フランス、GDPR違反でGoogleに約5700万ドルの罰金 ― GDPR発効後最大の制裁金

フランスのデータ保護当局CNIL(フランス国立情報学自由委員会)は、Googleのデータ同意ポリシーが不明瞭であるとして、EUの新たなデータ保護規則「GDPR(EU一般データ保護規則)」への違反を理由に、同社へ約5700万ドル(約60億円)の罰金を科すことを発表しました。これはGDPR発効以来、これまでで最大規模の制裁金となります。

Googleの不適切な対応は誰が明らかにしたのか?

2018年に施行された包括的なプライバシー規則「GDPR」は、世界的な標準として確立され、Googleをはじめとするシリコンバレーの大手テック企業に対し、データ収集手法を抜本的に見直すか、天文学的な罰金のリスクを受け入れるかの選択を迫る存在となっています。

一方で米国には、これに相当する包括的な連邦消費者プライバシー法が存在しません。プライバシー権を擁護する活動家たちはこの点を法制上の欠陥とみなしており、その結果、欧州が世界の「事実上のプライバシー警察」としての役割を担う状況が生まれています。

なぜ罰金が科されたのか?

今回の罰金は、Googleがユーザーに対してデータ同意ポリシーに関する明確な情報を提供しなかったこと、また自身の情報がどのように利用されるのかについて、ユーザーに十分なコントロールを与えなかったことが理由です。

さらにGoogleは、位置情報の追跡をめぐる欺瞞的な慣行によってGDPRに違反したとして、欧州各国の7つの消費者団体からも告発されています。

罰金額はGDPRで許容される上限内なのか?

5700万ドルという金額は非常に大きく感じられますが、GDPRで許容される上限と比べれば決して大きな額ではありません。GDPRの規定では、重大な違反が認められた場合、企業の年間全世界売上高の最大4%を罰金として課すことが可能です。

Googleの四半期売上高は337億4000万ドルに達していることを考えると、理論上はこの罰金が数十億ドル規模になる可能性もありました。

GoogleはGDPR義務に違反した最初の企業なのか?

GDPRに違反して罰金を科された企業は、Googleが初めてではありません。ただし、これまでで最も高額な制裁事例であることは間違いありません。

これまでの主な事例としては、以下のようなものがあります。

• 昨年12月: 職員が偽アカウントを使用して患者記録に不正アクセスしていたポルトガルの病院に40万ユーロの罰金
• 昨年11月: ソーシャルメディアのパスワードを平文のまま保存していたドイツのSNS・チャットサービスに20万ユーロの罰金
• 昨年10月: 監視カメラで公共スペースを撮影していたオーストリアの地元企業に4800ユーロの罰金

Googleの反応は?

この決定を受けてGoogleは「判断に失望している」とコメントし、自社の製品開発において透明性を重視している姿勢を強調しました。同社はその後、この制裁金決定に対して控訴の手続きを進めており、今後の法的手続きの行方が注目されています。