著者紹介
ウィーン地方裁判所は、活動家マックス・シュレムスとソーシャルメディア・プラットフォームのフェイスブックとの間のデータ保護裁判に評決を下した。この判決は、今年初めにオーストリアの首都で開催された口頭審理を受けたもので、フェイスブックの欧州プライバシー担当責任者であるセイリア・アルバレス氏は、以下を中心とした質問に直面した：
- ユーザーから同意を得る能力；
- ネットワーキング・サイトで活動する人々によるデータ要求へのコンプライアンス
- データの削除」という用語の明確化と、実務におけるその意味。
2020年6月30日に言い渡された判決では、フェイスブックは原告の個人データの使用に関する開示義務に違反したとして500ユーロの損害賠償を支払う必要があるものの、ネットワークサービスは原告のデータ処理に関して契約上または法律上共犯的な行動をとったものとみなされることが確定した。
判決
以下の法的事項は注目に値する：
一般データ保護規則（GDPR）に基づくデータ処理
- 裁判所は、GDPR第2条は原告のデータ処理には適用されないと判断した。2 GDPRは、私的活動または家族活動に照らした個人データの処理には適用されない。
- 原告は、プライベートアカウントを作成する際にフェイスブックと契約（「データ処理契約」）を結んだとされる。
- 彼の個人的なプラットフォーム利用により、彼はGDPRの適用範囲外となった。
- したがって、データ処理はGDPRに従って行われ、原告がアカウントを削除しない限り、許容され続ける。その場合のみ、当事者間の契約は終了する。
契約条件
- 裁判所はさらに、差止命令による救済を求めるには、問題となる行為が禁止されているだけでなく、当該違法行為が繰り返される危険性が存在すること、すなわち、被告がすでに法的に確立された規範に違反していることが必要であるとした。
- つまり、被告はすでに法的に確立された規範に違反しているのである。本件では、原告が個人データの処理に同意することは自由であった。被告の条件を受け入れることで、原告は自発的にその条件に同意したのである。
- 被告の経済モデルは、カスタマイズされた広告と商業コンテンツによる収入に基づいている。そのサービスを公衆に無料で提供するために、ユーザーデータを処理して広告主に販売し、広告主はそれをターゲット広告の目的で使用することができる。
- このプラットフォームを利用することで、ユーザーは、個人の嗜好、好み、興味に基づくパーソナライズされた商業コンテンツを意識的に受け入れることになります。
- パーソナライズされた広告は、提供されるサービスの本質的な構成要素であり、契約の一部である特定の利用規約から生じるものであるため、被告は契約の目的を特定する責任を負い、原告はこれに同意した。
機密データ
- 裁判所によれば、GDPR第9条に違反する。9 GDPRの違反は、判明した事実からは生じなかった。
- 政治的関心や性的指向に関するセンシティブデータについて、裁判所は、政党や同性への関心は必ずしも被告の特定の政治的意見への所属や性的指向を示唆するものではないとした。さらに、後者は原告によって公にされていたため、GDPRには違反していなかった。
- 裁判所は、単にデータを処理するだけで、被告側に責任を問われるような違法行為を見つけることはできなかった。
損害賠償
- 15 GDPRは、被告がすべての個人データについて、被告がユーザーに関連すると考える適切な間隔で情報を提供する義務があると規定している。
- 原告は、その義務に違反したことにより、保存されているすべてのデータに関する十分な概要を提供されなかった。
- その管理能力の喪失とそれに伴う不確実性は、損害賠償請求と要求された全データの開示請求の対象となる。
コメント
本判決は、フェイスブックがユーザープロフィールを作成する方法、すなわち、訪問したページの履歴や、友人や「類似」ユーザーとのつながりから得られる情報を利用する方法について、詳細な説明を提供している。とはいえ、このようなデータの機密性を認識するには至っていない。原告の記録が強制的に公開されたことで、フェイスブックによる控訴の可能性は非常に高くなったが、シュレムス氏はすでに今後4週間以内にそのような訴訟を起こす計画を表明している。上級裁判所に提訴することで、フェイスブックの活動の合法性とGDPRの（非）遵守についてより明確になることが期待される。これまでの例と同様、ECJにいくつかの問題を付託する可能性もある。
リソース
原文：2020年7月8日
本記事の内容は、主題に関する一般的なガイドを提供することを意図しています。具体的な状況については、専門家のアドバイスをお求めください。