Googleアナリティクスの使用に関するCNILの正式な通知に関するQ＆A

毎週木曜日に配信している「データサイン・ランチタイムトーク」の模様をレポートします。

当記事で取り上げるのは以下の配信です。

• 配信日：2022年7月14日
• タイトル：Googleアナリティクスの使用に関するCNILの正式な通知に関するQ＆A
• 発表者：データサイン 代表取締役社長 太田祐一

EEA（欧州経済領域）外へのデータ移転はGDPRに違反

2022年7月、フランスのデータ保護機関「CNIL」の公式サイトに「Googleアナリティクスの使用に関するCNILの正式な通知に関するQ＆A」が掲載されました。こちらの概要をデータサイン 代表取締役社長 太田祐一が紹介しました。

＊CNILの公式サイトに記載された内容を無償のウェブ翻訳ツールで和訳しているため、本レポートにおける記述の正確性はデータサインで保証しかねる点をご了承ください。

CNILは過去たびたびグーグルに対して、「ユーザーのCookie拒否が、その受け入れほど容易にできないのは個人の権利を損なう」といった理由のもとで罰金の支払いなどを要求してきました。今回、糾弾するのは、グーグルが提供するウェブページのアクセス解析ツール「Googleアナリティクス」に関する内容です。

「CNILは2022年2月、Googleアナリティクスの使用において、欧州居住者の権利が十分に保証されないまま米国にデータが転送されていることについて、（欧州を中心とする）複数の組織に遵守するように通告したことを発表しています」（太田）

Google Analyticsの使用は米国へのデータ移転と主張

CNILが掲示するQ&Aは全部で14あります。1点目の質問は「端的にこの通知の言いたいことは？」。

回答によると、この通知の背景にあるのは、EUの最高裁に相当する欧州司法裁判所が2020年7月16日に出した判決です。こちらはEUを含むEEAと米国間のデータ移転に適用されるプライバシーシールドが無効である、とする内容。欧州居住者の個人データに対する、米国当局による不法アクセスのリスクに対して、適切な保護措置を講じていないことが理由に挙げられています。

「また、2020年11月5日配信のランチタイムトークで触れた、プライバシーキャンペーングループのnoyb（ノイブ）がGoogleアナリティクスを使用するウェブサイトに関して、欧州の複数のデータ保護当局に101件の苦情を申し立てたことも背景の1つに指摘されています」（太田）

noybは、オーストリアのザルツブルグ在住の弁護士マックス・シュレムス氏が創設した団体で、プライバシーシールドに代わるSCC（Standard Contractual Clauses、標準契約条項）に基づく欧米間のデータ移転も違法であると批判しています。

Google Analyticsに代わるソリューションも掲載

太田が気になった質問の1つが、「（GoogleアナリティクスがGDPRなどの法規制に違反しているという）CNILの解釈は欧州全域で共通なのか？」です。

CNIL側の回答によると、noybからの苦情を受け、欧州各国での判断を統一し、関係者に法的確実性を提供するため、欧州当局はワーキンググループを組織し、提起された法的問題を検討し、それぞれの立場と判断を調整している、とあります。

「関係機関と足並みをそろえるべく調整中のようです。少なくともCNILに1カ月先行する形で、オーストリアのデータ保護当局がCNILと同一の方向性を有する、最初の決定を下していると記されています」（太田）

Q&AによるとCNILは、前述の標準契約条項の措置さえ不十分としています。さらにそれを補うべくグーグルが講じた追加の法的、組織的、技術的措置についても“No”を突きつけています。理由として、米国の諜報機関によるデータアクセスの要求に対して、効果的なデータ保護を確保できないため、と回答にあります。

「CNILは、Google Analyticsの代替ツールとなるソリューションをリストアップしています。ソリューションを提供する企業はこれを商機と捉えているかもしれません」（太田）

なお、ソフトウェア製品分析ツールなどを提供するPostHogが開示するIs Google Analytics illegal in your country? というウェブサイトをみると、フランス以外にもGoogleアナリティクスをGDPR違反とする国として、オランダ、オーストリア、イタリアなどが地図上にマッピングされています。果たしてGoogleアナリティクス排除の動き、今後も欧州全体に広がっていくでしょうか？