Google、位置情報の取り扱いをめぐり4億6,300万ドルの制裁金

アイルランドのデータ保護委員会（DPC）は、EUの一般データ保護規則（GDPR）の下でユーザーの位置情報を不適切に取り扱ったとして、Googleに4億300万ユーロ（約4億6,300万ドル）の制裁金を科した。DPCは、世界の大手テック企業の多くがEU域内の拠点をアイルランドに置いていることから、それら企業の主要規制当局としての役割を担っている。今回、Googleの位置情報の収集・処理をめぐる慣行が、EUが求める法的基準を満たしていないと認定した。

この件が注目に値するのは、制裁金の規模だけではない。問題となっているデータの性質そのものだ。位置履歴は、長期にわたって継続的に収集されると、ある人がその瞬間にどこにいるかをはるかに超える情報を明らかにし得る。特定の礼拝施設、特定の医療クリニック、あるいはLGBTQ+コミュニティセンターへの定期的な訪問は、その人の宗教、健康状態、性的指向を露呈する可能性があり、これらはGDPRが「特別カテゴリーのデータ」として分類し、より厳格な保護要件を課している情報のカテゴリーである。今回の裁定の詳細については、以前の記事アイルランドにおけるGoogleの位置情報をめぐる4億6,300万ドルの制裁金で、規制上の認定内容をより詳しく解説している。

位置情報が特別に扱われる理由

ほとんどの人は、位置情報の追跡を便利な機能だと考えている。地図、交通情報の通知、パーソナライズされた検索結果を支えているからだ。しかしプライバシー規制当局は、位置履歴がその人の生活について間接的に明らかにし得る内容を理由に、ますますこれを特別なリスクカテゴリーとして扱うようになっている。GPS座標のような単一のデータポイントは無害に見えるかもしれない。しかし、数か月あるいは数年にわたる数千のデータポイントから構築されたパターンは、まったく話が別である。

これこそが、GDPRが対処するために設計された核心的な緊張関係である。この規則は、企業が個人データを収集する前に同意を得ることだけを求めているのではない。何を、なぜ、どのくらいの期間収集するのかについて透明であることを求め、そのデータが敏感な個人的特性に触れる場合には、より厳しい制限を課している。アイルランドのDPCは今回、Googleの位置情報の取り扱いがその基準を満たしていないと正式に結論づけた。

EUのビッグテック規制当局としてのアイルランドの役割

Google、Meta、Appleを含む非常に多くの大手テクノロジー企業がアイルランドに欧州本社を置いているため、DPCは数億人のEU居住者に影響するGDPR違反に対する事実上の執行機関となっている。このことは、執行が遅すぎると主張するプライバシー擁護派から同機関が頻繁に批判の的となる原因にもなっているが、近年、主要プラットフォームに対する重要な制裁金の実績も積み上がっている。

今回の制裁金はそのパターンに加わるものだ。これは、規制当局が企業が位置情報を収集するかどうかだけでなく、それをどのくらいの期間保持するか、その利用をどれだけ明確に開示するか、ユーザーがそれに対して実効的な制御を持っているかどうかにも注意を払っていることを示している。Googleの規模で事業を展開する企業にとって、この規模の制裁金は事業コストではあるが、Googleマップ、Androidの位置情報サービス、検索履歴など、時間の経過とともにユーザーの移動に関する詳細なプロファイルを静かに構築する製品のデフォルト設定にも、新たな厳しい目が向けられることになる。

あなたにとって何を意味するか

Androidスマートフォンやマップなどのアプリを通じてGoogleのサービスを利用しているなら、この裁定は、位置情報の収集が表面上見えるよりもはるかに広範で敏感であることが多いという注意喚起となる。たとえGoogleに自分の宗教や病歴を明示的に伝えたことがなくても、位置履歴のパターンは結果的にその情報を明らかにし得る。

良い知らせは、あなたが思っている以上にこれを制御できるということだ。Googleでは、アカウント設定を通じて位置履歴を確認、制限、削除でき、位置情報データの自動削除などの機能を使えば、その情報がGoogleのサーバー上に残る期間を短縮できる。また、多くのサービスが必要とするのが時折の位置情報だけであるのに「常時オン」のアクセスを要求することから、スマートフォンでどのアプリが位置情報の権限を有効にしているかを定期的に確認する価値もある。

主なポイント

今回の制裁金は、規制当局が位置情報をどのように見ているかという、より広い変化を浮き彫りにしている。すなわち、中立な技術的詳細としてではなく、あなたの生活のきわめて個人的な側面への窓口として見ているのだ。いくつかの実践的なステップが、そのリスクに先手を打つのに役立つ。Googleアカウントの位置履歴設定を確認し、自動削除の有効化を検討しよう。スマートフォンのアプリ権限を定期的に監査し、継続的に必要としないアプリの位置情報アクセスを取り消そう。そして、規制上の措置は重要ではあるものの動きが遅いことを念頭に置き、個人のプライバシー習慣が依然としてあなたの最初の防御線であることを忘れないでほしい。GDPRの執行が進化し続ける中で、今回のような事例は、テック企業をより透明でユーザーが制御できるデータ慣行へと押し続けるだろうが、それまでの間も自分自身で対策を講じる価値は依然としてある。