マクドナルドが私について作った515ページ — ロイヤルティプログラムという監視
マクドナルドが私について作った515ページ — ロイヤルティプログラムという監視
マクドナルドが私について蓄えた515ページは「より良いサービス」のための個人化なのか、それとも割引数枚と引き換えた常時監視の出力物なのか — そしてそのファイルがマクドナルドというサイロの外に漏れ出た瞬間、何が変わるのか。
導入 — データの写しを請求したら515ページが来た
Wired の記者リース・ロジャース(Reece Rogers)がマクドナルドに自分の個人データの写しを請求した。カリフォルニア州民に与えられたデータ閲覧権を行使したのである。返ってきたのは515ページの文書だった。ロジャースがそのなかに見いだしたのは、単なるレシートの束ではなく、自らの過去の行動から未来を推し量って記した一種の予測ドシエ(dossier)だった。今後6週間で彼はマクドナルドを2.16回訪れ、一回あたり平均$13.49を使い、離脱可能性(attrition likelihood)はゼロと格付けされていた。彼が二度と来ない確率はない、とシステムは判定していた。
この記事が放つ力は、数字の一つひとつが衝撃的だからではない。むしろ逆だ。ここに収められたものの大半はロジャース自身がアプリを使いながら残した痕跡であり、企業が顧客生涯価値(CLV)を計算する営みはマーケティングの教科書の最初の章に載るほど古い慣行である。それでもこの515ページが居心地を悪くさせるのは、「割引」と「利便」という名のもとに、我々が何を常時差し出しているのかを、印刷物の束が目の前に突きつけてくるからだ。本稿はまずその文書に実際に何が収められていたのか(事実)を整理し、次にそれがなぜ「監視」という語を呼ぶに値するのか、そして本当に危険な地点はどこなのか(分析)を切り分けて読む。
515ページに実際に収められていたもの — 予測となった購買履歴
まず事実である。ロジャースの報道によれば、515ページの文書には数年分の購買履歴、ロイヤルティポイントの履歴、アカウント活動、彼のアカウントに紐づいたプロモーション・クーポン、さらには彼がマクドナルドのモノポリーゲームでスキャンしたコードまで入っていた。ここまでは「自分が残したログの巻き戻し」と呼べる。問題は、そのログの上に載った解釈の層だ。
文書はロジャースをいくつかの行動セグメントに分類していた。「フード主導の午後の間食(Food-Led Afternoon Snack)」「急ぎの移動中ランチ(On the Go Lunch in a Rush)」といったラベルが彼の来店パターンに貼られた。彼の最上位プロダクトはラージのダイエットコークと名指しされ、システムは彼が次に何を注文するかまで推定していた。ここでよく引き合いに出される表現が『マイノリティ・リポート』である — まだ起きていない行動をデータが先回りして書き込んでいるという意味においてだ。カーネギーメロン大学のプライバシー研究者ロリー・クレイナー(Lorrie Cranor)はこのファイルを見て、ロジャースがどれほど頻繁にマクドナルドへ行くかに驚き、「この人、マクドナルドを本当によく食べているね」と反応したとロジャースは伝える。彼の上司はもう食べるのをやめろと言い、ロジャース本人も同意したというくだりは、この記事が持つ自己告白的なユーモアであると同時に、データが人の行動をどれほど裸にするかの挿し絵でもある。
規模の文脈も押さえておく必要がある。これは一人の風変わりな事例ではない。Fortune の報道によれば、マクドナルドはロイヤルティプログラムのアクティブユーザーを2027年までに1億人規模へ育てるという目標を掲げている。つまり515ページは例外的に分厚いファイルではなく、アプリを使う者の誰にでも存在しうるプロファイルの一つの見本にすぎない。クレイナーをはじめロジャースが取材したプライバシー専門家の診断は冷静だ。この程度の詳細さは侵襲的に感じられうる(may feel invasive)が、米国の大手企業がロイヤルティプログラムを運用するやり方としてはかなり標準的(fairly standard)だ、というのである。言い換えれば、驚くべきはマクドナルドが特別に陰湿だからではなく、これがすでに業界の既定値(default)だという事実のほうだ。
