【ITニュース解説】A former Facebook lobbyist is now in charge of the EU's Facebook regulator

元Metaのロビイストが、欧州連合（EU）のデータ保護を司る重要な規制機関であるアイルランドのデータ保護委員会（DPC）の委員に就任したというニュースが報じられた。これは、デジタル社会におけるデータ保護のあり方を考える上で重要な出来事だ。

データ保護委員会（DPC）は、EUの個人情報保護に関する主要な規制機関の一つで、GDPR（General Data Protection Regulation：一般データ保護規則）という法律の執行を担う。GDPRはEU域内の個人データの収集、処理、保存などに関して厳格なルールを定め、違反には巨額の罰金が科される。システムエンジニアを目指す皆さんにとってGDPRは重要だ。開発するシステムが個人情報を扱う場合、データの設計、セキュリティ対策、利用者のデータ管理権限付与など、GDPRの要求事項を理解し組み込む必要がある。ユーザーのプライバシーを守る技術的・組織的対策は、現代のシステム開発において不可欠な要素だ。DPCはGDPRの遵守を監視し、違反があれば調査や罰金を科す権限を持つ。

今回のニュースの中心人物はNiamh Sweeney氏で、彼女は過去6年間Meta（旧Facebook）に勤務し、WhatsAppの欧州公共政策担当ディレクターやFacebookのアイルランド公共政策担当ヘッドを務めていた。「公共政策担当」とは、企業にとって有利な法規制となるよう、政府や規制当局に働きかける「ロビイスト」の役割を果たすことが多い。つまり、彼女は以前、Metaという企業の利益を代表し、規制に関して企業側に有利な意見を提言する立場にあった。そのような経歴を持つ人物が、今度はMetaを含むビッグテック企業を規制し、GDPRの遵守を監督するDPCの委員に就任したことは、多くの議論を呼んでいる。企業側からの視点を持つ人物が規制当局に入ることで、その規制が公正かつ厳格に行われるのか、特定の企業に甘くなるのではないかという「利益相反」の懸念が生まれるのは自然なことだ。

DPCが設置されているアイルランドは、法人税率が低いことで知られ、多くのグローバルなIT企業が欧州での事業拠点としている。この背景から、アイルランドのDPCは、以前からビッグテック企業に対して友好的であり、GDPRなどの規制の執行に関して寛容であるという批判がされてきた。具体的には、DPCがビッグテック企業にGDPR違反の罰金を課すことはあっても、実際にその罰金を徴収することに消極的だと指摘されている。これまでに課された数十億ドルもの罰金のうち、DPCが実際に回収できたのはわずか0.6%程度に過ぎないというデータもある。これは、規制機関としての実効性に大きな疑問符を投げかけるものだ。プライバシー擁護団体であるnoybなどは、この任命に対して「アイルランド政府はもはやEU法の執行に関心があるふりさえしていない」と強く批判しており、EU全体のデータ保護に悪影響を及ぼすのではないかと懸念している。

DPCがこれまで規制してきた企業の中には、皮肉なことにMeta自身も含まれる。例えば、Metaは過去にデータ侵害によって世界中のFacebookアカウントが影響を受けた際、約3億ドル近い罰金を科されている。また、ユーザーのパスワードを暗号化せずに「平文（プレーンテキスト）」で保存していたことが発覚し、これもGDPR違反として約1億ドルの罰金を科された事例がある。システムエンジニアを目指す皆さんにとって、これらの事例は非常に具体的な教訓となるだろう。パスワードの平文保存は、情報セキュリティの最も基本的な原則の一つである「機密性の保護」を著しく損なう行為だ。もしシステムに不正アクセスがあった場合、平文パスワードはそのまま悪用されるリスクがあるため、必ずハッシュ化やソルト付与といった手法を用いて安全に保存する必要がある。データ侵害はシステム設計や運用におけるセキュリティ対策の不備が原因となることが多く、SEには常に最新のセキュリティ技術と脅威に関する知識が求められる。今回の元ロビイストのDPC委員就任は、これらの過去の違反事例に対し、DPCが今後どれほど厳格な姿勢で臨むのか、という問いを投げかけている。

このニュースは、テクノロジー企業が社会に与える影響が大きくなる中で、データ保護という重要な課題について、規制機関の独立性と公平性が問われていることを示している。システムエンジニアを目指す皆さんにとって、技術的なスキルはもちろん重要だが、それだけでなく、企業倫理、社会に対する責任、そして法律や規制が技術開発にどう影響するかといった幅広い視点を持つことが不可欠だ。皆さんが開発するシステムが、ユーザーのプライバシーとデータをいかに安全に守り、信頼を構築していくか。今回の任命は、その難しさと重要性を改めて浮き彫りにしていると言えるだろう。