ノースウェスタン大学の研究者たちは過去2年間、何万人という科学者たちの習慣を分析してきた。彼らが分析に使ったのはDropboxだ。

科学者たちのフォルダ共有の習慣を調べた研究者たちは、成功している科学者たちの共同研究時の行動にいくつかの共通点があることを発見した。そして7月20日、彼らはその研究結果を米『ハーバード・ビジネス・レビュー（HBR）』の記事で発表したのだ。

この研究は、すぐにアカデミアの注目を浴びた。しかし、Dropboxやノースウェスタン大学の研究者たちが期待していたのとは違う理由でだ。

読者の注目を浴びた一文

この記事は、ノースウェスタン大学複雑系研究所（NICO）のアダム・パーとブライアン・ウッジ、そしてDropboxでエンタープライズインサイト部門のマネジャーを務めるレベッカ・ヒンズが執筆した。そのなかで、読者が特に注目したのはこの一文だった。

「Dropboxはわれわれに、2015年5月から2017年5月までに同プラットフォームを利用した科学者全員分のプロジェクトフォルダ関連のデータへのアクセスを提供した。科学者たちの所属大学は1,000校にのぼる。われわれはそれを集計・匿名化した」

Dropboxが研究者に、個人を特定できる数十万人分の情報を共有したようにもとれる書き方である。HBRは公開から4日後にその一文を修正し、データは研究者たちの手に渡る前に匿名化・集計されていたとした。

「Dropboxはすべてのユーザーデータについて、研究者に提供する前にすべて解読できない方法で匿名化しています。個人が特定されうるユーザー情報はすべて読めないようレンダリングしており、個人のメールやフォルダ共有IDもそこに含まれています」と、Dropboxの広報担当者は『WIRED』US版に話した。

5億人以上いるDropboxのユーザーも、「匿名化前のデータが研究者の手にわたっているのでは」と心配する必要はないだろう。ただしDropboxの担当者いわく、自分のデータが研究に使われることへのユーザー同意の根拠は、プライヴァシーポリシーと利用規約だけだったという。

なぜ内容を知らずに分析が行えたのか？

「われわれはNICOへの共有前にデータセットをランダム化、ハッシュ化しました。個人を特定できるいかなる情報も含まないよう、それをさらに広範囲でグループ化しています」と、Dropboxは詳細を説明している。「加えて、NICOの研究パートナーたちは厳格な秘密保持義務で縛られています」

ノースウェスタン大学のパーも、『WIRED』US版にこの声明を裏付ける回答をしている。パーいわく、彼と彼のチームはDropboxのフォルダーやファイル内のいかなる個人情報やコンテンツも閲覧できなかったという。

パーのチームはDropboxに「ウェブ・オブ・サイエンス」（論文の引用頻度をもとに科学者をランク付けしているインデックス）の参照情報を送っており、Dropboxはそれと対応するフォルダーのデータをペアにしていった。その後データは匿名化・集計され、分析のために研究者のもとに送られたというわけだ。

ただし、個人名が消されていても、フォルダーのタイトルやファイルの構造をもとに個人を特定することは可能だと、コロラド大学ボルダー校情報学部のケイシー・フィスラー教授は話す。

Dropboxのヒンズは、その後のブログの投稿で、まさにその懸念について言及しているように見える。彼女は投稿で「大学のランキングや引用数といったものはグループ化されていた」と記した。

またDropboxの担当者も、データの匿名化と集計に使われた手法は、事後の識別を不可能にするものであるとしている。ただし、彼らはそのプロセスの詳細は明かさなかった。

研究に対する直接の同意は「なし」

そうとはいえ、今回の研究が研究者たちがアクセスしたDropboxのユーザー数千人の同意なしで行われたという印象は消えない（HBRは当初、ユーザー40万人分のデータが分析されたことを示唆していたが、Dropbox側は研究で16,000人分のデータを扱ったとしている）。

