Facebook–Cambridge Analytica スキャンダル ── SNS とデモクラシーの不可逆点

2018年3月17日（土）、 英国の The Observer（The Guardian 系列） と 米国の The New York Times が同時に、 一本の記事を掲載した。 Observer の見出しは「Revealed: 50 million Facebook profiles harvested for Cambridge Analytica in major data breach（暴露 ── 大規模データ侵害で5000万件の Facebook プロファイルが Cambridge Analytica のために収集された）」。 Facebook は前日の3月16日に Cambridge Analytica と SCL Group のプラットフォーム利用停止を先んじて発表しており、 4月4日には CTO の Mike Schroepfer が規模を「最大8700万人」に上方修正した。

これは「SNS は民主主義の道具である」という1990年代以降の楽観論が、 はっきりと反転した日である。 株価では、 危機の起点となった3月16日から27日までの約10日間で時価総額が約800億ドル失われ（CNN 集計）、 政治では Zuckerberg が米上院・下院で計10時間以上の証言を強いられ、 規制では2019年に 50億ドル の罰金、 そして2018年5月25日の EU GDPR 適用開始 へとなだれ込んだ。

報道の構造 ── 内部告発者 Christopher Wylie

報道の中心人物は、 Cambridge Analytica の元社員 Christopher Wylie（当時28歳、 ピンク髪のカナダ人データサイエンティスト）。 彼が記者の Carole Cadwalladr と Emma Graham-Harrison（Observer）、 Matthew Rosenberg（NYT）に詳細を流し、 動画証言を含む内部告発として記事化された。 Observer 記事における彼の一言が、 この事件全体の調子を決めた ── "We exploited Facebook to harvest millions of people's profiles. And built models to exploit what we knew about them and target their inner demons. That was the basis the entire company was built on."（我々は Facebook を食い物にして数百万人分のプロファイルを収穫した。 そして、 その人物について分かったことを利用し、 内なる悪魔を狙い撃つモデルを作った。 会社全体がその上に建っていた）

報道で明かされた仕組みは以下の通り ──

1. 2014年、 ケンブリッジ大学の研究者 Aleksandr Kogan が、 性格診断アプリ "This Is Your Digital Life" を Facebook に登録
2. Facebook 自身の集計で 約27万人 がアプリをダウンロードした
3. 当時の Facebook Graph API 仕様では、 アプリは利用者本人だけでなく その友達のデータ も取得可能 ── Facebook の後の見積もりで 最大8700万人 に及んだ
4. Kogan は研究目的と称してデータを取得したが、 プラットフォームポリシーに違反して SCL / Cambridge Analytica に渡した
5. Cambridge Analytica は、 これを「サイコグラフィック・プロファイル」（性格5因子モデルに基づく心理プロファイル） として整形
6. 2016年米大統領選で Trump 陣営に、 個別のターゲット広告として使用

Wylie は Brexit 国民投票でも使われたと Observer に語ったが、 この線は調査を生き延びなかった。 英情報コミッショナー Elizabeth Denham は2020年10月2日、 調査を終結する書簡で "found no further evidence to change my earlier view that SCL/CA were not involved in the EU referendum campaign in the UK - beyond some initial enquiries made by SCL/CA in relation to UKIP data in the early stages of the referendum process"（SCL/CA は英国の EU 国民投票キャンペーンには関与していなかった ── 国民投票プロセスの初期に SCL/CA が UKIP のデータについて初期的な打診を行った以外には ── という私の従来の見解を変える証拠は、 これ以上見つからなかった）と結論している。 米大統領選の側は残り、 Brexit の側は残らなかった。

Cambridge Analytica の母体は SCL Group という英国の選挙コンサルティング会社で、 後に Trump 陣営の選対 CEO・ホワイトハウス首席戦略官となる Steve Bannon が取締役兼副社長として関与した。 資金提供者は米国の保守系大富豪 Robert Mercer。 政治色が明確だったことも、 騒動を激化させた。

