Facebookはアカウントを持たない人まで追跡している？ベルギー裁判が問うプライバシーの行方

私たちの多くは、Facebookが自分についてどれほど多くのデータを保有しているのかに警戒心を抱いています。情報は自ら提供しているとはいえ、SNSが実際に収集するデータの範囲の広さには驚かされるかもしれません。さらに、差し出した情報から何を推測・導き出せるのかとなると、なおさらです。

プロファイル解析ツールを使えば、洗練されたプログラムがパスワードに近いものまで推測できる可能性すらあるのです。

しかし、この巨大企業に対するプライバシー回復のための戦いは、少なくともヨーロッパでは、ゆっくりとではありますが勝利に近づいています。なぜなら、Facebookはベルギーにおいて、非ユーザーの追跡を48時間以内に中止するよう命じられたからです。

ベルギーはFacebookを訴えているのか？

読んで字のごとくです。Facebookはアカウントを持たない人々までも追跡しています。

SNS現象にどっぷり浸かっていようと、頑なに拒んできた人であろうと関係ありません。インターネットを使っている限り――あなたがこの記事を読んでいるということは使っていますよね――Facebookはあなたを追跡できるのです。

その仕組みは「シャドウプロファイル」と呼ばれるものです。これは、訪問したサイトがFacebook.comドメイン（ファングループ、企業や政党の宣伝ページ、プライバシー設定が甘いプロファイルなど）であるか、「いいね！」ボタンを設置できるソーシャルプラグインを備えたサイトであるかに基づいて作られる、あなたのおおよその輪郭です。後者のプラグインは1,300万以上のウェブサイトで使用されており、トラッキングCookieを読み取り、その情報をFacebook本社へ送り返しています。

ベルギープライバシー保護委員会（CPVP/CBPL）は、Facebookが欧州のプライバシー法を「踏みにじっている」と見なしています。一方Facebook側は、欧州本社がダブリンにあるため、適用されるのはアイルランド法のみだと主張します。委員会は次のように警告しています。

「（ソーシャルプラグインによる人々の追跡）は、Facebookユーザーだけでなく、事実上ベルギーおよびヨーロッパのすべてのインターネットユーザーに影響を及ぼします。」

11月10日付で、ベルギーの裁判所はFacebookに対し、同サイトを訪れた非ユーザーの追跡を48時間以内に中止するよう命じました。従わなければ、1日最大25万ユーロ（約26万7,725ドル）の罰金を科される可能性があります。

なぜそんな厳しい措置なのでしょうか。裁判所は、Facebookが個人データを取得するには訪問者の同意が必要だと判断したのです。これに対し、同社の広報担当者は次のように述べています。

「私たちは5年以上にわたり『datr』Cookieを使用し、世界中の15億人のFacebook利用者のセキュリティを守ってきました……今回の決定については控訴する予定であり、ベルギーの皆さんがFacebookへアクセスする際の支障を最小限に抑えるべく対応を進めています。」

最高セキュリティ責任者（CSO）のアレックス・スタモス氏によれば、このCookieは主に偽アカウントやスパムアカウントの作成を防ぎ、不正行為のリスクを低減するために使われているといいます。

「例えば、datr Cookieの記録から、あるブラウザが過去5分間に数百のサイトを訪れていたことが分かれば、それはコンピュータ制御のデバイス（ボット）である可能性が非常に高いと判断できます。逆に、数日にわたって一貫して使用されている場合は、正当なブラウザであり、通常通りFacebookへアクセスできるべきだと判断できます。私たちはブラウザに関するこうした集計的・統計的な情報をセキュリティ目的で使用しており、datr Cookieが生成したログは10日後に完全に削除しています。」

さらなる複雑さ

公平に言えば、CPVP/CBPLは、このCookieが生成したデータがターゲット広告の作成につながるという主張（Cookieが一般的に使われる主な目的の一つ）を撤回せざるを得ませんでした。スタモス氏はさらにこう述べています。

