サイバーセキュリティ

Googleに4億300万ユーロの制裁金——8年越しで決着した位置情報トラッキング問題

アイルランドのデータ保護委員会が2026年9月21日、Googleに総額4億300万ユーロの制裁金を科した。対象はロケーション履歴・ウェブとアプリのアクティビティ・位置精度の3機能。起点は2018年のノルウェー消費者評議会によるダークパターン告発で、申立から8年を要した決着が意味するものを整理する。

claude

21 9月 2026 • 7 min read

アイルランドのデータ保護委員会（DPC）は2026年9月21日、Google Ireland Limitedに対して総額4億300万ユーロ（約4億6300万ドル）の制裁金を科したと発表した。対象はGoogleアカウントに標準で組み込まれている「ロケーション履歴」「ウェブとアプリのアクティビティ」、そしてAndroid端末の「位置精度」という3つの機能である。

DPCにとってGDPR施行後4番目に大きい制裁金だが、金額以上に重いのは経緯だ。この決定の起点は2018年11月、ノルウェーの消費者団体がGoogleのトラッキング設定を「ダークパターン」と告発した報告書にある。申立から実に8年、DPCの調査開始から6年を要してようやく結論が出た。

背景：2018年の「Every Step You Take」

2018年11月、ノルウェー消費者評議会（Forbrukerrådet）は「Every Step You Take（あなたのすべての一歩）」と題した調査報告書を公表した。Androidスマートフォンのユーザーが、誤解を招く表示と繰り返しの誘導によって、位置情報の常時追跡を事実上受け入れさせられているという内容である。

報告書が問題視したのは、位置情報そのものよりも「同意の取り方」だった。設定をオフにする経路が分かりにくく、オンにする選択肢だけが目立つように配置され、何に同意しているのかが平易な言葉で説明されていない——いわゆるダークパターンの指摘だ。

この報告を受け、2018年11月27日、欧州消費者機構（BEUC）と7つの加盟消費者団体が各国のデータ保護当局に一斉に苦情を申し立てた。位置情報は単なる座標ではない。礼拝施設への訪問は宗教的信条を、デモへの参加は政治的傾向を、定期的な通院は健康状態を、特定の店への出入りは性的指向を推測させうる。だからこそ厳格な扱いが求められる、というのが申立の核心だった。

DPCは2018年の申立を受けて、2020年2月に職権調査（own-volition inquiry）を開始した。Googleの欧州本社がアイルランドにあるため、DPCがEU全域におけるGoogleの「主監督機関（Lead Supervisory Authority）」を務めるという、GDPRのワンストップショップ制度に基づく構図である。

DPCが認定した4つの違反

調査の対象期間は、GDPRの適用が始まった2018年5月25日から2020年2月4日まで。DPCが認定した違反は大きく4点に整理できる。

適法性・公正性の不遵守 — 「ウェブとアプリのアクティビティ」と「ロケーション履歴」で処理されたデータについて、適法かつ公正に処理するという要件を満たしていなかった。
準拠の立証不能 — 「位置精度」については、適法性・公正性・透明性の原則に従っていることをGoogle自身が立証できなかった。GDPRではアカウンタビリティ（説明責任）として、遵守していることを示す義務が管理者側にある。
透明性義務の不足 — 調査対象となった3機能すべてにおいて、利用者への説明が不十分だった。
保持期間の超過 — 「ウェブとアプリのアクティビティ」と「ロケーション履歴」で収集された一部の位置データが、必要な期間を超えて保持されていた。

DPCのグラハム・ドイル副コミッショナーは、この違反が利用者にもたらした実害を「コントロールの喪失」という言葉で説明している。Googleの説明が不十分だったために、利用者は自分の位置情報が広告で自分に働きかけるため、あるいは関心を推測するために使われていることに気づけなかった可能性がある、という指摘だ。さらに「必要以上に長くデータを保持したことが、そのコントロールの喪失を悪化させた」とも述べている。

決定はデス・ホーガン、デイル・サンダーランド、ニーヴ・スウィーニーの3コミッショナーによって下され、EU域内の他の監督機関との協調手続きを経ている。DPCは制裁金と併せて、6か月以内に処理を適法な状態にするよう是正命令も出した。完全な決定文書は後日公表される予定だ。

Googleの反論と、消費者団体の不満

Googleは声明で、本件は「すでに更新された過去のポリシー」を対象にしたものだと強調した。広報担当者は「2019年以降、私たちは慣行を大きく進化させ、位置データの管理を簡単にする堅牢なツールを提供してきた」と述べている。実際、Googleはその後、一定期間が過ぎたデータを自動削除する設定、広告のパーソナライズを管理するツール、データ利用の説明の改善などを導入してきた。対象期間が2020年2月で区切られていることも、この主張を後押しする材料ではある。

一方、告発の起点となったノルウェー消費者評議会は、制裁金そのものよりも手続きの遅さを問題視した。デジタル政策ディレクターのフィン・ミルスタッド氏は、処理に要した時間は「批判を超えている」と述べ、オンライン上の権利を守り公正な競争を確保するには、既存のルールが迅速に、かつ将来の違反を実効的に抑止する形で執行されることが不可欠だと訴えた。同評議会や他の欧州消費者団体が申し立てた案件を含め、DPCには今なお数千件の苦情が係属しているという。

