アイルランドのデータ保護委員会（DPC）は、Google Ireland Limitedに対し、EU一般データ保護規則（GDPR）違反として総額4億300万ユーロの制裁金を科しました。調査対象となったのは、Googleの位置情報に関わる「ウェブとアプリのアクティビティ」「ロケーション履歴」「位置情報の精度」の3機能です。対象期間はGDPRの適用開始日である2018年5月25日から2020年2月4日までで、欧州消費者機構（BEUC）を含む消費者団体の苦情を受け、DPCが2020年2月に調査を始めました。4

問題は、Googleが位置情報を収集していたこと自体ではありません。DPCはこの期間の処理について、適法かつ公正に行われたか、利用者に十分明確に説明されたか、保存期間が必要な範囲にとどまっていたか、そしてGDPR遵守を企業側が立証できたかを検証し、複数の不備を認定しました。4

DPCが認定した主な問題

「ウェブとアプリのアクティビティ」と「ロケーション履歴」で、適法・公正な処理が認められなかった

DPCは、「ウェブとアプリのアクティビティ」と「ロケーション履歴」を通じた位置情報の処理について、GDPRが求める適法性および公正性の原則に違反したと判断しました。4

これらの設定は、位置情報とGoogleサービスの利用状況を結び付け得るものです。DPCは、調査対象期間におけるGoogleの処理が、個人データを適法かつ公正に扱うというGDPRの基準を満たしていなかったと結論付けました。4

「位置情報の精度」では説明責任の不履行

「位置情報の精度」についてDPCは、GoogleがGDPR上の説明責任を果たさなかったと認定しました。すなわち、位置情報処理が「適法・公正・透明」に行われていることを、Googleが示せなかったという判断です。4

説明責任は、単に「ルールを守っている」と表明するだけでは足りません。DPCの判断では、Googleには自社の位置情報処理がGDPRに適合していることを実証する責任がありました。4

利用者への説明が不十分だった

DPCは、3機能すべてで透明性に関する違反があったとしました。利用者は、自身の位置情報が広告の表示に影響したり、関心・嗜好を推定したりする目的で使われていることを、十分に認識できなかった可能性があります。4

位置情報は、訪問先や生活圏、行動パターンなど、私生活に深く関わる情報を示し得ます。DPCは、利用目的が明確でなければ、利用者がこうした個人データを実質的にコントロールできなくなると問題視しました。4

必要以上に長くデータを保存していた

DPCは、「ウェブとアプリのアクティビティ」と「ロケーション履歴」で、位置情報が必要以上に長期間保存されていたとも認定しました。こうした保存期間の問題は、個人の私的な側面を明らかにし得るデータに対する利用者の管理を、さらに損なう要因になったとされています。4

Googleの反応：「過去の方針」であり、2019年以降に変更した

Googleは、この事案はその後更新済みの「過去の方針」を対象にしていると説明しました。2019年以降、位置情報データの管理をより簡単にするツールを導入するなど、運用を大きく変えたとしています。2

Googleは、利用者がデータを自動削除する期間を、3カ月、18カ月、36カ月のいずれかで設定できる自動削除機能も挙げました。2

もっとも、こうした後年の変更は、DPCが調査した2018～2020年の処理に対する認定を覆すものではありません。Googleにとっては、現在の仕組みは当時の処理とは異なる、という点が反論の中心です。2

是正期限は6カ月

DPCは制裁金に加え、問題となった処理をGDPRに適合させるようGoogleに命令しました。期限は6カ月です。4

BEUCは判断を歓迎、一方で執行の遅さを批判

BEUCは、調査につながった苦情に関与した消費者団体の一つです。同団体は今回の決定について、Googleが人々の位置情報を利用するための同意を得た方法の違法性を確認したものだとして歓迎しました。24

同時に、結論に至るまでの時間は不相応に長いとも批判しています。ここで問われているのは、位置情報の追跡・利用がGDPRに適合するかだけではありません。利用者の権利を守るための規制執行が、実効性を持つ速さで行われているかという問題でもあります。24

位置情報の設定画面だけでは十分ではない

この事案が示すのは、位置情報データのコンプライアンスは、単にオン・オフを選べる設定画面を用意するだけでは成立しないということです。規制当局は、処理に有効な法的根拠があるか、利用者が使途を理解できる説明になっているか、保存期間に合理性があるか、企業がそれらを証明できるかを見ます。DPCは今回、Googleにこうした複数の点で不備があったと認定し、4億300万ユーロの制裁金を科しました。4

