感染者と接触者を隔離するアプリは、COVID-19の感染拡大を抑えるうえで非常に効果的である。
これらのアプリでは、政府がデータを収集し、個人の位置を特定する必要があり、プライバシーへの懸念につながっている。
既存の規制ガイドラインは、国ごとのアプローチを取り、必要に応じて強化することで効果的に活用できる可能性がある。
COVID-19への対応として、多くの国が致死的なパンデミックと闘うためにデジタル接触追跡技術（DCT）に頼るようになった。概して、これらは感染者を検出・追跡し、感染者を非感染者から隔離するためのアクセス許可を与えるために用いられるアプリである。
新たな研究によると、英国やスペインなど、DCTを導入した国では、手作業による接触追跡よりも、COVID-19の感染拡大を抑え、命を救ううえで優れていることが示唆されている。COVID-19の感染拡大を抑え、命を救うこと。
デジタルインフラ、検査、ソーシャルディスタンス、ワクチンと組み合わせることで、DCTはパンデミックとの闘いに革命をもたらす可能性があり、日常生活を元に戻すうえで不可欠になると期待されている。
しかし、利用者はある程度のプライバシーを手放さなければならない。ほとんどの接触追跡サービスでは、少なくとも位置情報の報告が求められるためだ。そのため、政府に私生活をのぞき見されることに、人々は警戒心を抱いている。
接触追跡にはリスクもある
DCTを成功させるには、テクノロジー企業と政府の間に「便宜的な結婚」関係が必要であり、その結果、前例のない規模で個人データが蓄積されている。
中国では、政府がDCTを実施するために、アリババとテンセントと報じられている。一方、韓国では政府が同じ目的のためにNaverとKakaoと緊密に連携している。
同様に、米国および欧州では、一部の州や国が、アップル、グーグルなどの開発企業と協力してDCTを導入している。
この状況を慎重に見る向きもあり、政府によるテクノロジー企業への規制権限は、やがて弱まる可能性があり、プライバシーの懸念を引き起こすと指摘している。こうした懸念は、アップル、 グーグル、フェイスブックが、各国の政治指導部や政治プロセスに対する影響力を強めるために権力を行使している最近の事例を受けて、一層強まっている。
さらに深刻なのは、こうした技術が一部の国では警察や国家による管理と結びついていることである。カナダおよび日本では、接触追跡データが公開されたことで、感染者に対する社会的な烙印押しが広がった。さらに、韓国では、QRコードデータのうち半分しか破棄されていなかったことが最近問題となった。
法的な補完措置や多様なガイドラインを超えた監督はほとんど及ばないまま、ビッグテックと政府が個人データに対して大きな影響力を持っている。
Danbee Back、Cornelius Kalenzi、Moonjung Yim
ここで問題となるのは、テクノロジーガバナンスの体制が、DCTの導入と、公衆のプライバシーへの懸念への対応に備えられており、実際にそれを実現できるかどうかである。さらに、政府は、どのようにして公衆のDCTへの信頼を築き、医療制度がCOVID-19以降もDCTを利用できるようにすればよいのか。
新たな領域：デジタル接触追跡のガバナンス
データプライバシーに関する多くの懸念があるため、接触追跡には、DCTに対する公衆の信頼を確立し、COVID-19以降も継続的に利用されることを保証するための規制という形でのガバナンスが必要である。
DCTは、プライバシーという基本的人権と民主主義を尊重する法制度の枠組みの中で機能するよう設計される必要がある。DCTのガバナンスを実現するための先進的な提案がいくつか現在議論されており、その中には、認可された公共目的のためのアクセス・データガバナンスモデルという、フォーラムによる枠組みも含まれている。これに加え、より包括的な規制制度も検討されている。
現実には、あらゆる分野において、ビッグテックと政府が個人データに対して大きな影響力を持っており、法的な補完措置や多様なガイドラインを超えた監督はほとんど及んでいない。この進化し続ける議論において十分に検討されていないのは、既存の制度や規制体制をベンチマークとして活用し、DCTに対する安全策を構築して公衆の信頼を確保できるかどうかという点である。
