。しかし事業者は，先が使われてきたが，その際に各個人に合ったお知

行してVRMに対応することにより，CRMのコスらせを送るには当該個人に関する情報が必要であトとリスクを低減させつつVRMに即した事業をる。ベネッセの事件では，漏洩したデータが家族早期に開始し，市場における競争優位性を確保で構成等の情報を含んでおり，名簿屋からデータをきるだろう。

購入したジャストシステム等はそれを用いてダイレクトメールの送付先を選んだわけである。

3.4

さらなる分散しかし，事業者が個人にダイレクトメール等を一方，ビッグデータを１か所に集約せず分散さ送り付ける代わりに，個人利用者が用いる何らかせたままリアルタイムで分析や学習を行なう技術のアプリ（これを「VRMアプリ」と呼ぼう）がも進歩しつつある。上記のVRMに加えてこのよ

利用者の分散PDSに蓄積された個人データを参照

うな技術を使えば，そもそも個人データを集めるすることにより事業者の広報サイトから利用者に必要が実際にはあまりなくなるかも知れない。

適合した情報を抽出して利用者に通知することもしかしながら，管理を個人（だけ）に任せられ可能である。たとえば，ある事業者がコンサート

ない個人データもある。たとえば，普通の納税者の開催予定を広報しているとき，そのコンサート

はなるべく税金を払いたくないので，課税の根拠

94

社会情報学

第３巻３号

2015

となる個人の収入や資産のデータは国や自治体がの２点だろう。

集中管理すべきだろう。それがマイナンバーを導◦病院の間の役割分担（厚生労働省, 2013b）

入する目的のひとつである。また，個人と事業者◦

在宅医療の推進（厚生労働省, 2012）との間の契約書も，個人にとって不利な内容を含

病院は，その機能に関して，急性期，回復期，む場合（つまりほとんどの場合）には事業者が保療養期などに分類され，各々の段階の入院患者の管する必要がある。

ケアに特化しつつあり，2018年にはこの分類がだがそのような場合でも，通常はなるべく集中完了する予定である。たとえば急性期病院への保管理されているデータを使わずに個人ごとに安険点数の付与は急性期の入院医療と紹介による外価に分散管理されているデータを使うことによ

来診療に重点化される。このように，各種の医療

り，セキュリティを格段に高めることができるだ

機関が特有の機能に専門化することによって医療

ろう。個人は課税の根拠や契約書を改竄したくな

サービスの質が高まり，異種の医療機関の間でのるかも知れないが，政府や企業が正しいデータを連携が強化されるだろう。

持っているのでそれは無効である。契約書等の場

異種の医療機関や介護・看護事業者の間の連携

合は事業者の電子署名によって真正性を保証するを強化して体系的・継続的なヘルスケアを提供すこともできる。

るには，それら関係者の間でのデータの共有が必要だろう。在宅医療に関しても，複数の診療所（訪

４問医）の間で患者のデータを共有する必要が生ず

自律分散協調ヘルスケア

る。新たな診療報酬制度の下では，多くの患者に病院や診療所などの医療機関が医療データを共ついて24時間365日の対応が訪問医に求められる有することが医療の価値を高めるためには望ましからである。診療所のほとんどは医師が１人で看い。各患者に対してどのような治療が安全で効果

護師が２～３人の体制だが，それではとてもそん的であるかは当該患者に対するこれまでの診断やな対応は無理なので，複数の診療所がグループを治療の内容に依存するから，複数の医療者が１人組む必要がある。グループが機能するには，各患の患者の治療に当たるには，その患者に関する者のデータをグループ内で共有して医師や看護師

データを共有すべきである。

が外出中にも参照できるようにせねばなるまい。

そのことはほとんどの医療関係者が認識してい

もちろんそのデータ共有は病院や介護・看護事業

るはずであるが，これまでデータ共有はあまり進者にも及ぶ必要がある。

んでいない。データを共有しても病院や診療所の収益に直結しないからである。

4.2

集中管理から分散管理へ

医療や介護のデータを各患者や被介護者本人
4.1

医療制度改革（または代理人）に分散して管理すれば，集中管

しかし，現在進行中の医療制度改革（厚生労働

理方式の場合よりも圧倒的に安全にかつ小さな費

省, 2014）によってデータ共有が必須になる。厚用でデータの共有が実現できる。つまり，PLRの生労働省は2025年までに新たな医療提供体制を仕組みを部分的に用いて，図－２のように，個人

確立することを目指して着々と制度の改革を進めが本人のデータをGoogle DriveやDropbox等のている。それに伴って医療データの共有が医療機

基本無料のクラウドストレージに格納して家族や関の経営の観点からも必須になりつつある。

ヘルスケア事業者と共有すれば良い。非公開の

この医療制度改革において特に重要なのは下記

データは暗号化してからクラウドに格納しクラウ95

集めないビッグデータ: 情報の分散管理による個人の尊厳と公共の福祉

図－２

橋田浩一

患者個人をハブとして医療機関同士が患者のデータを共有する

ドから取得の後に復号することにより，Google

タ連携する必要があるが，それにかかる事業者（病社 やDropbox社 に も 内 容 が わ か ら な い よ う に院の場合は診療科）のコストはきわめて小さい。

