プライバシーに大勝利：マックス・シュレムスのおかげで、フェイスブックに対して過去最高の罰金を支払うことができました。
MetaはEU規制GDPRに違反したとして12億ユーロを支払わなければならない。
Facebookが新たに記録した12億ユーロの罰金は、2人の著名な人物のおかげです：数年前、EU市民の個人データを米国に移したとしてフェイスブックを訴えたマックス・シュレムスと、米国の諜報機関がメタのような米国のサービスからデータを簡単に入手できることを公表したエドワード・スノーデンです-これは欧州一般データ保護規則（GDPR）に違反します。
NSAの内部告発者スノーデンによる暴露から10年、ついにフェイスブックは、EU市民のデータを米国の秘密機関に開示する可能性があるとして、12億ユーロの罰金を科された：EUからの圧力により、アイルランドのデータ保護当局（DPC）は、ソーシャルメディアプラットフォームに過去最高の12億ユーロの罰金を課しました。
DPCが課した罰金は、ルクセンブルクが2022年に出したアマゾンに対する7億4600万ユーロというこれまでの記録的な罰金を凌ぐものです。
罰金の理由は、オーストリアのデータ保護活動家マックス・シュレムスが、スノーデンの暴露から繰り返し結果を求め、欧州司法裁判所まで問題を持ち込んだことである。その結果、同裁判所は、米国とEUの間で結ばれたプライバシー・シールド協定を違法と断じました。
プライバシーシールドを無効にした理由は、今でも有効です。問題は、米国における監視プログラムが厳密に必要なものに限定されていないため、米国の法律が欧州市民のデータを十分に保護できていないことです。
したがって、メタ社は依然として米国の監視法の適用を受けているため、欧州の個人データの米国へのさらなる転送を停止しなければならない。シリコンバレーの大手ハイテク企業は、この判決に従うために6ヶ月の猶予があります。
裁定はフェイスブックにのみ適用される
Metaは不当な罰金を課せられたと感じ、上訴すると発表した。「これは企業のデータ保護慣行に関するものではない。データへのアクセスに関する米国政府の規則とヨーロッパのデータ保護権の間に根本的な法的対立があり、政策立案者は夏に解決すると期待している」とFacebookはSPIEGELに送った声明で述べている。
プライバシーのための戦いを続けるために非営利組織NOYBを設立したマックス・シュレムスもその点に同意している。” アマゾン、グーグル、マイクロソフトといった米国の他の大手クラウドプロバイダーは、EU法の下で同様のペナルティの影響を受ける可能性がある。"
"アイルランドのDPCは、この決定を阻止するためにあらゆる手を尽くしましたが、ヨーロッパの裁判所や機関から繰り返し非難されました。この罰則が課されないようにできる限りのことをしたEU加盟国であるアイルランドに、記録的な罰金が科されるのは、ちょっと不条理です」とシュレムスは説明します。
2018年にGDPRが導入されて以来、メタはEUの規制当局から40億ユーロの罰金を課されました。
GDPRに基づく罰金額が最も高い10社のうち、Metaは現在6回表されており、これは負の記録である。
これまでの10大GDPR罰金額
- Meta GDPR罰金 - 2023年5月にアイルランドが課した12億ユーロ
- Amazon GDPR罰金 - 2021年7月にルクセンブルクによって課された7億4600万ユーロ
- Meta GDPR罰金 - 4億500万ユーロ 2022年9月にアイルランドによって課される
- Meta GDPR罰金 - 3億9,000万ユーロ 2023年1月にアイルランドによって課される
- Meta GDPR罰金 - アイルランドが2022年11月に課した2億6500万ユーロ
- WhatsApp GDPR罰金-2021年9月にアイルランドが課した2億2500万ユーロ
- Google LLCのGDPR罰金-2021年12月にフランスによって課される9000万ユーロ
- グーグルアイルランドGDPR罰金-2021年12月にフランスが課した6000万ユーロ
- FacebookアイルランドGDPR罰金-2021年12月にフランスによって課される6000万ユーロ
- GoogleフランスGDPR罰金-2019年1月にフランスによって課された5000万ユーロ
FacebookのビジネスモデルがEUで違法に
メタ社に対する12億ユーロという記録的な罰金は、長く続いてきた法廷闘争の最終幕に過ぎません。これは、データプライバシー侵害と欧州市民のデータが米国の諜報機関の手に渡る危険性のために、フェイスブックのビジネスモデルが欧州で違法であることを示しています。
今年の初め、2023年1月に、メタはすでに3億9000万ユーロの罰金を科されている。EUのプライバシー規制当局は、FacebookとInstagramは、この要件を規約に盛り込むことで、ユーザーにトラッキングへの同意を強制してはならないと述べています。Metaのこのビジネスモデルは、GDPRによれば違法である。
