【この記事のキーポイント】

• ノルウェーの規制当局、ユーザーから明示的な同意がないことを理由に、InstagramとFacebookでの行動ターゲティング広告を一時禁止
• Meta社、EUにおいて個人情報処理の法的根拠を「ユーザー同意」に変更
• ユーザーの行動をオンラインで追跡することを止めることは、メタ社にとってコスト的にも技術的にも困難な作業となるだろう
• メタ社への圧力が高まれば、EUでの事業を停止または制限する可能性もありえる

何が起きたのか

InstagramとFacebookを運営するメタ社がノルウェーで窮地に陥った。
7月17日、ノルウェーのデータ保護局（DPA）はメタ社に対し、オンライン上の行動に基づいてパーソナライズされた広告を国内のユーザーに表示することを停止するよう命じた。
当局は、Metaがユーザーの明示的な同意なしにユーザーを監視し、プロファイリングすることで法律に違反していると主張し、両プラットフォームにおける行動ターゲティング広告の一時的禁止（3ヶ月間）を課した。
国別の禁止令は8月4日に発効し、10月まで続く。
メタ社は、この禁止令に従わない場合、あるいはデータ収集方法を変更しない場合、1日あたり10万ドルの罰金を科される可能性がある。

しかし、"行動ターゲティング広告"とは一体何なのでしょうか？
行動ターゲティング広告とは、あなたの興味や嗜好に合わせた関連性の高い広告を表示するために、あなたの個人情報を使用する広告の一種です。

メタは、ウェブ閲覧、SNSへの投稿、検索履歴、アプリの使用状況に関するデータ、位置情報など、ユーザーのオンライン行動を監視することでこのデータを収集します。
しかし、これらのデータはすべて、ユーザーの明示的な許可なしに収集されるため、ユーザーの個人情報がどのように収集され、どのような目的で利用されているのか、ユーザーはあまり知らないことになっています。

なぜ今ノルウェーはメタをターゲットにしたのか？

一見、ノルウェーのデータ保護局（DPA）がMetaの長年にわたる広告運用慣行を追及する動きは、まったく青天の霹靂のように見えるかもしれない。
しかし、このタイミングは無作為ではない。
今回の禁止令は、7月4日に欧州連合司法裁判所が下した、「メタ社はパーソナライズされた広告のためにデータを処理する法的根拠として“正当な利益”を主張することはできない」という判決の後に下された。

今年だけでも、Meta社はEUにおけるユーザーデータ処理の法的根拠を数回変更している。
4月まで、メタ社はユーザーデータを収集する法的根拠として「契約上の必要性」を主張していた。

欧州データ保護委員会（EDPB）が「広告はフェイスブックとインスタグラムのユーザーとの契約の履行に必要だと主張しているが、その必要性はない」と判断した後、メタ社は法的根拠を「正当な利益」に変更した。

しかし、7月4日の判決でその主張もできなくなった。
回避策を使い果たしたメタ社は8月1日、法的根拠を再び変更し、今度は最終的に"ユーザーの同意"に変更した。

これにより、理論的には、メタ社は行動ターゲティング広告のためにデータを収集する前に、ユーザーに直接同意を求めなければならなくなる。
メタ社はEUの規制当局に対し、行動ターゲティング広告をオプトインしたユーザーに限定することを申し出た、と『ウォール・ストリート・ジャーナル』紙は報じた。

しかし、Metaが具体的にどのようにその同意を求めるのか、また隠された闇パターンが登場するのかどうか、まだ多くの不確定要素がある。
要するに、喜ぶのはまだ早いかもしれないということです。

データ処理の法的根拠を変更するというメタ社の決定は、すでにノルウェーのプライバシー監視委員会からの反応を呼び起こし、委員会はこれをオンライントラッキングに反対する動きにとっては勝利とみなしている。
「メタ社は、これはメタ社側の自発的な変更だと述べているが、とても説得力がないように見える」と、ノルウェーのプライバシー監視団体の広報担当者であるトビアス・ユディン氏は、『Wired』誌に語った。
しかし、Meta社はまだユーザーを騙して、このようなトラッキングに同意させようとするかもしれないと同氏は警告している。

今回のノルウェーによる禁止令の潜在的影響

ノルウェーのデータ保護局（DPA）の今回の決断は、MetaやInstagramがノルウェーで禁止されているということではない。
また、ユーザーにパーソナライズされた広告を表示できないということでもない。

今回の決断の意味は、Metaはユーザーのデータの使用方法や共有方法について、ユーザーの選択や好みを尊重しなければならないということだ。

メタ社は、年齢、性別、居住地、趣味など、ユーザーが自発的かつ承知の上で共有した情報に基づき、広告のターゲットを設定することがまだできる。
また、メタ社は、行動ターゲティング広告のためにユーザーからデータを収集することに有効な同意を得ていると証明できれば、行動ターゲティングも可能になる。

ノルウェーの規制当局は、夏以降にこの問題を欧州データ保護委員会（EDPB）に提起する計画を示している。

EDPBは、EU諸国とノルウェー、リヒテンシュタイン、アイスランドのデータ保護当局のグループである。
EDPBはMetaの行動ターゲティング広告の禁止をノルウェー以外にも拡大するかどうか、またその期間を決定する可能性がある。
もしそうなれば、広告収入に大きく依存しているメタ社のビジネスに大きな影響を与えられることあり得る。