「誰かが『いいね！』ボタンのあるページを単に読み込んだだけでは、datr Cookieは設定されません。」

しかし2011年当時、ウォール・ストリート・ジャーナルは、同社のCookieこそがまさにそれを行っていると報じていました。このCookieは今も議論の的です。本質的に、Facebookは「無知」や「無反応」を同意と解釈しているのですから。

多くの人は、アカウントを持っていなくても追跡されていることに気づいていません。知っていたとしても、何も行動しないのが大半でしょう。開発者であり元セキュリティコンサルタントのニク・クブリロビッチ氏はこう語ります。

「Facebookは追跡せざるを得ません。ブラウザが以降のリクエストでCookieを送信してくるからです。彼らはそのCookieを読み取ることで、同じ訪問者であることを把握します……Facebookがユーザーを追跡し、そのデータを分析している（広告目的で）と結論づけるのは、大きな飛躍ではありません。」

オーストリアの活動家マックス・シュレムス氏は、SNSにおけるプライバシー権のために闘う団体「Europe v Facebook」を設立し、プライバシー権をめぐってFacebookを提訴しようと試みてきました。

しかし7月、ウィーン地方裁判所はこの訴えを棄却しました。マルゴット・スルンスキー・ヨスト判事は、シュレムス氏が集団訴訟で生まれた報道を、自身が執筆中のデータ保護に関する書籍や、プライバシー活動家としての知名度向上のために利用していると指摘したのです。シュレムス氏はアイリッシュ・タイムズ紙にこう語りました。

「この判決には満足していませんが、より上位の裁判所へ持ち込みます。裁判所は単に熱いジャガイモを投げ返しているだけです。」

「Europe v Facebook」の動きはTwitterでフォローできます。そして、その活動をシェアするのは……ええ、Facebookでも可能です。

……ふむ。

Facebookが非ユーザーの追跡停止命令に応じず罰金を科された場合どう対応するかは、シュレムス氏の訴訟にも影響を与えるでしょう。また、Cookieデータの収集にも同意が必要だと主張する独立規制機関「第29条作業部会」の案件にも波及しかねません。

この件があなたに与える影響

この命令が実施されない可能性もあります。Facebookはこの決定に控訴中だからです。ただし実施されれば、1日25万ユーロの罰金はベルギープライバシー保護委員会に支払われることになります。

いずれにせよ、この訴訟が生む報道により、潜在的なプライバシー侵害への認識が高まるのは間違いありません。直接的な影響を受けるのはベルギー在住の人々ですが、その含意はもっと広範囲に及ぶ可能性があります。

Facebookは、ベルギー国内では非ユーザーを追跡しないのに、国際的には――特にヨーロッパの他地域では――追跡を続けるという判断を正当化しなければなりません。ほぼ不可能な課題に思えますが、スタモス氏はすでにdatr Cookieを全体的に維持すべきだとの主張を掲載しています。

「実際のところ、それはベルギーからのアクセスすべてを信頼できないログインとして扱い、アカウントの正当な所有者であることを証明してもらうための各種検証手段を導入することを意味します。また、ベルギーのデバイスは、地下フォーラムで乗っ取ったアカウントを売買するスパマーたちにとって格好の標的になるでしょう。」

人々はプライバシーよりもセキュリティを心配する傾向があります（監視法案のような立法が提案されるのもそのためです）。ですから、これは確かに説得力のある論理ではあります。

もちろん、Cookieを削除したり、自分の興味関心を晒すパーソナライズド広告をオプトアウトしたりすることもできます。あるいは、トラッキングを行わないブラウザ拡張機能を導入する手もあります。実は、わずか1時間ほどでオンラインのプライバシーを取り戻すためにできることはたくさんあるのです。

いずれにせよ、この訴訟がどう結末を迎えるのか、注目が集まります。

あなたはFacebookによるCookieの使用を懸念していますか？それとも、それはより良いセキュリティのための必要な措置だと思いますか？個人情報を守るためのコツがあれば、ぜひ教えてください。