ドイツ・バイエルン州の民間部門のデータ保護委員長による州内のウェブサイトの検証結果

　2019年3月5日にインターネットの安全の日のシンポジュームでバイエルン州の民間部門のデータ保護委員(BayLDA：Bayerisches Landesamt für Datenschutzaufsicht)の委員長(Präsident)トーマス・クラーニック(Thomas Kranig)氏の講演が行われた。

Thomas Kranig氏:バイエルン州民間部門のデータ保護委員会サイトから引用写真

　講演の柱は、(1)サイバーセキュリティ(Cybersicherheit)、(2)トラッキング問題(Tracking)である。

　ところで、この講演内容をスライドで傍聴したように体験できるとしたらどうであろうか。

　筆者はこれに挑戦してみた。ただし、執筆時間の関係で(2)の部分のみ取り上げることとした。

　なお、この講演は法解釈論のみのためではない。ウェブサイトを具体的に検証した結果を踏まえ、EUのGDPR遵守の観点からチェックした結果である。しかし、その内容はわが国の関係者が見据えるべき重要な指摘が含まれている。

１．インターネットの情報保護面から見た安全性監査(Sicher im Internet-Datenschutzcheck „Tracking“)(スライド No.20)

　情報保護面からのチェック：「トラッキング」のプライバシー侵害にかかる苦情が統合されたバイエルン州内の選ばれた40のウェブサイトのトラッキングの実態に関するデータ保護調査（トラッキングの情報内容およびユーザーの同意を含む）結果

 

 ２．調査した内訳としてどのウェブサイトのカテゴリーの割合は？(スライドNo.21)

①ハウス＆リビング・・・7.5%

②自動車＆電気製品・・・10%

③メディア・・・・・・・17.5%

④保険＆銀行・・　・・・12.5%

⑤スポーツ・・・　・・・12.5%

⑥オンラインショップ　・27.5%

⑦その他・・・・・・・・12.5%

 

３．Webサイトのトラッキング・ツール：Webサイトには、広範なユーザー・プロファイルを作成するトラッキング・ツールが組み込まれているか？(スライドNo.22)

　今回レビューした40のWebサイトのうち全部にあたる40すべてのWebサイトにトラッキング・ツールが含まれていた。

 

《結果の評価(Bewertung des Ergebnisses)》

　スコア・レビュー(筆者注1)のバックグラウンド・レビューされたサイトにはすべて、第三者のトラッキング・ツールが含まれており、第三者のサービスによるデータ処理を引き起こした。ユーザーがWebサイトにアクセスすると、ユーザーに知らされることなく、ユーザーのデータが自動的に表面に出ない形でバックグラウンドで第三者に送信されるのである。

 《背景(Hintergrund)》

　トラッキング・ツールは、次のようなさまざまな目的でWebサイトで使用されていた。たとえば、①広告の資金調達、②コンテンツの最適化、③セキュリティ上の理由などである。多くの場合、ユーザーの広範なプロファイルが作成される。さらに、使用状況プロファイルには、ユーザーの例えば、①政治的態度、②健康、③性的嗜好に関する結論などにつき、ユーザーのネット・サーフィン行動に基づいた特性と関心が割り当てられることもよくある。

４．透明性(スライドNo.23)

　ユーザーはトラッキング・ツールの使用について透明性をもってあらかじめ周知されているか？

①トラッキング・ツールの使用に関する情報はプライバシーポリシーに含まれている・・・・・・・・・・・・・・・・・・・・・・・・・・・・・25%

②プライバシーポリシーにトラッキング・ツールの使用に関する情報は含まれていない、または不十分な情報のみ記載されている・・・・・・・・・75%

《結果の評価》

　保護法にいう「透明性」の要件を満たすデータ保護の規制を行っているウェブサイトはほとんどない。多くのウェブサイト運営者は、トラッキング・ツールの使用について黙秘している。その一方で、その他のものは、ウェブサイトに含まれていない様々なトラッキング・ツールを提供する。その結果、ユーザーは、どの目的のために処理されるかにかかわらず、透明性をもってあらかじめ通知されることはほとんどない。

 《背景》

　EU「一般データ保護規則(GDPR)(DS-GVO)」(筆者注2)の遵守が義務づけられるウェブサイトの運営者は、シンプルで理解しやすい言語でデータ処理についてユーザーに通知することが義務づけられる。その通知には、すべての第三者コンテンツと組み込んだトラッキング・ツールのネーミングが含まれる。さらに、ユーザーは、第三者によるトラッキングが、1)どのような目的で行われ、2)どのくらいの期間このデータが保存されるか、3 )どのようなデータが収集されるかについて通知する必要がある。

５．同意 (1)(スライドNo.24)