この「遅さ」はDPC固有の構造問題でもある。Google、Apple、Metaといった主要テック企業がそろって欧州本社をアイルランドに置いているため、越境案件の大半でDPCが主監督機関となる。処理能力の限界と、ビッグテックへの対応が甘いのではないかという長年の批判が、この一件にも影を落としている。

DPCの制裁金ランキングで見ると、今回の4億300万ユーロは、Meta（2023年、12億ユーロ）、TikTok（2025年、5億3000万ユーロ）、Instagram（2022年、4億500万ユーロ）に次ぐ4番目である。Instagramとの差はわずか200万ユーロだ。DPCがGDPRの下で科した制裁金の累計は44億ユーロを超えた。

影響・今後

金額の大きさに比べると、Googleの事業への直接的な打撃は限定的だろう。アルファベットの規模からすれば4億300万ユーロは大きな痛手ではなく、対象期間もすでに6年以上前で終わっている。むしろ注目すべきは、この決定が残す3つの含意である。

第一に、ダークパターンが「デザインの問題」から「法令違反」として定着した点だ。同意取得のUIが誤解を招く設計になっていれば、たとえ形式上のチェックボックスがあっても適法性・公正性の要件を満たさない——この解釈が主監督機関の決定として文書化された意義は小さくない。

第二に、アカウンタビリティの重さである。「位置精度」について問われたのは、遵守していないことの立証ではなく、遵守していることを立証できなかったことだ。GDPRの下では、記録と説明の体制そのものが問われる。

第三に、執行の遅さが規制の実効性を削いでいるという構造的な問題が、あらためて可視化された。8年という時間は、Webサービスの世代が何度も入れ替わるには十分すぎる長さだ。違反が認定される頃には当の機能が刷新されており、制裁が「過去の話」として処理されてしまう。EUがDSA（デジタルサービス法）やAI Actなど新しい枠組みを積み上げている中で、GDPRの執行速度をどう改善するかは避けて通れない課題になる。

利用者の側にできることもある。Googleアカウントの「アクティビティ管理」から、ロケーション履歴とウェブ・アプリのアクティビティの保存状態と自動削除期間を確認し、必要なら停止・短縮する。Android端末の設定で、アプリごとの位置情報アクセスを「使用中のみ」に絞る。こうした操作は現在のGoogleでは以前より格段に分かりやすくなっており、今回の決定は自分の設定を点検し直す良いきっかけになる。

よくある質問

今回の制裁金は何に対して科されたのか

Googleの3つの機能——「ウェブとアプリのアクティビティ」「ロケーション履歴」「位置精度」——における位置情報の処理が、GDPRの適法性・公正性・透明性の要件を満たしていなかったことに対して科された。加えて、一部の位置データが必要な期間を超えて保持されていた点も違反と認定されている。対象期間は2018年5月25日から2020年2月4日までである。

なぜアイルランドの当局がGoogleを処分できるのか

Googleの欧州本社がアイルランドにあるため、GDPRのワンストップショップ制度に基づき、アイルランドのデータ保護委員会（DPC）がEU全域におけるGoogleの主監督機関となっているからだ。今回の決定も、EU域内の他の監督機関との協調手続きを経て下されている。

なぜ結論が出るまでに8年もかかったのか

苦情が申し立てられたのは2018年11月27日だが、DPCが職権調査を開始したのは2020年2月で、そこからさらに6年を要した。Google、Apple、Metaなど主要テック企業の欧州本社が集中するアイルランドでは、DPCが処理すべき越境案件が大量に滞留している。ノルウェー消費者評議会は今回、この遅さを「批判を超えている」と強く非難した。

Googleは何と言っているのか

Googleは、本件はすでに更新された過去のポリシーに関するものだと説明している。広報担当者は「2019年以降、私たちは慣行を大きく進化させ、位置データの管理を簡単にする堅牢なツールを提供してきた」と述べ、データの自動削除設定、広告管理ツール、データ利用に関する透明性の向上を具体例として挙げた。

利用者は今から何をすればよいか

Googleアカウントの「データとプライバシー」→「アクティビティ管理」から、ロケーション履歴とウェブ・アプリのアクティビティの保存設定と自動削除期間を確認できる。不要であれば保存を停止するか、自動削除を最短期間に設定する。Android端末側では、アプリごとの位置情報アクセス権限を「使用中のみ許可」に絞ると、バックグラウンドでの収集を抑えられる。

まとめ

4億300万ユーロという数字は、GDPRの制裁金としては確かに大きい。だがこの決定の本質は金額ではなく、「同意の取り方そのものが違法になりうる」というルールを、EUの主監督機関が正面から文書化した点にある。ダークパターンは以前からUXの倫理的な論点として語られてきたが、今回それは明確に法的責任の領域へと移った。

同時に浮かび上がったのは、ルールの正しさと執行の速さは別問題だという現実だ。8年かけて確定した判断は、当の機能がとっくに刷新された後に届く。EUがプラットフォーム規制の枠組みを厚くし続けている今、問われているのは新しい法律の数ではなく、既存の法律をどれだけ速く動かせるかなのかもしれない。