禁止令への適応：Meta社にある選択肢

Metaは、適応して、位置情報に基づくトラッキングを停止する能力を確実に持っている。

あるいは、現在EUで新しいアプリThreadsを使ってテストしているアプローチで、ノルウェーの人々がFacebookやInstragmを利用できないようにすることもできる。

メタ社がノルウェー市場をあきらめるのではなく、禁止令に適応することを決めた場合、いくつかの選択肢がある。
オプトイン（＝情報共有に同意）したノルウェーのユーザーからのみ行動データを収集する、ノルウェーでのユーザーの行動データの収集を完全に停止する、ノルウェーのユーザーへの広告表示を停止する、など。

技術的な観点からは、最後の選択肢が最も実装しやすいものだ。
特定の国の人々への広告を停止することは、比較的簡単な技術的タスクであり、すぐに実装できるだろう。

一方、行動トラッキングに使われる情報の収集を止めるのは難しい。
このような機能は、メタの「ネイティブ」な部分であり単純にオフにすることができないからだ。

ユーザーのアプリ内でのインタラクションはすべて追跡・分析され、プロファイルの一部となる。
言い換えれば、Metaは、あなたが何をしても、常にあなたのデータを収集するようにアプリやウェブサイトを構築している。

さらに、ユーザーがフェイスブックやインスタグラムのようなメタ社独自のアプリを使っていなくても、メタはメタ社のツールが組み込まれているサードパーティー製モバイルアプリからユーザーのデータを収集することができる。
Google Playストアの無料アプリの約40％が、Facebookソフトウェア開発キット（SDK）を使用していて、そのSDKを通じてMetaとデータを共有している。

これらのことを考慮すると、もしMetaが本格的に禁止令を遵守しようとするならば、おそらく最も簡単な方法は、ノルウェーからの広告やトラッキングに関連するリクエストのほとんどをMeta側でブロックすることだと思います。
そうすれば、ユーザーがMetaのSDKを使用するアプリやウェブサイトを使用していてノルウェーにいる場合、Metaはユーザーのデバイスから、またはユーザーのデバイスに情報を送受信しないことになる。
その結果、Metaのアプリやウェブサイトの一部の機能がノルウェーで機能しなくなる可能性があります。
例えば、ユーザーのオンライン行動に基づいた推奨や提案が表示されない可能性があります。

Metaがこの方法で進む場合、広告ブロッカーがすでに行っていることと非常に似たことを行うことになります。
アプリやウェブサイトがあなたのデバイスとの間で広告やトラッキングに関連する情報を送受信するのを防ぐことです。

なぜノルウェーはデータプライバシーにおいてリーダー的存在となっているのか？

通常、ヨーロッパでプライバシーに関して主導権を握るのはノルウェーではありません。
EUの主要なプライバシー規制当局の本拠地であるアイルランドやフランスとドイツが、テック大手に挑戦しているのはよく聞きます。

しかし、これは驚くべきことではない。
EUには属さないが「EU一般データ保護規則」（GDPR：General Data Protection Regulation）の適用を受けるノルウェーは、プライバシー保護に積極的な国として浮上している。圧倒的多数のノルウェー人は、プライバシーの権利を認識しているようだ。

2018年6月の時点で、ノルウェー人の82％以上がGDPRについて聞いたことがあり、半数以上が、自分のメールアドレスを知っているとは想像しなかった相手から同意を求めるメールを受け取ったと報告している。

ノルウェーデータ保護局（DPA）の2019/2020年プライバシー調査によると、ノルウェー人の83%がプライバシーについて非常に懸念しているか、やや懸念している。
回答者のほぼ10人中7人が、個人情報がオンラインでどのように保存され、使用されるかについて、自分ではほとんどコントロールできないと感じると答え、10人中6人が、オンラインで自分の個人情報をコントロールすることに関しては無力と感じると答えた。

このような強いプライバシー意識は、AdGuard自身のデータにも反映されています。
世界における広告トラッキングの現状に関する2023年AdGuardレポートによると、北欧は他の大陸よりも広告トラッキングが著しくクリーンなオンライン環境になっています。
当社のデータによると、ノルウェー人が遭遇する広告トラッカーは、平均的なヨーロッパ人よりも平均20%少ない。

技術的には、この理由は、地元のアプリやウェブサイトがユーザーを追跡することにあまり積極的ではないからである。
これは、vg.noのようなノルウェーのトップニュースメディアサイトと他のトップメディアサイトを比較すると明らかである。
例えば、vg.noでAdGuardを使用したところ、5件の広告リクエストしかブロックされなかったのに対し、『ザ・ガーディアン』のサイトでは20件を超えていた。
※ただし、同じウェブサイト上でもブロックされるトラッカーの数は時々異なる可能性があり、広告ブロックアプリの設定にも依存することに注意してください。

今後の展望

大局的に見れば、今回のノルウェーの規制当局の決断で、行動トラッキングに反対する流れが少なくともヨーロッパでは勢いを増していることがわかります。

これまでMetaは、Privacy Sandboxを持つGoogleのような競合他社とは異なり、このトレンドに適応するよりもむしろ、プライバシー法と戦いたがることを示してきました。
今回の件は、メタ社に本格的な変化を促す限界点となるかもしれません。

しかし、もしメタが自分のデータ収集ポリシーを当面、書類上だけでなく現実的にも改定しないのであれば、いずれEUでのビジネスをやめる可能性も出てきます。