人はプライバシーを高く評価していると言いながら、行動においては個人データをわずかな見返りで、ときには何の見返りもなく引き渡す。この不一致は「プライバシー・パラドックス」（privacy paradox）と呼ばれる。文献には対立する二つの陣営がある。一方は、行動こそが真の選好を示すのだから、プライバシーの価値は低く、規制は緩められるべきだと説く。他方は、行動は認知バイアス、操作、そして無知によって歪められているのだから、正されるべきはその歪みのほうだと説く。Daniel Solove（2021）は第三の、そして急進的な立場を取る。パラドックスは神話である。なぜなら行動は特定の文脈におけるリスク判断であり、態度は一般的な価値判断だからだ。両者は別のものであり、一致しないことは矛盾ではない。
本稿は Solove が正しい地点から出発するが、彼が立ち止まったところでは立ち止まらない。まず、文献がおおむね見落としてきた一つの区別をはっきりさせる。プライバシーと安全（セキュリティ）は同じものではない。プライバシーとは、情報を誰が、どの文脈で見るのかという問いである。安全とは、情報が権限のない奪取から守られているかどうかという問いである。プライバシー・パラドックスの文献は、この現象を主としてプライバシーの軸で検討してきた。ところがある特定の事例型、すなわち安全への懸念を声高に語りながら、機微な文書を大手の商用クラウドに置き、内容が暗号化されていてもやり取りの関係地図をまるごと商業的に処理するプラットフォームを通じて連絡を取る利用者は、安全の言語を話しており、Solove の「文脈依存の合理的リスク」という枠組みにはきれいに収まらない。ここでの矛盾は態度と行動のあいだにあるのではない。矛盾は宣言された脅威モデルと、現実の脅威構造とのあいだにある。さらにこの人物は二つの軸を取り違える。大手ブランドの安全上の評判を、プライバシーの保証だと思い込むのである。そして最後には、「安全こそ自分にとってすべてだ」という語りが施為的な儀礼へと変わり、実際に守られているという経験の代わりに置かれる。人は宣言したがゆえに守られていると感じる。本稿はこれを Acquisti ら（2015）のコントロール・パラドックスと可塑性の知見によって裏づけ、この行動が人格の欠陥ではなく、正常な認知と、壊れた情報構造とが生む予測可能な帰結であることを示そうとする。
よくある光景を思い浮かべてほしい。ある人はプライバシーを高く評価している。自分のデータは守られるべきだと言い、安全なくして信頼はないと語り、デジタルの世界には慎重に向き合うべきだと強調する。注意してほしいのは、その人が使う言語が最初から最後まで安全の言語だということである。秘密、保護、暗号、漏洩の危険。そして同じ人物が、身分情報と署名を含む機微な文書を、ありふれた商用クラウドストレージのアカウントにアップロードする。日々のやり取りは、内容が暗号化されていても、誰といつどれくらいの頻度で話したかを記録し、その関係地図を広告経済につなぐ大手プラットフォームを通じて行う。一方で、自分のデータをはるかに少ししか集めない代替サービスには、「知らない」あるいは「信用できない」と言って近づかない。
この光景は一貫していないように見える。最初の反応は簡単で、しばしば口にされる。「この人は自分が何を言っているか分かっていない。言うことと、やることが矛盾している。」本稿はその最初の反応から出発するが、それを結論としてではなく問いとして扱う。なぜなら、この光景は例外ではなく規則だからである。何百万もの人が、何百万回も、まさにこのように振る舞う。ある現象がこれほど広く見られるなら、それを個人の欠陥として説明するのは学問的に脆弱である。広く見られるものは、説明されるべき構造を指し示している。
私たちの問いはこうである。人はなぜ、自分が大切だと言うものを守らないのか。さらに鋭く言えば、守っていないにもかかわらず、なぜ守られていると感じるのか。この第二の問いこそ、本稿の主たる寄与が生まれる場所である。
この現象は半世紀近くにわたって観察されてきた。最初期の実験の一つでは、人々は擬人化されたショッピング・ボットとやり取りするなかで、自ら表明していたプライバシー上の懸念とは正反対に、「たった一度の買い物セッションで自分についてかなり多くを明かすプロフィールが作れるほどの情報」を共有した（Spiekermann et al., 2001, 転引：Solove, 2021）。その後の年月に、数十の研究が同じ型を繰り返した。人は一ユーロの割引のために生年月日と月収を差し出す。閲覧履歴を八ドルで売る。無料のメールサービスが内容を走査していると知りながら、走査しない代替サービスには年に十五ドルを超えて払おうとはしない（Solove, 2021）。
先に進む前に、しばしば互いの代わりに使われながら実は別物である二つの概念を分けておく必要がある。本稿の事例は、まさにこの区別の上に立っているからである。
安全（security）とは、情報を権限のないアクセス、奪取、破壊から守ることである。情報セキュリティの古典的な枠組みはこれを三つの見出しにまとめる。機密性（情報には権限のある者だけがアクセスできること）、完全性（情報が許可なく改変されないこと）、可用性（必要なときに情報が手元にあること）。安全の問いはこうである。このデータを攻撃者が盗み、盗聴し、あるいは破壊できるか。その侵害は具体的である。アカウントの乗っ取り、漏洩、パスワードの解読、中間者攻撃。
プライバシー（privacy）はこれとは別の問いである。このデータを誰が、どの文脈で、何のために見ているのか。プライバシーは、情報がそれ自身の文脈から切り離され、別の文脈へと流し込まれることによって侵害される。あるデータが技術的に完璧に守られ、いかなる攻撃者もそれに触れられない、ということはありうる。だが、サービスを提供する企業そのものがそれを走査し、プロファイリングし、第三者に開き、あるいは法的要請と引き換えに国家へ渡しているのなら、安全は高く、プライバシーは低い。
