「IPアドレスなんて、ただの数字の羅列に過ぎない」と思っているなら、2016年に欧州で下された歴史的な判決を知ると驚くかもしれません。

あなたがブラウザでウェブサイトを開いたり、メールのリンクをクリックしたりするたびに、使用しているデバイスはインターネット上に足跡を残しています。それがIPアドレスです。かつて多くのテック企業や広告会社は、IPアドレスはモデムやルーターを識別するものであり、生身の人間を特定するものではないため、個人情報には当たらないと主張していました。

しかし、その主張は2016年10月19日に覆されました。欧州司法裁判所（CJEU）は、「パトリック・ブライヤー対ドイツ連邦共和国」の裁判（事件番号：C-582/14）において、動態（ダイナミック）IPアドレスであっても、特定の条件下において「個人データ」に該当するという判決を下したのです。

この判決は、現代のインターネットプライバシー法の基礎となりました。今日、あなたがインターネットを利用する際に送信しているIPアドレスは、世界で最も厳格な法律によって保護される対象となっています。

なぜ単なる数字が「個人情報」になるのか？

なぜ法律がIPアドレスを個人情報として扱うのかを理解するには、現代のプライバシー法が「識別可能性」をどのように定義しているかを知る必要があります。EUの一般データ保護規則（GDPR）が施行される前、多くの人は名前やマイナンバー、住所といった直接的な情報だけが個人情報だと考えていました。

しかし、あなたの日常のインターネット利用を思い浮かべてみてください。午前8時にカフェのWi-Fiに接続し、午前9時半にオフィスのネットワークにログインし、午後8時に自宅のルーターから動画をストリーミング再生する。この一連の行動は、極めて正確な行動履歴と位置情報の追跡を可能にします。

法的な専門用語で、これは「間接的な識別」と呼ばれます。

GDPRの前文第30項（Recital 30）では、IPアドレスやクッキー（Cookie）などのオンライン識別子は、他の情報と組み合わせることで個人を特定するプロファイルの作成に利用できると明記されています。広告会社やウェブサイト側は、あなたの本名を知らなくても、IPアドレスを追跡するだけで、あなたという個人をターゲットに広告を配信したり、ネット上の行動を監視したりできるのです。

ウェブサイトがあなたのIPアドレスから具体的にどのような情報を読み取っているかについて興味がある方は、ウェブサイトがIPから見ているものを解説した記事をご覧ください。想像以上に多くの情報が筒抜けになっていることに驚くはずです。

これらのデータはあなたを他の何億人ものユーザーから区別できるため、世界的な規制において個人データとして分類されています。

大西洋を挟んだ法律の対比：GDPRとCCPA

プライバシー保護は世界的な潮流ですが、ヨーロッパとアメリカではIPアドレスに対するアプローチが異なります。

欧州連合（EU）：GDPRによる予防的アプローチ

GDPRの下では、データの保護は「予防的」に行われます。EU市民のIPアドレスを収集・処理・保存するすべての企業や団体は、そうするための明確な法的根拠を持たなければなりません。

例えば、欧州のウェブサイトを訪問した際、運営者はマーケティング目的で勝手にIPアドレスを記録することはできません。一般的にクッキーバナーなどを通じて、ユーザーから明示的な同意を得る必要があります。あるいは、DDoS攻撃からサーバーを守るなどの「正当な利益」があることを証明しなければなりません。さらに、そのセキュリティ上の必要性がなくなれば、IPアドレスは削除されるか匿名化される必要があります。

カリフォルニア州：CCPA・CPRAと「オプトアウト」の権利

一方、アメリカでは州ごとに法整備が進んでおり、その先頭を走るのがカリフォルニア州です。2020年に施行されたカリフォルニア州消費者プライバシー法（CCPA）およびその改定法であるCPRAは、また異なるアプローチを採用しています。

CCPAにおいて、個人情報は「特定の消費者または世帯を識別し、関連し、説明し、直接的もしくは間接的に関連付けることが合理的に可能な情報」と定義されています。そして、この定義の中にIPアドレスが「識別子」の一つとして明記されています。

