WhatsAppがプライバシーポリシーを刷新した理由――その適用はヨーロッパ限定

Meta傘下のメッセージングアプリ「WhatsApp」が、EU一般データ保護規則（GDPR）違反を理由に、アイルランドのデータ保護委員会（DPC）から2億6,700万ドル（日本円で約350億円相当）という衝撃的な制裁金を科されました。これを受けて、WhatsAppはヨーロッパ地域のみに適用される新しいプライバシーポリシーを発表しています。

本記事では、WhatsAppがなぜこのような高額な制裁金を受けたのか、DPCが下した具体的な命令の内容、そして新プライバシーポリシーがアプリとユーザーにどのような影響を与えるのかを詳しく解説します。

背景：WhatsAppはどのように法的問題に陥ったのか

アイルランドのDPCは、WhatsApp Europeが拠点を置くアイルランドにおいてGDPRを執行する機関です。2018年5月25日のGDPR発効以降、DPCには、WhatsAppのユーザーおよび非ユーザー、さらにはドイツ連邦データ保護当局から、WhatsAppとFacebook（現・Meta）間での個人データ共有に関する苦情が正式に寄せられていました。

これらの苦情の核心は、WhatsAppによる情報開示の不透明さにありました。このため、DPCは正式な調査の開始を決定します。

さらに事態を複雑にしたのが、今年1月4日の出来事です。WhatsAppは、ユーザーに対して遡及的にFacebook（現・Meta）とのデータ共有を許可させるアップデートを強行しようとしたのです。このデータには、電話番号、利用時間や頻度に関するログ、デバイス識別子、IPアドレス、取引・決済データ、Cookie、位置情報などが含まれていました。

実はWhatsAppは2016年から、ユーザーの同意なしにデータをMetaへ送信し続けていました。しかし、この事実を公に認め、追認によって正当化しようとしたのは今回が初めてだったのです。この動きは大きな反発を招き、法的立場を一層苦しいものにしました。多くのユーザーが競合アプリのTelegramやSignalへ移行する事態にもなっています。

WhatsAppはどこで法律に違反していたのか

GDPRは、個人が自身の個人データについて保護を受ける基本的な権利を保障しています。同時に、個人データを提供するかどうかを自ら判断する権利も認めています。DPCは、WhatsAppがGDPRの4つの重要条項、すなわち第5条1項(a)、第12条、第13条、第14条に違反していると認定しました。

要約すれば、この4つの違反は、WhatsAppがMetaとの情報共有についてユーザーへ十分な透明性を確保していなかったことを意味します。加えて、非ユーザー（他のアプリ上の第三者）も、自分の情報がWhatsApp経由で共有される可能性があることを知らされておらず、個人データを管理する権利を事実上奪われていました。DPCによると、WhatsAppはサービス利用者に対して必要な情報のわずか41%しか提供しておらず、非ユーザーには一切の情報が開示されていませんでした。

WhatsAppに課された法的責任とは

アイルランドのDPCは、計8項目からなる命令を下しました。これには前述の巨額の制裁金が含まれます。さらに、MetaとWhatsAppは、GDPRのすべての要件を満たすまで、「法的根拠通知」および「Facebook FAQ」を各プラットフォームから削除することを求められました。

また、WhatsAppにはプライバシーポリシーをGDPRの基準に沿って更新し、その内容を子どもでも理解できる平易な言葉で、ユーザーだけでなく非ユーザーにも伝えることが命じられました。すべての命令は3か月以内に実施されなければなりません。

これを受けてWhatsAppはプライバシーポリシーを改定し、次の3つの重要な分野について、より詳しい情報をユーザーと非ユーザーに提供するようになりました。

• データの使用方法：収集・利用するデータの詳細、データを保存する理由と削除の時期、サードパーティーから提供されるサービスの内容など。
• グローバルな運営体制：国境を越えてデータを共有する理由と、その際のデータ保護の仕組みについての詳細。
• 法的事項：ユーザーのデータ処理の根拠として依拠する法令についての詳細。

なお、WhatsAppは現時点では2億6,700万ドルの制裁金を支払う義務を負っていません。同社が控訴の手続きを行っているためです。

このポリシー変更はあなたに影響するのか

結論から言えば、ヨーロッパ以外に住んでいるユーザーへの影響はありません。こうした地域では従来のWhatsAppプライバシーフレームワークが引き続き適用されます。一方、ヨーロッパ在住のユーザーは、WhatsAppを起動した際に更新されたプライバシーポリシーを知らせる通知を目にすることになります。ただし、それ以外にアプリの使い勝手が大きく変わることはありません。

注目すべき朗報は、ヨーロッパのユーザーが、サービスの利用に何ら支障をきたすことなくWhatsAppのプライバシーポリシーをオプトアウトできる点です。少なくとも欧州のユーザーにとっては、データ主権が単なる理想ではなく、現実のものになりつつあると言えるでしょう。