問題は、こういったデータ流出や盗難、不始末などが、偶発的な出来事と見なされていることだ。しかし決してそうではない。これらの事件は、われわれの個人情報を収集・保存する企業には、そうする権利がまったくないことを明白に示す証拠だ。責任を持って個人情報を収集・保存する能力が彼らにないのは明らかだ。携帯電話会社がサービス契約に際して、社会保障番号を要求することが許されるようになったのは、いつからだろうか。ディスカウントショップが、不要になったはずのクレジットカードデータを何カ月にもわたって保有したり、企業が重要な機密データを青二才の研修生に預けたりするといったことが、いつから許されるようになったのだろうか。

　「徐々にそうなってきた」というのが正しい答えである。こうしたことは、ある日突然起きるものではない。そして、データを保有している無能な企業と同様、われわれ消費者にもその責任がある。この数年間、プライバシーがさまざまな機会を通じて少しずつ損なわれていくのを見過ごしてきたため、今ではレジにいる十代の店員に電話番号を聞かれても、誰もそれをとがめようとさえ思わなくなってしまったのだ。だがこういったことを改める機会はとうに過ぎてしまった。既に手にしている貴重なマーケティングデータを手放そうとする企業はない。今すべきことは、この状況を改善するために今後何ができるかを考えることだ。

　問題の原因が、機密とされるデータを大量に保有している企業や政府機関が多過ぎることにあるとすれば、これらの組織を方程式から取り除くことが1つの解決策になるかもしれない。TJX傘下の小売業者Marshallは、データ収集業務に携わる必要はない。つまり、何十あるいは何百もの企業や政府機関に自分の社会保障番号、病歴、財務記録などの個人情報を保管させるのではなく、自分が自由意志で一元的データベースにこれらの情報を保存し、「Need to Know」の原則（知る必要のある人にのみ伝える）に基づいてアクセスを許可するようにすればいいのだ。住宅ローン会社、医師、就職先企業の経営者など、自分の個人データを渡してもよいと判断した相手に対して、その時点で必要とするデータのみにアクセスを許可するという方法である。ただし、そのデータをローカルに保存できないようにする必要がある。

　このようなシステムは、Microsoftの新しい「HealthVault」サイトを利用する医療現場などで既に実現されている。HealthVaultでは、消費者が自分の医療記録を作成し、自分が選んだデータを入力できる。必要に応じて、これらの個人データを部分的に企業に提供できる。しかし、この個人情報蓄積方式の最大の障害は、一元的データウェアハウスを構築しなければならないことだ。誰がそれを管理し、その費用を誰が払うのかという問題である。もう1つの大きな欠点は、こういった規模の一元的データベースは、あらゆる攻撃者にとって魅力的なターゲットになるということだ。また、過去の経験から分かるように、強い信念を持ったプロの攻撃者たちは、十分な時間があれば、ほとんど必ずといっていいほど、ターゲットに侵入する方法を見つけ出す。また、一元的データストアを構築したからといって、企業が保有している既存のデータベースから消費者の個人データが削除されるわけではない。民間企業には情報をデータベースに保存していることを個人に教える義務はないため、包括的な一元的データベースを構築することで、従来の問題がいっそう複雑化する恐れもある。

　こうした点を考えれば、消費者データの流出を招いた企業に対して厳しい罰金や制約といった罰則を適用する方が効果的かもしれない。今のところ、そのような連邦法は存在しないが、連邦議会では以前からこの問題が議論されている。この数年間の出来事は、データ流出の発表という不面目が、セキュリティ管理の改善を促す要因になっていないことを示している。消費者も、データ流出を招いた企業を懲らしめようとはしなかった。こういった状況から判断すれば、この疫病に対して効果のある唯一の対策は、厳しい罰金という制裁を科すことであるように思える。法規制がどのような形になり、どう適用されるかはまだ分からない。既存のID窃盗対策は、データ流出問題の原因ではなく、その結果に対処しているにすぎない。

　技術的な解決策であれ、法的な解決策であれ（あるいは両方の組み合わせであれ）、とにかく早急な対策が必要だ。消費者はデータ流出に急速に慣れつつあり、ちょっとした迷惑くらいにしか考えないようになってきた。これは容認しがたい状況だ。現状を容認するという選択肢は、今日と何ら変わらない将来につながるだけだ。それは選択肢でも何でもない。