アイルランドのデータ保護委員会(DPC)は、AndroidおよびGoogleアカウントの利用者の位置情報データの取り扱いをめぐり、Googleに4億300万ユーロ(4億6300万ドル)の制裁金を科した。規制当局は、同社がこの情報を処理する法的根拠を持たず、利用者に同意内容について十分な説明をしていなかったと認定した。

DPCは、Googleが「ウェブとアプリのアクティビティ」「位置情報履歴」「位置情報の精度」の3つの製品において、位置情報データを合法的、公正かつ透明な形で処理していなかったと判断した。最初の2つは閲覧・検索履歴や利用者のデバイスが過去に訪れた場所を追跡できる一方、位置情報の精度はAndroid OS内の設定である。この決定は、EU包括的なプライバシー法である一般データ保護規則(GDPR)の中核要件の一つに基づくものだ。すなわち、企業は同意などの有効な法的根拠を得た上でなければ個人データを処理できず、その処理内容について透明性を確保しなければならない。

規制当局はまた、位置情報追跡に伴う深刻なプライバシーリスクにも言及した。ドイル次席委員は、位置情報データはオンラインサービスをより便利にできる一方で、極めて私的で機密性の高い個人情報を明らかにし得ると述べた。ガーディアンによると、ドイル氏は、利用者は自分の居場所が広告ターゲティングや興味関心の推定に使われていることを知らなかった可能性があると指摘した。さらに必要以上に長く情報を保持することが利用者のデータ管理権をさらに損なったとも付け加えた。

調査は、GDPRが発効した2018年5月25日から2020年2月4日までの約2年間にわたって行われた。

ノルウェー発の申し立て

本件は、Googleが利用者の日常生活を通じて追跡していると告発する、欧州の7つの消費者団体からの申し立てに端を発する。その懸念は、ノルウェー消費者庁(Forbrukerrådet)が2018年に行った調査に基づくもので、同庁はGoogleが「様々な手口」で位置情報履歴とウェブとアプリのアクティビティを有効に続けさせたと主張していた。

この調査は、位置情報追跡が単なる地理的な訪問地をはるかに超えた情報を暴露し得る理由と仕組みについても示した。宗教施設への訪問は宗教的信念を、デモへの参加は政治的見解を、病院への訪問は健康状態を、そして頻繁に訪れる場所は性的指向を明らかにし得る。

ノルウェー消費者審議会のデジタル政策ディレクターであるフィン・ミュルスタッド氏は、この決定を画期的な一歩と評した。ガーディアン紙によると、ミュルスタッド氏は、人々は誤解させられたり圧力をかけられたりすることなく、自分が何に同意しているのかを理解できるべきだと述べた。

欧州消費者機構(BEUC)もまた、位置情報を最も侵害的な消費者監視の形態の一つと位置づけている。

調査開始から6年後

BEUCのアグスティン・レイナ事務局長はこの決定を歓迎する一方、結論に至るまでの時間を批判し、遅延を「侵害の深刻さに見合わない」と述べ、「遅れた執行は執行しないことと同じくらい有害になり得る」と警告した。DPCは6年前に調査を開始していた。

一方Googleは、調査対象期間以降に同社が行ったという変更を指摘している。広報担当者は、本件はその後に更新された過去のポリシーに関するものであり、同社は2019年以降に取り組みを大きく変え、位置情報データを管理しやすくするツールを導入したと説明した。

DPCはGoogleに対し、処理慣行をGDPRに準拠させるため6か月の猶予を与えた。規則に基づき、企業はこのような決定について国内裁判所で争うことができるn

なぜアイルランドが主導するのか

Googleの欧州本社はダブリンにあり、このためアイルランドの監督機関が27か国からなるEU全体での主所轄規制当局となっている。DPCは、欧州拠点をアイルランドに置くほとんどの米国大手テクノロジー企業についても同じ役割を担っている。

4億300万ユーロの制裁金は、アイルランド規制当局が科した罰金として過去4番目の規模となる。ガーディアン紙によると、DPCはこれまでにMetaに12億ユーロ、TikTokに5億3000万ユーロ、Meta傘下のInstagramに4億500万ユーロの制裁金を科している。GDPRの制裁枠組みでは、規制当局は企業の全世界年間売上高の最大4%または2000万ユーロのいずれか高い方までの罰金を科すことができる。

今回の決定が当局によるGoogleへの最終的な対応になるとは限らず、同社をめぐる3件の調査がすでに最終段階に進んでいる。