Googleへの4億ユーロ制裁金、対象の三つの設定のうち一つは名前に位置がない

三つの機能のうち、名前に位置がないものが一つある

アイルランドのデータ保護委員会（DPC）は9月21日、Google Irelandに対する調査の最終決定を公表し、総額4億300万ユーロの制裁金を科した。対象は三つの機能である。ウェブとアプリのアクティビティ（Web & App Activity）、ロケーション履歴（Location History）、位置情報の精度（Location Accuracy）だ。期間はGDPRの適用が始まった2018年5月25日から2020年2月4日までである。

DPCの説明によれば、三つの機能は性格が異なる。ウェブとアプリのアクティビティはGoogleアカウント保有者だけにあるアカウント設定で、オンにするとGoogleのサービスやサイト、アプリでの行動情報を処理し、そこに検索履歴と閲覧履歴、位置情報が含まれる。ロケーション履歴は利用者が自分でオンにするサービスで、対応端末を持って移動した経路を保存し、タイムラインという地図で表示する。Googleのサービスを使っていない間も、ログインした端末の移動経路を保存する。位置情報の精度はAndroid OSの機能で、GPSだけに頼るより正確に位置を特定できるようにし、Googleアカウントを持たないAndroid利用者にも適用される。

違反と認定された項目は四つだ。ウェブとアプリのアクティビティとロケーション履歴における位置情報処理の適法性と公正性、位置情報の精度について適法性と公正性、透明性の原則を守っていたことを証明できなかったという説明責任、三機能すべての透明性、そしてウェブとアプリのアクティビティとロケーション履歴における位置情報の保持期間である。DPCは6か月以内に処理を是正するよう命じ、決定文の全文は後日公開するとした。

申し立てから決定までにかかった時間

この調査はDPCが2020年2月に職権で開始した。きっかけは欧州消費者機構（BEUC）を含む欧州の消費者団体が出した申し立てだった。The Next Webによると、その申し立ては2018年11月に提出され、Googleの画面設計を分析したノルウェー消費者委員会の調査に基づいていた。申し立てから決定まで7年10か月、調査開始から数えて6年7か月である。調査が扱った処理期間は2020年2月に終わっている。

Googleの答えは時点を指した。Googleの広報担当者はRTEに対し、今回の件は既に改めた過去の方針に関するものであり、2019年以降は慣行を大きく変え、位置情報の管理を簡単にするツールを提供してきたと述べた。RTEは、Googleがこの件を超えて法的に整理すべき論点をめぐって控訴するものとみられると伝えた。The Next Webは今回の制裁金をGDPR施行後にDPCが科したものの中で4番目に大きいと伝えている。最大は2023年にMetaに科した12億ユーロだ。

位置情報をほかの行動記録に束ねた設定が引っかかった

四つの項目を一つのアプリに当てはめると、確認すべき場所が三つ出てくる。一つ目はスイッチの位置だ。ウェブとアプリのアクティビティは検索履歴と閲覧履歴を集める設定で、その中で位置情報が一緒に処理されていた。グレアム・ドイル副委員長は、Googleの不備の結果として、利用者は自分の位置が広告に使われたり関心の推定に使われたりしていることに気づけなかった可能性があると述べた。アプリで位置情報の収集をパーソナライズや行動履歴といった大きなスイッチの下に置いているなら、構造は同じである。

二つ目は保持期間だ。DPCは、必要な期間を超えて位置情報を保持したことが利用者の統制の喪失を悪化させたと記した。Googleが2019年以降に導入したとする自動削除設定は、まさにこの項目への答えである。位置ログをいつまで持つかを決めた文書がなければ、この項目は空欄のままだ。

三つ目は証明である。位置情報の精度で認定されたのは処理そのものより、適法性と公正性、透明性を守っていたことを証明できなかったという説明責任の違反だ。Androidの機能なのでGoogleアカウントを持たない人にも及ぶが、その処理がどんな根拠で行われているかを示す記録が足りなかったということである。小さなチームで最初に空くのがここだ。処理はしているのに、なぜそうしているかを書いた文書がない状態である。

処理が終わって6年後に請求書が届いた

この決定の日付を並べると順序が見える。処理期間は2020年2月4日に終わり、調査はその月に始まり、決定は2026年9月に出た。Googleが2019年から慣行を変えたと言うのも、この順序の上にある。変えた後も、変える前の処理に対する審査はそのまま進んだ。いま設定画面を直すことはこれからの処理を変えるが、過去の処理の記録を消しはしない。

もう一つは申し立ての出どころだ。この調査は利用者個人ではなく、消費者団体の申し立てから始まった。サービスの画面を分析した報告書が申し立ての根拠になった。利用者の不満が積み上がっていなくても、画面設計そのものが調査対象になりうるということである。欧州に利用者を持つアプリなら、設定画面の文言と構造がそのまま証拠になる。

韓国のチームが同じ月に受け取った別の数字

韓国では9月11日から個人情報保護法の改正で、課徴金の上限が全売上高の10%まで上がる場合が三つ生まれた。反復的で重大な違反、大規模な被害の発生、是正命令の不履行である。三つのうち二つは事故の規模ではなく、先行する処分と命令を基準にしている。Googleの事例で処理終了から6年後に決定が出たことと重ねて見れば、処分を受けた日と是正を終えた日を記録しておくことが、二つの制度の両方で効いてくる。

DPCは決定文の全文を後日公開するとした。四項目のうちウェブとアプリのアクティビティに関する適法性の判断が同意の範囲をどこまで見たものかは、全文が出なければ確認できない。それまでに確認できるのは、自分のアプリの位置情報スイッチがどの設定の下にあるかだ。