ルクセンブルグのDPAであるCNPDがGDPR違反を理由に米Amazon LLCに対し過去最高額7億4600万ユーロの制裁金を科す旨公表

Last Updated: August 7 ,2021

　8月1日付けの朝日新聞等はルクセンブルグのデータ保護当局が欧州連合の「一般データ保護規則(GDPR)」に違反したとしてアマゾンに対し制裁金7億4600万ユーロ(約969億8000万円)を科したと報じた。

　GDPR違反による制裁金の額としては2019年1月21日、フランスのデータ保護規制当局であるCNIL（Commission nationalede l'informatique et des libertes：情報処理及び自由に関する国家委員会）は米国Googleに対し、GDPR違反で5000万ユーロ（約62億円）の罰金支払いを命じており(注1)、今回の制裁金額は過去最高であると欧米メディアが報じていると書いてある。

　筆者も毎日手元に届くEUの各Watchdogからの情報で読んだ記憶がないため、改めて一般メディアではなく米国SEC専門サイトや関連サイトにあたってみた。取り急ぎ明らかになった点を今回は整理する。

 　また、さらに気が付いた極めて興味深いサイト” GDPR Enforcement Tracker”である。同サイトはCMS international law firmが作成し、DPAの公式リリースへのリンクが100%保証されている。現在時点で783件がエントリーされている。低額の苦情・制裁事件としては500ユーロ(約65000円)といったものまである。

　これらエントリーされた高額制裁金が科された事件を筆者なりにリストアップした。これまでわが国のメディアではほとんど報じられていない事件を含め一覧にしたので補足しながら紹介する。

 　一方、これに比してわが国の個人情報委員会の規制機関の機能はいかがであろうか。

　令和２年度 年次報告（概要）(令和３年６月個人情報保護委員会)を読む限り個人情報保護法に基づく監督等として(1)1,027件個人データの漏えい等事案の報告の受付件数1027件、(2)報告徴求354件(第40条)、(3)立ち入り検査2件(第)、(4)指導・助言198件（第41条）、(5)命令2件(第42条)である。

　平成15年(2003年)に制定された個人情報保護法82条以下に罰則規定があるが、これまで罰金が科されたことは0件であり、これが我が国のWatchdogの実態である。

１．事実の概要

　Techcrunch記事を仮訳する。

　2021年7月16日、ルクセンブルク大公国のデータ保護機関（Commission Nationale Pour LaProtectiondesDonées：CNPD）は、 EU一般データ保護規則（GDPR）の違反の申し立てに基づきAmazon Europe CoreS.à.r.l(注2)に対し過去において記録的な7億4600万ユーロの罰金を科す旨決定した。 またCNPDは、Amazonにその個人情報処理の実務慣行の一部を改訂するように命じた。Amazon LLCはルクセンブルクにEU本社を置いているため、CNPDはアマゾンのEUにおける主要なデータ保護監督機関として機能している。

　各報道とAmazonの公式声明に基づくと、罰金はAmazonがターゲットを絞った広告目的で顧客データを使用することに関連しているようである。

 罰金の額は、以前に報道機関で報告された決定案で提案された罰金よりも大幅に高くなっている。

　CNPDの決定は公開されていないが、この決定はAmazon LLCのSEC様式10-Qファイリング(注3)によって確認された。Amazon LLCは、CNPDの決定に対して上訴することを示している。 

 2.フランスCNILの規制委員会の権限と機能

(1)規制委員会 (注4)

○GDPRおよびフランスのデータ保護法に違反している場合、CNILの委員長は、規制委員会に照会して、法違反を行ったとされる組織が審理される手続きの最後に1つまたは複数の措置を講じることができる。

 (2)規制委員会に認められたさまざまな権限

　GDPRまたはフランスのデータ保護法に違反した場合、制限された委員会によって次の是正権限が行使される可能性がある。 

 ①戒告(reprimand)。

②処理をテキストによって提供される義務に準拠させるための命令、または個人の権利を行使するという要求を満たすための命令。 この命令には、1日あたり最大10万ユーロの遅延による定期的な罰金支払いが伴う場合がある。