HBRは記事公開から4日後の7月24日遅くに2つめの注釈を加え、研究者たちは当初は「ユニークユーザー」40万人分の情報に着手したが、ウェブ・オブ・サイエンスのデータと組み合わせたあとでその数を16,000人分まで減らしたと記した。

さらにHBRは記事を更新し、研究対象になった大学が「1,000大学」ではなく「1,000学部」だったとした。

フェイスブックでも問題になった「インフォームド・コンセント」

学術研究に欠かせないインフォームド・コンセント（十分な情報を伝えた上での相手の同意の取得）は、2014年にフェイスブックをトラブルに陥れた原因のひとつでもある。

2014年、同社はいわゆる「感情伝染実験」の実験結果を発表したが、この実験は倫理審査委員会（IRB）の承認なしで行われていたのだ。報道によると、データはフェイスブックによって収集され個人を特定できる状態になかったため、研究を行った大学はIRB対象外と考えたのだという。

Dropboxの担当者たちいわく、それはデータが匿名化された状態で研究者に共有された今回の研究でも同様だったという。

しかし、この同意の問題はコロラド大学のフィスラーやユニヴァーシティ・カレッジ・ロンドンの大学院生であるフレデリック・ブルーディの懸念を引き起こした。ブルーディはその不安をツイートしている。

「Dropboxの利用規約とプライヴァシーポリシー、そしてファイルが今回の研究に使われたかもしれない科学者たちの反応をみるかぎり、科学者の同意なしで外部の研究者にデータをわたすというDropboxの判断は問題だったと思います」とフィスラーは言う。

Dropboxの根拠は「プライヴァシー規約」

Dropboxの担当者たちは『WIRED』US版に対し、ユーザーは同社のプライヴァシー規約に同意した時点で研究に合意していると言い、サーヴィス向上のためのデータ利用に関する項目を示した。その内容はこうだ。

Dropboxは、アカウントで行った操作（ファイルまたはフォルダの共有、編集、表示、移動など）を含む、お客様による本サービスの利用状況に関連した情報を収集します。Dropboxは、本サービスの改善、新しいサービスや機能の開発、Dropboxユーザーの保護のためにこの情報を使用します。

加えて彼らが挙げたのは、第三者とのデータ共有に関する箇所だ。

Dropboxは、本サービスの提供、改善、保護および宣伝のために信頼できる第三者（カスタマーサポートおよびITサービスプロバイダーなど）と提携しています

今回の研究が具体的にどうDropboxのサーヴィス向上につながるのかは、HBRの記事やDropboxのブログ投稿からは明確にはわからなかった。ただしDropboxの担当者たちは、チームの協働に関するインサイトは同社がよりよい機能をデザインするのに役に立つと『WIRED』US版に説明している。

Dropboxを利用する大学6,000校への影響

通常、この類の研究は論文審査のある学術誌で発表されるものであり、データのオーサーシップや出典元が明記されている。しかし、今回の研究は査読のないジャーナルで発表されたため、評価が非常に難しくなってしまった。

Dropboxのヒンズは『WIRED』US版のコメント要請には応えず、彼女のTwitterとLinkedInのページは7月24日に削除された。Dropboxの担当者たちは、『WIRED』US版を直接ヒンズにつなげることはしなかった。

「パフォーマンスの高いチームの秘密はなんでしょう？ スタープレイヤーでしょうか？ それともヴェテラン並の経験でしょうか？ Dropboxとノースウェスタン大学複雑系研究所（NICO）の共同研究で、われわれはそうした問いへの答えを探りました」と、ヒンズはDropboxのブログで書いている。

しかし、フィスラーやブルーディといった研究者たちは、別の問いを立てている。

誰がどのくらいの期間、このデータにアクセスできていたのか。どんな種類（無料や有料など）のDropboxのアカウントが影響下にあったのか。ほかにこのような方法で行われている研究があるのか。この論文は査読に出されるのか。

その答えは、Dropboxを利用している6,000以上の大学の研究者たちに影響するだろう。