筆者は2022年12月7日のブログ(その1, その2完 )で2021年9月3日のブログでアイルランドのデータ保護委員会(Data Protection Commission :an Coimisiún um Chosaint Sonraí ：以下、DPCという)がEUデータ保護会議（EDPB)の仲裁を経て“Whatsapp”に2億2,500万ユーロ(約325億900万円)の罰金を科す決定を行った旨報じた。同時にDPCが2022年9月15日、Meta Platforms Ireland Limited (Instagram) に4億500万ユーロ(約579億1500万円)の罰金とさまざまな是正措置を課した件、さらに2022 年 3 月 15 日Meta Platforms Ireland Limitedに1,700万ユーロ(約24億3100万円)の罰金を課す決定を採択した事案についても解説した。
2023年1月4日、DPCはMeta Platforms Ireland Limited(以下、Meta Irelandという)のFacebookおよびInstagramサービスの提供に関連するデータ処理業務に関する2件の調査の終了すなわち合計3億9,000万ユーロ(約549億円)や3か月以内のユーザーの事前同意を得るための施策コンプライアンスを発表した。
この決定については、わが国メディアでも取り上げられているが、各解説を読む限り欧州メディアの受け売りである。筆者が注目するDPCのみならず原告代表であるプライバシー活動家(オーストリア)のマックス・シュレムス(Max Schrems)氏からの情報等は引用していない。
Max Schrems氏
筆者なりに調べた結果、具体的に追加すべき重要項目をあげると以下のとおりである。
(1)Meta Irelandに2億1,000万ユーロ(Facebookサービスに関連するGDPR違反)と1億8,000万ユーロ(Instagramサービスに関連する違反)の罰金を科す。
(2)GDPRに基づく苦情のうち1件の告訴は、オーストリアのデータ主体(Facebookに関連して)によってなされた。もう一つは、ベルギーのデータ主体によって作成された(Instagramに関連して)もの。2人のユーザーに代わって、プライバシー活動家(オーストリア)のマックス・シュレムス氏がEU一般データ保護規則(GDPR)の施行時2018年に行った告訴によって引き起こされた。
本件は、GDPRのワン・ストップ・ショップ(OSS)に基づく国境を越えた告訴の処理問題である。(注)
(3) DPCから付託を受けたEDPBの指示が、EDPB側の行き過ぎを伴う可能性がある限り、DPCは、EDPBの指示を無効にすることを求めるためにEU司法裁判所に取消訴訟を起こすことが適切であると考えている。
(4) 今後3カ月以内にMeta Ireland はユーザーに対し、はい/いいえ (「オプトイン」) の同意オプションを提供する必要がある。ユーザーが同意しない場合、Meta はパーソナライズされた広告にユーザーのデータを使用できない。ただし、この決定は、他の形式の広告 (ページのコンテンツに基づくコンテキスト広告など)を禁止していない。
(5)留意すべき点は、罰金は、原告２人、noyb 、または EDPBではなく、アイルランド国に支払われることである。また、DPC は以前の決定草案で 罰金額は2,800万から 3,600万ユーロを要求しており (アイルランドDPCの「2021年10月6日決定草案」 87ページを参照)、現在の最終的な EDPB 決定額の10% にすぎない。
１．2023年1月4日のDPCのMeta Platforms Ireland LimitedのFacebookおよびInstagramサービスの提供に関連するデータ処理業務に関する2件の調査の終了を発表
以下で、DPCのリリース文を仮訳する。
アイルランドのデータ保護委員会(DPC)は2023年1月4日、Meta Platforms Ireland Limited(Meta Ireland)のFacebookおよびInstagramサービスの提供に関連するデータ処理業務に関する2件の調査の終了を発表した。(Meta Irelandは以前はFacebook Ireland Limitedとして知られていた)。
DPCは現在、最終決定を下し、Meta Irelandに2億1,000万ユーロ(Facebookサービスに関連するGDPR違反)と1億8,000万ユーロ(Instagramサービスに関連する違反)の罰金を科した。
また、DPCはMeta Irelandに対し、3か月以内にデータ処理業務をコンプライアンスに準拠させるよう指示した。
