マックス・シュレムス

マックス・シュレムス
2016年のマックス・シュレムス
生まれる	マクシミリアン・シュレムス 1987年10月（37歳） ザルツブルク、オーストリア
教育	ウィーン大学法学
職業	弁護士、作家、プライバシー活動家
組織	NOYB – 欧州デジタル権利センター
知られている	プライバシー活動
Webサイト	schre.ms

マクシミリアン・シュレムス（1987年生まれ）はオーストリアの活動家、弁護士、作家であり、欧州のプライバシー法違反や、NSAのPRISMプログラムの一環として米国国家安全保障局（NSA）に個人データを転送した疑いなど、Facebookのプライバシー侵害に対するキャンペーンで知られるようになった。シュレムスはNOYB（欧州デジタル権利センター）の創設者である。

シリコンバレーのサンタクララ大学で1学期にわたり法律を学んでいたシュレムスは、フェイスブックのプライバシー弁護士、エド・パルミエリ氏がクラスでこの件について語ったことに驚き、欧州のプライバシー法に対する同社の認識不足について期末レポートを書くことを決意した。^{[1]その後、彼は欧州}個人データアクセス権規定に基づき、自分に関する同社の記録の開示を要求し、1,200ページを超えるデータが入ったCDを受け取り、個人情報を削除した上でeurope-v-facebook.orgで公開した。 彼は2011年にアイルランドのデータ保護コミッショナー（DPC）に同社に対する最初の苦情を申し立てた。2012年2月、リチャード・アランともう一人の同社幹部がウィーンに飛び、6時間にわたり彼とこれらの苦情について議論した。^{[1]フェイスブックは欧州法に基づいて監査を受け、いくつかのファイルを削除し、}顔認識ソフトウェアを無効にしなければならなかった。^[2] 2014年、シュレムスはアイルランドのデータ保護委員会で公正な手続きを受けられなかったとして、苦情を取り下げた。彼はDPCから正式な決定を受けたことはなく、Facebookから提出されたすべての意見や事件のファイルへのアクセスを拒否された。europe -v-facebook.orgで、彼は苦情を取り下げたことについて次のようにコメントした。

この決定は、アイルランドのDPCが何年もの間正式な決定を拒否し、最も基本的な手続き上の権利（ファイル、証拠、反論へのアクセス）さえ与えていないという事実に基づいている。DPCは事実上、あらゆる形態のコミュニケーションを停止し、提出されたすべての意見を無視している。多くの観察者は、これはアイルランドの政治的および経済的考慮に基づいているのではないかと推測した。」^[3]

2013年、シュレムスはFacebook Ireland Ltdに対する苦情をアイルランドのデータ保護委員会に提出した。アイルランドはFacebookのヨーロッパ本社がある国である。^{[4]この苦情は、Facebook USAが}PRISM大規模監視プログラムに関与したとされる事態を受け、Facebookがアイ​​ルランドから米国にこれ以上データを転送することを禁じることを目的としていた。シュレムスは、企業が「適切な保護」を保証できない限り、非EU諸国へのデータ転送を認めないEUデータ保護法を根拠に苦情を申し立てた。DPCは、苦情は「根拠がなく迷惑」であり、回答すべき事案がないとして却下した。^[5]シュレムスは、アイルランドDPCの不作為をめぐってアイルランド高等裁判所に司法審査を申請し、認められた。 ^[4] 2014年6月18日、ホーガン判事は、欧州連合司法裁判所（CJEU）への付託を待つ間、この事件を延期した。彼は、プライバシーに関するアイルランドの法律は事実上、欧州の法律によって先取りされており、欧州連合基本権憲章第8条（個人データの保護）のその後の発効に照らして、関連する指令を再評価すべきかどうかが中心的な問題であると述べた。 [ ^{6] [7] [8]}

欧州委員会は、執行決定2000/520/ECにおいて、EUから米国への個人情報の移転に関しては、いわゆるEU-米国セーフハーバー原則が指令95/46/EC（データ保護指令）第25条に基づく「適切な保護」を提供すると判断した。欧州委員会によるこの執行決定は、2013年のエドワード・スノーデンの暴露によって疑問視された。したがって、本質的には、シュレムスはセーフハーバー制度が、欧州連合基本権憲章に基づくプライバシー、データ保護、公正な裁判を受ける権利に対する彼の基本的な権利を侵害すると主張した。^{[9] [10] [11]}

欧州司法裁判所での口頭審理は2015年3月24日に行われた。^{[12] [13]}この事件の法務長官はイヴ・ボットであった。^[a]審理中、ボットは欧州委員会の弁護士ベルンハルト・シマに、自分のデータが米国当局の手に渡ることを心配している場合、どのようなアドバイスをすればよいか尋ねた。シマは、もしフェイスブックのアカウントを持っていたら、閉鎖することを検討するかもしれないと答えた。^[14]彼は、欧州委員会はデータ保護のための「適切な」安全策が講じられていることを保証できないと述べた。シュレムス氏は、この発言が審理で聞いた中で最も印象的だったと述べた。^{[15] [16]}

