プロファイリング (G検定)

2026年8月12日2026年9月2日

G検定

1. 定義と概要

プロファイリングとは、個人に関するデータを自動的に処理し、その人物の職務遂行能力・経済状況・健康・個人的嗜好・興味関心・信頼性・行動・位置情報・移動といった個人的側面を分析または予測する手法です。GDPR第4条4号は、これを「自然人の一定の個人的側面を評価するための個人データの自動処理」と定義しています。

具体例として、ECサイトの閲覧・購買履歴からの嗜好推定、SNS投稿の分析による性格推定、行動履歴に基づく与信スコアリング（個人の信用力を点数化して評価する仕組み）などが挙げられます。いずれも、集めたデータから本人が直接申告していない性質を推し量る点が共通しています。

従来、プロファイリングという言葉は、犯罪捜査における行動科学的な人物推定や、マーケティングにおける顧客分析を指すことが多く、いずれも人間の経験や仮説に依存する部分の大きい手法でした。しかし、ビッグデータとAI（機械学習）の普及によって、Web行動履歴や購買データ、位置情報などを大量に組み合わせた自動的かつ高精度な人物像推定が可能になっています。

分析に使えるデータの量や種類が増えるほど推定の精度は高まる一方、対象となる個人への影響も大きくなる関係にあります。実際に、この推定結果が採用選考や与信審査、保険料率といった個人の重大な利害に関わる決定に使われる場面が増え、GDPRをはじめとする法規制で本人の権利保護を強化する流れが生まれています。

2. 試験対策ポイント

G検定では、GDPR第4条4号が定めるプロファイリングの定義と、GDPR第22条が規定する自動意思決定に服さない権利が重要な論点になります。第22条1項は、データ主体（個人データによって特定される本人のこと）に関して法的効果をもたらすか、または同様の重大な影響を及ぼす、プロファイリングを含む完全に自動化された処理のみに基づく決定（自動意思決定。人が判断に関わらず、コンピュータの処理だけで最終的な結論を出す仕組み）に服さない権利を規定しています。

採用選考の自動スクリーニングや与信審査の自動謝絶は、この「重大な影響」の具体例として関係します。第4条4号が示す評価対象の幅広さは、プロファイリングが単なる購買予測にとどまらず、雇用や与信といった生活に直結する場面で使われる背景にもなっています。

この権利には適用除外があり、データ主体との契約の締結・履行に必要な場合、EUまたは加盟国の法律で認められている場合、データ主体の明示的な同意がある場合の3パターンで構成されます。ただし、適用除外に当たるからといって、データ管理者（個人データの取扱い目的や方法を決める事業者・組織のこと）の負う義務がなくなるわけではありません。3つの類型と保護措置の関係は、次のように分かれます。

適用除外の類型	保護措置の求められ方
契約の締結・履行に必要な場合	データ管理者に保護措置の実装義務が課される
データ主体の明示的な同意がある場合	データ管理者に保護措置の実装義務が課される
EUまたは加盟国の法律で認められている場合	当該法律自体に保護措置を定めることが求められる別建ての規定になっている

データ管理者に課される保護措置は、データ主体の権利・自由・正当な利益を守るためのものです。最低限、人的関与を求める権利、見解を表明する権利、決定に異議を唱える権利の3つが本人に保障される必要があり、この保護措置の内容も条文の要件として押さえておきたいポイントです。

人的関与や異議申立ての機会が確保されることで、誤った自動判断がそのまま確定してしまう事態を防ぐ狙いがあります。3つの権利は、いわば自動処理の結果に人が介入する余地を残すための最低ラインにあたります。

さらにGDPR第22条4項では、人種や思想信条、健康情報といった特別カテゴリの個人データに基づく自動意思決定は、本人の明示的同意等の要件を満たし保護措置が講じられない限り、原則として認められません。プロファイリングの定義、第22条の権利、適用除外、保護措置という一連の要件は、それぞれが独立した論点として整理しておきたい柱になります。

3. 関連概念との比較・相違点

トラッキング（Webサイト上でのユーザーの行動を追跡・記録する仕組み）との最大の違いは、データを「集める」工程か「分析する」工程かという点にあります。担う工程と、その中身を並べると違いがはっきりします。

概念	担う工程	具体的な中身
トラッキング	データを集める工程	個人の行動データをWeb上などで収集・記録する
プロファイリング	データを分析する工程	集めたデータから人物像や将来の行動を分析・推定する

トラッキングで集めたデータがプロファイリングの入力となる関係にあり、Cookie（Webサイトがユーザーのブラウザに保存する小さなデータで、識別や行動記録に使われる仕組み）などがその収集手段の一つになります。両者は工程として連続していますが、収集それ自体は本人の側面を評価するものではない点で、プロファイリングとは役割が異なります。

アルゴリズムバイアス（AIの判断結果が特定の属性の人に対して偏ってしまう現象）との違いは、対象とする範囲にあります。プロファイリングは個人データを分析・推定する処理そのものを指す概念であるのに対し、アルゴリズムバイアスはその処理の結果が特定の属性の人々に対して偏った不公平な判断を生む現象を指します。

つまり両者は、処理そのものと、その処理が生む結果という別々の層に位置します。プロファイリングの精度や公平性に関わる課題として関連する、別軸の概念という位置づけです。プロファイリングの仕組みを理解することは、アルゴリズムバイアスがどの処理段階で生じうるかを把握する手がかりにもなります。

4. ビジネス・実務での活用シナリオ

EC・マーケティングの分野では、ECサイトが閲覧履歴・購買履歴からユーザーをセグメント化（顧客を似た特徴を持つグループに分けること）し、パーソナライズされた商品レコメンドや広告配信に活用しています。

この場面では、トラッキングによって収集された行動データがプロファイリングの入力情報になっており、レコメンドの精度は購買データの分析精度に支えられています。精度の高いレコメンドを提供するほど、利用者の閲覧・購買データをより多く必要とする関係にあります。

金融の分野では、行動データを用いた与信スコアリングや保険料率の算定にプロファイリングが利用されています。GDPRの下では、こうした処理が「重大な影響」を及ぼす完全自動決定に該当しうるため、審査プロセスに人的関与や異議申立ての手当てを組み込む必要があります。

人の目を介さない判断がそのまま個人の与信枠や保険料を左右してしまうと、本人にとって不利益を訂正する機会が失われるためです。そのため金融機関には、スコアリングの根拠を説明できる体制や、異議申立ての窓口を用意する対応が求められます。

犯罪捜査・セキュリティの分野では、行動特徴から容疑者像を推定する伝統的な犯罪者プロファイリングに加えて、AIを用いて大量の行動履歴やSNSデータから危険人物を予測する取り組みが試みられています。

ただし、この分野では誤判定や差別的な偏りのリスクが課題になっており、精度と公平性の両立が実務上の焦点になっています。捜査目的での利用は公共の安全に資する一方、対象となる個人の権利保護とのバランスが常に論点になります。

5. 要点まとめ

プロファイリングは個人データを自動処理し、人物像や将来の行動を分析・予測する手法で、G検定ではGDPR第22条の自動意思決定の文脈で扱われます。
GDPR第22条は法的効果または重大な影響を及ぼす完全自動決定に服さない権利を規定し、契約履行・明示的同意の2つの適用除外時には人的関与などの保護措置が管理者に求められます。法令による除外の場合は、当該法令が保護措置を定めます。
トラッキングはデータ収集の工程、プロファイリングは分析・推定の工程という役割の違いがあり、アルゴリズムバイアスは推定結果に生じうる偏りという別軸の課題です。