2018年5月25日にGDPRが(General Data Protection Regulation)が適用されました。
GDPRの影響として身近なものはアプリ配信ではないでしょうか？
iPhone、Androidのアプリを欧州圏に公開していたらそのルールに従う必要があります。もし破ると、場合によっては数十億円という莫大な罰金支払う羽目になるからです。
グーグルやフェイスブックのサービス(SDKなど)をアプリ開発で使っていたら、利用規約の更新のメールがたくさん配信されたかと思います。
私が所属する会社でも、公開しているAndoridのソーシャルゲームアプリで個体識別番号(個人を特定できる情報)を使っていたため、Googleからの指導により、ユーザーから同意を求めるダイアログを急遽実装する羽目になりました(現在は、個体識別番号を使わないように仕様変更済み)。
しかし、私達が実装した方法ではNGのようで、数日間、アプリがストアから消えてしまったのです。しかしも悪いことに、消えていた間、課金もデキないようになっていたため、その間の売上は0円でした。
GDPR(General Data Protection Regulation)とは
GDPRとは、General Data Protection Regulationの略語です。EUの一般データ保護規則のことで、個人データの処理についてルールです。簡単に言うと、勝手に個人データを使うなと言うものです。
個人データを使うときは、プライバシーポリシーの同意のためのダイアログなどを出しユーザー(お客様)に「本アプリでは、メールアドレス、電話番号を使用します。よろしいですか？」の聞いて同意を取るなどの対応が必要になります。同意なしで電話番号などの個人データを勝手に使うと処罰の対象になります。
規則は2016年4月27日に採択され、2年間の移行期間があり、2018年5月25日より適用されました。
GDPRの対象の国は、EU加盟国ですが、EU加盟国に対して販売している場合もGDPRの規則に従う必要があります。GoogleやFacebookは、その煽り(詳しくは「待ってました！のごとくGoogle、FacebookがGDPRの犠牲に？」にて)を受けた企業とも言えるでしょう。
GDPRに違反した代償は数十億円クラスの罰金
GDPRに違反してしまうと、たとえ日本を拠点にした企業であっても、次のような制裁金が課せられてしまいます。
(1)軽度の違反
1000万ユーロ、または前年売上高の2パーセント
(2)権利侵害などの違反
2000万ユーロ、または前年売上高の4パーセント
(1)(2)のどちらのケースも「より大きい金額が制裁金額」なります。高い方が適用されてしまうので脅威と言えます。現在(2018年5月31日時点)のレートで約12億円から約24億円と、異常な高額な罰則金額といえます。
実際に起きたアプリ開発の影響
GDPRが施行される2ヶ月前、Googleから「あなたのアプリは、利用規約に違反しています。個体識別番号を取るのをやめるか、ユーザーに分かる形で個体識別番号を使うことを教えて、同意を求めるようにしてください。7日以内に対応しなければ、Google Storeからアプリが表示されなくなります」という無茶ぶりのメールが届いた。
メールを受け取った後、ユーザーからプライバシーポリシーの同意を求める機能を実装しました。法律関係には、疎かったのでどのように実装してよいのかわからず、弁護士から聞いたりして情報を集めるのに苦労しました。
私達の場合は、ゲームのデータを保存するため、ユーザーの情報に個体識別番号を使っていました(今現在は個体識別番号を使わない仕様に変更済み)。
対応後、アプリをGoogle Storeにアップデートしましたが、「これではユーザーに同意して頂いたと言えない」ということで、本当にGoogle Playからアプリが消えていました。その後、さらにアプリを修正してアップロードしたら消えていたアプリは復活しました。
アプリが消えていた間は、課金機能が使えなかったため、売上は0円です。
これを機に、私の会社もGDPRの対応で(これまでなかった)プライバシーポリシーの同意の機能を入れることになったのだ。
法律関係の情報にも気をつけるべき
法律の改定は、以外に面倒です。
アプリ開発は、ライバル会社の動き、ユーザの動き、クレームの確認、売上など見れていれば良いと思ってが法律にも目を向けないとGDPRのような高額な罰金を払う必要が出てくる。
iPhone、Androidのアプリを欧州圏に公開していたら、GDPR関連の情報に気をつけるべきでしょう。カジュアルゲームなど、サーバーにゲームデータなどの保存が必要がないものは、GDPRとは無関係と考えてよいでしょう。
「待ってました！」のごとくGoogle、FacebookがGDPRの犠牲に？
施行初日、「待ってました！」のごとくプライバシー保護のための非営利団体noybが、Google、Facebookその傘下のInstagramとWhatsAppとGDPRを侵害するとして提訴しました。提訴の内容は、新しいプライバシーポリシーへの同意をユーザーに強制したことによるものです。GDPRのルールの中に「強制的に同意させるな」というものがあるためです。
参考サイト：
GoogleとFacebook、GDPR施行初日にさっそく提訴される
http://www.itmedia.co.jp/news/articles/1805/27/news011.html
この裁判の行方が気になるところです。この裁判の判決は、アプリ開発に大きな影響(同意しない限りアプリが遊べないような機能が実装できないなど)が出るでしょう。
まとめ
2018年5月25日より適用されたGDPR。一般ユーザーにとっては、個人情報の保護が強化されることから、有益な規則です。
しかし、アプリ開発者に取っては、数十億円の罰金という大きな脅威です。今後は、ルールに違反しない仕様で開発していくことが求められます。今後もGDPR関連のニュースには、着目する必要がありそうです。