二つの軸は互いに独立して動く。大手の商用クラウドサービスは、攻撃者に対しては極めて安全でありうる（強固なインフラ、暗号化された保管、二段階認証）。それでもプライバシーの面では弱くなりうる。サービスの所有者自身がデータにアクセスするからである。あるメッセージングアプリは内容をエンドツーエンド暗号化（E2EE: End-to-End Encryption）することで安全性を高めながら、それでも誰が誰と、いつ、どれくらいの頻度で話したか、すなわち通信履歴を集めて商業的に処理しているなら、プライバシーの面では弱いままである。これに対し、内容を E2EE で守りつつ、通信履歴の収集も最小限に抑えるアプリは、二つの軸を同時に引き上げる。単純に見えるこの区別が、第6節で事例の核心を解く鍵になる。
ここでもう一つ、用語の罠にも注意を促しておきたい。安全の下位項目である「機密性」（すなわち権限のないアクセスを妨げること）と、プライバシーの日常語での言い換えである「秘密にしておくこと」は、同じ語で呼ばれながら別のものである。のちに見る Solove の「プライバシーは秘密ではない」という警告は、まさにこの混同に向けられている。諸概念のこの入り組みは、単なる言葉の問題ではない。すぐ見るように、人の頭のなかにある現実の混乱の源でもある。
プライバシー・パラドックス文献の大きな本体は、この現象をプライバシーの軸で構成する。人はデータを誰に開いているか、広告のためのプロファイリングに応じているか、選択的な共有をしているか。これに対し本稿の事例は、安全の言語で語る利用者を中心に据える。その間の緊張こそ、本研究の独自の鉱脈である。
プライバシー・パラドックスにおけるこのずれへの応答は、二つの陣営に集まる。
第一の陣営：行動評価論（behavior valuation）。行動は宣言よりも信頼できる尺度である。経済学の言葉では、態度は「表明選好」（stated preference）、行動は「顕示選好」（revealed preference）とされ、顕示選好こそ真の選好だとされる。人がデータを安く交換しているのだから、プライバシーには低い価値しか置いていないということになる。結論。プライバシー規制はプライバシーを過大評価しており、後退すべきである（Cooper、Ben-Shahar、Goldman といった著者たち。転引：Solove, 2021）。
第二の陣営：行動歪曲論（behavior distortion）。行動は真の選好を映さない。歪められているからである。認知バイアス、フレーミング効果、操作的なインターフェース設計（いわゆる「ダークパターン」）、無知、そして惰性が人の選択を損なう。結論。規制はこうした歪曲要因を減らし、人が自分の真の選好に沿った選択をできるようにすべきである。
興味深いのはこうである。第二の陣営を擁護する者の多くは、パラドックスを明るみに出した研究の著者たち自身である。自分の知見に落ち着かなくなり、「問題含みだ」「不気味だ」と評し、行動を説明しようとしてきた研究者たちである（Solove, 2021）。本稿の概念的な背骨の三つの脚は、まさにこの地点で立ち上がる。まず第二の陣営の最も強い形（Acquisti）、次に両陣営をともに退ける立場（Solove）、そして最後に、そのどちらにも見えていない亀裂である。
行動評価論は直観的には魅力がある。人が何を言うかではなく、何をするかを見よ。しかしそこには一つの論理的な誤りがある。この誤りを最も明快に示すのは Solove である。ある人が特定の店で、特定の瞬間に、特定のデータを一ドルで渡したという事実から、その人が「プライバシーに一ドルの価値を置いている」という結論は出てこない。そこから出てくるのはただ一つ、その個別の取引においてリスクを低く見積もった、ということだけである。この議論は、狭い観察から広い一般化へと飛躍している。この飛躍がなぜ無効なのかを見るには、まず行動がどれほど揺れ動くものかを理解する必要がある。それが私たちを第二の陣営へ導く。
Acquisti、Brandimarte、Loewenstein（2015）は、Science 誌に発表した包括的な総説において、プライバシー行動を相互に結びついた三つの主題のまわりに組織する。この三つの主題は、パラドックスを「非合理」と切り捨てることなく説明する。
不確実性（uncertainty）。人は二つの水準で不確実である。自分の共有がもたらす帰結についても、自分自身の選好についてもである。著者たちの印象的な表現によれば、プライバシーの帰結と自分の感じ方に関して、人はしばしば「大海のただなかにいる」（at sea）のであり、自らの行動を導く手がかりを探し回る（Acquisti et al., 2015。原文：“Because people are often ‘at sea’ when it comes to the consequences of, and their feelings about, privacy, they cast around for cues to guide their behavior.”）。情報は非対称である。データがいつ、誰によって、どのような帰結とともに集められるのかは、たいてい見えない。さらに人は自分の選好すら知らない。プライバシーは、「人は商品やサービスや他人について自分がどれくらい好きかをほとんど分かっていない」という規則の例外ではない。