DPCに対する審問は、FacebookとInstagramのサービスに関する2つの告発に関するもので、それぞれが同じ基本的な問題を提起している。1件の告発は、オーストリアのデータ主体(Facebookに関連して)によってなされ、もう一つは、ベルギーのデータ主体によって作成された(Instagramに関連して)。
本告訴は、GDPRが施行された2018年5月25日に行われた。
2018年5月25日より前に、Meta IrelandはFacebookおよびInstagramサービスの利用規約を変更した。また、ユーザーの個人データの処理を正当化するために依存する法的根拠を変更しているという事実にもフラグを立てた(GDPRの第6条1/6(23)に基づき、データ処理は、特定された6つの法的根拠のいずれかに準拠している場合にのみ合法である)。以前は、FacebookおよびInstagramのサービス(行動ターゲティング広告を含む)の提供に関連して、個人データの処理について利用者の同意に依存していたが、Meta Irelandは、処理業務のほとんど(すべてではない)について「契約」の法的根拠に頼ろうとした。
GDPRの施行後もFacebookおよびInstagramのサービスに引き続きアクセスしたい場合は、既存の(および新規の)ユーザーが[同意する]をクリックして、更新された利用規約に同意することを示すよう求めた。このため、仮にユーザーが同意を拒否した場合は、ユーザーはサービスそのものにアクセスできなくなった。
Meta Irelandは、更新された利用規約に同意した時点で、Meta Irelandと利用者の間で契約が締結されたと見なした。また、FacebookおよびInstagramサービスの提供に関連するユーザーのデータの処理は、パーソナライズされたサービスおよび行動広告の提供を含む、その契約の履行に必要であり、GDPRの第6条(1)(b)(処理の「契約」法的根拠)を参照して、そのような処理操作は合法であるという立場をとった。
告訴の申立人は、Meta Irelandの表明された立場に反して、Meta Irelandは実際には、ユーザーのデータ処理の合法的な根拠を提供するために同意に依拠しようとしていると主張した。Meta Irelandは、利用者が更新された利用規約に同意することを条件として、サービスのアクセシビリティを条件とすることで、行動ターゲティング広告やその他のパーソナライズされたサービスのための個人データの処理に同意するよう「強制」していると主張した。これをもって申立人は、これはGDPRに違反していると主張した。
包括的な調査の後、DPCはMeta Irelandに対して多くの調査結果を行った決定草案を作成した。特に、次のことが判明した。
(1)透明性に関する義務に違反して、Meta Irelandが依拠する法的根拠に関する情報が利用者に明確に記載されていなかったため、利用者は、個人データに対してどのような処理操作が行われ、どのような目的で、GDPR第6条で特定された6つの法的根拠のどれを参照するかについて、十分に明確ではなかった。DPCは、そのような基本的な事項に関する透明性の欠如は、GDPRの第12条および第13条(1)(c)に違反すると考えた。
また、ユーザーの個人データは合法的、公正、透明な方法で処理されなければならないという原則を明記したGDPR第5条(1)(a)の違反にも相当すると考えた。DPCは、これらの規定の違反に関連してMeta Irelandに非常に多額の罰金を提案し、定義された短期間で処理業務を遵守するよう指示した。
(2)Meta Irelandが、個人データの処理の合法的な根拠として利用者の同意に依拠していないことが判明した場合、苦情の「強制的な同意」の側面を維持することができなかった。そこから、DPCは、Meta Irelandの「契約」への依存を、パーソナライズされたサービス(パーソナライズされた広告を含む)の提供に関連してユーザーの個人データを処理する法的根拠を提供するものとして検討した。ここで、DPCはMeta Irelandが同意に依存する必要はないことを発見した。原則として、GDPRは、Meta Irelandが契約の法的根拠に依存することを排除するものではなかった。
GDPRで義務付けられた手続きの下で、DPCによって作成された決定草案は、EU加盟国の関係監督当局(以下、「CSA」)としても知られるEU/EEAの規制当局に提出された。
Meta Irelandが透明性義務に違反して行動したかどうかという質問について、CSAは、DPCによって提案された罰金を増やすべきであると考えたものの、DPCの決定に同意した。
