イタリア、Metaに8億500万ユーロの制裁金　Facebookの写真アクセスに新たな選択を要求

この事案の対象は、イタリアのAndroidユーザー約2,000万人。最も重大な要件は制裁金の額ではなく、設定のリセットだ。Metaは60日以内に、提案機能を初期設定でオフにし、別個の明確な同意を得なければならない。写真へのアクセスを認める従来のシステム権限だけでは不十分だ。Metaが既存の許可にも変更を反映したかどうかは、まだ確認されていない。⁠12

この調査は、ボルツァーノの消費者保護センター、Centro Tutela Consumatori Utentiからの報告を受け、2025年7月に始まった。ガランテの技術分析では、イタリア語名を訳すと「Facebookを閲覧中にギャラリーから提案を受け取る」という機能が調べられた。これは、ユーザーが投稿する可能性のある素材として、スマートフォン内の写真や動画を提案する機能だ。今回調査対象となったのはこの特定の機能であり、FacebookやAndroidを禁止するものではない。⁠12

規制当局は、Facebookがアプリ全体と、必要性の異なる複数の機能を対象に、ギャラリーへの単一の許可を求めていたと判断した。その申請に先立つ通知では「他の機能を有効にする」という一般的な表現が使われ、許可によってギャラリーを使った投稿提案も有効になることが明確にされていなかった。提案機能自体も、初期設定でオンになっていた。⁠12

この2つの設定が互いに影響を強めていた。広範な許可がアクセスを可能にし、初期設定でオンの機能が、通知で十分に説明されていない用途を生み出していた。ガランテは、Metaが個別の同意や十分な説明を得ずに、写真、動画とそのメタデータにアクセスしたと結論づけた。⁠12

アクセスの範囲は重要だが、正確に説明しなければならない。ギャラリー全体への許可が与えられると、この種の権限によってアプリは端末にある写真の全記録を、通常は継続的に読み取ることができる。規制当局によると、ユーザーにも調査担当者にも、実際にどの情報が使われていたかは確認できなかった。⁠12

だからといって、写真がすべてアップロードされた、非公開の写真が自動的に公開された、あるいはスマートフォンがハッキングされたと認定されたわけではない。写真の保存場所全体に届く許可があることは、すべての写真が送信された証拠にはならない。確認された問題は、十分な説明に基づく個別の選択がないままアクセスしたことだ。

法的判断の根拠は、欧州のeプライバシー指令を国内法に反映し、個人の端末に保存された情報を保護するイタリアのプライバシー法第122条だ。このギャラリー提案機能について、ガランテは、情報が端末の外に送信されず、さらなる被害が立証されていない場合でも、自由意思に基づく十分な情報を与えられた上での同意が必要だと述べた。保護の対象となるのは、データが端末から外部に出た後だけではなく、個人の情報が保存された場所へのアクセスそのものだ。⁠12

Metaはイタリア当局の権限に異議を唱え、アイルランドの規制当局がこの事案を扱うべきだと主張した。ガランテは、Metaが持ち出した「ワンストップショップ」の仕組みはeプライバシーの枠組みにはないとして、この異議を退けた。そのため、アイルランドに拠点があることを理由に、イタリアでの執行手続きから外れることはなかった。⁠12

規制当局の要件は、一般的な通知文を書き換えるだけにとどまらない。Metaはギャラリー提案機能への同意を個別に求め、その機能の内容、ギャラリーにアクセスすること、オフにする方法を説明しなければならない。初期設定でオフにする要件は、すでに許可を与えた人にも明確に適用される。60日の期限が過ぎた後、必要な変更が行われていなければ、有効な同意を得ずにユーザーの機能を有効化することはできない。⁠12

この適用範囲は、事案の核心に関わる。ガランテによると、アプリを更新していない人や、すでにシステム上の許可を与えた人についても、違反は続いていた。Metaが苦情を受けて導入した変更は、制裁金の算定では有利に考慮されたものの、規制当局は対応が遅く、アプリを更新した人に限られていたと判断した。古いインストール環境や既存の許可に変更が及ばない更新は、部分的な是正にすぎない。⁠12

コンプライアンス上の期限は3つに分かれている。30日以内に、Metaは着手した取り組みをガランテに伝えなければならない。60日以内に、同意の取り方と初期設定を変更する。90日以内に、実施した措置を報告する。最後の報告義務によって設定変更の期限が延びるわけではない。⁠12

これらの期間から、現時点で確定した期限日を算出することは適切ではない。公表日は11月14日だが、決定がいつMetaに通知されたかは示されていない。また、新たな選択肢を設けるよう命じられたことは、要件に適合する設定がすでに利用可能である証拠にはならない。イタリアのAndroidユーザー向けに、現在利用できる設定手順は確認されていない。

制裁金8億500万ユーロ（DWの報道によると約8億8,700万ドル）は、対象ユーザー数だけを反映したものではない。ガランテは、影響を受けた人の規模に加え、違反の継続期間、2019年に同社に対して行われた過去の措置、調査への協力が不十分だったことを挙げた。規制当局は、この額はグループの世界売上高の約0.47％に相当すると説明したが、売上高の対象年は示さず、計算の全容も公表していない。⁠1⁠12

これは人工知能の学習をめぐる事案ではない。Metaはギャラリーの内容をその目的で使用していないと否定しており、この手続きでも検討されなかった。ガランテはまた、ギャラリーの内容をクラウドで処理できる2026年開始の新機能について、別途確認を行うとしている。これは今回の決定の対象範囲を示すものであり、新たな不正認定ではない。⁠12

制裁金に対するMetaの最新の確認済み回答、控訴の予告または提出、支払いの証拠は確認されていない。規制当局の発表を、その後の法的手続きやコンプライアンス上の措置がすべて確定した証拠と見なすべきではない。

実際の確認ポイントは、見出しにある制裁金の額よりも具体的で有用だ。以前Facebookにギャラリーへの広範なアクセスを許可した人に、この機能を別個に選べる本当の選択肢が示され、有効な同意がない限りオフのままになっているか。命令が求めているのはその状態だ。既存ユーザーに変更が届いたことを示す証拠は、まだない。