Facebookは、他のハイテク大手と同様に、私たちのプライバシー保護やデータの暗号化に重点を置いていないため、彼らが収集したすべてのデータは簡単に流出する可能性があります。
私たちは、「無料なら、自分が商品である」ということを忘れてはならないのです。
TL;DR: メタがユーザーに規約によるトラッキングへの同意を求めている行為は、GDPRによれば合法ではない。Facebook、Instagram、WhatsAppは、ユーザーが積極的に同意を与えることができるように、Yes & Noオプションを提供する必要があります - または拒否します。これは、監視型広告というMetaのビジネスモデルにとって大きな打撃となる。
ここから学んだ教訓：Facebookを待つのはやめて、今すぐプライバシー権を尊重するサービスを 使い始めましょう。
アイルランドのデータ保護委員会（DPC）はプレスリリースで、FacebookとInstagramでCookie契約を強制するMetaの行為がGDPRの下で違法であることを確認しました。このプライバシー侵害に対してテック大手は3億9000万ユーロの罰金を科されましたが、これはMetaが欧州GDPRの違反により2022年に科された罰金のすでに半分の金額で、2023年はまだ始まったばかりなのです。WhatsAppに関する最終的な判断は、まだ未定です。
これも、欧州のGDPRに関するプライバシー侵害の取り扱いが厳しくなっていることの表れです。
もともとDPCが求めていたのは、最終判決の10％程度の2800万～3600万ユーロだけでした。しかし、欧州のEDPBはDPCを覆し、Metaに対して巨額の罰金を主張しました。Metaは自分たちの利益のためにGDPRと人々のプライバシーを意図的に侵害したと言っています。
Meta社のプライバシー侵害を訴えたNGO NOYBのMax Schrems氏は言う：
「この罰則は、Metaの味方をし、4年以上施行を遅らせた国であるアイルランドに与えられることになります。このケースはおそらくMetaによって上訴され、noybにとってさらなるコスト増につながるでしょう。“
ヨーロッパにおけるプライバシーを実現するための法的闘争については、NOYBホームページで詳しく紹介されています。
Metaのビジネスモデル、つまりユーザーに規約を通じてトラッキングに同意させることは、EUで違法とされています。Facebook、Instagram、WhatsAppは、ユーザーの積極的な同意なしにパーソナライズされた広告を流すことができなくなった。
オリジナル記事
EUプライバシー規制当局の決定
EUのプライバシー規制当局、月曜日に遠大な決定で、Meta Platforms Inc.は、ユーザーのオンライン活動に基づいてパーソナライズされた広告に同意するよう強制してはならないと述べた。この判決により、メタ社がターゲット広告を販売するために使用できるデータが大幅に制限される可能性があります。
一般データ保護規則（GDPR）によれば、ユーザーが同意しなければならない利用規約に単に段落を置くだけでは十分ではない。そのような条項は、データを収集し、ターゲット広告を掲載する正当な理由にはならない。その代わりに、メタプラットフォームであるFacebook、Instagram、WhatsAppは、ユーザーが追跡されることに積極的に同意する、あるいは拒否することができる明確なYes & Noの選択肢を与えなければなりません。
行動ターゲティング広告のためのプロファイルを構築するためにユーザーの個人データを加工して追跡し、ターゲティングし続けるという、テックジャイアントのいわゆる強制同意は、2018年のGDPRの公表後にMetaの条件に追加されました。今回、EUのプライバシー監視団体によって、それが違法であると宣言されました。
この決定は、2018年5月にGDPRが施行されると同時に、ヨーロッパのプライバシーNGOであるnoybが提出した苦情を受けたものです。EUは最終的にこの問題を決定するのに約4年半を要した。
このように時間がかかった理由は、もともとアイルランドのデータ保護委員会（DPC）が、Metaの更新された規約はGDPRによる要件を満たしていると宣言しているからです。アイルランドはMetaの欧州本社のある国であるため、Metaの主要なプライバシー規制機関となっています。
Meta社は、同社の更新された規約がGDPRの「契約上の必要性」の概念に依拠していると説明した。GDPRは、企業が自社のサービスを利用するためにユーザーに個人情報の提供を強制することをほとんど禁じています。ただし、その情報が契約の履行に必要な場合は例外です。例えば、カーシェアリングアプリがあなたの近くの車を表示するために、あなたの位置情報を知る必要があるとします。
メタ社は、GDPRのこの契約条項に依拠し、アイルランドのプライバシー規制当局も当初はこれに同意していました。
しかし現在、EUのプライバシー規制当局は、Facebook、Instagram、WhatsAppのようなアプリでは「契約上の必要性」が満たされず、欧州市民のために適切なプライバシー権を行使するのはDPCの義務であるとして、DPCに決定を差し戻しています。