③処理、その禁止、または承認の取り消しに対する一時的または決定的な制限を課す。

④許可証明書の撤回。

⑤第三国または国際機関に所在する受信者に宛てられたデータフローの一時停止。

⑥拘束力のある企業規則を承認する決定の部分的または完全な停止。

⑦GDPR第83条第5項および第6項に記載されている要素に基づいて金額が決定される行政罰金。 

３．GDPR違反として高額制裁金が科された事件

ＣＭＳの資料に基づき筆者なりにリストアップした。

*******************************************************************************

(注1) GDPRに違反した制裁金としては、2019年のグーグルへの5,000万ユーロ（約65億円）がこれまでの最高である。2020.12.10フランスDPAであるCNILの当時の発表内容を見ておく。

「米国Google LLC(有限責任会社)に対して6,000万ユーロ(約78億円)、またGoogle Ireland Limited に対して4000万ユーロ(約52億円)を科した」

○2020年12月7日、制裁を科すうえで責任を持つCNILの規制委員会( restricted committee)(注3)は、事前の同意を得ることなく、また適切な情報を提供することなく、検索エンジンgoogle.frのユーザーのコンピューターに広告用Cookieを配置したとして、米国Google LLCとGoogle Ireland Limitedの2企業に対し、合計1億ユーロ(約130億円)の罰金を科した。 

　2020年3月16日、CNILはウェブサイトgoogle.frでオンライン調査を実施し、ユーザーがこのウェブサイトにアクセスすると、ユーザーが何もしなくてもCookieが自動的にコンピューターに配置されることを明らかにした。 これらのCookieのいくつかは、広告目的で使用されていた。 

○フランスのデータ保護法の違反問題

　各制裁を科す責任があるCNIL内の規制委員会(restricted committee)は、フランスのデータ保護法第82条に関し3つの違反事実に気がづいた。すなわち、ユーザーの事前の同意を得ずにCookieをデポジットしていた。

　ユーザーがウェブサイトgoogle.frにアクセスすると、広告目的で使用されるいくつかのCookieが、ユーザー側で何もすることなく、自動的に自分のコンピューターに配置された。

　このタイプのクッキーは、ユーザーが同意を表明した後にのみ置くことができるため、規制委員会は、サービスに不可欠でないクッキーを置く前に、事前の同意の収集に関して、フランスのデータ保護法第82条に規定された要件を遵守していないと判断した。

　ユーザーがページgoogle.frにアクセスすると、ページの下部に情報バナーが表示され、「Googleからのプライバシーのリマインダー」というメモが表示され、その前に「後でリマインダー」と「今すぐアクセス」の2つのボタンがある。

　このバナーは、サイトに到着したときにすでにコンピューターに配置されていたCookieに関する情報をユーザーに提供しなかった。彼または彼が「今すぐアクセス」ボタンをクリックしたときも、この情報は提供されなかった。

　したがって、規制委員会は、企業が提供する情報は、フランスに住むユーザーが自分のコンピュータ上のクッキーの預け入れに関して以前かつ明確に知らされること、これらのクッキーの目的とそれらを拒否することを可能にする利用可能な手段を知らせることを可能にしなかったと考えた。

（以下、略す)

　なお、CNILは2021年7月21日、アマゾンに対する差止命令の閉鎖する旨をリリースした。主要部を仮訳する。

 2021年7月21日 2021年7月8日の決定により、CNILの制限する命令により、2020年12月7日にAMAZON EUROPEC　ORE社に対して発行された差止命令が終了した。 2020年12月7日、CNILの制限付き命令は、3,500万ユーロの罰金に加えて、3か月以内にAMAZON EUROPE  COREに関係者に事前に、明確かつ完全な方法で通知するように命令した。たとえば、最初にアクセスしたページに関係なく、インターネットユーザーが最初に「Amazon.fr」サイトにアクセスしたときに表示される情報バナーでは、次のようにする。 

・同意が必要なすべてのCookieの正確な目的。 

・Cookieを拒否するためにユーザーが自由に使える手段。 

　AMAZON EUROPE CORE社からの期限内の回答を考慮し、発布した差止命令を満たしていることを考慮して、規制委員会は2021年7月8日に訴訟を終了することを決定した。 この閉鎖は、2020年12月7日の審議において制限された当事者によって宣言された差止命令の境界にのみ関連する。

(注2) ”Amazon Europe CoreS.à.r.l”は、本社がルクセンブルクにあり、データ処理、ホスティング、および関連サービス業界の一部である。”Amazon Europe  CoreS.àr.l” には2,521社のファミリー企業があり、アマゾンはヨーロッパ本社として、ルクセンブルクに有限会社としてアマゾンを登録している。その有限会社の名前がAmazon EU S.a.r.L.である。ルクセンブルクという国は企業に対しての課税率が低いため、言わばタックスヘイブンとしてインターネット関連企業の多くがヨーロッパ本社をここに置いている。なお、SARLはフランス法における有限会社（société à responsabilité limitée; s.à r.l.; SARL（エス・アー・エール・エル）という意味である。

