[イーデイリーKim Hyun-ah 記者] 「不透明なスクレイピングをなくすべきだ」という主張に、簡単に反対する人はいないでしょう。

スクレイピングとは、利用者が直接一つひとつ情報を入力しなくても、企業が利用者の同意を得て、複数のウェブサイトに散在する情報を自動的に取得し、一か所で表示する方式です。税金の還付や資産管理サービスにおいて、国税庁や金融機関などに存在する情報を自動的に照会してくれるのが代表的な事例です。

これまで、スクレイピングはフィンテックや税務、オーダーメイド型ヘルスケアなど、様々な革新的なサービスの基盤としての役割を果たしてきました。しかし、利用者の立場からすれば、自身の個人情報がどこで、誰に、どれほど流れているのかを知ることが難しい、不透明なデータ収集であるという限界もありました。無断で個人情報を自動収集しながら、セキュリティ上の責任さえ不明確な構造を、「革新」という理由で放置することもできません。

ただし、ここで明確に指摘すべき点があります。問題は、スクレイピングという技術そのものというよりは、利用者の管理権なしに個人情報を収集したり、収集の過程や責任が不透明だった方式にあるのです。

スクレイピングの転換、「技術の排除」が目標ではない

果たして、スクレイピングを一律に排除することが、マイデータ政策の究極的な目標なのでしょうか。

来る20日から公共部門を皮切りに、個人情報送信請求権、いわゆるマイデータ制度が本格的に施行されます。これは、利用者が自身の情報を希望する企業に直接送信するよう要求できる制度です。これに伴い、従来のスクレイピング方式は今後、API（アプリケーション・プログラミング・インターフェース）方式へと急速に移行する見通しです。

API方式への移行は、データ提供と利用の過程における透明性と管理能力を高めるという点で意義があります。ただし、APIだからといってセキュリティ上の問題が自動的に解決されるわけではありません。どのような技術を使用するかよりも、個人情報をどのような手順と基準に従って収集・管理するかがより重要です。

スクレイピングに依存していた企業の不安が高まる中、個人情報保護委員会は「事前協議」という安全策を設けました。ソン・ギョンヒ個人情報保護委員長は、「8月20日に直ちにスクレイピングを100％禁止し、APIのみを強制するという意味では決してありません」と強調しました。 同委員会はすでに700件余りの事前協議を進めており、従来の収集方式に対する一時的な猶予と、APIへの移行に向けた時間的余裕を提供しています。

政策の方向性は妥当です。問題はスピードと現実性です。

大企業とスタートアップ、移行コストは「天と地」

の差 大企業とスタートアップが置かれている環境は大きく異なります。カカオペイやトスのような大手フィンテック企業は、相当な人材と資本を投入することで、APIへの移行に比較的容易に対応することができます。

一方、少ない人材と資本で革新的なサービスを生み出しているスタートアップにとって、短期間でのAPI構築や高度なセキュリティ体制の整備は、事業の存続を左右する巨大な障壁となり得ます。

国民の個人情報を保護しようとした制度が、うっかりすると、国民に有益なサービスを提供してきた革新的なスタートアップの市場参入や事業の継続を阻むことになれば、「果たして誰のための規制なのか」という疑問を抱かざるを得ません。

実際、NAVER（NAVER(035420) ）やKakao(035720) 、Tossなど、韓国の主要なプラットフォーム・フィンテック企業の成長過程において、スクレイピングが革新的なサービスの基盤として活用されてきたのも事実です。すでに市場に参入して規模を拡大した企業と、今まさにデータに基づくサービスの開発を始めようとする後発事業者との間で、規制対応にかかるコストの格差が拡大すれば、後発のフィンテックやヘルスケア企業の立場からは、つい「はしごを蹴り上げられる」ような扱いだと受け取られてしまう可能性があります。

もちろん、「スタートアップだから規制水準を下げてほしい」という主張ではありません。個人情報を扱う企業であれば、規模に関わらず基本的なセキュリティ対策を講じるのは当然のことです。

ただし、厳格な責任を求めるのであれば、それにふさわしい現実的な支援も伴わなければなりません。

個人情報保護と革新、二兎を追う必要があります。

個人情報保護委員会が事前協議の窓口を設けたことは望ましいことです。これにとどまらず、より具体的なスタートアップ支援策を講じる必要があります。API移行に必要な技術ガイドラインを詳細に提供し、小規模事業者を対象にセキュリティコンサルティングや開発費用を支援する案も積極的に検討する必要があります。

特に、企業の規模やサービスの特性を考慮した段階的な移行が必要です。すべての企業に同一の方式と速度でAPIへの移行を求めるのではなく、個人情報の処理規模やリスクレベル、技術的な準備状況などを総合的に考慮し、移行期間や支援水準を差別化する案を検討する価値があります。

また、「スクレイピング＝絶対的な悪」という単純な二分法からも脱却しなければなりません。問題の本質は技術そのものではなく、制御されていない無断収集と、利用者の管理権の欠如にあります。

利用者の明確な同意の下で、必要なデータのみを安全に収集し、その過程と責任を透明性を持って管理するのであれば、技術的な手法だけで善悪を判断するアプローチは避けるべきです。究極的に重要なのは、どのような技術を使うかではなく、利用者が自身のデータをどれほど安全に管理できるかということです。

マイデータの所有者は企業ではなく「利用者」です

。 マイデータ生態系の真の所有者は、データを収集する企業ではなく、データを生み出した利用者です。制度の成否もまた、企業間のデータ争奪戦ではなく、国民が自身の情報をどれほど安全かつ主体的に管理できるようになったかによって評価されるべきです。

闇のスクレイピング慣行は排除すべきです。しかし、古い慣行を一掃する過程で、新たなイノベーションの芽まで摘んではなりません。小さなスタートアップ企業が、多大な転換コストに押しつぶされてサービスを終了することになれば、結局その被害は、新しいデータサービスや利便性を享受する国民に及ぶことになります。

規制は、異常な市場を是正するための断固たる剣でなければなりません。未来の革新を育むはしごまで蹴り倒す道具になってはなりません。

今回のマイデータ移行の過程において、個人情報保護委員会が示すべきなのは、「どれほど厳しく規制したか」ではありません。個人情報を安全に保護しつつ、スタートアップ企業が市場で生き残り、新しいサービスを生み出せる道を、どれほど精巧に切り開いたかが、より重要です。

個人情報保護と産業革新は、決してゼロサムゲームではありません。マイデータ制度の真の成功は、旧来の技術をどれだけ早く淘汰したかではなく、利用者のデータ主権を堅固に守りながら、どれだけ安全でダイナミックなデータ生態系を構築したかによって評価されるべきでしょう。