Google、過去の位置データ慣行をめぐりアイルランドで4億300万ユーロの制裁金

アイルランドのデータ保護委員会は9月21日、過去の位置データ慣行をめぐりGoogleに4億300万ユーロの制裁金を科し、同社に対して6カ月以内に処理を法令に適合させるよう命じたと発表した。この決定は、2018年から2020年にかけて、ウェブとアプリのアクティビティ、ロケーション履歴、位置情報の精度に関する設定を通じて収集されたデータを対象としている。

アイルランドの決定が対象とする範囲

この規制当局の判断は、規制上の決定であり、独立した技術ベンチマークではない。位置データに適用されるプライバシー規則の下で、適法性、公正性、透明性、保存に関する不備を認定したものだ。実務的には、調査対象期間において、Googleによる位置情報の取り扱いが、その処理を説明し、正当化し、制限するために求められる基準を満たしていたかどうかが争点となっている。

対象範囲は重要である。この決定は、Googleの現在の全製品や、位置情報利用のあらゆる形態についての認定として示されているわけではない。特定の設定と、明確に区切られた過去の期間に結び付けられている。ウェブとアプリのアクティビティ、ロケーション履歴、位置情報の精度設定はそれぞれ異なる管理項目だが、いずれも、人がどこにいるか、または過去にどこにいたかに関するシグナルを、サービスがどのように記録または利用するかに関係し得る。

規制当局の懸念は、正確な位置情報の機微性にも基づいている。正確な位置情報は、関心、日常的な行動、または機微な場所を示し得るパターンを含め、私的な情報を明らかにする可能性がある。また、関心を推測したり、広告に影響を与えたりするために利用される可能性もある。これは、すべての位置シグナルが同じ機微性を持つという意味ではないが、保存、透明性、法的根拠がこの事案の中心的な論点である理由を示している。

Googleが変更したと説明する点

Googleは、この決定は2019年以降に変更された過去の慣行に関するものだとしている。同社は、自動削除オプション、デバイス上でのGoogleマップのタイムライン保存、およびおおよその地域の利用拡大を挙げている。これらは製品とポリシーの変更に関する企業側の説明であり、より前の期間についての規制当局の認定とは区別されるべきものだ。

Googleが説明する自動削除オプションは、位置関連情報を無期限に保持するのではなく、定められた期間の後に削除できるようにすることで、保存の問題に対応するものだ。アイルランドの決定との関連は明確である。保存は、規制当局が不備を認定した領域の一つだった。ただし、自動削除オプションが存在すること自体は、より前の処理が適法、公正、または透明だったことを証明するものではない。

デバイス上でのGoogleマップのタイムライン保存は、特定のロケーション履歴情報が保持される場所を変えるものだ。タイムラインのデータをデバイス上に保管すれば、サービスの設定次第では、中央システムに保存されるロケーション履歴の量を減らすことがあり得る。しかし、規制当局の決定は2018年から2020年までの慣行を対象としており、現在のすべての実装がどのように動作しているかについての独立した監査ではない。

Googleは、おおよその地域の利用拡大にも言及している。正確な位置情報とおおよその位置情報の違いは重要だ。正確な位置情報は、人の生活について、より具体的な推測を可能にし得るからだ。おおよその地域は粒度を下げる可能性があるが、実際のプライバシー上の効果は、文脈、目的、保存期間に左右される。この決定は、旧システムと新システムを比較する技術的な採点表になるものではない。

数字が示すこと、示さないこと

4億300万ユーロという金額は、アイルランドのデータ保護委員会が科した行政制裁金の規模を示している。これは、同規制当局が科した制裁金として4番目に大きいものと報じられている。この順位は、同規制当局の記録の中での執行の重さを示す指標であり、影響を受けた利用者数、収集されたデータ量、または何らかの処理がどれほど収益性を持っていたかを測定するものではない。

6カ月の遵守命令は、金銭的制裁とは別のものだ。これはGoogleに対し、関連する処理を規制当局の要求に沿わせるための期限を与える。命令は、事案を財務上の制裁にとどめず、必要な変更または遵守確認へと進めるため、運用上の意味を持つ。

米国との比較は文脈を与えるが、同等性を示すものではない。2022年、Googleは位置追跡をめぐり、米国の40州と3億9,150万ドルの和解に達した。この和解とアイルランドの制裁金はいずれも位置情報に関連する慣行を扱っているが、異なる法制度と手続きに由来する。一方を他方の直接的なベンチマークとして扱うべきではない。

また、これらの数字はGoogleの現在のシステムの状態を証明するものでもない。アイルランドの決定は2018年から2020年の過去の慣行を評価している一方、Googleは2019年以降に慣行を変更したとしている。この制裁金は、規制当局が過去の不備について、多額の制裁金と遵守命令を正当化するほど重大だと判断したことを示す。それ自体で、現在の位置情報管理に関する独立した技術的測定を確立するものではない。

実務上の意味

Googleにとって、当面の意味は規制上のものだ。同社は4億300万ユーロの制裁金と、6カ月以内に遵守する義務に直面している。実務上の課題は、関連する位置データ処理を、適法性、公正性、透明性、保存をめぐる期待に合わせることにある。決定が複数の設定に関係しているため、遵守は一つのラベルや一つのスイッチだけの問題ではない。

利用者にとって、この事案は位置情報設定の評価が難しくなり得る理由を浮き彫りにする。ウェブとアプリのアクティビティ、ロケーション履歴、位置情報の精度設定は別々のものに見えるかもしれないが、それぞれが移動、場所、近接性に関する像の形成に寄与し得る。この決定は、明確な説明と保存制限が副次的な細部ではなく、人々が自分のデータに何が起きているのかを理解するうえで中心的であることを改めて示している。

広告主やデータ駆動型サービスにとって、この決定は、位置情報に基づく推測された関心が規制上の精査を受けることを改めて示すものでもある。問題は、位置情報が関連性を高められるかどうかだけではない。収集、利用、保存がプライバシー法の要求を満たしているかどうかであり、特に正確な位置情報が私的な情報を明らかにし得る場合には重要になる。

より広い意味では、過去の製品設計が後の執行対象になり続けるという点がある。Googleの立場は、関連する慣行は変更済みだというものだ。一方で、規制当局の決定は、より前の期間に対して制裁金を科し、将来に向けた遵守期限を設けている。したがって、この結果は、過去のデータ慣行、現在の管理策、そして機微なシグナルとしての位置情報に対する継続的な規制上の焦点が交差するところに位置している。