Amazon Europe CoreS.à.r.l”には710人の従業員がおり、売上高は85億1,000万米ドル（USD）である。 

(注3)Form 10-Q(Quarterly Report)SEC Filingは米国上場企業の正式な報告資料である。

第1四半期(１Q)～第3四半期(３Q)決算で提出が義務付けられているのがForm 10-Q(Quarterly Report)である。日本でいうところの四半期報告書にあたる文書で。Form 8-Kの後に提出される。Form 10-Qの提出期限は会社の時価総額によって異なり、四半期末日から40日または45日以内と決められている。

(注4)フランスのデータ保護規制当局であるCNIL（Commission nationalede l'informatique et des libertes：情報処理及び自由に関する国家委員会）の中にある規制委員会の権限と機能についての解説はあまり例がない。本ブログで簡単に解説する。

*************************************************************************

【DONATE(ご寄付)のお願い】

本ブログの継続維持のため読者各位のご協力をお願いいたします。特に寄付いただいた方で希望される方があれば、今後公開する筆者のメールアドレス宛にご連絡いただければ個別に対応することも検討中でございます。 

◆みずほ銀行　船橋支店(店番号　282)

◆普通預金　１６３１３０８

◆アシダ　マサル 

◆メールアドレス：mashida9.jp@gmail.com

【本ブログのブログとしての特性】

１．100%原データに基づく翻訳と内容に即した権威にこだわらない正確な訳語づくり。

２．本ブログで取り下げてきたテーマ、内容はすべて電子書籍も含め公表時から即内容の陳腐化が始まるものである。筆者は本ブログの閲覧されるテーマを毎日フォローしているが、10年以上前のブログの閲覧も毎日発生している。

このため、その内容のチェックを含め完全なリンクのチェック、確保に努めてきた。

３．上記2.のメンテナンス作業につき従来から約4人態勢で当たってきた。すなわち、海外の主要メディア、主要大学(ロースクールを含む)および関係機関、シンクタンク、主要国の国家機関(連邦、州など)、EU機関や加盟国の国家機関、情報保護監督機関、消費者保護機関、大手ローファーム、サイバーセキュリテイ機関、人権擁護団体等を毎日仕分け後、翻訳分担などを行い、最終的にアップ時に責任者が最終チェックする作業過程を毎日行ってきた。

　このような経験を踏まえデータの入手日から最短で1～2日以内にアップすることが可能となった。

　なお、海外のメディアを読まれている読者は気がつかれていると思うが、特に米国メディアは大多数が有料読者以外に情報を出さず、それに依存するわが国メデイアの情報の内容の薄さが気になる。

　本ブログは、上記のように公的機関等から直接受信による取材→解析・補足作業→リンク・翻訳作業→ブログの公開(著作権問題もクリアー)が行える「わが国の唯一の海外情報専門ブログ」を目指す。

４．他にない本ブログの特性：すべて直接、登録先機関などからデータを受信し、その解析を踏まえ掲載の採否などを行ってきた。また法令などの引用にあたっては必ずリンクを張るなど精度の高い正確な内容の確保に努めた。

その結果として、閲覧者は海外に勤務したり居住する日本人からも期待されており、一方、これらのブログの内容につき著作権等の観点から注文が付いたことは約15年間の経験から見て皆無であった。この点は今後とも継続させたい。

他方、原データの文法ミス、ミススペリングなどを指摘して感謝されることも多々あった。

５．内外の読者数、閲覧画面数の急増に伴うブログ数の拡大を図りたい。特に寄付いただいた方で希望される方があれば今後公開する筆者のメールアドレス宛にご連絡いただければ個別に対応することも検討中である。

【有料会員制の検討】

関係者のアドバイスも受け会員制の比較検討を行っている。移行後はこれまでの全データを移管する予定であるが、まとまるまでは読者の支援に期待したい。

　　　　　　　　                                                 Civilian Watchdog in Japan & Financial and Social System of Information Security　代表　　　　　　                                                                                                   　　　  　

*************************************************************************************************************************:

Copyright © 2006-2021 芦田勝(Masaru Ashida)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution．