オーストリアの団体noybが中国のテック巨人、AliExpress、TikTok、WeChatに対するデータプライバシー苦情を提出

オーストリアのプライバシー擁護団体noyb（None of Your Business）は、EUのデータプライバシー法、特にGDPR第15条に準拠していないとして、3つの中国のテクノロジー企業に対してデータプライバシー苦情を提起したと報じられています。 

Noybは、Apple、Alphabet、Metaなどの米企業に対する苦情申し立てを行い、複数の調査や数十億ドル規模の罰金をもたらすことで名を馳せている。

規制当局に対するNoybの主張

アドボカシー団体の苦情は、ベルギー、ギリシャ、オランダのデータ保護当局に提出された。その主な焦点は、EU法が要求するように、企業がユーザーに個人データへの完全なアクセスを付与することを拒否した alleged 行為にある。

noybによると、拒否は頑固さに根ざしており、これは平均的なヨーロッパのユーザーが自分のデータがどのように処理され、GDPRの規定、特に中国へのデータ転送に関連してコンプライアンスしているかどうかを無知のままにしています。

ほとんどのテック企業は、ユーザー情報のダウンロードリクエストに応えるためのツールを通常備えている。しかし、noybは、一部の中国企業は情報へのアクセスをほぼ不可能にしていると述べている。

もしこれらの中国企業が、GDPRのアクセスリクエストを大量に処理できるような自動化ツール（「情報をダウンロード」ツールなど）を実装していれば、EU法への準拠は理論上極めて容易になっただろう。

しかし、noybのデータ保護弁護士であるKleanthi Sardeli氏によると、TikTok、AliExpress、WeChatは、ユーザーに対してその利用方法を隠蔽しながら、ユーザーに関するデータをできるだけ多く収集することに利点を見出している。

Noybは、TikTokとAliExpressの両社が、GDPR第15条で要求されているように、データ主体に自身の全データへのアクセスを提供することを拒否したと述べている。TikTokは、把握しにくいとして、苦情申し立て者のデータの一部分のみを構造化されていない形式で提供したにすぎない。

AliExpressは1回しか開けない壊れたファイルを提供し、WeChatは苦情申し立て者のリクエストを完全に無視した。

TikTokとAliExpressの行動により、ユーザーは一連のフォローアップ質問を送らざるを得なくなり、企業側には2回目の対応機会が与えられた。

しかし、欠落したデータを供給する代わりに、両社は個人情報を一切含まないプライバシーポリシーの内容を繰り返すだけで、苦情申し立て者が自身のデータがGDPRに準拠して処理されたかどうかを検証することを不可能にした。

他の企業に対する以前の行動に続く新たな苦情

Noybは今年も多忙を極めていた。このアドボカシー団体は、今年1月にすでにTikTok、AliExpress、SHEIN、Temu、WeChatに対して苦情を申し立て、中国へのデータ移転の停止を求めるとともに、違反企業のグローバル収益の最大4%に相当する罰金の科すよう求めている。

EU法によれば、データ移転は、移転先国がデータの保護を損なわない場合にのみ許可される。中国の法律は当局による個人データへのアクセスを制限していないため、企業はEUユーザーのデータを政府のアクセスから保護することは不可能である。

SHEIN、Temu、Xiaomiは手続きの過程で苦情申し立て者に追加情報を提供したと報じられているが、TikTok、AliExpress、WeChatはGDPRの違反を継続していた。

noybのデータ保護弁護士であるKleanthi Sardeli氏は、「GDPRは、企業がユーザーに対して、処理しているデータについて特定の情報を提供しなければならないことを明確にしている。多くのリクエストを受け取ったからといって、情報を引き渡さない理由にはならない」と述べた。

ベルギー、ギリシャ、オランダのデータ保護当局（DPA）に提出された最新のnoybの苦情は、それぞれのDPAに対し、TikTok、AliExpress、WeChatがGDPR第12条および第15条に違反していることを宣言する決定を下すよう求めている。

さらに、団体は企業に対し、苦情申し立て者のアクセスリクエストを履行するよう命じるよう求め、同様の違反を防ぐために行政罰を科すようDPAに提案している。