　クッキー・バナー(筆者注3)に関してユーザーの「同意」を求めるWebサイトの割合はどうか？

①ユーザーの「同意」を求めない・・　　　・・・・20%

②データ保護法に準拠していない「同意」を得る・・80%

《結果の評価》

　レビューされた40のウェブサイトのうち、30社はいわゆる「クッキー・バナー」を使用している。 クッキー・バナーは、ユーザーが自分のデータの処理に「同意」を得ることを目的としている。 我々の監査結果は、クッキー・バナーに関し得られたすべての同意が無効であることを明らかにした。

《背景》

　クッキー・バナーを使用するWebサイトの所有者は、合法的なデータ処理のためにユーザーの同意が必要であると見なされる。またウェブサイト運営者は、データ保護規定においてこれを明確にしている。同意が無効な場合、トラッキング・ツールの使用は保護法違反となる可能性がある。

６．同意(Einwilligung)を得るための要件(2)　(スライドNo.25)

　Webサイトからの法的に有効な「同意」の要件は満たされているか？

 ①あらかじめ同意を得る：8/40ウェブサイト

 ②同意につき通知する：4/40ウェブサイト

 ③自発的に同意する：8/40 ウェブサイト　　　　　

ただし、①～③のすべての同意要件を満たしたのは0/40であった。

結局、全ウェブサイトの「同意」はすべて無効であった。

《結果の評価》

　得られた同意のどれも有効ではなかった。その結果、「同意」を要するトラッキング・ツールによるデータ処理は保護法違反となる。

《背景》

　その同意は、事前に付与されている場合にのみ有効である。すなわち、すべてのトラッキングの定型書式は、ユーザーが積極的に自由意思で「同意」するまではブロックされており、かつその同意は自発的である必要があり、ユーザーはデータの処理について事前に通知される必要がある。これらの条件の1つでも満たさない場合は、当該同意は保護法違反となる。

７．ユーザーのトラッキング・ツールによるデータ処理の阻止は可能か？(スライドNo.26)

　ユーザーは、ブラウザの独自の設定によっても、Webサイト上のツールを追跡することでプロファイリングを防ぐことができるか？

 

　1ウェブサイトのみでユーザーは自分自身をプロファイリングするのを防ぐことができた。

　1つのWebサイト上でのみ、ユーザーはWebサイトにアクセスしたときに本物の選択をすることができた。また、データをトラッキング・ツールで処理するかどうかを決定できた。レビューした他のすべてのWebサイトでは、ユーザーがこのデータ処理を許可するかどうかを決定する前に追跡が行われていた。「トラッキングしない」というブラウザを設定(筆者注4)できたとしても、Webサイト運営者しか確認はできなかった。

　「同意」が得られたかどうかにかかわらず、Webサイトへのアクセス時にユーザーは追跡される。また「トラッキングしない」設定を受け入れて追跡定型書式の実行を阻止したWebサイトは1つだけであった。他のすべてのWebサイトでは、ユーザーはWebサイトをはじめに呼び出すときにすでにトラッキングを防ぐことができなかった。

************************************************

(筆者注1)マーケティングオートメーションは、訪問者のWEBアクセスやメールの反応、セミナーなどイベントの出席、テレアポ電話の反応などのお客さまの行動を記録します。マーケティングオートメーションが記録した行動を、スコアリングの設定に基づいて数値（スコア）に変換します。これが、マーケティングオートメーションのスコアリング機能です。(KAIROS MARTKETING: スコアリングとは？MAツールのスコアリングの基本を学ぶから一部抜粋)

(筆者注2)EUの「一般データ保護規則」のドイツ語版は”Datenschutz-Grundverordnung DSGVO”である。

(筆者注3)「トラッキングCookie」と呼ばれるCookieがあります。これは、見ているWebサイトのCookieではなく、主にサイト内に埋め込まれたバナー広告を配信しているサーバーのCookieです。閲覧中のサイトの運営者とは別にバナー広告を配信している業者のサーバーからも、訪問者の端末にCookieが送り込まれるのです。(ウイルスバスターチャンネル「閲覧履歴を追跡されている？行動ターゲティング広告の仕組みを知る」から一部抜粋)

(筆者注4)多くのWebブラウザには、Cookieの扱いや追跡に関する設定項目が設けられています。iPhoneの標準ブラウザ「Safari（サファリ）」も例外ではありません。Safariの「プライバシーとセキュリティ」設定をチェックしてみましょう。「追跡しない」や「Cookieをブロック」といった項目が用意されています。

なお、「追跡しない」を有効にした場合、Webサイトに対してトラッキングの停止を求める宣言をしますが、実際にトラッキングするかしないかを決めるのはWebサイト側に委ねられます。(ウイルスバスターチャンネル「閲覧履歴を追跡されている？行動ターゲティング広告の仕組みを知る」から一部抜粋)

********************************************************

Copyright © 2006-2019 芦田勝(Masaru Ashida)．All rights reserved. You may display or print the content for your use only. You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.