スマートフォンを持って歩くだけで、私たちの移動の軌跡は記録され、そこから趣味や関心までが推し量られていきます。便利さと引き換えに何を差し出しているのか、私たちはその輪郭をどこまで把握しているでしょうか。欧州で、この問いに一つの判断が下されました。裁かれたのは、GDPRが施行された直後、6年以上前のGoogleの慣行です。データから人を「推定」する技術がAIによって一段と強力になったいま、この遅れてきた判断は、過去の清算にとどまらない意味を持ちはじめています。
2026年9月21日に公表されたアイルランドのデータ保護委員会（DPC）の最終決定は、Googleが位置情報の処理でEU一般データ保護規則（GDPR）に違反したと認定し、総額4億300万ユーロの制裁金を科した。調査はBEUCを含む欧州の消費者団体の申し立てを受け、2020年2月に始まった。対象はWeb & App Activity、Location History、Location Accuracyの3機能で、期間は2018年5月25日から2020年2月4日まで。認定は機能ごとに異なり、3機能すべてで透明性の欠如、前2機能で適法性・公正性の欠如と過剰なデータ保持、Location Accuracyで原則遵守を証明できない説明責任違反が認められた。6か月以内の是正命令も出た。制裁金はDPCがGDPR施行後に科したものとして4番目の規模。Googleは、対象は更新済みの過去の方針だとしている。
【編集部解説】
20か月をめぐる審査に、6年半
DPCが問題にしたのは、2018年5月25日から2020年2月4日までの、約20か月間のGoogleの慣行でした。この期間を対象にした調査が始まったのは2020年2月。決定が公表されたのは2026年9月21日です。審査対象となった行為は20か月分、審査そのものには6年半近くがかかった計算になります。
この時間差は、DPC固有の事情というより、GDPRの制度設計そのものに根ざしています。GDPRは「ワンストップショップ」という仕組みを採っており、複数国にまたがる企業への申し立ては、その企業の欧州本社がある国の監督機関に集約されます。Google、Meta、TikTokなど主要テック企業の欧州本社がアイルランドに集中しているため、DPCはその大半を一手に引き受ける立場にあります。
この構造は、以前から他国の規制当局や識者に「ボトルネック」だと指摘されてきました。DPC自身も、2022年の年次報告書でワンストップショップの運用がもたらす遅延について、率直な不満を記しています。一方でDPCは、迅速さだけを求める批判に対し、異議申し立てに耐えうる決定を出すには相応の手続きが必要だという立場を繰り返し示してきました。今回の決定が6年をかけて積み上げられた末のものだという事実は、その主張の裏づけにも、批判の的にも、どちらにも読めます。
申し立てを主導したBEUC（欧州消費者団体連合）のAgustín Reyna（アグスティン・レイナ）事務局長は、決定を歓迎しつつ「結論に至るまでの時間は違反の深刻さに見合っていない。執行の遅れは、執行しないことと同じくらい有害になりうる」と述べています。手続きの正当性を重んじるDPCの立場と、申し立てた側が感じてきた時間の重さは、同じ6年半を、まったく違う言葉で語っています。
何が問われたのか
制裁の核にあったのは、位置情報そのものの収集ではなく、そこから利用者の関心を推し量り、広告に利用していたことが利用者に十分伝わっていなかったという透明性の欠如でした。位置情報は単独でも、他の情報と組み合わせても、個人の所在や行動を推定できる性質を持つと、DPCのGraham Doyle（グラハム・ドイル）副委員長は述べています。
データから人物像を「推定」する技術は、対象期間だった2018〜2020年当時よりも、いまはるかに広く使われています。AIによる推論の精度が上がるほど、利用者が「何を推し量られているか」を把握する難しさも増していきます。今回裁かれたのは過去の慣行ですが、そこにある論点自体は古びていません。
一区切りにすぎない
DPCによれば、Googleに関する大規模な法定調査は他に3件が進行中で、いずれも進んだ段階にあるとされます。その内訳は公表されていません。
はっきりしているのは、DPCが2024年9月に、GoogleのAI基盤モデル「PaLM 2」の開発に関わるデータ処理について、GDPR上の影響評価（DPIA）義務の遵守を問う別の調査を始めていることです。この調査が、今回言及された「他の3件」に含まれるかどうかは、現時点で確認できていません。ただ、位置情報から個人を読み解く動きの次に、AIモデルの学習という、より大規模なデータ処理が、同じ監督機関の審査対象になっている構図は、記録しておく価値があります。
決定全文はまだ公表されておらず、Googleは決定の一部について上訴する可能性があるとも伝えられています。今回の4億300万ユーロが、いつ、どのような形で確定するのかは、まだ見えていません。
【関連記事】
