TikTokやTemuやAliExpressがEUのデータを中国に送信したとしてGDPR違反で告発される

EUのプライバシー擁護団体である「None of Your Business(noyb)」が2025年1月16日に、ヨーロッパのユーザーのデータを中国に送信することでEU一般データ保護規則(GDPR)に違反したとして、TikTok、AliExpress、SHEIN、Temu、WeChat、Xiaomiに対する異議を申した立てたことを発表しました。

TikTok, AliExpress, SHEIN & Co surrender Europeans’ data to authoritarian China
https://noyb.eu/en/tiktok-aliexpress-shein-co-surrender-europeans-data-authoritarian-china

GDPR complaints filed against TikTok, Temu for sending user data to China
https://www.bleepingcomputer.com/news/security/gdpr-complaints-filed-against-tiktok-temu-for-sending-user-data-to-china/

GDPRでは、企業はヨーロッパ人のデータをEU外に転送することができませんが、データが国家やその他の機関からのアクセスに対して厳重に保護されることなどを条件に、例外的な転送を認めています。

つまり、ヨーロッパ人のデータをEU外に持ち出すことが認められるのは、転送先の国が高い水準でプライバシーが保護される国である場合のみですが、中国企業は中国政府から命じられればあらゆるデータを提出しなければならないため、そのような保護は期待できません。

「中国が権威主義的な監視国家であることを考えると、中国がEUと同レベルのデータ保護を提供していないことは明らかです。そのような場合に、ヨーロッパ人の個人データを転送することは明らかに違法であり、直ちに停止する必要があります」と、noybのデータ保護弁護士のクレーンティ・サルデリ氏は述べました。

by Focal Foto

noybによると、AliExpress・SHEIN・TikTok・Xiaomiはプライバシーポリシーで中国にデータを転送していることを明言しているとのこと。また、TemuとWeChatは転送先を「第三国」としていますが、「両社の企業構造から判断すると、これには中国が含まれる可能性が高い」とnoybは指摘しています。

noybはTikTokら6社に対し、ヨーロッパ人ユーザーのデータの扱いについて、GDPRに基づいて情報を要求しましたが、どの企業も照会に応じませんでした。

サルデリ氏は「中国企業は、データへのアクセスを求める政府の要請に応じる以外に選択肢がありません。つまり、ヨーロッパのユーザーのデータが海外に送信されると危険にさらされるということです。関係当局は、関係者の基本的権利を保護するために迅速に行動する必要があります」と話しました。

こうした点から、noybはTikTokら6社がデータ移転に関する一般原則を定めたGDPRの第44条と、適切な保護措置に従った移転を定めた第46条に違反しているとして、ギリシャ・イタリア・ベルギー・オランダ・オーストリアの5カ国の個人情報保護当局(DPA)に対して異議を申し立てました。

DPAが異議申し立てに応じてGDPR違反を認定した場合、各企業は罰金として全世界の年間収益の最大4％を支払うよう命じられる可能性があります。これは、例えばXiaomiの場合は最大1億4700万ユーロ(約235億円)、Temuの場合は最大13億5000万ユーロ(約2160億円)の罰金に相当します。