【EU】アイルランド当局、メタに1800億円の罰金。EU-米国データ転送がGDPR違反

　アイルランドのデータ保護局（IRDPA）は5月22日、EU一般データ保護規則（GDPR）に違反し、標準契約条項（SCC）に基づきEU域内の個人情報を米国に移転させていたとして、メタ・プラットフォームズのアイルランド法人に対し、12億ユーロ（約1,800億円）の罰金を科す最終決定を発表した。6ヶ月以内に、GDPRに違反して転送された欧州ユーザーの個人情報の米国における保管を含む違法な処理を停止することを含め、GDPRの遵守も命じた。

　今回の決定は、EU当局の欧州データ保護委員会（EDPB）が4月13日、法的拘束力のある裁定結果を発表したことを受けたもの。当初、アイルランド・データ保護委員会（DPC）は、同社がデータ転送事案で誠実対応していることを理由に、罰金を科さない判断を下していた。しかし、GDPRでは、各国の当局の最終決定の前に、EU/EEAの関係監督当局（CSA）で審議されることになっており、今回も複数機関がアイルランド・データ保護委員会（DPC）の判断に異議を提出。EDPBが最終裁定を下すこととなった。EDPBは4月、同事案に関し、メタ・プラットフォームズが2020年7月16日以降、GDPRに違反していたと判断した。

　EDPBのアンドレア・イェリネック委員長は、「メタプラットフォーム・アイルランドの侵害が、組織的、反復的、継続的な転送に関するものであることから、非常に深刻であると判断した。フェイスブックは欧州に数百万人のユーザーを抱えているため、個人データの転送量は膨大なものになる。前例のない罰金は、重大な侵害が広範囲に及ぶ結果をもたらすことを組織に強く示すもの」とコメントしている。

　今回の結果に対し、メタ・プラットフォームズは、不服を表明。執行停止を求めて欧州司法裁判所（ECJ）に提訴する意向を発表した。また、同事案は、欧州司法裁判所（ECJ）が2020年7月に米EU間のデータ共有を無効と判断したことが発端となっており、データ共有というインターネットの基本が行政の不備によって実現できていないことに不満も述べた。欧州委員会は12月13日、米国との大西洋横断データプライバシー枠組みの妥当性決定に向けた手続きを開始しており、夏までに決着する見込み。

【参考】【EU・アメリカ】欧州委、EU米国データプライバシー枠組みの妥当性決定手続き開始（2023年1月3日）

　メタ・プラットフォームズは、アイルランドのデータ保護委員会（DPC）から別途1月4日、GDPR違反で、フェイスブックに関し2億1,000万ユーロ、インスタグラムに関し1億8,000万ユーロ、合計3億9,000万ユーロ（約550億円）の罰金を科す決定を受けている。こちらの事案は、パーソナライズされたサービスや行動ターゲティング広告のためのユーザーの個人データの処理に関するユーザーの同意を実質的に強要していたというものだった。当該事案でも、同社は欧州司法裁判所（ECJ）に提訴する立場を示していた。

【参照ページ】1.2 billion euro fine for Facebook as a result of EDPB binding decision
【参照ページ】Our Response to the Decision on Facebook’s EU-US Data Transfers

株式会社ニューラル サステナビリティ研究所