EUの47機関のCSAのうち10機関は、DPCの決定草案の他の要素に関して異議を唱えた(そのうちの1つは、Facebookサービスに関連する決定草案の場合、その後取り下げられた)。特に、このCSAのサブセットは、(FacebookおよびInstagramサービスの一部として提供されるパーソナライズされたサービスのより広範なスイートの一部として)パーソナライズド広告の配信が、はるかに限定された契約形態であると言われているもののコア要素を実行するために必要であるとは言えないという理由で、Meta Ireland が契約の法的根拠に依存することを許可されるべきではないという見解を示した。
DPCは、FacebookとInstagramのサービスには、パーソナライズされた広告または行動ターゲティング広告を含むパーソナライズされたサービスの提供が含まれており、実際に前提となっているように見えるという見解を反映して、同意しなかった。事実上、これらはパーソナライズされた広告も備えたパーソナライズされたサービスである。DPCの見解では、この現実はユーザーと選択したサービスプロバイダーの間で締結された取引の中心であり、ユーザーが利用規約に同意した時点で締結される契約の一部を形成するというものであった。
CSAとの協議プロセスの後、コンセンサスに達することができないことが明らかになった。このためGDPRに基づく義務に従い、DPCは次に、係争中のポイントをEUデータ保護会議（EDPB)に付託した。
EDPBは2022年12月5日にその決定を発表した。
EDPBの決定は、CSAによって提起された異議の多くを拒否した。彼らはまた、メタアイルランドによる透明性義務の違反に関するDPCの立場を支持し、追加の違反(「公平性」原則違反)の挿入と、DPCが課すことを提案した罰金の額を増やすという指示のみを条件とした。
EDPBは、「法的根拠」の問題についてDPCとは異なる見解を示し、原則として、Meta Irelandは、行動広告を目的とした個人データの処理に合法的な根拠を提供するものとして「契約」の法的根拠に依存する権利がないと判断した。
2022年12月31日にDPCによって採択された最終決定は、上記のEDPBの拘束力のある決定を反映している。したがって、DPCの決定には、(1)Meta IrelandがFacebookおよびInstagramサービスの一部としての行動ターゲティング広告の配信に関連する「契約」の法的根拠に依存する権利がないこと、および(2)「契約」の法的根拠に依存していると主張するこれまでのユーザーデータの処理は、GDPR第6条の違反に相当するという調査結果が含まれる。
さらに制裁強化の観点から、そしてこのGDPRの追加違反に照らし、DPCはMeta Irelandに科せられる行政罰金の額を2億1000万ユーロ(Facebookの場合)とInstagramの場合は1億8000万ユーロに増額した(これらの罰金の改訂されたレベルは、利用者の個人データの公正かつ透明な処理に関するMeta Irelandの義務違反に関するEDPBの見解も反映している)。
Meta Irelandは、3か月以内に処理業務をGDPRに準拠させる必要があるというDPCの既存の要件は維持された。
これとは別に、EDPBはDPCに、FacebookとInstagramのすべてのデータ処理操作にまたがる新たな調査を実施し、それらの操作のコンテキストで処理される場合と処理されない場合がある特別なカテゴリの個人データを調査するように指示したと主張している。DPCの決定には、当然のことながら、拘束力のある決定においてEDPBによって指示されたすべてのFacebookおよびInstagramのデータ処理操作の新たな調査への言及は含まれていない。
EDPBは、国内の独立当局に関して国内裁判所のような一般的な監督の役割を持たず、EDPBが当局に自由で投機的な調査に従事するように指示および指示することは開かれていない。その場合、方向性は管轄権の観点から問題があり、GDPRによって定められた協力と一貫性の取り決めの構造と一致していないようである。EDPBの指示がEDPB側の行き過ぎを伴う可能性がある限り、DPCは、EDPBの指示を無効にすることを求めるために、EU司法裁判所に取消訴訟を起こすことが適切であると考えている。
２．noyb (Max Schrems氏が代表)が公表した重要な事実と法解釈問題:
noybサイトの解説文の主要部を仮訳する。
