Last Updated on 2025-04-24 10:26 by admin

カナダのオタワに本社を置くEコマースプラットフォーム大手のShopifyが、顧客の個人データを不適切に収集・利用したとして米国で集団訴訟に直面している。

この訴訟は2025年4月19日、米国第9巡回控訴裁判所の全体決定により6対5の評決で復活した。

カリフォルニア州の住民Brandon Briskin氏は、フィットネスアパレル小売業者「I Am Becoming」からアスレチックウェアを購入した際に、Shopifyが彼の同意なしにiPhoneにトラッキングクッキーをインストールし、そのデータを他の商人に販売するためのプロファイル作成に使用したと主張している。

この訴訟は当初、下級裁判所の判事と第9巡回控訴裁判所の3人の判事パネルによって却下されていた。Shopifyは全国的に事業を展開しており、特にカリフォルニア州を対象としていなかったため、カリフォルニア州で訴えられるべきではないと主張していた。同社はBriskin氏に対し、デラウェア州、ニューヨーク州、またはカナダで訴訟を起こすよう提案していた。

しかし、第9巡回控訴裁判所のKim McLane Wardlaw判事は多数意見として、「Shopifyは意図的に無知なカリフォルニア州民の電話に追跡ソフトウェアを故意にインストールすることで手を伸ばし、後でそれによって得たデータを、ランダムでも孤立したものでも偶然でもない方法で販売できるようにした」と述べた。

Shopifyの広報担当者はロイターに対し、この決定はオンライン小売業者をどこでも訴訟に脆弱にし、「インターネットの仕組みの基本を攻撃している」と述べた。一方、Briskin氏の弁護士Matt McCrary氏は、裁判所が「どこにでも」ビジネスを行っているため管轄上「どこにもない」という企業の主張を拒否したことを評価した。

この判決を支持したのは26の州とワシントンD.C.で、彼らはインターネットを通じて地元市場を利用する企業に対して独自の消費者保護法を施行する能力が必要だと主張した。一方、米国商工会議所はShopifyを支持し、広範な管轄権がグローバルに展開するソフトウェアプロバイダーに害を与える可能性があると警告した。

Shopifyは北米の大手オンライン小売業者2000社のうち117社がEコマースプラットフォームとして利用しており、2024年にはこれらの小売業者が合計で97億8000万ドル以上のウェブ売上を記録している。

この訴訟はBriskin v. Shopify, Inc. et al, 第9巡回控訴裁判所、No. 22-15815として知られている。第9巡回区は米国西部9州、グアム、北マリアナ諸島を管轄している。

from:Shopify faces privacy lawsuit for collecting customer data

【編集部解説】

今回のShopify訴訟は、デジタルプライバシーとグローバル企業の法的責任の境界線を再定義する重要な転換点となる可能性を秘めています。第9巡回控訴裁判所の判断は、インターネットビジネスの根本的な運営方法に関わる先例を作り出すものと言えるでしょう。

この裁判の核心は「管轄権」という法的概念にあります。Shopifyは「全国的に事業を展開しており、特定の州を対象としていない」と主張しましたが、裁判所はこれを退け、カリフォルニア州民のデバイスに意図的にトラッキングソフトウェアをインストールした行為そのものが、同州への明確な働きかけだと判断しました。

注目すべきは「旅行するクッキールール」という概念です。これは反対意見を述べたConsuelo Callahan判事が言及したもので、ユーザーがどこに移動してもクッキーが追跡し続けることで、企業がどの地域の法律にも縛られないという主張を指します。第9巡回控訴裁判所の多数派はこの考え方を否定し、企業の行為が特定の地域の消費者を対象としている場合、その地域の法律に従う責任があるという立場を明確にしました。

この判決の影響は広範囲に及ぶ可能性があります。グローバルに事業を展開するテクノロジー企業は、事業を行うすべての地域の法律に準拠する必要性が高まり、コンプライアンスコストの増加やサービス提供地域の見直しなど、ビジネスモデルの再考を迫られるかもしれません。

特に日本企業にとっても他人事ではありません。海外展開を図る日本のEコマース企業やデジタルサービス提供者は、進出先の各地域の法律に対応するための体制強化が必要になるでしょう。

