アイルランドのデータ保護委員会によるMeta platform に対するGDPR違反による高額の罰金処分や行政措置の最新動向とフランスCNILのデータ・スクレイピング再利用ガイダンスを読む(その2完)

４－２．フランスのデータ保護当局(「CNIL」)のWebスクレイピング・ツールによるオンライン公共スペースからのWebユーザーの個人データの抽出とダイレクトマーケティングへのそのようなデータの再利用に関するガイダンス

　2020年4月30日、フランスのデータ保護当局である「情報処理と自由に関する国家委員会 ( Nationale de l'Informatique et des Libertés：CNIL)は、Webスクレイピング・ツールによるオンライン公共スペースからのWebユーザーの個人データの抽出とダイレクトマーケティングへのそのようなデータの再利用に関するガイダンス(「ガイダンス」を公開した。ガイダンスは、2019年にCNILが実施した検査の後に発行された。

　本ブログでは、策定の経緯など解説が充実していると思われるハントン・アンドリュース・カースLLP解説「CNILは、ダイレクトマーケティングのための公開されているオンラインデータのWebスクレイピングと再利用に関するガイダンスを公開」を仮訳する。なお、注書きやリンク等一部筆者の責任で加筆した。

(1)CNILガイダンス策定の背景

　CNILは、ダイレクトマーケティング・コミュニケーションを送信するためにWebページから個人データを抽出することからなるビジネス慣行に関する苦情を定期的に受け取る。その苦情は通常、消費者間のWebサイトまたはオンラインディレクトリに表示される広告に表示される個人の電話番号を収集する企業に関するものである。この情報は、過去にそのようなコミュニケーションの受信に反対した可能性のある個人にダイレクトマーケティング・コミュニケーションを送信するために使用される。

　その関係者は次のとおりである。

①不動産広告を参考にしてデータベースを作成し、その広告を掲載した個人のデータを抽出している企業。その後、データベースは不動産会社または他の企業に販売され、それらの個人にダイレクトマーケティングコミュニケーションを送信する。

②オンラインディレクトリ内の特定の地理的領域からすべての個人データを収集し、そのデータを使用して独自のダイレクトマーケティング・コミュニケーションを送信する企業(保険商品を販売する保険会社など)。

　CNILは、企業がEU一般データ保護規則(GDPR)およびフランスの「2018年データ保護法(LOI n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles)」に準拠しているかどうかを判断するために、2019年にいくつかの検査を実施した。CNILの調査により、多くの企業がWebスクレイピング(またはデータ抽出)ソフトウェアなどのツールを使用して、オンラインの公共スペースからWebユーザーのデータを自動的に収集していることが明らかになった。調査の結果、データのソースに関して連絡を受けた個人に不十分な情報が提供されたり、電子ダイレクトマーケティング・コミュニケーション(電子メールや自動通話など)の送信に対する同意の欠如など、GDPRおよびフランスのデータ保護法のいくつかの違反が明らかになった。したがって、CNILは、データ管理者とそのサービスプロバイダーにこの分野のベストプラクティスを思い出させることにした。

(2)データ保護の基本原則の遵守

　このガイダンスは、オンラインの公共スペースで公開されている個人の連絡先の詳細は、データが公開されている場合でも、依然として個人データであることを強調している。そのため、企業はデータを自由に再利用したり、個人の知らないうちにデータをさらに処理したりすることはできない。企業は、基本的なデータ保護原則を遵守する必要がある。これには以下が含まれる。

①個人の自由に与えられた、具体的で、情報に基づいた、明確な同意を得る。

　個人が自分の個人データをあるデータ管理者と共有する場合、別の会社からダイレクトマーケティングを受けることは合理的に期待できない-別の会社は、個人の同意がある場合にのみ、そのような目的でデータを再利用する場合がある。同様に、企業が自社の製品やサービスに関するダイレクトマーケティングコ・ミュニケーションを電子メールまたは自動通話システムを介して送信するために、個人の公開されているオンラインデータを再利用する場合、会社は送信する前に個人の同意を得る必要がある。

②GDPRに規定されているように、異議を唱える個人の権利を尊重する。

　企業が非電子的手段(当事者間の直接架電など)でダイレクトマーケティング・コミュニケーションを送信する場合、Webスクレイピング・ツールは、通信事業者からのオプトアウト・リストまたはフランスのBLOCTELオプトアウトリスト(注4)に含まれる個人のデータを収集してはならない。

(3)Webスクレイピングツールを使用する前の重要な手順

　ガイダンスでは、Webスクレイピング・ツールを使用する前に次の手順を実行することも推奨している。

①スクレイピングされるデータの性質と出所の検証:ガイダンスでは、一部のツールは、利用規約でマーケティング目的でのデータの抽出と再利用が禁止されているWebサイトから情報を抽出することに注意されたい。この場合、その慣行は明らかに違法である。

②データ収集の最小化:Webスクレイピング・ツールを使用する企業は、特にその情報が機密である場合(健康情報や個人の宗教や性的指向に関連する情報など)に特に注意し、無関係で過剰な情報を収集しないようにする必要がある。

③個人への通知の提供:さらに、Webスクレイピングツールを使用する企業は、遅くとも個人との最初の通信時に、ダイレクトマーケティングのためにデータが抽出された個人に通知する必要がある。この通知には、データのソースを含め、GDPRの第14条に記載されているすべての情報が含まれている必要がある。