DPCは今後1ヶ月で、多額の罰金とともに最終決定を出すことになります。
影響について
Facebookの現在のトラッキング行為が違法であるというEUの決定が与える影響は非常に大きい。現在、FacebookとInstagramは、人々がサービスを利用するために個人データを提供しなければならないという事実から、多くの利益を得ています。一方、Metaはこのデータを使ってプロフィールを作成し、ターゲット広告を掲載するという、シリコンバレーの巨人にとっては金鉱のようなものです。
しかし、EUの決定は、フェイスブックがこの金鉱にアクセスすることを制限し、その結果、収益に直接影響を与えることになります。
この決定がメタの収益にどれだけ悪いかを示すのが、昨年のアップルの決定だ。2021年、アップルはiPhoneアプリの開発者に対し、利用状況を追跡してほしいかどうかをユーザーに尋ねることを義務付けた。そして、当然のことながら、多くのiPhoneユーザーが追跡やプロファイリングを拒否しました。
その結果、iPhoneユーザーが自分の個人データをFacebook、Instagram、WhatsAppと共有することを望まなくなっただけで、2021年のMetaの収益は8%減少した。
Facebookのオンライントラッキングを減らすことは、ユーザーのプライバシーに多大な利益をもたらし、同時にMetaの収益に害を及ぼす。人々のデータは、多くの人が考えているよりもずっとビッグテックにとって価値があるのです。
EU、Facebookのトラッキングを制限
今回のEUの決定は、EU当局が監視ベースの追跡を制限することに関心を高めていることを示すもう一つのサインである。ようやく、人々や政治家が行動ターゲティング広告の危険性に目覚め、EU当局が人々のプライバシーを保護する形で規制し始めたのです。
しかし、Facebook、Google、Amazonなどの企業にとって、このビジネスは毎年数十億ドルの価値があります。
- *オンライン上でどのようにプロファイリングされているのか、そしてそれを止めるにはどうすればいいのか、ここで 学んでください。**
しかし、多くの大企業が存在するカリフォルニア州でさえ、クロスコンテキスト・ビヘイビア広告と呼ばれるものをユーザーがオプトアウトできる素晴らしいプライバシー法が採用されています。
このビジネスモデルはカリフォルニアで生まれたものなので、トラッキングや行動ターゲティング広告がいかに有害であるかは、カリフォルニアの人々が一番よく知っているからでしょう。
ユーザーへの影響
EUの決定は、不服申し立てが可能であるため、残念ながらユーザーにとって直接的な影響はない。このような不服申し立ては、長期の司法手続きにつながるでしょう。
しかし、この決定が支持されれば、Facebookや他のプラットフォームが、これらのプラットフォーム自身のアプリ内でユーザーがクリック、いいね！、共有、視聴したものに基づいて広告を表示することが、かなり難しくなります。
Metaはすでに、他のウェブサイトやアプリのデータに基づく広告のパーソナライズをオプトアウトできるようにしていますが、自社のプラットフォームでのユーザーの活動に関するデータに基づく広告については、これまでそのようなオプションを与えてきませんでした。
Facebookをはじめとするビッグテック企業にとって、ユーザートラッキングへのアクセスを制限することは、パーソナライズ広告のためのオーディエンス構築が収益の大部分を占めることから、大きな打撃となります。
「これは最終決定ではないし、推測するには早すぎる」とMetaの広報担当者はWall Street Journalに述べ、EUの法律では広告のターゲティングについて他の法的正当性を認めることができると付け加えた。「我々はDPCからの問い合わせに完全に関与し、彼らが決定を下す際には引き続き関与するつもりだ
とはいえ、GDPRは重大な違反に対しては、世界の年間売上高の最大4％という多額の制裁金を認めています。
拡大するプライバシー保護の強制力
EUのGDPRは2018年5月にすでに施行され始めていますが、政治的な執行が活発化し始めたのはここ2、3ヶ月の間に過ぎません。今までに、多くのビッグテック企業が高額な罰金に見舞われています。
アイルランドのDPCは、過去15カ月間に他の4つのケースでMeta社に9億円以上の罰金を科し、現在、同社に10件の追加問い合わせをしています。
メタ社のアイルランド法人は、昨年、EUにおけるプライバシーに関する罰金のために約30億ユーロを割り当てており、アイルランドの会社提出書類によれば、前年比19億7000万ユーロ増となっている。
とはいえ、シリコンバレーの巨人にとっては、ビジネスモデルを変えるよりも、罰金を支払う方がずっと得策のようです。
つまり、私たちは広告ベースのトラッキングを止めるために戦い続けなければならないのです。まずは、お使いのブラウザにアドブロッカーを追加することから始めましょう！