アイルランドのDPC、位置情報データの不正利用でGoogleに4億300万ユーロの制裁金

アイルランドのデータ保護委員会（DPC）が、Googleによるユーザーの位置情報データの処理方法が一般データ保護規則（GDPR）に違反したと結論付けたことを受け、Googleに4億300万ユーロの支払いが命じられた。この制裁金は、GDPRの下で単一企業に対して科されたものとしては最大級の一つであり、同社の地域本社がダブリンに置かれているためEUにおけるGoogleの主たるプライバシー規制当局として機能するDPCによる調査に続くものである。

何が起きたのか：4億300万ユーロの制裁金

DPCの決定は、Googleがユーザーアカウントに紐づく位置情報をどのように収集、保存、使用したかに焦点を当てている。GDPRの下では、企業は個人データを処理する前に明確で十分な情報に基づく同意を得なければならず、位置情報データは人々がどこに住み、働き、礼拝し、移動するかについてのパターンを明らかにする可能性があるため、特に機微なものとして扱われる。規制当局は以前から、テックプラットフォームがユーザーに同意の選択肢をどのように提示するか、特に設定がメニューの奥に埋もれていたり、実際に何が収集されているのか理解しにくい表現で書かれている場合について厳しく監視してきた。

この件に関する以前の報道で詳述されているように、DPCはGoogleの位置情報データに関する慣行がGDPRの求める透明性と同意の基準を満たしていないと認定した。この制裁金は、GDPR発効以降に欧州の規制当局が主要テクノロジー企業に対して科した制裁の増え続けるリストに加わるものであり、EU全域で事業を展開する多くの米国テック大手にとっての主要な執行当局としてのアイルランドの役割を強固にするものである。

なぜ位置情報データがGDPRの監視対象となったのか

位置情報データは、常に、そしてしばしば受動的に収集されるため、多くのプライバシー議論の中心に位置している。スマートフォン、アプリ、接続サービスは、ユーザーの一日の動きを追跡することができ、時にはその人物がどれほどの詳細が記録されているか、あるいはそれがどれくらい保持されるかに気づかないこともある。GDPRは、この種の処理が適法な根拠、最も一般的には明確な同意に基づくこと、そしてユーザーが自分の位置情報が追跡されるかどうかについて真のコントロールを与えられることを求めている。

欧州全域の規制当局は、デフォルト設定とダークパターン、つまりユーザーが本来選ぶであろう以上に多くのデータを共有するよう誘導するインターフェースデザインにますます焦点を当てている。企業の位置情報設定が見つけにくかったり、文言が不明瞭だったり、わかりやすいオプトアウトなしにデフォルトで「オン」になっていたりする場合、それはGDPRの同意要件に抵触する可能性がある。Googleに対するDPCの認定は、このような執行の広範なパターンに当てはまるものであり、企業が基準を満たさない場合に規制当局が重大な金銭的制裁を科す用意があることを示している。

これがあなたにとって意味すること

一般ユーザーにとって、この制裁金は、位置情報の追跡が現代のアプリやデバイスの単なる背景的な機能ではなく、現実の法的重みと現実のプライバシーリスクを伴う個人データの一カテゴリーであることを思い起こさせるものである。Googleほどの大企業が位置情報の取り扱いに対して4億300万ユーロの制裁金に直面しうるのであれば、この種のデータがいかに真剣に扱われるべきかが強調される。

ほとんどの人は、自分のアカウントにどれほどの位置情報履歴が蓄積されているか、またそれが広告、製品開発、あるいは第三者との共有にどのように使われうるかを認識していない。定期的にアカウントのプライバシーダッシュボードを確認し、どのアプリが位置情報の権限を持っているかをチェックし、必要ないときに位置情報履歴を無効にすることは、どの企業が何を修正するかに関わらず、あなたの露出を減らす実践的なステップである。GDPR違反の詳細はまた、同意プロンプトを素早くクリックして通り過ぎるのではなく注意深く読むことが、何を共有することに同意しているかを把握するための最も簡単な方法の一つであり続ける理由も示している。

この事例はまた、クラウドベースのサービスを広く利用する人にとって重要である。位置情報データは、閲覧習慣、検索履歴、アプリ使用状況を含むより大きなプロファイルの一部にすぎないことが多い。位置情報処理に特化したGDPRの制裁金は、規制当局がプライバシーコンプライアンスを単一の汎用的なチェックボックスとして扱うのではなく、特定のデータカテゴリーを深掘りしているという有用なシグナルである。

実行可能なポイント

規制当局が主要プラットフォームに説明責任を課し続ける一方で、あなた自身の位置情報データのフットプリントを今すぐ制限するために取れるステップがある。

• アカウントの位置情報履歴設定を確認し、機能するために必要としないアプリの追跡をオフにする。
• 保存された位置情報履歴を無期限に蓄積させるのではなく、定期的に削除する。
• 特に新しいアプリやサービスが位置情報へのアクセスを求める場合、同意プロンプトを受け入れる前に読む。
• デバイスレベルの位置情報権限（AndroidとiOSの両方で利用可能）を使用して、常にではなくアプリの使用中のみアクセスを許可する。

この4億300万ユーロの制裁金のようなGDPRの執行措置は、プライバシー規制当局が企業がデータ保護基準を満たさない場合、業界最大手に対しても行動を起こす用意があることを示している。ユーザーにとっての教訓は慌てることではなく、共有する位置情報データを確認し制限することについて積極的であり続けることである。それは執行がどう展開しようとも、あなたのプライバシーを守る最も効果的な方法の一つであり続けるからである。