Netflix、Amazon、Spotifyなどを対象とした一連の新たな苦情によると、ストリーミングサービスはEUのデータ保護法、具体的には一般データ保護規則のアクセス権に準拠していないという。
セーフハーバーの破壊者マックス・シュレムス氏のプライバシー保護団体 NOYB (None Of Your Business) は本日、オーストリアのデータ保護機関に正式な苦情を申し立てたと発表した。
苦情は、Apple Music、YouTube、DAZN、SoundCloud、Flimmitを含む8社を対象としており、一般データ保護規則第15条の「データ主体によるアクセス権」を遵守していないとされている。
この規定は、企業が保有する個人情報のコピーを要求する権利を人々に与えており、これには、関連する個人データの種類、そのデータの出所、そのデータが共有されている相手、そのデータが保存される期間と場所などが含まれます。
マックス・シュレムスが復帰：FacebookとGoogleがGDPR苦情で訴えられる
続きを読む
しかし、NOYBは、これら8つのストリーミングサービスの情報要求に対するアプローチをテストしたところ、すべて不十分であることがわかったと述べています。
NOYBによると、同社がアプローチしたサービスのうち2社、英国のスポーツストリーミング事業を展開するDAZNとドイツに本社を置くSoundCloudは「要請を無視した」という。
一方、大手プロバイダーのアップルミュージック、ユーチューブ、スポティファイ、アマゾンプライムは、基準を満たさない自動化システムを構築することで、法律の「構造的違反」を根付かせていると非難された。
「多くのサービスではアクセス要求に対応する自動システムを導入しているが、すべてのユーザーが権利を有するデータをまったく提供していないことが多い」とシュレムズ氏は述べた。
「ほとんどの場合、ユーザーは生データしか入手できず、例えば、そのデータが誰と共有されたかといった情報は得られませんでした。これらのシステムは関連情報を秘匿するように構築されているため、ユーザーの権利の構造的な侵害につながります。」
NOYBによると、Amazon Prime、Apple Music、Spotify、YouTubeはいずれも背景情報を提供していない。背景情報とは、データのソースや受信者、処理の目的に関する情報を説明するために同グループが使用した用語である。
ユーザーに生のデータを提供したのはビデオサービス Flimmit のみで、Amazon Prime、Apple Music、Spotify、YouTube、Netflix は部分的にしかこの要件を満たしていませんでした。
Flimmitは、NOYBが理解可能なデータと称するデータを提供していた数少ないサービスの一つで、もう一つはYouTubeだった。例えば、Amazonプライムから送信されたファイルの大半には、「人間には理解できないコード情報」が含まれていたとされている。
NOYBはこれらのテストについて、「多くの場合、生データは難解な形式で提供されており、一般のユーザーが情報を理解するのは非常に困難、あるいは不可能でした。また、特定の種類の生データが欠落しているケースも多々ありました」と述べています。
同団体は、10人のユーザーを代表して、オーストリア・データ保護当局に8社に対する10件の苦情（PDF）を提出した。苦情ではユーザーの名前は伏せられている。
GDPRの下では、すべての苦情に対する理論上の最高罰金は188億ユーロに達する可能性があるが、GDPRがすべての企業に最高レベルの罰金を科す可能性は低い。
これまでに、同庁はGDPR違反に対し、適切な透明性や通知なしに監視カメラを設置した企業1社に約4,800ユーロの罰金を科した。
この一連の苦情は、同団体によるGDPR関連の異議申し立ての第2弾となる。5月、GDPRが施行された日に、同団体はGoogle、Facebook、WhatsApp、Instagramに対してそれぞれ4件の申し立てを行った。
これらはいわゆる「強制同意」に関連しており、同意はサービス利用の条件であるため、法律で義務付けられているように「自由に与える」ことはできない。
NOYBの目的は、テクノロジー大手がデータ保護法を遵守するように強制することであり、シュレムズ氏は、テクノロジー大手は以前の規制を無視することができていたと主張している。
「GDPRでは、このようなことが二度と起きないよう注意する必要がある。今のところ多くの企業は表面的にしか準拠していないようだ」と同氏は語った。
我々はコメントを求めて各社に連絡を取っており、返答があればこの記事を更新します。
更新
この記事の公開後、Spotify から次のような声明が届きました。
Spotifyはデータのプライバシーとユーザーに対する義務を極めて真剣に受け止めています。GDPRを含むすべての関連する国内および国際法規制の遵守に尽力しており、当社はGDPRに完全に準拠していると考えています。
そしてAmazonは次のような声明を送ってきました。
「お客様のプライバシー保護は常に最優先事項であり、長年にわたり当社のサービスに組み込まれてきました。Amazonが処理している個人データへのアクセスを提供するというデータ主体からのあらゆる要求に応じます。」®