文脈依存性（context dependence）。同じ人が、ある状況ではプライバシーに無関心でありながら、別の状況では過度に不安になりうる。不確実さのなかにいる人は手がかりにすがるのだから、行動もまた文脈によって変わる。Westin の有名な「プライバシー原理主義者、実際家、無関心層」という類型は、固定した人格類型ではない。著者たちの言い方では、「私たちは誰もが、時と場所に応じて、プライバシーの実際家であり、原理主義者であり、あるいは無関心層である」（Acquisti et al., 2015。原文：“we are all privacy pragmatists, fundamentalists, or unconcerned, depending on time and place”）。
可塑性（malleability）。ここが本稿にとって最も重要な主題である。人が自分の懸念を左右している要因に気づいていない一方で、自らの利益が他者の情報開示にかかっている機関は、その要因の専門家である。初期設定、インターフェース設計、コントロールの感覚。これらはプライバシーへの懸念を活性化させることも、抑え込むこともできる。著者たちが冒頭で立てている一文こそ、私たちのテーゼの種である。ソーシャルメディアにおける「より大きなコントロールの提供は、安全であるという錯覚を生み、より多くの共有を促す」（Acquisti et al., 2015。原文：“the provision of greater control on social media, which creates an illusion of safety and encourages greater sharing”）。
この三つの主題は、具体的で、居心地の悪い知見となって現れる。
コントロール・パラドックス。自分のデータについて、より多くの明示的なコントロールを与えられると、人はより多く共有する。コントロールが表向き目指していたものとは正反対である。コントロールの感覚は、現実のリスクを変えないまま、防御を下げる（Brandimarte, Acquisti & Loewenstein, 2013、転引：Acquisti et al., 2015）。
プライバシーポリシーの誤解。ある調査では、参加者の62% が、サイトにプライバシーポリシーが存在することを、「そのサイトは許可なくデータを共有できない」という意味だと誤って解釈した。つまり、たいてい読まれもしないポリシーがただ存在するというだけで、「自分は守られている」という感覚が根拠なく生み出される（Acquisti et al., 2015。同じ知見は Solove においても Turow et al., 2009 に基づいて伝えられている）。
誤った手がかり、誤った信頼。あるオンライン実験で、人々は「How Bad R U」のような素人くさく粗雑な作りのサイトのほうが、形式的で専門的な見た目のサイトよりも、多くの個人情報を、それどころか犯罪を構成しうる情報までも明かした。ところがその形式的な見た目のサイトのほうは、別の参加者たちによってはるかに安全だと評価されていた（Acquisti et al., 2015）。人は安全の合図を体系的に読み違える。安全なものを危険だと、危険なものを安全だと思いうる。
この最後の知見を覚えておいてほしい。実験室のなかで、人が現実の脅威を誤った場所に置くことの証拠であり、本稿の亀裂へと直接つながっていく。
Acquisti の三つの主題は、この領域の全体を代表しているのだろうか。この問いに最もまとまった答えを与えるのは、「プライバシー・パラドックス」という主題を体系的に走査した総説である。Gerber、Gerber、Volkamer（2018）は、関連する 181 の研究をふるいにかけ、そのうち三十八件を量的に検討した総説において、文献がパラドックスを説明するために生み出してきた諸アプローチを八つの系統に分ける。便益と費用の計算（privacy calculus）、限定合理性と判断の偏り（Acquisti の主題群の核）、個人的経験と技術的知識の不足、社会的影響、リスクと信頼の均衡、量子意思決定モデル、コントロールの錯覚、そして最後に、パラドックスは「方法論的な人工物」ではないかという主張である。この目録は Acquisti の概念枠組みをより広い地図の上に置き直す。不確実性、文脈依存性、可塑性は、この領域がさまざまな名で繰り返し再発見してきた型なのである。
この総説の最も目を引く点は、その実証的な秤にある。数十の研究の効果量を並べたとき、最も強く最も安定した規定要因として現れるのは便益・費用の計算である。人が共有から期待する具体的な利得こそが、共有の意図も実際の共有も最もよく予測する変数である（Gerber et al., 2018）。これに対し、パラドックスをもっぱら「認知バイアス」で説明するモデルへの証拠は期待されたより弱く、人口統計的要因にいたってはほとんど無視できる水準である。この結果は本稿にとって二つの含意をもつ。第一に、行動を「非合理なバイアスの堆積」として読むのは、データが支えている以上に強い読みである。人はおおむね、不完全ではあれ、便益の計算をしている。第二に、そしてより重要なことに、この知見は次節の扉を開く。もし行動が本質的に文脈に埋め込まれた便益とリスクの判断であるなら、それを一般的な「価値」の判断と並べて「矛盾」と宣言することは、最初から誤って立てられた比較でありうるからである。
Acquisti の「可塑性」という主題は一つの扉を開くが、抽象的なままにとどまる。どのバイアスが、どの設計によってか。Ari Ezra Waldman（2020）は、同じ現象をまさにこの具体の水準で扱う。合理的行為者モデル、すなわち人は情報を与えられれば自らの利益に最もかなう開示判断を下すという想定が、実践においてだけでなく原理においても崩れていると論じる。開示判断を損なう広範な認知的障壁があるからである。Waldman は最も一般的な五つを挙げる。
