【要旨】
筆者はさる2013年6月27日付けブログでスペインの個人情報保護庁(AEPD： Agencia Española de Protección de Datos )」
がGoogleに対し、3つの保護法違反をもって合計90万ユーロ(約1億1,160万円)の罰金を課した旨論じた。
このほど、AEPDは同国のデータ保護法令に重大な違反をしたとして”Facebook”に総額120万ユーロ(約1億5,600万円)の罰金刑を課した(AEPDの機能等については福田平治ブログ 参照) (筆者注1)、なお、9月11日英国Telegraph 記事「Facebook hit with €1.2m fine in Spain for breaking privacy laws 」も参考になるが、ほとんど内容が重複するので略す)。
AEPDは、ソーシャルネットワークが、特別に保護すべき個人情報を、広告目的で同意を得ずに収集、保管、使用したことに法的警告を行った。
ソーシャルネットワークは「イデオロギー」、「性」、「宗教的信念」、「個人的嗜好」、「ブラウジング活動」等に関するデータは、そのサービスや第三者のページとのやりとりを通して、そのデータをどうやってまたどのような目的で使用するかを明確に知らせることなく直接収集した。
Facebookは、その提供している情報が適切でないため、ユーザーが個人情報の処理に関し、曖昧ではなく、特定的であり、かつインフォームド・コンセントを得ることを行っていない。
あなたは現在もFacebookユーザーか？ Facebookで収集された目的のためにもはや有用でなくなった場合またはユーザーが明示的に削除を要求した場合、個人データは完全に取り消されなければならない。
AEPDは、スペインのデータ保護法の非常に重大な侵害を含む2件の重大な侵害の存在を宣言し、Facebookに合計120万ユーロ(約1億5,600万円)の制裁金を課した。
スペインのAEPDは、ベルギー、フランス、ハンブルグ（ドイツ）、オランダの情報保護当局とともに「コンタクト・グループ」の一員でもあり、各国はFacebookに対する個々に調査手続を開始した 。
今回のブログの後半では、Facebookの法違反に対する上記5ヵ国の強化規制策の概要(CNIL英語版)の内容を仮訳し、概観する。
今回は、2回に分けて掲載する。
１．AEPDのFacebookに対する合計120万ユーロの罰金刑の決定
2017年9月11日、スペインのデータ保護機関（AEPD）は、データ保護法令に従ってソーシャルネットワークによって実施されたデータ処理か適切かどうかを分析するために、Facebookに始まる手続きの終了した旨の決定を発表した。
AEPDは1999年「データ保護に関する法律（Ley Orgánica de Protección de Datos de Carácter Personal：LOPD）」(筆者注1-2)に対するきわめて重大な違反および重大な違反があった旨宣言し、第一の重大な違反行為につき各30万ユーロ(約3,720万円)、第二にきわめて重大な違反行為につき60万ユーロ(約7,440万円)、合計120万ユーロの罰金刑を課す旨決定を行った。
AEPDの調査の枠組みでは、Facebook が「イデオロギー」、「性別」、「宗教的信念」、「個人的嗜好」または「ブラウジング活動」に関するデータを収集する方法を明確に知らせることなく、これらのデータを使用していることを明らかにしている。
具体的には、ソーシャルネットワークのプロセスは、、広告目的のために特別に保護されたデータであるのもかかわらず、データ保護法(LOPD)で要求されるユーザーの明示的な同意を得ずに行っていることを確認した。
また、この調査では、Facebookが、収集するデータと実行される処理操作について、ユーザーに完全かつ明確な方法で通知せずに、代わりにいくつかの例示しか行っていないことも明らかになった。
特に、ソーシャルネットワークは、Facebookが収集した情報をどのような目的で使用しているのか、どのような目的で使用するのか明確に知ることができないにもかかわらず、プラットフォームやサードパーティのサイト上のユーザーのインタラクションから得られるその他のデータを収集した。
AEPDは、また「Like(いいね！)」を含むFacebook以外のページをブラウズする際に 、情報がクッキーの使用によって処理されること（広告目的に特に使用されたものや、会社によって宣言された目的のもの）ボタンを押させた 。
このような違法な状況は、ユーザーがソーシャルネットワークのメンバーではなく、かつてFacebookの登録ページの1つにアクセスしたとき、あるいは、Facebookにログインしなくてもサードパーティのページを閲覧したときにも発生した。
このような場合、プラットフォームは、これらのページで収集された情報を、ソーシャルネットワークのアカウントに関連付けられた情報に追加した。
したがって、AEPDはFacebookがユーザーに提供している情報がデータ保護法に準拠していないとみなした。
また、Facebookのプライバシー・ポリシーには一般的で不明瞭な用語が含まれており、ユーザーが多くの異なるリンク先にアクセスしてはじめてそのことを知る必要があることが判明した。
