どこへ行ったかで信仰も分かる Googleに4億300万ユーロの制裁金

3行まとめ

• アイルランドのデータ保護委員会がGoogleに4億300万ユーロの制裁金を科しました
• 争点は位置情報を集める法的根拠法的根拠個人データを処理してよい理由として、GDPRが求めるものです。DPCはGoogleがこれを持っていたかを調べました。用語集でこの語を見ると、利用者への説明の仕方です
• Googleは2019年以降に運用を改めたと説明しています

何が起きたか

アイルランドのデータ保護委員会（DPC）がGoogleに4億300万ユーロの制裁金を科しました。DPCは、Googleが位置情報を扱う法的な根拠を持っていたかを6年かけて調べました。対象はGoogleの3つの設定「ウェブとアプリのアクティビティ」「ロケーション履歴ロケーション履歴Googleの設定名です。DPCが調べた3項目の1つで、残りは「ウェブとアプリのアクティビティ」と「位置精度」です。用語集でこの語を見る」「位置精度」です。

DPCは、利用者が位置情報の使われ道を知らないままだったと認定しました。Googleは位置情報を、広告での働きかけや、利用者の健康状態と関心の把握に使っていました。DPCが調べた期間は2018年5月25日から2020年2月4日までです。

DPCはGoogleに、6か月以内にGDPR（EU一般データ保護規則）GDPR（EU一般データ保護規則）EUで個人データの扱いを定める規則です。適法・公正・透明な処理を求めます。用語集でこの語を見るに沿う形へ直すよう命じました。Googleの広報担当者は、今回の件は更新済みの過去の方針をめぐるものだと反論しました。2019年以降に運用を改め、位置情報を管理する機能を出した、というのが同社の説明です。

なぜ難しい・何がすごいか

位置情報は、居場所より深いことを言い当てます。ノルウェーの消費者庁Forbrukerrådetは2018年の調査でその例を並べました。礼拝所への出入りは信仰を、デモへの参加は政治的傾向を、病院通いは健康状態を映します。

特定のバーへの出入りからは性的指向まで推し量れる、とForbrukerrådetは指摘しました。この調査がDPCの調べの引き金になりました。

もう一つの軸は同意の取り方です。BEUC（欧州消費者機構）BEUC（欧州消費者機構）欧州の消費者団体の連合体です。Googleの位置情報の扱いについて申し立てました。用語集でこの語を見るは、Googleが利用者を操作して常時の追跡に同意させたと申し立てました。DPCが問題にしたのは、位置情報を集めたこと自体ではなく、集める根拠と説明の仕方でした。

BEUCのアグスティン・レイナ事務局長は、決着までの時間を問題にしました。

結論に至るまでに要した時間は、違反の重大さに見合っていません

たとえ話

位置情報の履歴は、半年分のレシートの束に似ています。1枚では何も分かりません。束ねると、通院の頻度も、毎週日曜の行き先も並びます。

レシートを渡す人は、何に使われるかを聞かされていなければ、中身まで渡した自覚を持てません。DPCが見たのは、この自覚を持てたかどうかでした。

用語ミニ辞典

• GDPR（EU一般データ保護規則）: EUで個人データの扱いを定める規則です。適法・公正・透明な処理を求めます。
• DPC（データ保護委員会）: アイルランドの監督機関です。EU拠点をアイルランドに置く米国の大手テック企業を、EU全域で担当します。
• 法的根拠: 個人データを処理してよい理由として、GDPRが求めるものです。DPCはGoogleがこれを持っていたかを調べました。
• ロケーション履歴: Googleの設定名です。DPCが調べた3項目の1つで、残りは「ウェブとアプリのアクティビティ」と「位置精度」です。
• BEUC（欧州消費者機構）: 欧州の消費者団体の連合体です。Googleの位置情報の扱いについて申し立てました。

技術者向けの深掘り

DPCのグレアム・ドイル副委員長は、位置情報の範囲を広く取りました。単体でも、他の情報と組み合わせても、個人の位置を推定できるデータが当たります。緯度と経度の列だけが規制の的になるわけではありません。

ドイル副委員長は、保持期間の長さも判断の材料に挙げました。必要な期間より長く位置情報を持ち続けたことが、利用者が自分のデータを制御できない状態を悪化させた、という指摘です。

4億300万ユーロは、DPCが科した額として4番目に大きい数字です。上にはMetaの12億ユーロ、TikTokの5億3000万ユーロ、Instagramの4億500万ユーロが並びます。

DPCはGoogleに関する大規模な法定調査を、ほかに3件抱えています。3件とも最終段階にあります。

これは自分に関係ある？

• スマートフォンでGoogleのサービスを使う人: DPCが調べたのは2018年5月25日から2020年2月4日までの扱いです。Googleは2019年以降に運用を改めたと説明しています。
• アプリやサービスを作る人: DPCは法的根拠、利用者への説明、保持期間の3つを見ました。同意の取り方と保持設定の両方が審査の対象になりました。
• EUの規制の動きを追う人: DPCはEU拠点をアイルランドに置く米国大手を担当するため、EU全域の処分がここに集まります。Googleに関する調査は、ほかに3件残っています。