フランスのデータ保護機関CNILは、有効な同意を得ずにアプリ利用者を追跡したとして、小売業者FNACに700万ユーロの制裁金を科した。規制当局はまた、同社に対し1か月以内に同意フローを変更するよう命じた。今回のFNACに対するCNILの制裁金とアプリ追跡に関する決定は、モバイルアプリ内で起きることはウェブサイト上で起きることと同じプライバシールールの対象であり、「同意」は現実の意味を持たなければならないという有用なリマインダーである。

本記事では、報道された内容、命令が求めていること、そして自分のスマートフォンでできることを取り上げる。また、VPNがどこで役立ち、どこで役立たないかについても見ていく。

CNILがFNACの何を誤りと判断したか

Cybernewsの報道によると、CNILはFNACが有効な同意を得ることなく同社アプリの利用者を追跡したと結論付けた。これが制裁の核心である。つまり、利用者が適切に同意していないにもかかわらず行われた追跡である。

入手可能な報道では、追跡の技術的な詳細のすべてが明らかにされているわけではないため、どのトラッカーやデータ種別が関与したかについて推測はしない。見出しの結論からわかるのは、問われている原則である。欧州のプライバシールールの下では、厳密に必要でない追跡は一般に、追跡される本人による明確で情報に基づいた選択を必要とする。アプリがその選択が行われる前にデータの収集や共有を開始した場合、あるいは選択が真に自由なものでない場合、規制当局は同意を無効とみなすことができる。

700万ユーロという制裁金の規模は、規制当局がアプリ追跡を軽微な技術的細目ではなく、重大なコンプライアンス領域と見ていることを示している。

FNACが1か月以内に変更しなければならないこと

金銭的制裁に加えて、CNILはFNACに同意フローを修正するための1か月の期限を与えた。実際には、同意フローとは、アプリを初めて開いたときに表示されるプロンプトや設定の連なり、そして利用者の回答を記録し尊重する方法のことである。

この立場にある企業にとって、適法な同意フローとは通常、次のことを意味する:

  • 必須でない追跡が始まる前に尋ねることであり、後ではない。
  • 利用者が何に同意しているかを理解できるよう、選択を明確に提示する。
  • 拒否を承諾と同じくらい容易にする。
  • 利用者が下した決定を、拒否した場合も含めて尊重する。

これらはCNILの正確な命令の引用ではなく、欧州のプライバシールールの下での一般的な期待事項であるため、文脈として受け止めてほしい。1か月という期限は報道からの具体的な詳細であり、規制当局が長引く修正ではなく迅速な是正を求めていることを示している。

フランスの規制当局とデータ漏えいはこれまでもニュースになってきた。4,000万件の記録を露出したフランスのメールプロバイダーの漏えいに関する当社の報道は、同じ問題の別の側面を示している。つまり、追跡によるものであれ脆弱なセキュリティによるものであれ、データ取り扱いの失敗がどのように一般利用者に降りかかるかということである。

iPhoneとAndroidでアプリ追跡を制限する方法

このような判決は企業に圧力をかけるが、企業が従うのを待つ必要はない。スマートフォンに内蔵されたコントロールが、アプリ追跡を制限する最も直接的な方法である。メニュー名はバージョンやメーカーによって変わるため、最も近いものを探してほしい。

iPhoneの場合:

  • 設定を開き、プライバシーとセキュリティ、次にトラッキングへ進む。
  • 「アプリにトラッキングをリクエストさせる」をオフにしてプロンプト自体をブロックするか、すでに許可したアプリを見直す。
  • ついでに位置情報サービスと写真の権限も確認する。

Androidの場合:

  • 設定を開き、プライバシー、次に広告（文言は端末によって異なる）を探す。
  • 広告IDを削除またはリセットし、提供されている場合は広告のパーソナライズをオプトアウトする。
  • 位置情報、連絡先、その他の機微なアクセスについて権限マネージャーを見直し、アプリに不要なものは削除する。

個々のアプリ内の同意プロンプトも見直してほしい。多くは非必須の追跡を拒否できる設定画面を提供しており、通常は後から選択を変更できる。

VPNがアプリ追跡に対してできることとできないこと

VPNはしばしば追跡の万能薬として説明されるが、それは正確ではない。VPNは接続を暗号化し、接続先のサイトやサービスからIPアドレスを隠す。これにより、IPアドレスやそこから推測される位置情報に依存する追跡を制限でき、公共Wi-Fiなどの信頼できないネットワーク上でのトラフィックを保護する。

VPNにできないのは、ログイン後や権限を付与した後にアプリがデータを収集するのを止めることである。アプリがタップした内容、閲覧した画面を記録したり、活動をアカウントや端末識別子に結び付けたりする場合、それはアプリ内部で起きている。VPNはそれを見ることもブロックすることもできない。同意に関する事例で問題となる追跡の種類は、通常このようなアプリ内のものである。

したがってVPNは限られた一つの層であり、権限設定や情報に基づいた選択の代替にはならない。同じ論理は他のデータ露出にも当てはまる。17.6M件のファイルを露出した302.aiの設定不備のバケットに関する当社の報告は、利用者側のVPNでは結果を変えられなかった事例である。

あなたにとっての意味

FNACのアプリを使っている場合、同社がCNILの1か月の期限を満たすために取り組む中で、同意プロンプトの変更が見られるかもしれない。タップして流すのではなく読み、自分の意向に合った選択肢を選んでほしい。

より広く言えば、この判決は、欧州の規制当局が有効でない同意に制裁を科し、アプリによる追跡の方法について利用者に権利があることを示している。これらの権利は、スマートフォンのコントロールがどこにあるかを知っていれば使いやすくなる。

要点

FNACに対するCNILの制裁金とアプリ追跡の事例は、規制当局が大手小売業者に対し、そのアプリの同意の扱いについて責任を問う明確な例である。今すぐできることは次のとおり:

  • 今週、iPhoneまたはAndroid端末の追跡と権限の設定を見直す。
  • アプリの同意プロンプトで非必須の追跡を拒否し、過去の選択を見直す。
  • 使わなくなったアプリを削除する。未使用のアプリも権限を保持している可能性がある。
  • VPNは限られた一つの保護層として扱う。ネットワークのプライバシーには有用だが、アプリ内追跡の解決策ではない。

フランスのデータインシデントが利用者のプライバシーにどう影響するかの詳細については、フランスのメールプロバイダーの漏えいに関する当社の報道を読み、FNACの同意変更がどう進展するかに注目してほしい。