ソーシャルネットワークは、収集したデータの使用を不正確に表しているため、新技術につき平均的な知識を持つFacebookユーザーでも、データの収集や保存、後続の処理を意識することがないだけでなく、その目的も使用されるかについて理解できない。
登録されていないインターネットユーザーは、ソーシャルネットワークがブラウジング・データを収集していることに気づいていない。。
したがって、AEPDはFacebookが、ユーザーまたは非侵害者の承諾を十分に集めていないと判断し、重大な違反を構成するデータも処理されているとみなした。
最後に、AEPDはFacebookがユーザーの閲覧習慣から収集した情報を削除せず、後で同じユーザーに関連付けられた情報を保持して再利用しようとしていることも確認した。
ソーシャルネットワークのユーザーがアカウントを削除して情報の削除を要求したときでも、Facebookはデータの保持に関して、削除されたアカウントのクッキーによって17ヶ月以上にわたって情報をキャプチャして処理する。
したがって、AEPDは、ユーザーの個人データが、収集された目的ではもはや有用でなくなったとき、またはユーザーが明示的に削除を要求したときに、LOPDの要件上重大な権利侵害をもたらすと判断した。
２．EU5ヵ国のコンタクト・グループ のFacebook対応
2015年1月にFacebookの利用規約に変更が加えられたことを受けて、AEPDを含む欧州連合（EU）のいくつかの国のデータ保護当局が「コンタクトグループ*」を結成し、行動を共同化した。
これらの当局は 、各国の法律制度の関係規定に従ってそれぞれの調査手続きを進めている。
*コンタクトグループは、ベルギー、スペイン、フランス、ハンブルク（ドイツ）、オランダの5ヵ国のデータ保護機関により構成されている。
３．Facebookの法違反に対するEU５ヵ国の強化規制概要(CNIL英語版)
(1) 2017年5月16日、オランダ、フランス、スペイン、ドイツ(ハンブルク)、ベルギーのデータ保護当局のコンタクト・グループによる共通の声明は以下のとおりである。
2014年11月13日、Facebookは「データポリシー」、 「Cookieポリシー」、 「利用規約」につき世界的規模の改訂を発表した。
この発表に続いて、ヨーロッパ、オランダ、フランス、スペイン、ハンブルク、ベルギーのデータ保護当局（DPA）はともにコンタクト・グループを新たに設置した。 コンタクト・グループのメンバーは、ユーザーに提供される情報の質、同意の妥当性、および広告目的のための個人データの処理等に関して、国家レベルの調査を開始した。フランス、ベルギー、オランダの 3ヵ国のメンバー国が本日、調査結果を発表する。
*******************************************************************
(筆者注1) AEPDが作成したスペインの個人情報保護法制の平易な英語版の解説ブックレット(8頁)がある。
(筆者注1-2)その後、スペインの保護法は、EU一般情報保護規則(GDPR)の制定を受けた国内法として2018年12月6日施行の2018年「個人情報ほどおよびデジタル権の保証に関する組織法(Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales)」を成立させている。スペインの組織法の意義や憲法との関係等詳しい解説は別途まとめたいと考える。(Last Update March 24, 2019)
(筆者注2)
CNILの機関の公式手続きを概観する。
〇 本会議(Plenary Session)
CNILのメンバーは、議長によって事前に設定された議題につき週1回の本会議で集合する。 これらのセッションの大部分は、正式なCNIL意見のために政府から提出された法案および草案の評価に充てられる。さらに、CNILは、バイオメトリクスの使用を要求する人物を含むがこれに限定されない機密データの処理に対する許可を与える。 また、市民の私生活に対する新技術の影響を分析する。
【写真はCNILサイトから引用】前列左がCNIL 委員長のイザベル・ファルケ・ピエロタン(Isabelle FALQUE-PIERROTIN)である。同氏は2014年2月27日にEU指令第29条専門家会議の議長(任期2年)に選出されている。2016年2月に再選されている。
〇 制裁小委員会(Formation restreinte:Restricted Committee)
2004年8月6日の法律改正以来、CNILの目的が制限された小委員会（5人のメンバーとCNILの委員長以外の委員長で構成）は、保護法に違反するデータ管理者に対して様々な制裁を与えることができる。刑事制裁金の額は最大30万ユーロ(約3,900万円)に達することができ、また、これらの刑事制裁は公表することができる。
**********************************************************
Copyright © 2006-2017 芦田勝(Masaru Ashida)．All rights reserved. You may display or print the content for your use only. You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.
※コメント投稿者のブログIDはブログ作成者のみに通知されます