アンカリング（anchoring）。判断の瞬間に最初に見た情報へ不釣り合いに引きずられること。Waldman が伝えるある実験では、しだいに露出の大きい自撮り写真を先に見せられた参加者は、そのあと自分についてより多くの情報を明かした。見せられた画像が「何を共有するのが適切か」という認識を係留したのである（Chang et al., 2016、転引：Waldman, 2020）。
フレーミング（framing）。同じ選択肢が良く見せられるか悪く見せられるかで判断は変わる。テクノロジー企業はデータ収集を誘導的な言葉で枠づける。「クッキーを許可しないと機能が制限されます」、あるいは「データ収集をオンにすると新しい便利さが得られます」（Waldman, 2020）。肯定的な側面が前面に出され、その代価は見えなくされる。
双曲割引（hyperbolic discounting）。目先の帰結を過大に、将来の帰結を過小に見積もること。開示の便益（手軽さ、アクセス、社会的なやり取り）はすぐに訪れ、その危険はたいていずっと後に感じられる。だから人は今ここで共有するほうに傾く。ある研究では、利用者は、同じ価格でプライバシーに配慮した選択肢があるにもかかわらず、少しだけ安い映画のチケットのためにより多くの個人情報を渡すことに応じた（Jentzsch et al., 2012、転引：Waldman, 2020）。
選択過多（overchoice）。選択肢が多すぎると人は麻痺する。プライバシーにおいて問題なのは選択肢が存在することではなく、人が行うことを強いられる選択の数である。モバイルアプリはときに二百を超える許可を求める（Hartzog, 2018; Olmstead & Atkinson, 2015、転引：Waldman, 2020）。
メタ認知（metacognition）。人はある判断の難しさを、あるときは「重要だ」という合図として、あるときは「不可能だ」という合図として読む。プライバシーを守ることが難しく見えるとき、多くの人はそれを不可能さの印と受け取り、ニヒリスティックに諦め、判断を初期設定に委ねる（Mourey, 2019、転引：Waldman, 2020）。これは、まもなく見る Solove の「無力な明け渡し」に認知的な地盤を与える。
これらのバイアスはひとりでに働くのではない。設計がそれらを武器に変える。Waldman は、利用者を本来ならしない行為へと導く設計上の仕掛けをいわゆる「ダークパターン」（dark patterns）と呼び、この領域に定着した定義を伝える。ダークパターンとは、「あるオンラインサービスに利益をもたらすインターフェース設計上の選択であり、利用者を強制し、誘導し、あるいは欺くことによって、もし十分に情報を与えられ、代替を選べる状態にあったなら下さなかったであろう判断へと追い込むもの」である（Mathur et al., 2019、転引：Waldman, 2020。原文：“interface design choices that benefit an online service by coercing, steering, or deceiving users into making decisions that, if fully informed and capable of selecting alternatives, they might not make”）。Waldman は設計の力を手品師の手さばきになぞらえる。手品師は「人々に自由な選択の錯覚を与えながら、どの選択肢を選んでも自分が勝つようにメニューを組む」（Harris, 2016、転引：Waldman, 2020）。
Waldman がたどり着く結論は、本稿の背骨とそのまま重なる。彼によれば、いわゆるパラドックスは、「利用者がプライバシーに無関心であることを映すのではない。むしろ、プラットフォームが私たちの認知的な限界につけ込むために設計を用いる、そのやり方に対して、利用者が予測可能な仕方で反応していることを映している」（Waldman, 2020。原文：“Any supposed paradox does not reflect users’ disinterest in privacy; rather, it reflects users responding in predictable ways to the ways in which platforms leverage design to take advantage of our cognitive limitations”）。この読みにおいて、合理的行為者の体制は偶然にではなく、「失敗するように設計されている」（Richards & Hartzog, 2019、転引：Waldman, 2020。原文：“designed to fail”）。
Solove（2021）は両陣営をともに越える立場を取る。パラドックスはパラドックスではない。一致すべき二つのものが、そもそも存在しないからである。興味深いのは、この直観が孤立していないことである。第4節で触れた体系的総説の八番目の説明もまた、パラドックスの少なくとも一部は「方法論的な人工物」ではないかと提起する。態度はたいてい連続的な尺度で（どれくらい重視しますか）、行動は二値の基準で（このプロフィールを公開にしましたか）測られる。別々の二つのものを別々の道具で測っておいて、一致しないことに驚くのは、測定の誤差を現象と見なすことかもしれない（Dienlin & Trepte, 2015、転引：Gerber et al., 2018）。Gerber らはこの可能性を慎重な仮説として残す。Solove のほうは、同じ直観を概念と法の水準で極限まで運ぶ。
