EU司法裁判所、SNSユーザーにデータ保護の責任認める

EU司法裁判所（CJEU）は6月5日、ソーシャル・ネットワーキング・サービス（SNS）大手フェイスブック上の「ファンページ」（注）の個人データ処理に関する責任の所在に関する判決を下した。

「ファンページ」管理者にも責任あり

この判決は、ドイツの教育機関がフェイスブック上に開設したファンページでの個人情報の扱いに関して下された。ファンページの管理者には、交渉の余地のない利用条件に基づき、閲覧者に関する匿名化された統計データが無料で提供されていた。

この教育機関が所在するドイツのシュレスビヒ・ホルシュタイン州のデータ保護監督機関は、同教育機関とフェイスブックが個人情報の収集・処理を閲覧者に通知していないことを問題視し、管理者である教育機関にファンページの停止を命令。これに対して教育機関側は、フェイスブックにデータ処理を依頼したわけではなく、また、フェイスブック（の機能）に影響を持ちえないと主張、フェイスブックによるデータ加工の責任を同機関に帰することはできず、同社に対して法的手続きを取るよう求めていた。

CJEUは、フェイスブックのアイルランド法人がデータ管理・処理者であるのに加え、ファンページ管理者もデータ管理者だと認定。ファンページ管理者は、閲覧者の属性データ（年齢、性別、職業など）や関心事項（オンライン購入傾向など）などのデータおよびその加工を要求することができ、閲覧者の個人データの加工の目的と手段の決定に関与していると指摘。フェイスブックが提供する機能を利用しているという事実によって、個人データ保護の義務の履行が免除されることはないと判断した。

今回の判決は、2018年5月に適用開始された「一般データ保護規則（GDPR）」の先行法令であるデータ保護指令95／46を根拠とするものだが、SNSのユーザーに対して個人データ保護の義務を認めた点で注意が必要だ。なお、この判決では、データ保護指令におけるデータ保護監督機関の管轄区域も論点となった。

判決の詳細は、CJEUウェブサイトを参照。

（注）事業者としてフェイスブック上で活動するためのページ。原則として、無料で作成が可能。現在は「フェイスブックページ」に改称。

（村岡有）