2018年5月25日(GDPRが適用された日)にオーストリアとベルギーのユーザーに代わってnoybによって提出された2つの告訴状は、2023年1月4日最終決定された。アイルランドDPC の電子メールによると、ドイツのユーザーに代わって WhatsAp に寄せられた 3人回目の苦情は、2023年1月中旬に延期された。
そもそもMeta Irelandは、広告の利用規約に条項を追加することで、GDPR の同意要件を「回避」しようとした。2022年12月、欧州データ保護委員会(EDPB)は、Meta Irelandによる GDPR の回避は合法であるという見解を示したアイルランドの DPC による以前の決定草案を覆した。
今回のDPC最終決定では、Meta Ireland が「契約」に基づく広告に個人データを使用してはならないことが求められてる。したがって、Meta Irelandはユーザーに対し、はい/いいえ (「オプトイン」) の同意オプションを提供する必要がある。同意しない場合、Meta はパーソナライズされた広告にユーザーのデータを使用できない。ただし、この決定は、他の形式の広告 (ページのコンテンツに基づくコンテキスト広告など) を禁止していない。
2018 年 5 月以降、Metaの個人データの使用は違法状態であった。Facebook と Instragram に対する罰金は合計3億9000万ユーロであるが、並行処理中の WhatsApp に対する追加の罰金が予想される。
留意すべき点は、罰金は、原告２人、 noyb 、または EDPBではなく、アイルランド国に支払われる点である。また、アイルタランドDPC は以前の決定草案で 罰金額は2,800 万から 3,600 万ユーロを要求しており (アイルランドDPCの「2021年10月6日決定草案」 ページを参照)、現在の最終的な EDPB 決定の 10% にすぎない。
DPCと Metaは協力したが、EDPBによって却下された。手続きの過程で、Meta はDPCとの延べ10回の機密会議に依存しており、DPC は Metaにこの「バイパス」の使用を許可した。後に、DPC がMetaの利益のために、関連する EDPB ガイドラインに影響を与えようとしたことさえあることが明らかになった。それにもかかわらず、他のEU加盟国のDPA(CSA)は、2018年に内部で、2019年のガイドラインで、そして 2022 年 12 月の最終的な EDPB 決定において単純な法律問題としてDPCの見解を拒否した。
DPC最終決定の結果・影響:
パーソナライズされた広告がなくなり、Metaの収益が減少する。この決定は、Metaが、広告に個人データを使用しないすべてのアプリのバージョンをユーザーが3か月以内に使用できるようにする必要があることを意味する。今回のDPC決定により、Meta は非個人データ (ストーリーのコンテンツなど) を使用して広告をパーソナライズしたり、「はい/いいえ」オプションを介して広告への同意をユーザーに求めることが引き続き許可されるが、ユーザーはいつでも同意を撤回できることとする必要があり、ユーザーが｢いいえ｣を選択した場合、Meta はサービスを制限することはできない。これにより、EUでの Meta の利益は大幅に制限されるが、広告を完全に禁止することにはならない。
DPC は、原告と一般市民からの決定を検閲し、Meta と DPC がメディアの記事内容を制御することを保証する。驚くべき動きとして、DPC は2023年1月4日、noybに対し、手続きの 2つの当事者の 1人であるにもかかわらず、DPC 決定を正式にnoybに公開しないと通知してきた。その理由としてDPC は突然、今回の決定の「守秘義務」を理由として挙げた。今回の決定は後の段階で原告に通知されるべきであり、上訴の期限が過ぎた後でも可能である。このDPCの行為は、DPC による公開前に当事者が決定を受け取るという DPC による以前の情報原則に反するものである。
**********************************************************************
(注) 筆者ブログの(注1)がOSS の詳しい解説: GDPRの個人データの越境処理のワンストップ・ショップ(OSS)・メカニズム(ワンストップ・ショップ条項)の解説参照。また、アイルランドDPCのOSS解説も詳しい。
**********************************************************************
Copyright © 2006-2023 芦田勝(Masaru Ashida)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution．