リスクは価値ではない。パラドックス研究における行動は、プライバシーの価値についてのものではない。特定の文脈におけるリスクについてのものである。リスクとは損害の潜在性であり、価値とはあるものに与えられる一般的な重要性である。人が自分の本の題名を一ドルの割引と引き換えにしたとき、そこから出てくる結論はただ一つ。「この瞬間、この店に、このデータについて、リスクを、一ドルの報酬を賭けるに足るほど低く見た。」Solove はこれを一つの「小テスト」で示し、正解は「どれでもない」だと述べる。
自分のプライバシーを重んじることは、プライバシーを重んじることとは異なる。人は自分自身のためにはプライバシーを選ばないかもしれないが、それでもプライバシーを価値あるものと見なすことはできる。Solove の類比は明快である。ある人は選挙権を一般的に価値あるものと見なしながら、自分では投票しないかもしれない。投票しないことは、選挙権を価値あるものと見なしていないことを意味しない。
プライバシーは秘密ではない。データを共有することは、プライバシーのすべてを手放すことではない。人は自分の情報を誰からも隠したいのではない。選択的に共有し、有害な使われ方をされないようにしたいのである。情報の時代にいかなるデータも共有しないことは、「森のなかの小屋で暮らす」ことによってしか可能ではない。共有しているということは、プライバシーを価値あるものと見なしていないという意味ではない。（この第三の区別は、第2節で開いた用語の罠の、Solove における対応物である。プライバシーとは「すべてを秘密にしておくこと」ではない。）
自己管理は規模に耐えない。ここが Solove の政治的な一撃である。現行の規制はプライバシーを「プライバシー自己管理」（privacy self-management）によって守ろうとする。ポリシーを読め、オプトアウトせよ、設定を変えよ。しかしこの計画は巨大で、複雑で、終わりがない。人が関係するすべてのプライバシー通知を読むには、年におよそ 201 時間かかるだろう（McDonald & Cranor, 2008、転引：Solove, 2021）。何千もの機関があるなかで何千回もオプトアウトすることは、「大洋をカップで汲み出す」ことに似ている。完全に合理的な人間でさえやり遂げられない。
無力な明け渡しは合理的である。この不可能さを前にして、無力な明け渡し（resignation）は理にかなった反応である。Solove は、プライバシーの専門家である自分自身でさえ明け渡していると告白する。与えられるコントロールは幻想であり、「忙しくさせるための仕事」（busy work）である。人にはより多くのボタン、スイッチ、チェックボックスが与えられるが、それらは現実の保護ではない。しかも悪循環が働く。人は懸念を口にする。その人に自己管理が与えられる。不可能な計画に失敗する。失望して明け渡す。しかし懸念は続く。循環は繰り返される。罪は個人に着せられ、あげくに個人は自分自身を責める。
解決：構造を規制すること。それゆえプライバシー規制は、個人を管理者にすることをやめ、情報が使われ、保管され、移転される仕方を形づくっている構造を規制しなければならない。プライバシーは市場で売り買いされる商品ではなく、自由な社会を構成する要素である。Tufekci（2018）の言い方によれば、「データのプライバシーはむしろ、何百万もの個人の選択の英知に委ねることでは実効的に規制しえない公共財である大気の質や安全な飲料水のようなものだ」（原文：“air quality or safe drinking water, a public good that cannot be effectively regulated by trusting in the wisdom of millions of individual choices”）。
注目すべきはこうである。Acquisti と Solove はここで出会う。Acquisti もまた、「個人に情報を与えること、あるいは個人に力を与えることだけに依拠する政策アプローチは不十分な保護しかもたらさないだろう。透明性とコントロールは、単独で用いられるとき根本的に不十分であり、それどころか裏目に出うる」という結論に達する（Acquisti et al., 2015）。二つの源泉が、異なる道を通って、同じ扉に至る。個人を責めるのではなく、構造を規制せよ。
ここまで、文献は私たちに堅固な地面を与えてくれた。いまや私たちは、それが終わるところから始める。
序論の光景に戻ろう。安全への懸念を口にしながら、機微な文書を汎用のクラウドに置き、連絡は通信履歴を商業的に処理する大手プラットフォームを通じて行い、より少ないデータしか集めない代替サービスには「知らない」と言う利用者。Solove の枠組みはこの光景の一部を説明する。「安全は重要だ」（一般的な態度）と「文書はクラウドにある」（文脈依存のリスク判断）は別の軸であり、したがって両者のあいだに矛盾を探すのは誤りである。その通りだ。しかし Solove の枠組みは、この光景の核心を説明できない。ここでの決定的な点は「一般的な態度と個別のリスク」という区別ではないからである。決定的な点はこうである。この人物は、安全の言語で語りながら、守りたいと願うまさにそのものを、プライバシーの軸において明け渡している。Solove のモデルにおいて、行動は文脈依存ではあれ的を射たリスク評価である。ところがここでは、リスク評価そのものが軸を取り違えている。この人物は安全上の脅威に注意を集中し、プライバシー上の脅威をまったく見ていない。
