フランスのデータ保護当局、Google AnalyticsがGDPRに違反すると判断
2022年2月14日 11:57
フランスのデータ保護当局 CNIL (情報処理および自由に関する国家委員会) は 10 日、Google Analytics による米国へのデータ転送が EU の一般データ保護規則 (GDPR) に違反するとの判断を示し、フランス国内の Web サイトに対して GDPR を順守するよう命じた(ニュースリリース、NOYB のブログ記事、The Register の記事)。
Google Analytics では Web サイトのビジター数を測定するため、各ビジターに (個人情報とみなされる) ユニークな識別子を割り当て、関連付けられたデータとともに米国へ送信する。CNIL では米国へのデータ送信を懸念する EU およびその他の欧州経済域計 30 か国における苦情計 101 件を非営利組織 NOYB から受け取っており、各国のデータ保護当局と協力して Google Analytics が収集するデータと米国に送信する条件を調査したという。
EU 司法裁判所 (CJEU) は EU 域から米国へ個人情報を転送する根拠となっていた Privacy Shield を無効と判断した Schrems II 判決にあたり、データの転送が適切に制限されなければ米諜報機関が個人情報にアクセスする可能性を強調している。CNIL では現在のところ米国へのデータ転送が十分に制限されていないとの結論に達し、Google はデータ転送を制限するための追加の基準を導入しているものの、米諜報機関によるアクセス可能性を排除するには十分ではないと判断したとのこと。
そのため、CNIL ではフランスの Web サイト管理者に対し、必要に応じて現在の条件での Google Analytics 機能の使用をとりやめることや、EU 外にデータを転送しないツールに変更することを含め、1 か月以内に GDPR を順守するよう命じた。CNIL は Web サイトのビジター数測定には匿名の統計データのみを生成するツールの使用を推奨しており、ユーザーの合意を得なくても合法的に使用できるツールの判定プログラムも開始しているとのことだ。
Google Analytics に関してはオーストリアのデータ保護機関 (DSB) が GDPR 違反との判断を 1 月に示しており、オランダのデータ保護機関 (AP) も近く国内での使用が禁じられる可能性があると述べている。