データを運用できる。

まず，タブレットPCは３万円ほどで十分な性能

図－２においては，各患者は（健康な人も）まのものが入手可能である。また，各電子カルテシ

ずGoogle Drive等にアカウントを作り，そこにステム等は数百の医療機関に導入されているのが所定の形のフォルダを作成し，それを自分がかか普通であり，ひとつのシステムをPLRと連携させる可能性の高い病院や診療所や老人ホーム等のヘるための改修にかかる費用はせいぜい200万円程

ルスケア事業者（のPLRまたはAPIを設けた医療度だろうから，各機関あたり数千円程度で済む。

情報システム等）と共有するだけである。その共これらに間接経費等を加えても，各事業者が負担

有の際にこのフォルダ用の暗号鍵を事業者に渡すする導入コストはEHRの場合の数百万円より圧必要があり，それにはPLRが必要だが，各患者が倒的に安い。運用コストもPLRの場合はタブレッ

自らスマートフォン等によってPLRを利用する必トPCの減価償却費程度であろう。電子カルテシ

要はなく，他人のPLRアプリでこの作業を代行す

ステム等にAPIを付加する場合も同様である。

ることができる。つまり，そのような相互扶助

分散PDSによってこのように低コストのデータにより患者にとっての基本コストはほぼゼロに共有が実現できるだけでなく，既述の通り，
セキュなる。自らPLRを利用しなければ，ヘルスケア事

リティも大幅に高まる。さらに，集中管理方式だ

業者の間での自分のデータの共有を仲介するだけと医療機関の間でしかデータが共有できないのにだが，スマートフォン等を持っている患者は自ら対して，個人による分散管理方式は，患者が自分PLRを使うことによって自分のデータを閲覧したの端末で任意の医療者等にデータを開示できるとり分析したりすることができる。

いう意味で利便性も高い。

一方，各ヘルスケア事業者は（病院の場合は一方，ヘルスケア事業者が集中管理型のデータ

診療科ごとでも可）タブレットPC等を導入して共有システム（EHR）を用いるメリットとして，

PLRとアプリをインストールし，既存の電子カルたとえば病院が診療所や老人ホームや患者を囲いテシステム等があればそれとつないで（または既込めると考える向きもあるかも知れない。しかし存のシステムにAPIを付加することにより）デー

実際にはそのような囲い込みは不可能である。囲96

社会情報学

第３巻３号

2015

い込みが可能なのは他の選択肢を選ぶのに伴うコがはるかに社会的コストが安く，かつデータ流通

ストが大きい場合だが，上記のように分散管理はの自由度が高くなるだろう。

圧倒的に安価であり，しかも安全性においても利個人情報漏洩の防止，ヘルスケア，SHV，マ

便性において集中管理を凌駕するからである。

イナンバー，エネルギー管理等に関する分散PDSの普及が相互に促進し合うことは言うまでもな

５い。これらの領域のうちいずれか１つにおいて

展望

分散PDSが普及すれば，ドミノ倒し的に他の領域

以上のように，個人情報漏洩のリスク管理や医でも分散PDSが広まることになるだろう。電力小療制度改革が分散PDSを普及させるきっかけにな

売の自由化とマイナンバーの利用開始は2016年，る可能性が高い。また，分散PDSを普及させるきっSHVの普及は2020年の東京オリンピックまで，

かけは他にもある。

医療制度改革は2025年までの予定だから，この総務省がSHV（スーパーハイビジョン）放送のドミノ倒しは2020年までに生ずる可能性が高い。

普及を推進しているが，地上波の帯域ではSHV

東京大学は，2014年10月に「集めないビッグデーに対応できないので，SHVのコンテンツは光ケー

タ」コンソーシアムを設立し，その可能性の具現

ブルで配信することになるだろう。地上波放送の化を目指している。

帯域が通信用に割り当てられ，現在の地上波放送

注がインターネットに移行すれば，独居老人宅なども含む全国のほぼ全世帯のテレビがインターネッ

本稿は『人工知能学会誌』2014年11月号に掲

トにブロードバンドで接続される。それにより，載した解説を修正したものである。

ほとんどどの家にもあるテレビが医療・介護や購

参考文献

買支援など生活サービス用の端末になると考えら

Randy Baden, Adam Bender, Neil Spring,れる。
テレビを通じた総合生活サービスにおいて個人

Bobby Bhattacharjee, and Daniel Starin

データを安全かつ安価に管理・活用するために(2009) Persona: an online social network

はPLR等の分散PDSが必要と考えられる。それにwith user-defined privacy. ACM SIGCOMM

関連して，マイナンバーに基づく本人認証を分

Computer Communication Review . Vol. 39,

散PDSのアプリとすることでマイナンバーと分散

pp.135-146.
Gordon Bell (2001) A Personal Digital Store.

