Facebookを使っていなくても追跡されている?その実態と自分を守る対策

Facebookのプライバシー設定は、2004年のサービス開始以来ずっと懸念材料となってきました。しかし新たな報告によると、同社はユーザーの許可なく人々を追跡しているといいます。しかも、Facebookを使っていない人でさえ例外ではないのです。この記事では、その意味と、私たちにできる具体的な対策を解説します。

もちろん、写真やメッセージ、位置情報など、多くの人がSNSで日常を記録しています。FacebookがWhatsAppを買収した際には、そのプライバシーへの影響も大きな話題になりました。そして今回、ベルギープライバシー保護委員会(CPVP/CBPL)が、Facebookは欧州のプライバシー法を「踏みにじっている」と主張し、論争にさらに拍車がかかっています。

何が行われているのか?

大学間研究センターEMSOC/SPIONが、フランス、スペイン、オランダ、ドイツの研究機関と共同で実施した調査を受け、委員会は次のように述べています。

「調査結果は憂慮すべきものです。Facebookは複数の点で欧州およびベルギーのプライバシー法制を無視しています…(ソーシャルプラグインによる人物追跡)は、Facebookユーザーだけでなく、ベルギーおよび欧州の事実上すべてのインターネットユーザーに影響を及ぼします」

同社は、アカウントを必要としないFacebook.comドメイン上のトラフィック——特にファンページや、プライバシー設定が緩いプロフィール——を追跡することで、EU法を無視している疑いがあります。さらに懸念されるのは「いいね!」ボタンなどのソーシャルプラグインです。1,300万以上のウェブサイトに設置されたこのプラグインは、トラッキングCookieを読み取り、そのデータをFacebookへ送信します。

つまり、Facebookアカウントを持っていてもいなくても、追跡され得るということです。

また、アカウントを持っている場合は、セッションCookieによってログアウト後も訪問先サイトの情報が追跡される可能性があります。

EUのプライバシー法では、トラッキングCookieを使用する前にユーザーの同意を得ることが求められています(ただし、サービスへの接続に不可欠なCookieや、ユーザーが要求したコンテンツの提供に必要なCookieには例外があります)。EUからの訪問者に対してウェブサイトがCookieの使用を通知しなければならないのは、まさにこのためです。

なぜ許されているのか?

Facebookの広報担当者は次のように述べています。

「CBPLと直接会った際にお伝えしたように、私たちにとってユーザーのプライバシーより重要なものはありません。人々が何を、誰と共有するかをコントロールできるよう尽力しています。Facebookはすでに欧州で規制されており、欧州のデータ保護法を遵守しています。そのため、CBPLの取り組みの適用範囲は不明確です。ただし、勧告を受け取れば、欧州の規制当局であるアイルランドデータ保護委員会とともに当然検討します」

これこそがFacebook側の主張の核心です。同社の欧州本社(Frank Gehry設計のスタイリッシュな建物で、卓球台やポスター、宇宙飛行士の巨大イラストが飾られていることで有名)がダブリンにあるため、「自社はアイルランド法のみに従えばよい」という立場を取っているのです。

サービスを利用していない人に関する情報——いわゆる「シャドウプロファイル」——の存在は、決して新しい話ではありません。オーストリアの活動家で「Europe v Facebook」の創設者であるMax Schrems氏は、以前からFacebookの欧州法違反を批判しており、2011年にこう述べています。

「今のところ、アイルランド当局がFacebookに大幅な変更を求めると楽観視しています。当局へのインタビューを読む限り、彼らはこの問題を非常に真剣に受け止めているようです」

プライバシー保護委員会には罰金を科す権限はありませんが、訴訟手続きを開始することは可能です。

EU「記事29条ワーキングパーティー」も問題視

ベルギーのプライバシー保護委員会だけが、トラッキングCookieを懸念しているわけではありません。独立したデータ保護諮問機関である記事29条ワーキングパーティー(Article 29 Working Party)は、ソーシャルプラグインもCookieを送信する前にユーザーの許可を求めるべきだとし、セッションCookieはFacebookからログアウトした時点で失効すべきだとしています。

SNSによる広告目的の追跡はオプトアウトできますが、European Law Blogに寄稿するBrendan Van Alsenoy氏は英Guardian紙にこう語っています。

「Facebookは、ユーザーの無行為(つまりサードパーティのウェブサイト経由でオプトアウトしないこと)をもって同意の推定根拠にすることはできません。非ユーザーに関して言えば、Facebookには現在の追跡行為を正当化する法的根拠が一切ありません」

その後、Facebookは非ユーザーを追跡していたことを認めましたが、修正中のバグが原因だとしています。

自分にできる対策は?

まず、興味や好みを広告に利用される「パーソナライズド広告」をオプトアウトできます。また、Disconnectのような非追跡系ブラウザ拡張機能を導入するのも有効です(ただし、コメント投稿時に不具合が出ることもあります)。Chromeの「Edit This Cookie」のような拡張機能を使えば、許可するCookieを細かくカスタマイズすることも可能です。

あわせて、連携アプリの権限設定を見直すことも忘れないでください。

SNSに苛立ちを覚えるのは自然なことです。プライバシーが心配なら、欧州委員会(EU)からも一つの提案が出ています。欧州から米国への個人データ移送を認める「セーフハーバー」枠組みに関する公聴会(Max Schrems氏が発端)で、EU法務顧問のBernhard Schima氏はこう述べました。

「Facebookアカウントをお持ちなら、閉鎖することを検討してもよいかもしれません」

さすがにそこまでは……と感じるなら、まずは一時的な非アクティブ化(休止)を試してみるのもよいでしょう。しかし、Facebookのデータの扱いにどうしても納得できないなら、アカウントを完全に削除するという選択肢もあります。

あなたはFacebookの退会を考えたことがありますか?その理由は?あるいはすでに退会済みで、振り返って良い判断だったと思いますか?ぜひコメント欄でお聞かせください。