アイルランドのデータ保護委員会(DPC)は、EUの一般データ保護規則(GDPR)に違反してユーザーの位置情報データを処理していたとして、Google Ireland Limitedに4億300万ユーロの制裁金を科しました。
この決定は、BEUCを含む欧州の消費者権利団体からの苦情を受けて2020年2月に開始された調査に基づくものです。調査では、2018年5月25日から2020年2月4日までのGoogleの取り扱いが検証されました。
DPCの調査によると、GoogleのWeb&Appアクティビティおよびロケーション履歴の制御機能は、位置情報データ処理における適法性・公正性に関するGDPRの要件を満たしていませんでした。
さらにGoogleは、位置情報の精度向上機能(Location Accuracy)についても説明責任(アカウンタビリティ)の義務を果たしておらず、適法性・公正性・透明性というGDPRの原則を遵守していることを証明できませんでした。
規制当局はまた、これら3つの機能すべてにおいて透明性に関する違反を認定したほか、Web&Appアクティビティおよびロケーション履歴を通じて収集された位置情報の保持方法にも問題があると指摘しました。
今回の執行措置は、Googleのエコシステム内にある3つの設定に関するものです。Googleアカウント保有者が利用できるWeb&Appアクティビティは、閲覧履歴、検索履歴、位置情報を含む、Googleのサービス・ウェブサイト・アプリ全体にわたるアクティビティを処理できます。
ロケーション履歴はオプトイン方式のサービスで、対応するモバイル端末からのデータを利用して訪問先・行動・移動ルートを推測し、Googleマップのタイムライン機能上にそれらの移動履歴を表示します。この設定により、ユーザーがGoogleのサービスを実際に利用していない場合でも、ログイン中の端末に紐づく位置情報の個人用地図が作成されることになります。
一方、Location Accuracy(位置情報精度向上機能)は、GPS単体よりも正確に端末の位置を特定できるようにするためのAndroid OSの機能です。
この機能は、Googleアカウントの有無にかかわらず、すべてのAndroidユーザーが利用可能です。DPCがこの機能について問題ありと結論づけた根拠は、個人データの適法・公正・透明な取り扱いに求められる説明責任の基準を、Googleがこの機能の位置情報データ処理において満たしていることを証明できなかった点にあります。
今回の規制当局の調査結果は、同意・制御設定、プラットフォームレベルの機能、そしてGDPR遵守を証明するために必要な文書化という3つの側面の違いを浮き彫りにしています。
Googleには6か月以内の是正が命じられました。DPCのグラハム・ドイル副委員長は、位置情報はオンラインサービスの向上に役立つ一方で、個人に関する私的な情報を明らかにする可能性もあると述べています。
同副委員長は、自分の位置情報データが広告への影響や興味関心の推測に利用され得ることをユーザーが認識していなかった可能性があり、それによって個人データに対するユーザーの管理権限が損なわれていると指摘しました。また、位置情報を必要以上に長く保持することが、この問題をさらに悪化させているとも述べています。
DPCは、欧州経済領域全体において、データ処理は適法・公正・透明でなければならないと強調しており、これはアカウントのアクティビティ、モバイル端末からの信号、そしてそこから導き出される推測情報を統合する企業に対して向けられる監視の厳しさを反映しています。
DPCは本件について他の監督機関と協力しており、決定内容は追って公表される予定です。Googleは今後、是正期間に加え、位置情報データの処理に特化した多額の制裁金という課題に直面することになります。
SOCのアラート調査を1件あたり21分短縮。即座に対応できるIOCコンテキストでSOCを強化: TI Lookupを自社のSOCに統合する
翻訳元: https://gbhackers.com/google-fined-e403-million-for-gdpr-violations/