④Webスクレイピング・サービスプロバイダーとの契約関係の管理:企業がWebスクレイピングサービ・スプロバイダーと契約する場合、サービスプロバイダーが上記の措置を遵守することを確認する必要がある。さらに、企業は、GDPRの第28条に準拠して、そのサービスプロバイダーと適切なデータ処理契約を締結していることを確認する必要がある。

⑤必要に応じてデータ保護影響評価(「DPIA」)を実施する:場合によっては、データ処理を実装する前にDPIAを実行する必要がある。DPIA が不要な場合でも、ガイダンスでは、DPIA を実行することがベスト プラクティスであることを強調している。

　また、ガイダンスは、CNILが個人のデータ保護権が保証されることを確実にするために、これらの慣行に関して警戒し続けることを強調している。

５. 2022年3月15日、DPCのGDPRのワンストップショップ(OSS)に基づく国境を越えた苦情の処理に関する統計レポートを公開

 DPCのリリース文を仮訳する。

　データ保護委員会(DPC)は3月15日、GDPRのワンストップショップ(OSS)メカニズムに基づくDPCの国境を越えた苦情の処理に関する統計レポートを公開した。

　2018年5月以降、DPCは、アイルランドにEU本社を置く多数のテクノロジーおよびインターネットプラットフォーム企業のEU / EEAの主要な監督当局として、かなりの数の国境を越えた苦情を受け取り、締結してきた。

　DPCによるこれらの国境を越えた苦情の処理は、パブリックコメントの対象となっており、ほとんどの場合、不完全で文脈に欠ける情報に基づいている。説明責任、透明性、情報に基づいた議論のために、公開されたレポートは、DPCの国境を越えた苦情処理プロセスと、受け取った苦情の数、結論の数、達成された結果など、関連する統計の事実に基づく概要を提供する。

　受け取った国境を越えた苦情の大部分については、DPCは関係する組織・機関のEU / EEAの主要な監督当局としてそれらに対処する責任がある。またDPCは、別のEU/EEAデータ保護機関が主導権を握っている組織について、個人から多くの苦情を受け取っている。このような場合、DPCはOSSメカニズムを介して苦情を関連当局に転送する。

　本レポートは、2018年5月25日から2021年12月31日までの期間に次のことを示している。

〇DPCは1,150件の有効な国境を越えた苦情を受け取った。主たる監督当局(LSA)として969(84%)、関係監督当局(CSA)として181(16%)。

〇LSAとしてDPCが処理した国境を越えた苦情は、もともと別の監督当局に提出され、DPCに転送された。

〇2018年5月以降にDPCがLSAとして処理したすべての国境を越えた苦情の65%が締結されており、2018年に受け取った苦情の82%、2019年に75%が締結された。

〇DPCがLSAとして処理した634件の締結された国境を越えた苦情のうち、544件(86%)は、申立人の利益のために友好的な解決を通じて解決された。

〇72件(22%)の未解決の国境を越えた苦情は調査に関連しており、調査の最終決定時に結論付けられる。2018年と2019年の残りの未解決の苦情の多くは、調査に関連している。

〇LSAとしてDPCが処理するすべての国境を越えた苦情の86%は、わずか10のデータ管理者に関連している。

〇DPCが他のEU/EEA LSA(英国を除く)に転送した苦情の38%が終了した。

　ワンストップショップ(OSS)の国境を越えた苦情の処理に関するデータ保護委員会の統計レポート(全文)。

　最新の統計については、2018年5月25日から2022年9月19日までのワンストップショップ(OSS)の国境を越えた苦情の処理に関するデータ保護委員会の統計レポートを参照されたい。

******************************************************************************:**

(注4) 2016年6月1日、フランスで新しい電話禁止リスト(new do-not-call list「BLOCTELリスト」)が実装された。マーケティング電話の受信を希望しないフランス居住者は、” www.bloctel.gouv.fr”で固定電話または携帯電話番号をオンラインで登録できる。

　BLOCTELリストは、2014年3月17日のフランス消費者法第2014-344号(Loi n° 2014-344 du 17 mars 2014 relative à la consommation) によって制定された。この法律は、企業が(1)消費者がその会社の既存の顧客である場合を除き、BLOCTELリストに登録されている消費者にマーケティング電話をかけること、および(2)そのリストに登録されている消費者の連絡先情報を含むファイルを販売またはレンタルすることを禁止している。フランス消費者法によると、これらの要件を遵守しない企業は、15,000ユーロ(約2,145,000円)から75,000ユーロ(約1073万円)の罰金を科される可能性がある。

　フランスのデータ保護当局(「CNIL」)は、企業は電話マーケティングキャンペーンを実施する前に、BLOCTELリストの存在を消費者に通知し、電話をかける電話番号がリストにないことを確認する必要があると述べた。実際には、企業はBLOCTELリストに直接アクセスすることはできないが、電話マーケティング活動がフランスの法律に準拠していることを確認するために、定期的にリストへのアクセスを要求する必要がある(少なくとも月に1回)。(Hunton Andrews KurthLLPレポートを仮訳した)

**************************************************

Copyright © 2006-2022 芦田勝(Masaru Ashida)．All Rights Reserve．You may reproduce materials available at this site for your own personal use and for non-commercial distribution．