4月10-11日 ── Zuckerberg の議会証言

報道から3週間後の2018年4月10日と11日、 Mark Zuckerberg は米国上院（商業委員会と司法委員会の合同公聴会、 約5時間）と下院エネルギー・商業委員会（約5時間）で証言した。 計10時間以上、 約100人の議員からの質問に答える長丁場となる。

象徴的な場面 ── 上院公式議事録（S. Hrg. 115-683）より ──

Sen. Orrin Hatch（84歳）: "Well, if so, how do you sustain a business model in which users do not pay for your service?"（それでは、 ユーザが料金を払わないビジネスモデルを、 どうやって維持しているのですか）
Zuckerberg（少し間を置いて）: "Senator, we run ads."（議員、 広告を出しています）

このやりとりは、 議員側のテクノロジー理解の浅さを象徴する場面として広く拡散し、 同時に「結局、 規制側は内容を分かっていない」という印象を残した。 一方で Zuckerberg 側は回答の先送りを徹底しており、 両公聴会を通じて約30の回答が "I will have my team follow up with you on what information we have"（チームから後ほど連絡させます）の類で締めくくられている。 具体的な答えは書面回答へ回された。

証言終了後、 Facebook の株価は逆に上昇した ── 市場は Zuckerberg が無傷で生還したと読んだ。 だが、 これ以降の Facebook には「政治と規制の常時相手」というステータスが付与された。

3つの規制当局、 3つの制裁

制裁は単一の当局から出たものではない。 3つの金額はしばしば混同されるが、 根拠も対象も別である。

英国 ── 50万ポンド（2018年10月）。 英情報コミッショナー事務局（ICO）が2018年10月25日に発表。 行為当時に適用されていた1998年データ保護法の上限額である。 ICO は、 収集されたデータに英国ユーザ少なくとも100万人分が含まれていたと認定した。 Denham は「Facebook failed to sufficiently protect the privacy of its users before, during and after the unlawful processing of this data. A company of its size and expertise should have known better and it should have done better.（Facebook はこの違法な処理の前・中・後を通じて、 ユーザのプライバシーを十分に保護しなかった。 この規模と専門性を持つ企業は、 もっとよく知っているべきだったし、 もっとうまくやるべきだった）」と述べ、 "The fine would inevitably have been significantly higher under the GDPR."（GDPR の下であれば罰金は必然的にはるかに高額になっていた）と付け加えている。 Facebook は不服申立ての後、 2019年10月に責任を認めないまま支払いに応じた。

米 FTC ── 50億ドル（2019年7月24日）。 委員会は3対2の票決で、 訴状と和解案を司法省に付託した。 FTC 自身の表現では「消費者プライバシー侵害で企業に科された史上最大の制裁金であり、 世界で科されたプライバシーまたはデータセキュリティに関する最大の制裁金の20倍近い」。 この事件の法的構成は Cambridge Analytica そのものではなく、 2012年の FTC 命令違反である。

罰金以外の制裁内容も重要 ──

• 取締役会に 独立プライバシー委員会 を設置。 委員の解任には取締役会の特別多数決を要し、 プライバシー判断に対する Zuckerberg の統制を外す設計
• CEO Mark Zuckerberg 個人と指名されたコンプライアンス責任者による四半期・年次のコンプライアンス証明。 虚偽の証明には個人の民事・刑事責任
• ポリシー準拠を証明できない、 またはデータ取得の必要性を説明できない第三者アプリ開発者の排除
• 顔認識技術の利用について明瞭な通知と、 従来の開示を実質的に超える利用への事前明示同意
• 命令の有効期間は20年

Chopra・Slaughter の両委員が反対意見を提出した。 Slaughter の論点は金額ではなく免責の範囲で、 集めた証拠は Facebook と Zuckerberg 個人を相手取った提訴を十分に正当化するものであり、 会社と役員を法的責任から解放する範囲が広すぎる、 というものだった。 これは、 2020年以降の SNS 規制論議の起点となる議論である。

