Uberは3億2000万ドルという巨額の罰金を科せられました。その理由は？

UberはEUのデータ保護法に違反したとして2億9000万ユーロ（約3億2000万ドル）の罰金を科せられる可能性がある。

これが大まかな流れですが、その詳細を理解するには、まずGDPRとは何かを知る必要があります。GDPRとは、2018年5月にEUで施行された一般データ保護規則です。米国では消費者のプライバシーを軽視する傾向がありますが、EUは異なるアプローチを採用しており、これまでのところうまく機能しています。

GDPR では、ユーザーデータに関して企業が従わなければならない具体的な規定や、インターネット上のデータに対して個人がどのような権利を持つかを規定しています。

オランダのデータ保護当局（DPA）は、Uberがドライバーの位置情報、写真、支払い情報、さらには犯罪歴や医療データなどの機密情報を収集し、米国のサーバーに保存していたと主張している。

GDPRは、企業が欧州経済領域外にデータを移転する際に遵守すべき一連の規則を義務付けており、DPAはUberが2年間にわたりこれらの基準を遵守していなかったと主張しています。この見落としにより、DPAは個人データ保護が不十分であったと主張しています。

問題は、170人以上のフランス人Uberドライバーが人権団体「Ligue des droits de l'Homme（人間連盟）」に苦情を申し立てたことから始まりました。同団体は苦情をフランスDPA（データ保護局）に持ち込みました。Uberの欧州本社はオランダにあるため、オランダDPAがこの件を引き継ぎました。

オランダDPAがUberに対して罰金を科すのは今回で3回目であることも注目すべき点です。1回目は2018年に60万ユーロ、2回目は2023年に1,000万ユーロの罰金が科される予定です。

データ転送には適切なレベルのデータ保護が求められます。欧州委員会は、国全体、適切な安全対策、および／または特定の例外に基づいて、十分性認定を行うことができます。Uberのケースでは、オランダのデータ保護庁は、これらの安全対策が満たされておらず、ドライバーの個人情報が悪意のある攻撃者にとって非常に脆弱であったと述べています。

罰金は恣意的な数字ではありません。欧州のすべてのデータ保護機関は、罰金の額を同じ方法で算出しており、最大で企業の全世界の年間売上高の4%を請求しています。

Uberはその後、この方法でのデータ転送を停止し、GDPR規則に準拠するために方法を変更しました。Uberの広報担当者がThe Vergeに提出した声明の中で、同社は罰金を「全く不当」と述べ、控訴する意向を示しました。

では、これはUberにとって何を意味するのでしょうか？同社は主張を繰り返さなければなりませんが、結果がどうであれ、Uberが消滅することはありません。Uberは依然として世界最大のライドシェアサービスであり、市場の25%を占めていますが、この訴訟は米国におけるデータ保護の慣行の改善につながるかもしれません。