Googleに4億300万ユーロの制裁金、位置情報機能のGDPR違反でアイルランド当局が決定

要点

• アイルランドデータ保護委員会（DPC）が、Googleに対し位置情報データの取り扱いに関するGDPR違反で4億300万ユーロの制裁金を科した。

• 対象となったのは2018年5月から2020年2月における「ウェブとアプリのアクティビティ」「ロケーション履歴」「Google位置情報の精度」の3機能である。

• 当局は透明性の欠如や必要以上のデータ保持などを指摘し、6か月以内に処理を法準拠させるよう命じた。

• Google側は「すでに更新された過去のポリシーに関するもの」と説明しており、決定通知から28日以内に上訴できる。

• 消費者団体の申し立てから決定まで6年半以上を要しており、規制執行の遅延に対する批判も上がっている。

• アイルランドのデータ保護委員会（DPC）は2026年9月21日、Googleが提供する一部機能における位置情報データの取り扱いがEU一般データ保護規則（GDPR）に違反していたとして、同社に対して4億300万ユーロの制裁金を科したと発表した。DPCはGoogleにとってEU域内における主幹監督当局にあたり、制裁金の決定とともに、該当するデータ処理を6か月以内にGDPRへ適合させる是正命令も下している。

調査対象となった3つの機能と違反の指摘

今回の調査で対象とされたのは、2018年5月から2020年2月までの期間におけるGoogleの3つの機能である。具体的には、アカウント設定の「ウェブとアプリのアクティビティ（Web & App Activity）」、移動経路を記録する「ロケーション履歴（Location History）」、そしてAndroid端末向け機能である「Google位置情報の精度（Location Accuracy）」が挙げられている。

「ウェブとアプリのアクティビティ」は、有効化されている場合にGoogleのサイトやアプリ上での利用者の行動データを処理する機能であり、これには位置情報も含まれ得る。また、「ロケーション履歴」は利用者が明示的に同意（オプトイン）して有効化する機能で、Googleのサービスを直接操作していない状況でも、ログイン中の端末の移動履歴を記録する。

DPCの判断によると、これら2つの機能についてGoogleは、適法かつ公正なデータ処理の原則や透明性の確保に関する規則に違反していたほか、必要とされる期間を超えて位置情報データを保持していたとされる。

一方、Android端末に搭載されている「Google位置情報の精度」は、GPS単体よりも高精度に端末の位置を割り出すための機能であり、Googleアカウントの有無に関わらず提供されている。DPCはこの機能についても、処理が適法・公正・透明であることを立証できなかったとして、GDPRの透明性規則および説明責任（アカウンタビリティ）の規則に違反したと結論付けた。

利用者の権利侵害への懸念と法的手続き

DPCの副コミッショナーであるグラハム・ドイル（Graham Doyle）氏は、これらの不備によって利用者が自身の位置情報の用途を把握できなくなっていた恐れがあると指摘している。位置情報が広告による働きかけや関心事項の推測などに利用されている事実を知らないまま放置され、個人データの管理権を失うリスクが生じていたという。さらに、データを長期間にわたって保持し続けたことが、その問題をより深刻化させたと述べている。

今回科された4億300万ユーロという金額は、DPCがこれまでに下した制裁金の中で4番目の規模となる。ただし、アイルランドの法制度上、DPCの制裁金は国内裁判所による承認を経て初めて支払い義務が発生するため、直ちに徴収されるわけではない。Googleには、決定の正式通知を受け取ってから28日以内に高等裁判所へ上訴する権利が認められている。

Googleの主張と過去数年における仕様変更

この決定に対し、GoogleはAP通信の取材に対して声明を出し、今回の件は「すでに更新された過去のポリシーを中心とするもの」であると説明した。同社は2019年以降、データ取り扱いに関するプラクティスを大幅に見直してきたと主張している。

実際にGoogleは、DPCの調査対象期間中であった2019年5月に、ロケーション履歴やウェブとアプリのアクティビティにおいて、3か月または18か月が経過したデータを自動消去できる自動削除機能を発表していた。続いて2020年6月には、新規アカウントにおけるウェブとアプリのアクティビティ、および初めてロケーション履歴を有効にした利用者に対し、18か月の自動削除を初期設定（デフォルト）とする改定を行っている。

さらに2023年12月には、Googleマップ上でロケーション履歴を表示する「タイムライン」機能について、データをサーバー側ではなく利用者の端末内に保存する方式への移行を発表した。あわせて、ロケーション履歴を初めてオンにした場合の自動削除期間の初期設定を3か月に短縮する措置も導入している。ただし、これらの変更によってDPCの是正命令の要件が十分に満たされるかについて、DPC側は公の場で見解を示していない。

6年半に及んだ調査と消費者団体からの反応

本件の端緒となったのは、欧州消費者機構（BEUC）を含むヨーロッパ各地の消費者団体による告発である。加盟団体は2018年11月に各国のデータ保護当局へ苦情を申し立てており、これを受けてDPCは2020年2月に正式な調査を開始した。調査対象期間は、調査開始が発表された2020年2月4日までと定められていた。

調査の開始から最終決定が下されるまでに6年半以上の歳月が経過したことについて、BEUCの事務局長であるアグスティン・レイナ（Agustín Reyna）氏は決定自体を歓迎しつつも、手続きの遅れを問題視している。同氏は「執行の遅れは、執行が全く行われないことと同じくらい有害になり得る」と述べ、決定までに長期間を要した当局の対応に苦言を呈した。

なお、DPCは是正命令の具体的な対象範囲については公表しておらず、決定の全文は後日改めて公開される予定だという。