要約

  • W3Cは9月4日、会員向けと広いコミュニティ向けの2026年調査を別々に公開した。SurveyMonkey上で中国語、英語、日本語が用意され、9月30日に締め切られる。
  • 告知と両フォームの冒頭は回答を匿名とする。ところが会員版の設問13とコミュニティ版の設問12は、面談に関心がある回答者にメールアドレスの提供を求めている。
  • 確認した公開資料には、連絡先が回答本体から切り離されるか、誰が再結合できるか、どの収集メタデータが分析用に渡るか、識別子をいつ消すかが書かれていない。
  • SurveyMonkeyは、匿名性が収集方法ごとの設定に依存し、匿名調査に個人を特定できる質問を置かないよう案内している。これは機能説明であり、W3Cが選んだ設定の証明ではない。
  • Daniel Kadeは「回答と連絡先の分離記録」と二段階の送信を提案する。漏えい認定でも法的評価でもなく、W3Cの現行規則を述べたものでもない。

同じ画面に二つの目的が並ぶ

W3Cの9月4日の発表によれば、回答時間はおよそ8分で、会員だけでなく広いW3Cコミュニティも対象となる。回答は匿名とされ、中国語、英語、日本語の入口があり、締切は9月30日だ。

二つのフォームは対象だけでなく内容も異なる。会員向けは満足度、加盟理由、参加を続ける価値、今後12か月の重点を聞く。コミュニティ向けは標準の質、参加形態、障壁、所属組織が会員になるための条件を尋ねる。どちらにも自由記述と属性項目がある。

終盤で目的が変わる。後日インタビューに参加してもよい人はメールアドレスを書ける。会員版では設問13、コミュニティ版では設問12である。保存した画面では必須表示がなく、冒頭の満足度だけは明確に必須と表示されている。

インタビューには意味がある。選択肢でこぼれた経験を聞き、同じ「参加障壁」でも言語、時差、道具、手続のどこに原因があるかを確かめられる。ただしメールは意見ではない。回答者に戻るための鍵である。追跡調査への同意が、先の回答を本人付きに変えてよいという同意になるわけではない。

匿名とは、鍵が存在しない状態を指す

メール欄があるだけで、W3Cの分析者が批判を書いた人を特定できるとは言えない。反対に「匿名」と書いてあるだけで、技術面でも運用面でも特定不能だと確認したことにもならない。公開画面では、その間の接続規則が見えない。

SurveyMonkeyの匿名回答ガイドは、設定の違いを明記している。匿名回答は収集経路ごとに有効にする必要があり、ウェブリンクは設定を変えなければIPアドレスを記録し得る。匿名にしたい調査では、個人を特定できる質問自体を置かないよう勧めてもいる。一方、招待の追跡情報を調査結果とは別に扱う設計例も示す。

それは選択可能な機能の説明であって、W3Cの実装報告ではない。調べた資料からは、メールが回答行に入るか、分析用ファイルにIPが含まれるか、面談担当が回答内容を見られるかは分からない。報道が守るべきなのは、この不明点だ。結合を推定せず、見えない分離を認証もしない。

用語も分けたい。匿名なら、関係する仕組みと文脈の中で回答から個人へ合理的に戻れない。機密なら、本人を知る者はいてもアクセスが制限される。仮名化なら、管理された置換キーを用いる。部分的な非識別化なら、直接項目はなくても組み合わせで候補を絞れる場合がある。どれも適切な保護になり得るが、同じ約束ではない。

W3C自身のプライバシー原則は、この差を語る材料になる。このStatementはデータ最小化、目的制限、透明性を掲げ、メール入力が文脈をまたいだ人物認識を可能にする例も挙げる。調査が原則に反したと断定する根拠ではない。W3Cがすでに持つ精密な言葉で実際の境界を説明できる、という根拠だ。

一般的なプライバシー文書だけでは足りない

W3Cのプライバシーポリシーは、外部サイトへのリンクや埋め込み資源について、提供元の方針も適用されると告げる。SurveyMonkeyが情報経路に加わることは分かる。それでも、回答を管理する主体、サービスから出る項目、メールを閲覧する役割、削除時期までは分からない。

そこで調査専用の短い記録を置く。会員版かコミュニティ版か、どの言語版かを示す。回答行にメールが入るか、IPや招待メタデータが分析ファイルに渡るかを書く。回答を見る人と連絡先を見る人を役割で分離し、回答、連絡先、事業者ログの保持期間を別々に示す。

小さな集計セルの公開基準も必要だ。年齢層、性別、地域、業界、組織規模に特徴的な自由記述が重なると、専門コミュニティでは候補が少なくなる。それだけで誰かが特定されたわけではない。しかし、少数セルをまとめ、自由記述を公開前に確認する十分な理由になる。

途中で説明や設定を変えるなら、日付と適用範囲を残すべきだ。プラットフォームの説明では、後から匿名設定を有効にしても、すでに届いた回答を匿名にはできない。いつから、どの回答に効いたかは、約束の核心である。

回答を閉じてから、面談受付を開く

最も分かりやすい設計は二つの送信に分けることだ。まず識別情報のない調査を完了する。確認画面から別の面談受付へ進み、希望者だけがメールと一度限りの不透明なトークンを送る。面談担当は同意と日程を管理できるが、分析側はそのトークンから回答行を復元できない。

逆方向の遮断も必要になる。分析担当に連絡先一覧は要らない。日程担当も、メールを知っただけでその人の批判内容を見る必要はない。後の研究で面談と回答を結びたいなら、それは新しい目的であり、改めて明示的な選択を求めるべきだ。

二段階なら削除も説明しやすい。募集終了や同意撤回でメールを消しても、本当に匿名な統計上の寄与は残せる。識別可能な面談記録を削除する一方、設計上探せない回答を「探して削除できる」と約束する矛盾も避けられる。

現在の運用で完全な分離が無理なら、機密、仮名化、部分的非識別化など、実態に合う狭い語を使えばよい。限界を明らかにした約束の方が、根拠の見えない絶対表現より強い。

次回の回答率も、今回の信頼で決まる

W3Cは結果を運用に使ってきた。2025年会員調査の報告は、中国語、英語、日本語の三版から計156件をまとめ、平均値と優先項目を示し、オンボーディング会合、ニュースレター、会費と区分の議論に結び付けた。調査は投票ではないが、意思決定の材料にはなる。

2024年のコミュニティ調査案内も匿名と説明し、英語、フランス語、日本語、中国語のリンクを掲げていた。そこから2026年の保存方式は推測できない。毎年使える分離記録に投資する理由にはなる。

Lu Hengの区別を当てはめれば、参加は証拠を提供しても決定権を移さない。調査後の行動にはW3Cが責任を持つ。問うべきなのは回答者が組織に命令したかではなく、組織が預かった証言をどう守るかだ。

生の回答、メール、面談者名、極端に小さな集計を公開する必要はない。誰が何を、何のために、いつまで結べるか。その構造だけを公開すればよい。

まだ回答期間中である。説明の更新が、送信前の理解と率直さに効く時間が残っている。「匿名」はメール欄の横に置く安心材料ではなく、「完了」を押す前に理解できる接続境界であるべきだ。

出典