一方で、この判決は消費者保護の観点からは前進と言えます。インターネットの国境を越える性質を利用して法的責任から逃れようとする企業に対し、各地域の消費者保護法を適用できる可能性が高まったからです。

しかし、Shopifyの広報担当者が指摘するように、この判決が「インターネットの仕組みの基本を攻撃している」という懸念も無視できません。オンラインビジネスを運営する小規模な起業家が、世界中のあらゆる法域で訴訟リスクに直面することになれば、イノベーションを萎縮させる可能性もあります。

技術的な観点から見ると、この訴訟はクッキーやトラッキング技術の透明性と同意の重要性を浮き彫りにしています。多くのウェブサイトやEコマースプラットフォームは、ユーザー体験の向上やパーソナライズされたサービス提供のためにデータ収集を行っていますが、その範囲と目的について十分な情報開示と明示的な同意を得ることの重要性が再認識されました。

今後、この判決を受けて、グローバルテック企業はより透明性の高いデータ収集ポリシーの採用や、地域ごとに異なるプライバシー法に対応するための技術的・法的対策の強化を進めるでしょう。

また、この判決は「データブローカー」としてのEコマースプラットフォームの役割にも光を当てています。Shopifyは単なる決済処理サービスではなく、消費者データを収集・分析・活用する「データブローカー」としての側面も持っていると裁判所は指摘しました。この認識は、プラットフォーム企業の責任範囲を拡大する方向に働く可能性があります。

最終的に、この訴訟の行方はインターネットビジネスの未来に大きな影響を与えるでしょう。グローバルなデジタルエコノミーと各国・地域の法的主権のバランスをどう取るかという根本的な問いに、一つの回答を示すことになるからです。

私たちinnovaTopiaは、テクノロジーの進化と人間中心の価値観の両立を重視しています。この事例は、便利さと個人のプライバシー、グローバルなビジネス展開と地域の法的保護、イノベーションと責任あるデータ利用のバランスを考える重要な機会を提供していると考えています。

【用語解説】

Shopify（ショッピファイ）:
カナダに本社を置く世界最大級のEコマースプラットフォーム。オンラインストアの構築から決済処理、在庫管理までをワンストップで提供するサービスである。

PII（個人を特定できる情報）:
名前、住所、電話番号、メールアドレスなど、個人を識別できる情報のこと。日本では「個人情報」と呼ばれる概念に近い。

トラッキングクッキー:
ウェブサイト閲覧者の行動を追跡するために使用される小さなデータファイル。

第9巡回控訴裁判所:
米国の連邦控訴裁判所の一つで、カリフォルニア州を含む西部9州とグアム、北マリアナ諸島を管轄する。

「旅行するクッキールール」:
ユーザーがどこに移動してもクッキーが追跡し続けることで、企業がどの地域の法律にも縛られないという主張。

管轄権:
ある裁判所が特定の事件を審理する法的権限。インターネットビジネスの場合、物理的な所在地が曖昧なため、どこの裁判所が裁く権限を持つかが問題となる。

データブローカー:
個人データを収集・分析し、第三者に販売する企業や組織。例えるなら「個人情報の卸売業者」のようなものである。

【参考リンク】

Shopify公式サイト（外部）
オンラインストア構築から決済、在庫管理までをワンストップで提供するEコマースプラットフォーム

Malwarebytes公式サイト（外部）
マルウェア対策ソフトウェアを提供する企業。記事の出典元でプライバシー保護サービスも提供

【参考動画】

【編集部後記】

テクノロジーの進化とともに、私たちの個人データの価値と重要性はますます高まっています。今回のShopify訴訟のニュースは、便利さと引き換えに私たちが何を提供しているのか、改めて考えるきっかけとなるのではないでしょうか。オンラインショッピングやサービスを利用する際、利用規約やプライバシーポリシーをどれだけ確認していますか？自分のデータがどのように使われているのか把握し、必要に応じてプライバシー設定を見直すことは、デジタル時代を賢く生きるための一つの視点かもしれません。みなさんはこうしたデータ収集と利便性のバランスについて、どのようにお考えでしょうか？

【関連記事】

サイバーセキュリティニュースをinnovaTopiaでもっと読む