マクドナルド側の説明も記録しておく。同社は過去の購買といった情報を活用し、より没入感のある個人化された顧客体験 — 最も関連性の高いディール・オファー・メッセージを届けること — を提供していると述べた。この文はそれ自体は嘘ではない。ただ同じ文を裏返せば、関連性の高いディールを選ぶために必要なのがまさにこの515ページの観測だ、という意味になる。利便と監視は別々の二つの機能ではなく、一つのパイプラインの表と裏である。プライバシー擁護者ジェフ・チェスター(Jeff Chester)が「マクドナルドの秘伝のソースは実は商業的監視(commercial surveillance)だ」と突いたのも、この地点を狙っている。
「割引」と引き換えたもの — ロイヤルティという監視経済
ではこれは本当に「監視」と呼ぶべきなのか、それとも誇張されたプライバシーヒステリーなのか。この問いは Hacker News の議論でまさに二つの陣営に割れた。以下はいずれも逐語引用ではなく意訳であり、論客たちの解釈であって事実ではない。
「誇張だ」とする側の論理はこうだ。Hacker News の議論では、これは数十年来の CLV アルゴリズムにすぎずプライバシー上の含意は微々たるものなのに、マーケティング概論で習うセグメンテーションを相手に大騒ぎしている、という指摘が出た。別の論客は、515ページという厚みが恐ろしく聞こえるだけで実体は基本的な取引履歴に初歩的な分析を載せたものであり、肝心の位置追跡のような本当に衝撃的な内容は見当たらない、と突いた。50年前の街の食堂の主人も常連がいつ来て何を頼むかを知っていたという反論、そしてこのデータの大半は彼がアプリを使った結果だから相当部分は本人の管理下にあった、という指摘も同じ筋だ。要するに彼らにとって問題は「データが存在する」ことではなく「それがどこまで使われるか」である。
しかしまさにその地点で反対陣営の論理が鋭くなる。Hacker News の議論で繰り返し出た核心は、「サイロが破られるとき」こそが本当の危険だ、というものだ。マクドナルドが自社の事業から生じた取引データを持つこと自体は正当だが、そのファイルがデータ共有協定を通じて Target のような他の小売業者の購買習慣と突き合わされたり、信用情報と結び付けられたりした瞬間、性格が変わるという指摘である。保存コストがほぼ無料の時代に、データは消されず蓄積される。ある論客はマクドナルドがこのデータを健康保険会社に売れば問題になると線を引き、別の者は保険会社が「週にビッグマックを二つ食べるあなたはより大きなリスク」という名目で保険料を上げるのにこうしたデータが動員されうると警告した。ここに「保険は正確なリスクの値付けが本質なのに、なぜ食習慣を考慮してはいけないのか」という反論が付くと、「自分で渡していないデータを、私がマクドナルドに与えたデータをマクドナルドが保険会社に渡すことに同意した覚えはない」という再反論が続いた。この糸は結局、情報の非対称性(information asymmetry)の問題である。
ここからは私の分析だ。「街の食堂の主人」という比喩は規模(scale)を消し去って成立する。食堂の主人の記憶はその店を出ることができず、彼が死ぬか引退すれば消え、他の店の記憶と自動で突き合わされることはない。そのうえ人の記憶には自然な摩耗と忘却がある。Hacker News の議論に上がった一つの逸話がこの違いをよく示している — ある論客は真夜中近くにウェンディーズのドライブスルーに入ったところ、店員がいきなり名前を呼び「また残業ですね、いつものアレでしょう?」と迎えたのに鳥肌が立ち、以後足を断ってタコベルのアプリまで消したと書いた。人の親切な記憶ですら閾値を越えれば監視のように感じられるのなら、消えも忘れもしない機械の記憶については言うまでもない。対してロイヤルティファイルは永続し、複製可能で、結合可能だ。まさにその三つの性質 — 永続・複製・結合 — が「常連を見分ける情」と「商業的監視」を分かつ境界線である。Hacker News の議論で出た別の洞察もこの境界を補強する。データを収集する者には、それが将来どう使われうるか — 政府によってであれ企業によってであれ — をあらかじめ考慮する義務があり、マクドナルドがすでに注文画面をゲーム化してより高価なメニューへ誘導するダークパターンを用いている以上、収集されたデータが結局は顧客に不利に使われると仮定するほうが安全だ、というのである。「今のところは無害に見える」という観察は、将来の悪用への免罪符ではない。
