スペインのYouTuber、カルレス・タマヨが、いつものくだけた、ユーモラスで鋭いスタイルで再び世間をざわつかせています。2026年4月にスペインの公共テレビで初放送されたドキュメンタリーシリーズSe nos ha ido de las manos(「手に負えなくなった」)の最終エピソードで、彼は企業がいかに個人データを売買しているかを追っています。

El activo eres tú(「資産はあなた」)と題されたこのエピソードは、居心地の悪い問いを突きつけます。私たちのデータは誰が持っていて、何に使われているのか。そして、何かが無料であるという約束の代わりに、私たちは何を手放す用意があるのか。自分について知りすぎている企業から迷惑電話がかかってくるようになったタマヨは、自らの制作会社をデータブローカーに変え、個人データがどのように収集され、取引されているかを内側から見ることにしました。

データブローカービジネスの仕組みと、GDPR(一般データ保護規則)があなたに与える権利を解説します。

データブローカーとは何か、どうやって儲けているのか

データブローカーとは、人や組織に関する情報を収集・分析・販売する企業です。その情報が買い手にとって価値を持つのは、組み合わせて分析できるからです。習慣、興味関心、位置情報、その他のシグナルは、ますますAIの力を借りて、使える形に縫い合わされていきます。データブローカーは、ほぼ誰でもプロフィールを構築できるようにする原材料を販売しているのです。

例えばタマヨの番組では、あるデータブローカーが、最近赤ちゃんが生まれた人の情報を提供しています。その新米親たちは、新生児向け商品の懸賞に応募する代わりに、病院で自分の詳細を提供していたのでした。

データブローカーは通常、メールアドレス、IPアドレス(新しいウィンドウ)、おおよその位置情報、オンラインでの購入履歴、インターネット検索、アプリ内で選択した興味関心、使用しているデバイスなどを収集します。

電話会社(やその他の企業)から電話がかかってきて、どこで自分の番号を知ったのか不思議に思ったことはありませんか。実は思っているより単純です。Cookie、モバイルアプリ、オンラインフォームがあなたの情報を集め、データブローカーに渡すことがあります。ポイントカード、懸賞、公的記録といったオフラインの情報源も同様です。

Cookieとは何か、何のためにあるのか

どのウェブサイトでも見かけたことがあるでしょう。Cookieを受け入れるか拒否するかを尋ねる小さなポップアップです。おそらく流し読みしてCookieを受け入れ(新しいウィンドウ)、そのまま先へ進んでいるはずです。Cookieが実際に何なのか(新しいウィンドウ)、自分が企業に何を許したのかを考えることもなく。

Cookieとは、ウェブサイトが訪問に関する情報を記憶するためにブラウザに保存する小さなファイルです。データブローカーが注目するのは広告Cookieで、行動プロファイルを構築し、パーソナライズされた広告を配信するために設計されています。

しかし今では、Cookieをはるかに超える方法で追跡される可能性があります。例えばブラウザフィンガープリンティングは、デバイスの特性から固有の署名を生成します。クロスサイトトラッキングは、ウェブサイト間を移動するあなたの行動を追跡します。モバイルでは、広告IDがあなたの行動を永続的な識別子に結びつけることで、同様のことを行います。

Cookieを拒否すればプライバシーは向上しますが、完全に保証されるわけではありません。そして、自分のデータがどこへ行き、誰が保有し、どう使われているかを問い始めると、あなたのデータを取引することがそもそも合法なのかという疑問に必ず行き着きます。

GDPRがあなたをどう守るか

GDPRは、組織や企業がEU内のあらゆる人の個人データをどのように収集・使用・共有・保存するかを定める欧州連合の規則です。EU域外に拠点を置きながらEUの人々を対象とする企業にも適用されます。スペインでは、スペインのデータ保護機関(AEPD)が遵守状況を監督しており、企業がこれらの権利を侵害した場合の苦情も扱っています。

GDPRは、以下の基本的な権利を定めています。

アクセス権:企業があなたについて保有する個人データ、その利用目的、共有先、入手元を確認できます。コピーの請求も可能です。

訂正権:不正確または古い情報を訂正させることができます。

消去権:「忘れられる権利」として知られ、企業がデータを必要としなくなったとき、同意を撤回したり利用に異議を唱えたりしたとき、あるいは違法に処理されていたときに、データの削除を請求できます。

異議を唱える権利:広告へのデータ利用など、特定の種類の処理を拒否できます。ダイレクトマーケティングに対してはこの権利は絶対的で、異議を唱えれば企業は停止しなければなりません。