現時点では、各国は主に次の3種類のガバナンスアプローチに依拠しているようだ。
韓国、シンガポール、台湾、イスラエルなどの一部の国は、規制の更新に依拠している。
米国などの国は、自主規制を採用しており、プライバシーや政府の過剰な介入への重視を抑えている。
欧州では、政府がDCTを既存の規制枠組み（GDPRなど）に適合させるため、企業と協力する取り組みを進めている。
後者に関して言えば、各国が柔軟に対応し、その政治的・社会的状況の中で何が機能しうるかをベンチマークできるような、既存の規制が複数存在している。
既存のガイドラインへの取り組み方
第一に、社会的烙印に関する問題に早急に対処し、個人の接触追跡データが安全に保たれるよう確保する必要がある。そのため、COVID-19に関連した中傷を抑制するための公教育プログラムやキャンペーンを設計すべきである。規制の枠組みの中では、欧州の忘れられる権利が役立ちうる。ただし、個人データを漏えいさせたり、インターネットを使って他人をネットいじめしたりする加害者を罰するため、法律を改正する必要がある。
こうした取り組みを通じて、政府は技術を社会的烙印から切り離し、COVID-19以降もDCTに対する持続的な信頼を築けるようになるかもしれない。
もう一つの選択肢は、韓国、台湾、シンガポールが示した例に各国が倣うことである。これらの国がDCTの導入に成功したのは、既存のプライバシー法およびデータガバナンス法を、DCTを対象とする法律によって補強したためである。また、他の国々は、DCTの文脈で既存の法律の見直しを迅速に進めることを検討できる。特に、DCTは、米国のように法制度が時代遅れの国でも運用されていることが判明しているためである。
現在の世界的な技術導入の速度は目まぐるしいものであるため、DCTの成功を確実にするには、機敏なガバナンスモデル、すなわち法的・制度的枠組みを迅速に見直し採用するモデルが必要である。
規制が複雑な政府プロセスを経る場合には、既存の認可機関や、米国のFDAのデジタルヘルスソフトウェア事前認証（Pre-Cert）のような規制を通じて、安全策を確立または強化することができる。DCTは、市販前の開発プロセスから市販後の追加的な性能検証に至るまで、継続的なモニタリングを通じて安全性と有効性を検証する、同様の方法の恩恵を受けられる可能性がある。
韓国とオーストラリアは、一定期間後にデータを削除することを提案しており、これは独立した信頼できる監視機関を通じて実施されるべきである。
Cornelius Kalenzi
公衆がこうした機関を信頼できると判断すれば、DCTは利用者の間である程度の信頼を得られるかもしれない。
とはいえ、導入規模とそこに含まれるプライバシーデータの量を考えると、現在信頼されている認可機関や手続きだけでは、プライバシーを確保するには不十分な可能性がある。つまり、強制力のある追加のガイドラインが必要になるかもしれない。
注目すべき点の一つは、接触追跡データが暴露の追跡のみに用いられ、決して共有されないよう確保することである。韓国とオーストラリアを含む一部の政府は、一定期間後にデータを削除することを提案しており、これは独立した信頼できる監視機関を通じて実施されるべきである。
その他の安全策としては、ノルウェーのデータ保護機関および英国のデータ倫理・イノベーションセンターの取り組みに倣うことも考えられる。これにより、自由民主主義の倫理的・社会的制約の中で、DCTの潜在的な恩恵を最大限に享受する方法を明らかにできる。信頼できる審査プロセスを通じて、「イノベーションを阻害する」規制を強いることなく罰則を執行でき、同時にテクノロジーへの信頼を築くことができる。
世界中でDCTがどのように監督されている（あるいは監督されていない）かをめぐるプライバシーリスクと市民の信頼の欠如を踏まえると、政府は既存の体制の強化から始めて、この技術への信頼を醸成するための安全策の構築に注力しなければならない。
政府が利用者の信頼を得ることができれば、DCTが信頼され、COVID-19後の世界において世界の医療制度に不可欠な存在となる状況を生み出せるかもしれない。