最も正直に押さえるべきは交換の非対称だ。ロイヤルティプログラムの表向きの契約は「データを渡せば割引を与える」である。しかし Hacker News の議論のある論客が皮肉ったように、アプリを使わなければ「カモの価格(sucker price)」を払わされる構造において、その「割引」は贈り物ではなく、正規の価格を人質に取った交渉だ。我々は割引を得る代わりに、永続・複製・結合可能なプロファイルを渡す。この取引の両辺は最初から対称ではない。
サイロが破られるとき、そして消費者にできること
見通しを三つに分けてみる。楽観シナリオでは、このデータはマクドナルドというサイロの中にとどまる。会社はそれで在庫を予測し、関連性の高いクーポンを送り、退屈なキオスクの代わりに「いつも頼むもの」をワンクリックで提案する — Hacker News の議論でもこうした利便を実際の利点と認める声は少なくなかった。このシナリオにおいて515ページは概ね無害だ。
悲観シナリオはそのサイロが漏れる場合である。ロイヤルティデータがデータブローカーを経て結合・販売され、健康保険・生命保険の料率算定や信用判断、あるいは政府の照会に染み込む。2012年に Target がある女性の妊娠を家族より先に推定してみせた事例 — Hacker News の議論でもこの事件が召喚された — は、結合されたデータが人の秘めた状態をどれほど正確に逆算するかを示す古典だ。問題はこの漏出が静かに起きる点にある。ある論客が指摘したように、人々は「プライバシー侵害 Y はどうせ避けられないのだから侵害 X は心配するな」という論理に馴らされ、「正常な」侵害を受け入れるよう訓練される。無害さの累積こそが正常化であり、正常化された侵害は誰も読まない規約のなかで発効する。
最もありそうな現実シナリオはその中間だ。大半のデータはサイロの中にとどまるが、境界は静かに滲む。「侵襲的だが標準的」という専門家の診断がまさにこの灰色地帯を指している。侵襲性と標準性は排他的ではない — この慣行はその両方だ。そして何かが標準になったという事実は、それが正しいという証拠ではなく、我々がそれに慣れてしまったという証拠にすぎない。
では消費者に実際にできることは何か。第一に、ロジャースが行ったまさにその行動 — データ閲覧権の行使だ。カリフォルニアの CCPA、欧州の GDPR は、企業が自分について何を握っているかの写しを求める権利、そして削除を求める権利を与える。515ページという数字が世に知られたこと自体、この権利のおかげである。閲覧は削除の前提であり、削除は結合の材料を減らす。第二に、ロイヤルティという契約を目を開けて結ぶことだ。アプリを消せば「カモの価格」を払うという事実を認識したうえで、その割引が永続・複製・結合可能なプロファイルと引き換えるに値するかを、品目ではなく関係の次元で計算する。第三に、個々の消費者の選択だけでは情報の非対称は是正されないと認めることだ。本当のてこはサイロ間の結合と二次販売を規律する制度 — 目的制限、販売オプトアウト、ブローカー登録制 — にある。個人のアプリ削除は自己防衛であって構造の是正ではない。
結論 — 厚みではなく結合が問題だ
リードの問いに戻ろう。515ページは個人化なのか監視なのか。正直な答えは「今のところは概ね個人化だが、それを監視へ変えるスイッチが会社の側に握られている」だ。この文書が居心地を悪くさせる本当の理由は厚みではない。ある論客が指摘したように厚みはいくらでも水増しでき、収められた内容の大半は我々が自ら残したものだ。居心地の悪さの震源は、そのデータが持つ三つの性質 — 永続し、複製され、結合される — であり、その三つの性質がいつでもサイロを越えうるという潜在性である。
だからこの一件から残す教訓は「マクドナルドをやめろ」ではない。それはロジャースの上司が言ったことであって、この問題の解ではない。残すべき問いはこうだ — 私はどのロイヤルティプログラムに、自分の永続・複製・結合可能な写しを預けてきたのか、そのうち幾つについて、私はデータの閲覧と削除を求められることを知っていたか。監視はカメラから始まるのではない。それは「割引」と書かれたボタンから始まる。
出典: