世界のプライバシー保護規制対応を支援するサイト

ログイン 今すぐ会員登録する
個別説明ご希望の方

フランスCNIL GDPRを遵守したGoogle Analytics利用に関する見解を公表


CNILは、2022年6月7日、GDPRを遵守したGoogle Analytics(以下、「GA」)の利用に関する見解を公表した。

GAによる米国へのデータ移転については、2022年2月10日、CNILはこれをGDPR違反と判断し、GAを利用する同国のWebサイト管理者に対してGDPR遵守を求める正式通知を出していた。この正式通知に関連し、CNILは、今回の公表において、GDPRを遵守したGAの利用方法や設定等についての見解を示したものである。以下、概略を紹介する。

GAの利用に対するCNILの基本的姿勢

CNILは、GAの使用について、現状の仕様によるウェブサイト計測データの米国への転送は、米国による規制への対応が不十分であると考えている。この件に関するFAQにあるように、GDPRに準拠してGAを使用するには、標準契約条項(SCC)の単純な実装では十分ではないとの見解をCNILは示している。

技術的対応に関するCNILの見解

一方でCNILは、適切に設定されたプロキシの使用は、個人に対するリスクを制限するための運用上の解決策となりえるとの見解も示している。

IPアドレスの処理条件の設定を変更するというGoogleの提案だけでは、データが米国に転送され続けるため、CJEUの要求を満たさない。また、GAが生成する識別子を「暗号化」したり、サイト運営者が生成する識別子に置き換えたりすることも、実際にはGoogleがIPアドレスを持続的に処理するため、データ主体を再識別する可能性が否定できない。

これらの対策が欧州域外の当局によるデータアクセスの問題に対応できない根本的な問題は、個人の端末とGoogle管理のサーバがHTTPS接続で直接接触していることであるとCNILは指摘する。それにより、Google管理のサーバは、インターネットユーザーのIPアドレスやその端末に関する多くの情報を得ることができ、これらの情報からGoogleはユーザを再特定し、GAを使用しているすべてのサイトでのユーザの閲覧履歴にアクセスできるようになる可能性があるとされる。以上から、CNILは端末とサーバの接点を断つソリューションでなければ、この問題を解決することはできないと結論付けている。

可能な解決策:プロキシ利用

上記のような基準を考慮すると、インターネットユーザーの端末と計測ツールのサーバ(この場合はGoogle)が直接接触しないように、プロキシサーバを利用することが一つの解決策となる可能性がある。しかし、この対応が、2021年6月18日のEDPSの勧告(個人データの保護に関するEUの水準への準拠を確保するために移転ツールを補完する措置に関する勧告)を遵守するためには、プロキシサーバが一定の基準を満たすことを確認する必要がある。

プロキシサーバを利用した転送は、管理者による徹底的な分析により、仮名化された個人データが他の情報と照合しても、特定または識別された自然人に帰属させることができないと立証された場合にのみ可能であるとされる。したがって、(米国)当局が利用できる手段を考慮した上で、送信されるすべての情報がいかなる形でも個人を再識別できないようにする必要がある。

プロキシが有効である条件

CNILは、プロキシが有効であるための原則的な条件を以下のように示している。

  • 測定ツールのサーバにIPアドレスを転送しない。測定ツールのサーバへの位置情報を送信はプロキシサーバによって行われ、この情報によって個人が再特定されないような精度でなければならない
  • プロキシサーバがユーザ識別子を置き換える。効果的な仮名化のため、置換を行うアルゴリズムが十分なレベルの衝突(2つの異なる識別子がハッシュ後に同一の結果を与える十分な確率)を保証し、可変時間コンポーネント(同じ識別子に対してハッシュの結果が常に同じとは限らないように、時間とともに変化する値をハッシュデータに付加)を含むようにする
  • 外部からのリファラー情報を排除する
  • 収集したURLに含まれるあらゆるパラメータ(UTMやサイトの内部ルーティングを可能にするURLパラメータなど)を削除する
  • フィンガープリントの生成に使用できる情報(ユーザーエージェントなど)の再処理によって個人の再識別につながる可能性のある構成を削除する
  • サイトをまたがる識別子の収集(クロスサイト)または決定的な識別(CRM、ユニークID)に該当しないようにする
  • その他、再識別につながる可能性のあるデータを削除する

また、プロキシサーバは、処理するデータがEU及び欧州経済領域で提供されるものと実質的に同等の保護レベルを提供しない国に転送されないことを保証しなければならない。

 

【CNILによるプレスリリース】
https://www.cnil.fr/sites/default/files/atoms/files/statistiques_avec_proxyfication.pdf

関連記事

個別説明をお申込希望の方

個別説明をお申し込み希望の方は以下のフォームをご記入の上、送信ボタンを押してください

*のある項目は入力必須です。