Siri AI、日本語版は10月｜先行する英語圏で見えてきたもの
EUと衝突しているのはGoogleだけではありません。AppleもDMAを理由に、Siri AIの欧州提供を見送っています。
TikTok、EU域内データの中国転送で過去最大級の制裁金5.3億ユーロ
DPCがビッグテックに科した制裁金としては、TikTokの5.3億ユーロが最大級として知られています。
Google Maps、デバイス上のローカル保存でプライバシー強化へ
Googleは2024年、この記事で扱う機能について、データをデバイス上に保存する方針転換を発表していました。
Uber、自動アカウント停止でGDPR違反｜オランダ当局が8億2500万ユーロの制裁金
ワンストップショップの外側で下された制裁もあります。DPCが主監督機関を務めるGoogleの事案との違いも見えてきます。
【編集部後記】
私たちの位置情報は、便利さと引き換えに、日々どこかへ預けられています。それが何のために、どれくらい使われているのか、私たち自身、正直なところよく分かっていません。今回の判断が下るまでに6年半。この時間の長さを、私たちはどう受け止めればよいのでしょうか。この件を入り口に、GDPRという仕組みそのものと、欧州がAIとどう向き合おうとしているのかを、続報でもう少し深く考えてみたいと思います。
【参考リンク】
アイルランド・データ保護委員会（DPC）公式発表（外部）
今回の決定を発表した一次情報。詳細な決定全文は追って公表予定。
BEUC（欧州消費者団体連合）公式サイト（外部）
今回の申し立てを調整した消費者団体連合の公式サイト。
GDPR全文（EUR-Lex）（外部）
EU一般データ保護規則の公式な原文。
Googleアカウントの位置情報設定（外部）
自分のWeb & App ActivityやLocation Historyの設定を確認・変更できるページ。
【用語解説】
GDPR（General Data Protection Regulation：EU一般データ保護規則）
2018年5月25日に適用が始まった、EU域内の個人データ保護に関するEUの規則。加盟国に直接適用される。
DPC（Data Protection Commission：アイルランド・データ保護委員会）
アイルランドの独立した個人データ保護監督機関。GDPRの「ワンストップショップ制度」のもと、欧州本社をアイルランドに置く米系テック企業の多くにとって主監督機関を務める。
ワンストップショップ制度（One-Stop-Shop Mechanism）
複数のEU加盟国にまたがって事業を行う企業への申し立てを、その企業の欧州本社がある国の監督機関に一本化する仕組み。手続きの一貫性を目的とする一方、主監督機関に案件が集中し、遅延の一因になっているとの指摘がある。
BEUC（Bureau Européen des Unions de Consommateurs：欧州消費者団体連合）
ブリュッセルを拠点とする、欧州各国の消費者団体を束ねる非営利の連合体。1962年設立。
DPIA（Data Protection Impact Assessment：データ保護影響評価）
新技術を用いた個人データの処理が個人の権利・自由に高いリスクをもたらしうる場合に、GDPR第35条が求める事前の評価手続き。
【参考記事】
Data Protection Commission fines Google €403 million — DPC公式発表（外部）
一次情報。決定内容、違反の4類型、Doyle副委員長の発言、3機能の技術的背景を記載。
Irish data protection watchdog fines Google €403m over GDPR breaches — Irish Times（外部）
制裁金の順位、上訴の可能性、BEUC・Reyna氏の「執行の遅れ」批判を報じる。
Irish Data Protection Commission fines Google €403 million over location data — dig.watch（外部）
2018年11月の当初申し立て（7団体、ノルウェーの消費者団体の調査が根拠）の経緯を詳述。
Google fined €400m by Irish watchdog — Irish Examiner（外部）
Googleに関する他3件の大規模調査が進行中である点を明記。
Data Protection Commission launches inquiry into Google AI model — DPC公式発表（2024年9月）（外部）
GoogleのAI基盤モデル「PaLM 2」に関するDPIA義務の遵守を問う調査開始を伝える一次情報。
Why Ireland is the Achilles Heel of the EU’s fightback against Big Tech — EUobserver（外部）
DPCが「ボトルネック」と評されてきた経緯を伝える。
