アイルランドのデータ保護委員会(DPC)は、Googleがユーザーの位置情報の取り扱いにおいてEUの一般データ保護規則(GDPR)に違反したと結論付け、同社に4億300万ユーロの制裁金を科しました。
今回の措置は、BEUCを含む欧州の消費者権利団体からの苦情を受けて2020年2月に開始された、規制当局独自の調査に基づくものです。
DPCは、GDPRのワンストップショップ制度のもとでGoogle Ireland Limitedの主導監督機関として対応しました。
この調査は、GDPRが施行された2018年5月25日から2020年2月4日までの間にGoogleが行った位置情報の処理を対象としており、Web & Appアクティビティ、ロケーション履歴、Androidの「位置情報の精度」設定という3つの機能に焦点を当てています。
DPCによると、GoogleはWeb & Appアクティビティおよびロケーション履歴に関連する処理の適法性・公正性を定めたGDPRの要件に違反していました。
また規制当局は、「位置情報の精度」に関してもGoogleが説明責任義務を果たせていなかったと指摘しています。特に、自社の処理がGDPRの求める適法性・公正性・透明性の基準を満たしていることを証明できていなかったとしています。
今回の決定では、3つの機能すべてにわたる透明性の欠如も指摘されています。DPCは、Googleがどの程度まで位置情報を収集・保持・利用してユーザーの興味関心を推測し広告に反映させていたのか、ユーザー側が理解できていなかった可能性があると述べています。
規制当局はさらに、Web & Appアクティビティおよびロケーション履歴に関わる過剰なデータ保持の慣行についても問題視しました。Googleは今後6カ月以内に、該当する処理業務を規則に適合させる必要があります。
今回の制裁金は、アイルランドのデータ保護当局がこれまでに科した中でも最大級のプライバシー関連の罰金であり、主要な消費者向けプラットフォームにおける位置情報テレメトリー、行動プロファイリング、同意に基づくデータ収集に対する規制当局の監視強化を浮き彫りにしています。
位置情報は、単なる端末の座標情報を超えて生活パターンを露呈しかねないため、特に機微性の高いデータです。
継続的な位置情報の記録からは、自宅や職場、移動経路、医療機関や宗教施設への訪問、政治的な集会への参加、他人との面会といった情報が明らかになる可能性があります。
検索履歴、閲覧履歴、アプリケーションの利用状況、広告関連データと組み合わせることで、この情報は極めて詳細なユーザープロファイリングを可能にします。
Web & Appアクティビティはアカウント単位のGoogle設定であり、閲覧履歴、検索履歴、位置情報を含む、Googleの各種サービスにまたがるユーザーの行動データを処理する場合があります。
一方、ロケーション履歴は、対応端末からの位置関連情報を記録し、Googleマップのタイムライン機能を支えるオプトイン型のサービスです。サインイン中のユーザーの訪問先、移動経路、推測される行動履歴を含む、個人用の移動履歴マップを作成することができます。
「位置情報の精度」の仕組みは異なります。これはAndroidオペレーティングシステムの機能であり、Googleアカウントを持たないユーザーでも利用可能です。近隣のWi-Fiネットワークやモバイル基地局の情報など、GPS以外の追加信号を用いることで、位置測定の精度を高めます。
DPCのグラハム・ドイル副委員長は、位置情報の追跡はデジタルサービスの向上に役立つ一方で、「本質的にプライベートな」情報を明らかにしてしまう可能性もあると述べました。
同氏は、Googleの慣行によってユーザーが自分の位置情報が興味関心の推測や広告表示にどう使われているのか気づけないまま、個人データに対するコントロールを失いかねないと警鐘を鳴らしています。
DPCは、決定内容の全文を追って公表する予定であるとしています。今回の事案は、テクノロジー企業にとって継続的なコンプライアンス上のリスクを浮き彫りにしています。プライバシー管理機能は、単に存在するだけでは不十分であり、理解しやすく、法的に正当化され、説明責任を示せるものであり、なおかつ収集するデータの機微性に見合った適切な保持期間の制限と組み合わされている必要があります。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業負担の軽減を実現しています。貴社のチームでも試してみる
翻訳元: https://cyberpress.org/google-fined-e403-million-over-gdpr-violations-in-location-data-tracking/
