Google fined €403 million over location data privacy violations

アイルランドのデータ保護委員会（DPC）は、ユーザーの位置情報の処理に関連する複数のGDPR違反を理由に、Googleに対し4億300万ユーロ（4億6300万ドル）の罰金を科した。

同委員会は、消費者権利団体から複数の苦情を受けたことを受け、2020年2月に調査を開始した。調査では、2018年5月25日から2020年2月4日までのGDPR適用期間中に稼働していたGoogleの3つの機能について検証が行われた。

これらの機能には、Googleがユーザーのウェブおよびアプリのアクティビティ、位置情報履歴、位置情報の精度データを処理することを可能にする権限が含まれています。

  • ウェブおよびアプリのアクティビティ – Googleアカウント保有者向けの設定で、Googleが自社のサービス全体にわたるアクティビティ（閲覧履歴、検索履歴、位置情報データなどを含む可能性がある）を処理できるようにするものです。
  • 位置情報履歴 — 対応するモバイル端末を所持するユーザーを追跡するオプトイン型サービス。ユーザーがGoogleサービスを積極的に利用していない場合でも、訪問した場所、活動、経路を推測し、非公開のGoogleマップ「タイムライン」を通じてこの情報を表示する。
  • 位置情報の精度 – GPSのみの場合よりも正確に端末の位置を特定するのに役立つAndroidの機能です。ユーザーがGoogleアカウントを保有しているかどうかにかかわらず利用可能です。

DPCは、Googleが「Web & App Activity」および「位置情報履歴」を通じて位置データを処理する際、GDPRの要件を満たしていなかったことを認定しました。同時に、同社は「位置情報の精度」を通じて個人データを処理する際、GDPRの原則への準拠を実証できていませんでした。

アイルランドの当局は、Googleがこれら3つの機能すべてにおいて透明性の義務を履行しておらず、「ウェブとアプリのアクティビティ」および「位置情報履歴」を通じて収集された位置データを、必要以上に長期間保持していたと主張している。

「[…] 個人は、自分の位置情報が、例えば広告を通じて影響を与えたり、興味関心を推測したりするために利用されていることに気づいておらず、自身の個人データに対する管理権を失っていた可能性がある」と、グラハム・ドイル副委員長は述べた。

「ユーザーの位置情報を必要以上に長期間保持したことは、この管理権の喪失をさらに悪化させた。」

これらの違反行為に対し、DPCは総額4億300万ユーロの行政罰金を科し、Googleに対し今後6ヶ月以内にユーザーデータの処理を法令に準拠させるよう求めている。

DPCはまだ決定の全文を公表していないが、将来的に公表することを約束している。

Googleは声明の中で、自社の運用とポリシーを更新し、位置情報を簡単に管理できる仕組みを導入したと述べた。

「この件は、すでに更新された過去のポリシーに焦点を当てたものです。2019年以降、当社は運用を大幅に改善し、位置情報の管理を簡単にする堅牢なツールを導入してきました」と、Googleの広報担当者は述べた。

長年にわたり、同社はユーザーがアカウント内のデータを自動的に削除する具体的な期間を設定できる制御機能を追加してきた。現在、「Google マップ」のタイムライン情報は端末に保存され、3ヶ月以上経過したデータは自動的に削除されるようになっている。

さらに、Googleは「Webとアプリのアクティビティ」にはデバイスの正確な位置情報を保存しておらず、おおよその地域を推定した情報のみを保存していると説明しています。