データ保護委員会、位置情報データの処理に関してGoogleに4億300万ユーロの罰金

データ保護委員会、位置情報データの処理に関する調査を経てGoogleに4億300万ユーロの罰金を科す

データ保護委員会（DPC）は本日、Google Ireland Limited（以下「Google」）に対する調査の最終決定を発表しました。DPCがGoogleのリード監督当局としての役割において、2020年2月にいくつかの欧州消費者権利団体（BEUCを含む）からGoogleによる特定サービスおよび製品に関連する位置情報データの処理に関する苦情を受け取ったことを受けて、自主的に開始された調査です。

調査の範囲は、GDPR適用開始日である2018年5月25日から2020年2月4日までの期間における、「Webとアプリのアクティビティ」、「位置情報履歴」、「位置情報精度」の3つの特定の機能におけるGoogleによる位置情報データの処理に関するものでした。

データ保護委員であるDr Des Hogan、Mr Dale Sunderland、Ms Niamh Sweeneyによって下された決定は、Googleが以下の点でGDPRに違反したと認定しました。

• Webとアプリのアクティビティおよび位置情報履歴における位置情報データの処理の適法性および公正性
• 位置情報精度における個人データの処理に関する適法性、公正性、透明性の原則への準拠を証明できなかったことによる、GDPRに基づく説明責任義務
• 上記3つの機能すべてに関する透明性義務
• Webとアプリのアクティビティおよび位置情報履歴における位置情報データの保持期間

DPCは合計4億300万ユーロの行政罰金を科し、Googleに対し6ヶ月以内に処理を準拠させるよう命じました。

副委員長のGraham Doyle氏は次のようにコメントしています。

「位置情報データは、位置情報追跡によって処理される個人データの一種であり、Googleによって収集または処理されるデータを含みます。これは、単独で、または他の情報と組み合わせて個人の位置を推測できるものです。位置情報データは、個人に利益と損害の両方をもたらす可能性があります。オンラインサービスの有用性を大幅に向上させる一方で、個人の広告への影響や興味の推測などに利用されていることをユーザーが知らないまま、個人データに対する管理を失う可能性があります。ユーザーの位置情報データを必要以上に長く保持することは、この管理の喪失を悪化させました。」

DPCは、本件における他の監督当局との協力と支援に感謝しています。

DPCは、正式な決定書を追って発行します。

背景

Webとアプリのアクティビティは、Googleアカウント保有者のみが利用できるGoogleアカウントの設定です。有効にすると、Googleはこの設定を使用して、サイトやアプリを含むGoogleサービス上のユーザーのアクティビティに関連する情報を処理します。処理される情報には、閲覧履歴、検索履歴、位置情報データなどの個人データが含まれる場合があります。

位置情報履歴は、互換性のあるモバイルデバイスを所持している間のユーザーの位置を追跡するGoogleサービスです。ユーザーは位置情報履歴をオプトインする必要があり、その後、各ユーザーのデータを処理して、場所の訪問、アクティビティ、場所の訪問間の経路などの位置情報を推測します。位置情報履歴は「タイムライン」機能を利用し、ユーザーが移動した場所を確認できるプライベートマップ（Googleマップ経由）を表示します。位置情報履歴は、ユーザーがGoogleサービスを使用していない場合でも、サインインしているデバイスでのユーザーの移動経路のプライベートマップを保存します。

位置情報精度は、Android OSの機能であり、デバイスのGPSユニットからの入力に依存するだけでなく、より正確に位置を特定することを可能にします。これは、Googleアカウント保有者であるかどうかにかかわらず、Androidユーザーが利用できます。