このずれを説明するのは Solove ではなく Acquisti である。それを最もよく見せてくれるレンズは、第2節で立てたプライバシーと安全の区別である。事例のなかの利用者は安全の言語で語るが、二つの別々のことを取り違えている。
その一、軸の混同。この人物が大手の商用クラウドや大手のメッセージングプラットフォームを選ぶとき、実際に行っているのは直観的な安全の推論である。「この企業は巨大だ、インフラは堅牢だ、サービスは暗号化されている、攻撃者から私を守ってくれる。」この推論は、安全の軸においてのみ言えば、おおむね正しい。内容は実際に権限のないアクセスから守られているかもしれない。誤りは、この安全の保証をプライバシーの保証だと思い込むところにある。なぜなら、その巨大企業自身がデータに、あるいはその通信履歴にアクセスするからである。恐れていた「第三者」は、すでに内側にいる。人はブランドの安全上の評判を見ているために、プライバシー上のリスクをまったく見ない。二つの軸を一つの軸だと思い込む。一方で正しいことが、他方で盲目であることの原因になる。第2節の用語の罠がここで血肉を得る。「安全」だと思っているものは本当に安全である。しかしそれは「プライベート」ではない。そして人はこの違いをまったく感じ取らない。
これはこの人物を非合理にするのではない。ここで一つの点をはっきりさせておく必要がある。第4節の実証的知見と矛盾するように見えうるからである。Gerber らが示したように、人はおおむね便益とリスクの計算をしている。軸の混同はこの計算をなくしはしない。そこに誤ったリスクの入力を差し込むのである。人はプライバシー上のリスクをほとんど零だと思っているので、正しく働く計算でさえ誤った結論に至る。誤りは推論そのものにではなく、推論に入っていくリスクの地図のほうにある。だからこそ同じ行動が、同時に合理的（与えられた地図に照らせば一貫している）でも、誤り（地図が現実を映していない）でもありうる。二つは矛盾しない。Gerber の「最も強い規定要因は便益・費用の計算である」という知見と、私たちの「この人は誤っている」という指摘は、まさにこの区別において和解する。誤りは計算にではなく、計算に与えられたデータのほうにあるのだ。
この区別には具体的な対応物がある。よく使われるあるメッセージングアプリは、内容を E2EE で守って安全性を確保しながら、誰が誰と、いつ、どれくらいの頻度でつながったかを示す通信履歴を集め、それを広告経済につないでいる。内容は守られ、関係の地図は守られない。同じ用途に、内容をやはり E2EE で守りつつ、通信履歴の収集は最小限に抑える代替アプリがある。二つのアプリはどちらも安全の軸では強い。両者が分かれるのはプライバシーの軸である。人はたいてい、より馴染みがあり、より大きく、より多く宣伝されているほうを「安全だ」と言って選び、二つの軸が分かれるこの地点にまったく気づかない。馴染みがあることは、プライバシーの保証ではない。しかし、そう感じさせる。
その二、誤った脅威の地図。人があるサービスを「信用できない」と言い、別のサービスを「信用できる」と言うとき、そこでは一つの脅威モデルが働いている。しかしこのモデルは、たいてい現実のデータ構造からではなく、馴染みがもたらす心地よさ、ブランドの大きさ、人づてに聞いた合図から組み立てられている。馴染みがあって大きいものは安全だと思われ、あまり知られていないものは信用できないとされる。ところが、あるサービスがあなたのデータをどれほど守るかは、それがどれほど馴染みがあるかではなく、データを誰が見て、それを何に使うかによって決まる。これは第4節の「How Bad R U」実験の、日常生活におけるそのままの対応物である。人は安全の合図を読み違え、合図の出どころ（馴染み、見た目の専門性）を現実の保護と取り違える。不確実性（人は自分のリスクを知らず、「大海のただなかにいる」）と可塑性（誤った手がかりが懸念を誤った方向へ向ける）という主題の、直接の帰結である。
この二つの誤りは、個人の頭のなかでひとりでに生まれるのではない。設計によって生み出される。軸の混同には文献上の裏づけがある。Waldman（2020）は、信頼（trust）そのものが設計の標的であり、操作の手段であることを示す。彼の指摘によれば、「ウェブサイトは専門的な設計を通じて信頼の合図を発しながら、その侵襲的なデータ収集の実践を、解読しがたいプライバシーポリシーのなかに隠している」（Waldman, 2020。原文：“Websites cue trust through professional design while hiding their invasive data collection practices in inscrutable privacy policies”）。つまり、人が大きく専門的なブランドを信頼の印として読むことは、個人の甘さではなく、設計が生み出すことを狙っていた効果なのである。軸の混同とは、Waldman が「信頼の操作」と呼ぶものが、プライバシーと安全の軸において結晶した姿である。人は、専門的なインターフェースが放つ安全の感覚を、データに誰がアクセスするのかについてのプライバシーの保証だと思い込む。
ここから、私たちのテーゼの前半を提起する。
矛盾は態度と行動のあいだにあるのではない（Solove は正しい）。矛盾は、宣言された脅威モデルと、現実の脅威構造とのあいだにある。人は一つの脅威の地図を宣言する。しかしこの地図は、現実のデータの流れの地理と重ならない。しかもこの地図の歪みの一つの根は、プライバシーと安全を分けられないことにある。安全の軸で下した正しい判断を、プライバシーの軸でも通用すると思い込むのである。こうして人は、自分の防御を現実の脅威にではなく、想像上の脅威に合わせて配置する。そして、まさに守られていると思っているその場所で、無防備なままとなる。
テーゼの後半はより深く、本当に独自の鉱脈を担っている。事例のなかの人物は、ただ誤った地図を描いただけではない。その地図を声に出して宣言することによって、自分自身のために一つの機能を生み出している。「安全こそ自分にとってすべてだ」という一文は、記述ではなく行為である。人はそれを口にするたびに、口にすること自体から守られているという感覚を得る。実際の保護の行為（通信履歴を集めないサービスを選ぶ、データを安全に保つ）の代わりに、保護の語りが置かれる。私たちはこれをこう名づける。
語りが経験の代わりに置かれること（施為的宣言）。人は自分が守られていると宣言し、その宣言が実際に守られている経験の位置を占める。宣言したがゆえに、守られていると感じる。この感覚は、Acquisti のコントロール・パラドックスの一つ上の層である。あちらでは人に与えられたコントロールが防御を下げていた。ここでは人が生み出した語りが防御を下げる。どちらにおいても機構は同じである。安全の感覚が、安全そのものの代わりに置かれ、逆説的に保護を減らすのだ。
Solove の「無力な明け渡し」と、ここでの「偽りの安心」との違いは重要である。Solove の明け渡す人は受動的である。守りきれないと察し、諦める。しかしそのことを知っている。ここでの人物は守られていると信じている。守れていないことを察しない。それどころか、自分自身の宣言がその信念を与えたのである。明け渡しは目を開いたままの無力さである。偽りの安心は、守られている感覚に覆われた無防備さである。両者の違いは罪ではなく、認知の状態の違いである。そしてこの違いこそ、解決がなぜ「さらに多くの宣言」ではありえないのかを、第8節で説明することになる。
ここで一つ、誠実な境界を引いておかなければならない。「施為的宣言」は直接に測定された知見ではなく、コントロール・パラドックスという実験的に立証された機構から類比によって導かれた提起である。コントロールの感覚が防御を下げることは測定されている（Brandimarte et al., 2013）。だが、宣言するという行為もまた同様の「守られている感覚」を生み、防御を下げるのかどうかは、まだ検証されていない、検証に開かれた仮説である。これは本稿の最も脆く、同時に最も検証可能な主張である。私たちはこれを立証された事実としてではなく、あるがままに、一つの提起として印を付けておく。
いまや私たちは、序論のあの最初の反応に戻ることができる。「この人は自分が何を言っているか分かっていない。一貫していない。」
この判断は誤りである。なぜ誤りなのかは、もう明らかである。事例のなかの行動は、一貫性の欠如でも欠陥でもなく、正常な人間の認知の予測可能な帰結である。不確実性は普遍的である（Acquisti）。人は自分のリスクも自分の選好も、たいてい知らない。文脈依存性は普遍的である。同じ人が、ある場所では慎重に、別の場所では開けっぴろげになる。誤った手がかりを読むことは、実験室で繰り返し再現されてきた。人は安全なものを危険だと、危険なものを安全だと思いうる。プライバシーと安全を取り違えるのにいたっては、その人が不注意である必要すらない。二つの概念は言語においても経験においても本当に絡み合っており、同じ言葉で呼ばれている。自己管理は本当に規模に耐えない（Solove）。無力な明け渡しは本当に理にかなっている。ある行動が何百万もの人において繰り返され、その機構が認知的に説明できるのなら、それを個人の弱さと見なすことは、学問的に誤っているだけでなく、方法として不毛でもある。罪を個人に着せることは、Solove が暴いたあの悪循環の最後の環である。まず人に不可能な課題が与えられ、次にそれを果たせなかったからといって「では気にしていないのだ」と言われる。
では、この現象はまったく人の外側で起きているのだろうか。そうではない。しかしそれが意味するのは罪ではなく、一つの機構である。本当に決定づけているのは、人を絶えず誤った合図へ、馴染みのある大きなブランドを信頼するほうへ、コントロールの感覚で防御を下げるほうへと押しやる構造である。初期設定、いわゆる「ダークパターン」、「私たちにはポリシーがあります」という記章が生む偽りの保証、大手ブランドが自らの安全上の評判（堅牢さ、暗号化、認証）を前面に出しながら、そのプライバシー上の代価（データやその通信履歴に自分たち自身がアクセスすること）を見えなくすること。これらはすべて設計によって生み出された効果である。軸の混同でさえ、ひとりでに生まれるのではない。育てられるのである。個人は、自分のために組み立てられた舞台の上で演じている。施為的宣言が与える安らぎもまたこの舞台の一部である。なぜなら構造は人に、守られていることの現実ではなく、その感覚だけを与えうる道具（より多くのボタン、より多くのポリシー文書、より多くの「コントロール」）を差し出すからである。
こうして序論の素朴な判断は逆転する。説明されるべきは、この人がなぜ「不安定に」振る舞ったのかではない。説明されるべきは、よく働く認知が、悪く組み立てられた情報構造のなかで、いかにして予測可能な仕方で誤るのかである。これは病理ではなく、設計によって形づくられたありふれた認知の帰結である。責任の重心もそれゆえ個人から構造へと移る。次節の政策提起は、まさにここから生まれる。
プライバシー・パラドックスは、その古典的な意味においては、確かに神話である。Solove は正しい。態度と行動は別のものであり、一致しないことは矛盾ではない。しかもこの偽のパラドックスは、しばしばプライバシー規制を掘り崩すための武器として用いられる。だが、神話が論駁されたからといって、説明すべきものが何も残っていないということにはならない。偽のパラドックスの下には、現実の亀裂がある。人が宣言する脅威モデルと、その人が生きている現実の脅威構造とのあいだの亀裂である。この亀裂を開いているものが二つある。一つは、プライバシーと安全の取り違えである。人は一つの軸（安全）で下した正しい判断を、もう一つの軸（プライバシー）でも通用すると思い込み、こうしてまさに信頼しているその場所で明け渡す。もう一つは、保護の語りが保護の経験の代わりに置かれることである。宣言することが、守ることの位置を占める。
この診断には二つの帰結がある。政策の水準では、Acquisti と Solove がともに指し示す方向が正しい。個人をさらに「力づける」こと、その人にさらに多くのボタンとポリシー文書を与えることは役に立たず、それどころか偽りの安心を養って裏目に出る。保護の負担は、個人の背から取り上げられ、データ経済の構造へと負わされなければならない。Waldman（2020）はこの方向に具体的な法の機構を提案する。データを集める企業は、弁護士や医師や税理士が私たちに対して負う責任と同じように、私たちのデータの「情報受託者」（information fiduciaries）と見なされ、注意、守秘、忠実の義務のもとに置かれるべきだ、というのである。忠実義務は、企業が私たちを害することで利益を得ることを禁じる。この枠組みのもとでは、いわゆる「ダークパターン」によって開示へ追い込むことは法的に禁じられる。こうして三つの源泉（Acquisti、Solove、Waldman）が異なる道を通って同じ扉に至る。負担は個人から取り上げられ、データを手にしている構造と、それを組み立てた企業へと負わされる。
しかし個人の水準でも、なお言うべきことが残る。そしてここが、文献が沈黙している場所である。偽りの安心の解毒剤は、さらに多くの宣言ではなく、二つのことが見えるようになることである。第一に、「安全」と「プライベート」は同じものではない。データが攻撃者から守られることは、そのデータを手にしている企業から守られることを意味しない。第二に、「大切だと言っている」ことと「守られている」こととのあいだには距離がある。この二つの区別を見ることは、その距離をひとりでに埋めはしない。だが少なくとも、それを見えるようにする。見えるようにすることこそ、個人を責めるのではなく構造を正すための第一歩である。人は何が守られ何が守られていないかを見分けられるようになったとき、正しい問いを正しい場所へ、すなわちサービスを組み立てた構造へと向け始めることができる。
恐れを口にすることは、守られることではない。その違いを見ること。それが本稿の、ただ一つの、そして十分に難しい提起である。
（APA 第 7 版。直接読んだ一次文献は完全な書誌情報とともに示した。二次文献は、本稿がその全文に直接あたっていないため「転引」と記した。直接引用は一次文献の原文から取り、照合のうえ確認した。）
本稿の直接引用のうち、Tufekci、Acquisti ら、Waldman、Mathur らのものは、いずれも英語で書かれている。 トルコ語版から重ねて訳すと、引用符の中に著者の書いていない言葉が入り込む。そのため、これらの引用は すべて一次文献の原文から直接、日本語に訳した。読者が原文と照らし合わせられるよう、 主要な引用には英語原文を併記している。
原文の「üstveri（メタデータ）」を、本稿では「通信メタデータ」ではなく通信履歴と訳した。 電気通信事業における個人情報保護に関するガイドラインは、この語に法的な定義を与えている。すなわち 「利用者が電気通信を利用した日時、当該電気通信の相手方その他の利用者の電気通信に係る情報であって 当該電気通信の内容以外のもの」である。同じガイドラインの中で「通信履歴」は繰り返し用いられ、 「メタデータ」は一度も現れない。刑事訴訟法もこの枠組みを共有している。
ここには翻訳を超えた事柄がある。日本語では、この種のデータはプライバシーの下にではなく、 憲法第21条第2項と電気通信事業法第4条が定める通信の秘密の下に位置づけられている。 本稿がこのデータを「プライバシー」の見出しのもとで論じるとき、日本の読者にとってその法的な住所は 別のところにある。原文の議論はそのまま保ちつつ、この差はここに記しておく。
消費者庁はこの語について、単一の定義を置くことを意識的に避け、「いわゆる」を付し鉤括弧に入れて用いている。 本稿もその慣行に従った。片仮名表記を残したのは、日本語圏でも英語由来のこの語がそのまま流通しているためである。
初出ではエンドツーエンド暗号化（E2EE: End-to-End Encryption）と記し、以降は E2EE とした。 この表記は情報通信研究機構の研究報告に依拠している。総務省のサイバーセキュリティ用語集にはこの項目がなく、 情報通信白書における「エンドツーエンド」の用例は光ネットワークと 5G のスライシングを指すものであって、 暗号化の文脈ではない。
日本語圏にこの概念の訳語は定着しておらず、片仮名がそのまま用いられている （武邑光裕『プライバシー・パラドックス：データ監視社会と「わたし」の再発明』黒鳥社、2020年）。 無理に漢語へ移すと、本稿が扱う研究文献との接続が切れるため、片仮名を保った。
著者名は原綴りのまま残した。片仮名に移すと、読者が原典や書誌情報にたどり着くまでの道が一つ増えるためである。 この判断は中国語版と同じである。
バージョン 1.0 · 初版：2026年7月21日 · トルコ語原文 v1.1（初出 2026年7月9日、改訂 2026年7月21日）より翻訳