寓話
鍵を保管する人と鍵で扉を開ける人
城北に、企業顧客の記録文書を専門に保管する記録文書代管会社がある。顧客は書類を送り、『代管契約』に署名して、記録文書の保管方法、触れられる人、破棄までの期間を約束する。契約には明確に書かれている：代管会社は記録文書を受け取り、分類し、棚に並べ、取り出し、破棄できるが、記録文書の内容は顧客に属し、代管会社は別途利用してはならない。
代管会社に新しいプロダクトマネージャーが来て、倉庫の記録文書をめくったところ、一つのビジネス機会を見つけた：これらの記録文書にある業界データを、匿名化分析できれば、非常に価値のある業界トレンドレポートを生み出せる。プロダクトマネージャーは興奮して法務に相談し、できるかどうか尋ねた。
法務は《代管協議》を開き、逐条読んだ後、言った：協議はあなたがこれらのデータを処理することを許可している——受信、保存、取り出し、破棄、各ステップは顧客のために保管するためである。協議はあなたがこれらのデータを使用することを許可していない——分析に使ったり、レポートを作ったり、売ったりしてはならない。処理と使用の境界は、この協議の中で非常に明確に引かれている。
プロダクトマネージャーは納得しなかった：我々は顧客に代わってデータを保管しており、ついでに統計を取るくらい何の問題があるのか？法務は会議室のホワイトボードに二つの欄を描いた。左の欄には「処理」と書き、その下に：受領、分類、保存、取り出し、破棄——いずれも顧客の指示の下での操作。右の欄には「使用」と書き、その下に：分析、集約、モデリング、商業化、公開——いずれも代行会社自身の目的。二つの欄の間に太い線を引いた。
法務はこう説明した。DPA が定めるのは、データに対して何の操作をしてよいか、どの安全基準で操作するか、事故が起きたら誰が責任を負うかだ。それは操作の境界の一式だ。データ使用権が定めるのは、その操作を誰の目的のために行うか——顧客から保管を委託されたためか、自社製品の開発のためか。後者には顧客の別途授权が必要だ。
プロダクトマネージャーは理解した。DPA は鍵を保管する条件だ。倉庫を開け、棚を整理することはできるが、商品を持ち出して売ることはできない。データ使用権は、物を持ち出して使えるかどうかの授权だ。それは通常、個別交渉される条項であり、標準 DPA テンプレートには現れない。
後に代管会社は、分析ニーズのある顧客向けに別途「データ使用許諾付録」を用意した。使用権の開放に応じる顧客は別途署名し、応じない顧客は標準の DPA フローのみを通す。製品ロードマップも二つに分けられた。一つは DPA の範囲内のマネージドサービス、もう一つは使用許諾が必要な付加価値分析サービスである。
法務は年末のコンプライアンス研修で一言述べた。鍵を持っていることと物を使えることは別だ。保管契約が管理するのは鍵であり、使用許諾が管理するのは物そのものだ。