PDSを連携させ，図－１のように数多あるサービスIDのひとつとしてマイナンバーを位置付ける

Communications of the ACM , 44: 86-91.

ことにより，マイナンバーの運用に伴うプライバ

Borger (2 014) < ht t ps://w w w.borger.d k / >Accessed 2014-09-30.

シに関する懸念を払拭し，マイナンバーの普及を

Ramon Cáceres, Landon Cox, Harold Lim,

促すことにもなるだろう。
さらに，自由化後の電力小売市場において適正

Amre Shakimov, and Alexander Varshavsky

な競争を促すには，各需要家が自分のエネルギー(2009) Virtual individual servers as privacy

消費に関するデータを持ち，それに基づいて電力

preser v ing prox ies for mobile dev ices.

小売事業者を正しく選択できるようにする必要がProceedings of the 1st ACM workshop onある。そのために米国のGreen Buttonのような

Networking, systems, and applications for

集中PDSを構築するよりも，分散PDSを用いた方

mobile handhelds , pp.37-42.
97

集めないビッグデータ: 情報の分散管理による個人の尊厳と公共の福祉

Yves-Alexandre de Montjoye, Erez Shmueli,

橋田浩一

oukatsukan-Sanjikanshitsu_Shakaihoshou-

Samuel S. Wang, and Alex Sandy Pentland

tantou/0000023379.pdf> 2014-09-30.

(2014) openPDS: Protecting the Privacy

厚 生 労 働 省 (2014) 平 成26年 度 の 診 療 報 酬 改

of Metadata through SafeAnswers. PROS

定 の 概 要. <http://www.mhlw.go.jp/file/06-

ONE , 9(7): e98790 doi:10.1371/journal.

S e i s a k u j o u h o u -12 4 0 0 0 0 0 - H o k e n k y o -pone.0098790.

ku/0000039891.pdf> Accessed 2014-09-30.

Department of Energy (2014) Green Button.

Min Mun, Shuai Hao, Nilesh Mishra, Katie<http://energy.gov/data/green-button> Ac-

Shilton, Jeff Burke, Deborah Estrin, Markcessed 2014-09-30.

Hansen, and Ramesh Govindan (2010) Per-

橋田 浩一 (2013)「分散PDSによる個人データのsonal data vaults: a locus of control for per-自己管理」．
『人工知能学会誌』，28(6), 872-

sonal data streams. Proceedings of the 6th

878.

International Conference . ACM.
PicnicHealth (2014) <https://picnichealth.

Kôiti Hasida (2014) Personal Life Repositorycom/> Accessed 2014-09-29.

as a Distributed PDS and Its Dissemination
Strategy for Healthcare Services. Big Data

Respect Network (2014) <https://www.respect-

Becomes Personal: Knowledge into Mean-

network.com/> Accessed 2014-09-29.

ing , 2014 AAAI Spring Symposim Series.

Doc Searls (2012) The Intention Economy :HealthIT.gov (2014) Your Health Record.

When Customers Take Charge . Harvard<http://www.healthit.gov/patients-families/

Business Review Press. (邦訳 栗原 潔 (2013)

your-health-records> 2014-09-30.

『インテンション・エコノミー』．翔泳社)

東京大学 (2013) 情報銀行. <https://ibank.csis.

Seok-Won Seong, Jiwon Seo, Matthew Nasiel-

u-tokyo.ac.jp/ibank/index> Accessed 2014-

sk i, D eb a ng s u S e ng upt a, S ud he e nd r a

09-30.

Hangal, Seng Keat Teh, Ruven Chu, Ben

厚生労働省 (2012) 在宅医療・介護の推進についDodson, and Monica S. Lam (2010) PrPl: Aて. <http://www.mhlw.go.jp/seisakunitsuite/

Decentralized Social Networking Infrastruc-bunya/kenkou_iryou/iryou/zaitaku/dl/zaita-

ture. ACM Workshop on Mobile Cloud Com-kuiryou_all.pdf> Accessed 2014-09-30.

puting and Services: Social Networks andBeyond .

厚生労働 省 (2013a) シームレスな健康情報活用
基盤実証事業（国庫債務負担行為に係るもの）

Project VRM (2014) <http://cyber.law.harvard.

平 成24年 度 事 業 成 果 報 告 書. (2013) <http://

edu /project v r m / Ma i n _ Page > Accessed

www.mhlw.go.jp/seisakunitsuite/bunya/

2014-09-29.

kenkou_iryou/iryou/johoka/johokatsuyou/dl/

Roy Want, Trevor Pering, Gunner Danneels,houkokusho08.pdf> Accessed 2014-09-30.

Muthu Kumar, Murali Sundar, and John

厚生労働省 (2013b) 病床機能報告制度及び地域

Light (2002) The personal server: Changing

医 療 ビ ジ ョ ン に つ い て. <http://www.mhlw.

the way we think about ubiquitous comput-

go.jp/file/05-Shingikai-12601000-Seisakut-

ing. Ubicomp 2002, 223-230.

98