米 SEC ── 1億ドル（同日）。 別個の事件で、 法的構成も別である。 Facebook は2015年12月時点で開発者による実際の悪用を把握していたにもかかわらず、 2年以上にわたって投資家に対しユーザデータが "may be improperly accessed, used or disclosed"（不適切にアクセス・使用・開示される可能性がある）という仮定形の開示を続けた、 というのが SEC の主張である。 Facebook は認否を留保したまま和解した。

Cambridge Analytica の倒産

報道から約6週間後の2018年5月2日、 Cambridge Analytica と英国の関連会社 SCL Elections は、 英米で破産手続に入った。 同社の声明は違法性を否定したうえで報道に責任を帰した ── "the siege of media coverage has driven away virtually all of the Company's customers and suppliers"（報道の包囲によって、 当社の顧客と取引先はほぼすべて離れた）。 同じ関係者はすでに Emerdata という新会社を登記しており、 取締役には Alexander Nix と Robert Mercer の娘たちが名を連ねていた。 だが「ブランドとしての Cambridge Analytica」は完全に終了した。

ただし、 同社が保有していた「サイコグラフィック・プロファイル」のデータ自体は、 完全な廃棄が確認されていない。 元社員らが新会社を起こしており、 「政治広告のサイコグラフィック・ターゲティング」という手法自体は業界で生き残った。

楽観の道具から警戒の対象へ

Cambridge Analytica 事件が変えた構造は、 短期的な罰金や倒産を超える ──

1. SNS と民主主義の認識の反転: 2010-11年のアラブの春で民主化の道具と称賛された SNS が、 2016年米大統領選と Brexit を経て、 2018年のこの事件で民主主義の脆弱点として認識されるようになる。 Denham の終結書簡もまさにこの語彙を使い、 調査結果は "confirms my earlier conclusion that there are systemic vulnerabilities in our democratic systems"（民主的なシステムに構造的な脆弱性が存在するという私の従来の結論を裏づける）と書いた。 以後の西側政治では、 SNS 規制は超党派の共通課題となる。

2. データプロテクション規制の世界的本格化: 報道の2ヶ月後、 2018年5月25日に EU 一般データ保護規則（GDPR） が適用開始（事件とは独立した経緯だが、 事件によって世界的な追い風を得た）。 米国カリフォルニア州の CCPA（2018年成立、 2020年施行）、 ブラジルの LGPD、 日本の改正個人情報保護法 ── すべてこの時期に集中している。

3. プラットフォーム責任論の本格化: 自社は単なる中立的なパイプにすぎないという立場を、 Facebook は事件以降強く言えなくなった。 コンテンツモデレーション、 アルゴリズム責任、 政治広告の透明性 ── 後の Twitter Files、 EU Digital Services Act（2022年成立、 2024年2月に全プラットフォームへ適用）、 Online Safety Act（英国 2023） の議論はすべてここに連なる。

4. 「データ = 政治的資源」という認識の普及: それまで「データはマーケティング資源」とされていたものが、 「データは選挙結果を変えうる戦略的資源」と認識されるようになった。 中国 ByteDance への米国データ流出を巡る TikTok 禁止議論（2020-2026） も、 直接的にこの問題意識の延長線上にある。

そして、 Mark Zuckerberg はこの後 ── 2019年に暗号通貨 Libra 計画で再び議会に呼ばれ、 2020年の Black Lives Matter / Trump 発言問題で社員ストライキ、 2021年に内部告発者 Frances Haugen の「Facebook Files」流出、 2021年10月の社名 Meta 化、 2024年の AR グラス試作機 Orion 発表 ── と、 「常に政治の俎上にある CEO」として現在も続いている。

2018年3月17日を境に、 SNS は「楽観の道具」から「警戒の対象」へ変わった。 まさに分水嶺である。