アイルランドのDPC、グーグルの位置情報データに巨額の制裁金を科す

アイルランドのデータ保護委員会（DPC）は、ユーザーの位置情報データを不適切に処理したとして、グーグルに4億300万ユーロ（約4億6,300万ドル）の制裁金を科した。この制裁金は、EUの一般データ保護規則（GDPR）の下で同社に科された過去最大級の罰則の一つであり、2018年から2020年にかけてグーグルがAndroid端末およびGoogleアカウント保有者に関連する位置情報をどのように取り扱ったかに関する調査に端を発している。

DPCは、グーグルが当該期間中に位置情報データを収集または処理した複数の機能において、EUのプライバシー規則に違反したと認定した。グーグルの欧州事業はアイルランドに本社を置いているため、DPCはGDPRの下で同社の主導監督機関として機能し、その判断は欧州連合全体で重みを持つ。

規制当局がグーグルの位置情報追跡の取り扱いを精査するのは今回が初めてではない。以前のグーグルの4億300万ユーロの位置情報データ制裁金に関する報道では、規制の背景と、この判断が大手テックプラットフォームに対する今後の執行にとって何を意味するかを詳しく解説している。

そもそも位置情報データはどのように収集されるのか

スマートフォンは、GPS、Wi-Fiネットワークスキャン、携帯基地局の三角測量、Bluetoothビーコンなどを通じて、常にあなたがどこにいるかを記録することができる。グーグルのような企業にとって、そのデータは地図の経路案内や交通量の推定から、ターゲティング広告や製品開発に至るまで、あらゆるものに活用されている。規制当局が問題視したのは、グーグルが位置情報データを収集していること自体ではなく、その収集に関する同意と透明性が実際にどのように機能していたかという点である。

GDPRの下では、企業はどのようなデータがなぜ収集されるかについて、ユーザーに明確で十分な情報に基づいた選択肢を提供し、その収集をオフにする真の制御権を与えることが求められている。DPCの認定によれば、調査対象期間中、グーグルの位置情報関連機能は、AndroidおよびGoogleアカウントユーザーの一部に対してこの基準を満たしていなかった。制裁金は、この不足の規模と期間に対する規制当局の判断を反映している。

一般ユーザーにとって、この事例は、位置情報データが企業が保有し得る最も機密性の高い個人情報の一つであることを思い起こさせる。それはあなたがどこに住み、働き、礼拝し、医療を受け、あるいは夜を過ごすかを明らかにするものであり、地図を表示するために必要な情報をはるかに超えた詳細を含んでいる。

これがあなたにとって意味すること

Android端末を使用している、あるいはGoogleアカウントを持っているからといって、この判断が自動的にあなたのデータが不正に扱われたことを意味するわけではないが、テックプラットフォームがデフォルトでどれほど多くの位置情報を収集し得るかを浮き彫りにしている。ほとんどの人は位置情報の権限が存在する設定メニューを深く掘り下げることはなく、そのため位置情報の追跡はしばしばバックグラウンドで静かに続行される。

幸いなことに、規制当局が動くのを待つ必要はなく、自分で制御することができる。iOSとAndroidの両方に、位置情報の共有を制限または無効にする詳細なオプションが用意されている。

  • Androidでは、「設定」>「位置情報」に進み、どのアプリにアクセス権があるかを確認し、「アプリの使用中のみ許可」を選択するか、必要のないアプリについてはアクセスを完全にオフにする。
  • iPhoneでは、「設定」>「プライバシーとセキュリティ」>「位置情報サービス」に進んで同様の操作を行い、頻繁に訪れる場所を記録する「重要な場所」機能を確認する。
  • Googleアカウントの「アクティビティ管理」を確認し、保存された位置情報履歴を一時停止または削除する。
  • アプリの権限を定期的に監査する。更新により、気づかないうちに位置情報アクセスがリセットされることがあるためである。

VPNはもう一層の保護を追加するが、何をカバーし、何をカバーしないかを理解しておく価値がある。VPNはIPアドレスを隠し、インターネットトラフィックを暗号化することで、ウェブサイト、広告主、ネットワーク監視者がIPアドレスだけに基づいてあなたのオンライン活動を物理的な位置情報と結びつけることを難しくする。しかし、電話のGPSや位置情報権限を持つアプリがあなたの正確な居場所を報告することを止めるものではない。VPNはより広範なプライバシー戦略の一部として考えるべきであり、デバイスレベルの位置情報設定の管理の代替とはならない。

プライバシーを自分の手に

このような規制上の制裁金は、データ保護規則には実効性があるというシグナルを大規模プラットフォームに送るものだが、執行が既に変化している可能性のある慣行に追いつくには数年かかる。だからこそ、次のニュース見出しを待つよりも、積極的な習慣が重要なのである。

今日実行する価値のある実践的なステップをいくつか挙げる。スマートフォン上のどのアプリが現在位置情報アクセスを持っているかを監査し、不要なものについては取り消すこと。依存していない場合はGoogleアカウントの位置情報履歴をオフにすること。そして、公共または信頼できないネットワーク上で追加のプライバシー層が欲しい場合には、これらの変更と信頼できるVPNを組み合わせることを検討すること。これらのステップはいずれも技術的な専門知識を必要とせず、設定メニューで数分を費やすだけである。

グーグルに対する4億300万ユーロの制裁金は、EUのプライバシー執行における重要な瞬間であるが、ほとんどの読者にとって本当の教訓はもっとシンプルである。位置情報データは価値があり、人々が思っている以上に頻繁に収集されており、スマートフォンのプライバシー設定を定期的に手入れするだけで、それを自分の管理下に置くために大いに役立つのである。