ただし、GDPRが「事前に同意を得る（オプトイン）」仕組みであるのに対し、CCPAは主に「事後に拒否する（オプトアウト）」仕組みをとっています。企業はIPアドレスを収集できますが、プライバシーポリシーでその旨を開示し、ユーザーに対して「私の個人情報を販売・共有しないでください」というオプトアウトの権利を提供しなければなりません。もし企業がデータ漏洩を起こし、暗号化されていないIPアドレスなどの個人情報が流出した場合、消費者は1件あたり100ドルから750ドルの法定損害賠償を求めて提訴することができます。

これら2つの主要な法律の存在により、グローバルなプラットフォームは、欧州の厳しい同意義務とアメリカのオプトアウトの仕組みの両方に対応せざるを得なくなっています。

私たちにはどのような権利があるのか？

法律がIPアドレスを個人データと認めたことで、ユーザーである私たちには、企業によるデータ取り扱いをコントロールするためのいくつかの権利が与えられています。

お住まいの地域によって細かな違いはありますが、現代のプライバシー法が保証する主な権利は以下の通りです。

開示請求権（知る権利）：ウェブサイトがあなたのIPアドレスを含むどのような個人データを収集し、何に使用しているかを明確に説明するよう求めることができます。
アクセス権：企業が保有しているあなたの個人データのコピーを提供するよう請求できます。
削除権（消去権・忘れられる権利）：サーバーのログからあなたのIPアドレスを削除するよう企業に要求できます。
差別されない権利：プライバシーの権利を行使したり、追跡を拒否したりしたことを理由に、サービスの利用を拒否されたり、異なる料金を請求されたりすることはありません。

しかし、理論上はこれらの権利があっても、自分が訪れるすべてのウェブサイトに対して手動で削除請求を送ることは現実的ではありません。広告ネットワークは、あなたがページをロードする一瞬の間に、裏でデータを共有しているからです。

広告技術がどのようにユーザーのデータを追跡しているか、その具体的な仕組みについては、広告主があなたを追跡する方法を解説した記事に詳しくまとめています。手動でのデータ削除が難しいからこそ、多くのユーザーが「自分のリアルなIPアドレスをはじめから見せない」という対策を選んでいます。

IPアドレスのプライバシーを守る自己防衛策

データが収集された後に法律を頼る手法は、どうしても後手に回ってしまいます。より積極的なプライバシー保護を行うためには、ウェブサイトや広告ネットワークにあなたの本物のIPアドレスを最初から渡さない仕組みを作ることが不可欠です。

最も効果的な方法は、インターネット通信を信頼できる中継サーバーを通すことです。

VPNとプロキシの活用

VPN（仮想プライベートネットワーク）は、デバイスから送信されるすべてのデータを暗号化し、安全なサーバーを経由して目的地に届けます。接続先のウェブサイトにはVPNサーバーのIPアドレスが表示されるため、あなたの自宅のIPアドレスや大まかな現在地は完全に隠されます。

プロキシ（Proxy）も同様にIPアドレスを中継しますが、VPNのようなシステム全体の強力な暗号化は行われないことが多いです。それぞれの技術的な違いや用途については、VPNとプロキシの違いを比較した記事を参考にして、あなたの利用スタイルに合ったツールを選んでみてください。

ブラウザの設定とWebRTC対策

IPアドレスを隠すツールを使っていても、ブラウザの通信規格であるWebRTCの脆弱性などによって、IPアドレスが漏えいすることがあります。ブラウザの設定でWebRTCを無効化したり、プライバシーに特化したブラウザ（BraveやFirefoxなど）を使用したりすることも、有効な防衛策となります。

プライバシー法は、企業がユーザーのデジタルフットプリントをどのように扱うべきかを大きく変えました。これらの法的な保護と、自ら導入できるプライバシー技術を組み合わせることで、私たちはネット上のプライバシーをしっかりと手元に取り戻すことができるのです。