データポータビリティの権利:企業に提供した個人データを、構造化され、一般的に使用され、機械可読な形式で受け取り、別のサービスプロバイダーに移行できます。これは、企業があなたの同意または契約に基づき、自動化された手段でデータを処理している場合に適用されます。

GDPRは罰則を伴う実効性のある権利を人々に与えていますが、多くの人はこれらの権利を無料で行使できることに気づいていません。企業が手数料を請求したり拒否したりできるのは、請求が明らかに根拠を欠くか過剰な場合のみです。

タマヨの番組が示すように、法律が提供する保証と、一般市民が自分の個人情報を守ることについて知っていることの間には大きな隔たりがあります。その隔たりが、人々が利用可能な法的ツールを使ってデータの主導権を取り戻すことを難しくしています。

データブローカーに対してGDPRの権利を行使する方法

上記の権利は使ってこそ意味があります。どれも弁護士や特別な書式は必要ありません。企業のプライバシー担当へのメール1通で十分です。

データの入手元を尋ねる。企業から連絡があり、自分では詳細を提供した覚えがない場合は、入手元を尋ねましょう。アクセス権に基づき、企業はそれを伝える義務があり、その答えはしばしばデータブローカーに直結します。

アクセス請求を送る。企業やブローカーがあなたについて保有するデータ、その利用目的、共有先を尋ね、コピーを請求しましょう。請求は無料で、企業は1か月以内に返信しなければなりません。複雑な請求の場合はさらに2か月延長できますが、その旨を伝える必要があります。

異議を唱え、消去を求める。同じメールで、マーケティングへのデータ利用に異議を唱え、削除を求めることができます。企業は、不可能な場合や過大な負担となる場合を除き、データを共有した相手にも削除を伝えなければなりません。

Lista Robinsonに登録する。スペインでは、ダイレクトマーケティングを送る企業は、あなたに連絡する前にこの広告オプトアウトリストを確認する義務があります。登録は無料です。

AEPDに苦情を申し立てる。企業が無視したり、正当な理由なく拒否したり、期限を過ぎたりした場合は、スペインのデータ保護機関に無料で苦情を申し立てられます。

そもそもデータブローカーに収集させないようにする

GDPRの権利は、すでに流出しているデータを整理するためのものです。いくつかの簡単な習慣で、ブローカーに届く新しいデータを減らせます。

アプリの権限を見直しましょう。アプリが動作するのに不要なアクセス、特に位置情報、連絡先、写真へのアクセスはオフにしましょう。

必須でないCookieを拒否する。EUのウェブサイトでは、拒否は受け入れと同じくらい簡単であるべきで、行動プロファイルの元になる広告Cookieをブロックできます。

閲覧だけのときはウェブサイトからサインアウトしておく。Google、YouTube、Amazon、ニュースサイトにサインインしていると、検索、視聴、閲覧、購入するすべてがアカウントに紐づけられます。サインアウトしたままブラウジングすれば、企業があなたに結びつけられる情報が減ります。

プライバシー重視のブラウザを使う。FirefoxやBraveなど、多くのトラッカーをデフォルトでブロックするブラウザがあります。プライバシーに焦点を当てた欧州の代替ウェブブラウザを検討するのもよいでしょう。

Proton Mailに乗り換えましょう。私たちのプライベートで安全なメールサービスは、あなたのメールを読むことができず、広告、追跡、監視のために受信トレイをスキャンすることもありません。マーケターがメッセージを開いたタイミングなどを把握するために使うトラッキングピクセルもブロックします。

IPアドレスを隠すためにVPN(新しいウィンドウ)を使いましょう。ウェブサイト、アプリ、広告ネットワークからIPアドレスを隠し、位置の推定やウェブサイトをまたいだ行動の関連付けに使われないようにします。Proton VPNにはNetShieldという機能があり、広告やトラッカーを読み込まれる前にブロックします。独立した監査を受けたノーログポリシー(新しいウィンドウ)を採用しているため、オンラインでの行動記録を保持しません。

暗号化されたパスワードマネージャーで、強力でユニークなパスワードを作成しましょう。そうすれば、1つのアカウントが侵害されても残りが露呈することはありません。Proton Passは、ニュースレター、懸賞、オンラインショップ用にhide-my-emailエイリアスも提供します。あるエイリアスに迷惑メールが届き始めたら、誰が共有または漏洩した可能性があるかを確認し、そのエイリアスを無効化できます。

タマヨの番組が明らかにしているように、データブローカーは私たちのデータに依存するビジネスモデルの一部です。しかし、GDPRと私たちのプライバシーを守るツールは、主導権を取り戻す手段を与えてくれます。目標はインターネットから消えることではなく、誰が、何のために私たちのデータにアクセスできるのかを意図的に決めることです。