アイルランドのデータ保護委員会（DPC）は、Google Ireland Limitedに対し、EU一般データ保護規則（GDPR）違反として総額4億300万ユーロの制裁金を科しました。調査対象となったのは、Googleの位置情報に関わる「ウェブとアプリのアクティビティ」「ロケーション履歴」「位置情報の精度」の3機能です。対象期間はGDPRの適用開始日である2018年5月25日から2020年2月4日までで、欧州消費者機構（BEUC）を含む消費者団体の苦情を受け、DPCが2020年2月に調査を始めました。4

問題は、Googleが位置情報を収集していたこと自体ではありません。DPCはこの期間の処理について、適法かつ公正に行われたか、利用者に十分明確に説明されたか、保存期間が必要な範囲にとどまっていたか、そしてGDPR遵守を企業側が立証できたかを検証し、複数の不備を認定しました。4

DPCが認定した主な問題

「ウェブとアプリのアクティビティ」と「ロケーション履歴」で、適法・公正な処理が認められなかった

DPCは、「ウェブとアプリのアクティビティ」と「ロケーション履歴」を通じた位置情報の処理について、GDPRが求める適法性および公正性の原則に違反したと判断しました。4

これらの設定は、位置情報とGoogleサービスの利用状況を結び付け得るものです。DPCは、調査対象期間におけるGoogleの処理が、個人データを適法かつ公正に扱うというGDPRの基準を満たしていなかったと結論付けました。4

「位置情報の精度」では説明責任の不履行

「位置情報の精度」についてDPCは、GoogleがGDPR上の説明責任を果たさなかったと認定しました。すなわち、位置情報処理が「適法・公正・透明」に行われていることを、Googleが示せなかったという判断です。4

説明責任は、単に「ルールを守っている」と表明するだけでは足りません。DPCの判断では、Googleには自社の位置情報処理がGDPRに適合していることを実証する責任がありました。4

利用者への説明が不十分だった

DPCは、3機能すべてで透明性に関する違反があったとしました。利用者は、自身の位置情報が広告の表示に影響したり、関心・嗜好を推定したりする目的で使われていることを、十分に認識できなかった可能性があります。4

位置情報は、訪問先や生活圏、行動パターンなど、私生活に深く関わる情報を示し得ます。DPCは、利用目的が明確でなければ、利用者がこうした個人データを実質的にコントロールできなくなると問題視しました。4

必要以上に長くデータを保存していた

DPCは、「ウェブとアプリのアクティビティ」と「ロケーション履歴」で、位置情報が必要以上に長期間保存されていたとも認定しました。こうした保存期間の問題は、個人の私的な側面を明らかにし得るデータに対する利用者の管理を、さらに損なう要因になったとされています。4

Googleの反応：「過去の方針」であり、2019年以降に変更した

Googleは、この事案はその後更新済みの「過去の方針」を対象にしていると説明しました。2019年以降、位置情報データの管理をより簡単にするツールを導入するなど、運用を大きく変えたとしています。2

Googleは、利用者がデータを自動削除する期間を、3カ月、18カ月、36カ月のいずれかで設定できる自動削除機能も挙げました。2

もっとも、こうした後年の変更は、DPCが調査した2018～2020年の処理に対する認定を覆すものではありません。Googleにとっては、現在の仕組みは当時の処理とは異なる、という点が反論の中心です。2

是正期限は6カ月

DPCは制裁金に加え、問題となった処理をGDPRに適合させるようGoogleに命令しました。期限は6カ月です。4

BEUCは判断を歓迎、一方で執行の遅さを批判

BEUCは、調査につながった苦情に関与した消費者団体の一つです。同団体は今回の決定について、Googleが人々の位置情報を利用するための同意を得た方法の違法性を確認したものだとして歓迎しました。24

同時に、結論に至るまでの時間は不相応に長いとも批判しています。ここで問われているのは、位置情報の追跡・利用がGDPRに適合するかだけではありません。利用者の権利を守るための規制執行が、実効性を持つ速さで行われているかという問題でもあります。24

位置情報の設定画面だけでは十分ではない

この事案が示すのは、位置情報データのコンプライアンスは、単にオン・オフを選べる設定画面を用意するだけでは成立しないということです。規制当局は、処理に有効な法的根拠があるか、利用者が使途を理解できる説明になっているか、保存期間に合理性があるか、企業がそれらを証明できるかを見ます。DPCは今回、Googleにこうした複数の点で不備があったと認定し、4億300万ユーロの制裁金を科しました。4