ボット氏は2015年9月23日に意見を述べた。同氏はセーフハーバー協定は無効であるとの見解を示し、EUの権利を侵害した場合、個々のデータ保護当局は第三国へのデータ移転を停止できると述べた。^{[17] [18] [19] [20]}

2015年10月6日、欧州連合司法裁判所は、(1) 既存の欧州委員会の決定（原則を遵守する米国企業はEUから米国にデータを移転できると決定した2000年のセーフハーバー決定など）にもかかわらず、各国の監督当局は依然としてEUと米国のデータ移転を調査する権限を有し、(2) セーフハーバーの枠組みは無効であるとの判決を下した。^[21]裁判所は、この枠組みが無効であると判断した理由はいくつかある。この制度は政府による保護への介入を許しており、個人が自分に関連するデータにアクセスしたり、消去または修正したりしようとする場合に法的救済策を提供しておらず、各国の監督当局が権限を行使することを妨げている。EU法では、米国を含むプライバシー基準が低いとみなされる国とのデータ共有は禁止されている。このような活動は、より費用がかかり時間のかかる方法でのみ可能となる。^[22]

2015年12月2日、シュレムスはFacebookに対する当初の苦情をアイルランドのデータ保護委員会に再提出した。彼はまた、Facebookに対する管轄権を主張するハンブルクとベルギーのデータ保護当局にも同様の苦情を送った。苦情は、Facebookに対するCJEUの判決を執行するために策定されたものであり、Facebookは現在、データ転送にセーフハーバーに依存していない。代わりに、Facebookは「モデル条項」と呼ばれる事前承認された契約上の合意に依存している。シュレムスは、これらの合意には違法な大量監視の場合の例外も組み込まれているため、CJEUの判決はこれらの合意にも適用されると主張している。 ^{[23] [24]}アイルランドのデータ保護委員会は、シュレムスが「十分に根拠のある」異議を唱えたとの見解をとったが、^[25]苦情を判断するにはCJEUからのさらなる指針が必要であるとした。

2017年2月/3月の審理の後、^[26]アイルランド高等裁判所のコステロ判事は2017年10月3日に要旨を提出し、事件をCJEUに付託した。^[27]

「プライバシーシールドオンブズマン制度の導入も、SCC決定第4条の規定も、個人データが米国に処理のために転送された後、米国の諜報機関によって個人データが不当に干渉されるEUデータ主体に与えられる保護の適切性に関してDPCが提起した根拠のある懸念を解消するものではない。」

— コステロ判事

2014年8月1日、シュレムスは地元ウィーンの裁判所にFacebookを相手取って訴訟を起こした。彼は他のFacebookユーザーが彼の訴訟に参加できるようにし、マスコミからダビデとゴリアテの訴訟と称された「集団訴訟」スタイルの訴訟を生み出した。これはヨーロッパでこれまでに起こされた集団プライバシー訴訟の中で最大規模になる可能性が高いと推定されている。Facebookユーザーは誰でもfbclaim.comのウェブページからシュレムスに権利を譲渡することができた。6日以内に、登録者が多すぎたため、訴訟への参加は25,000人のFacebookユーザーに制限されたが、他のユーザーは依然として関心を表明できた。^[28]シュレムスは、参加者1人あたり500ユーロの「象徴的な金額」の損害賠償を求めて、ウィーンの裁判所でFacebookのアイルランド子会社を訴えた。 ^[29]この訴訟はドイツの訴訟資金提供者であるROLAND ProzessFinanz  [de]によって資金提供された。^[30] fbclaim.comの規約によると、裁定されたすべての金銭は個々の参加者に送金される。シュレムスは集団訴訟から金銭的利益を受け取らず、無償で活動している。 [ ^31]

最初の審理は2015年4月9日に行われた。^[32] 2015年7月1日、ウィーン地方裁判所は、管轄権がないとして集団訴訟を却下した。裁判所の決定は、シュレムスが単にフェイスブックの消費者であるかどうかにかかっていた。なぜなら、その根拠があったからこそ、シュレムスは居住地のオーストリアの民事裁判所で訴訟を起こすことができたからだ。フェイスブックは、シュレムスがフェイスブックに対する数々の訴訟で商業的利益を持っていると非難した。マルゴット・スルンスキー＝ヨスト裁判官は、シュレムスは彼の将来のキャリアに対するメディアの多大な関心から利益を得ることができると述べた。裁判所は、手続き上の理由でシュレムスは消費者としての資格を満たさず、ウィーンの自宅のある裁判所に訴訟を起こすことはできないとの判決を下した。

2015年10月、ウィーン高等裁判所は地方裁判所の判決を覆し、シュレムスは消費者であり、商業上の利益のために行動していないと判断した。高等裁判所は、シュレムスはウィーンでフェイスブック・アイルランドに対して独自の請求を提起できるが、訴訟の22の請求のうち20を占めるが、手続き上の理由から集団訴​​訟を起こすことはできないとの判決を下した。これにより、シュレムスは「モデルケース」のみを提起することしかできなかった。^[33]オーバーラント裁判所は、 EU法とオーストリア法の下で集団訴訟を起こすという重要な問題に関して、オーストリア最高裁判所への上訴を認めた。 ^[34]シュレムスは2015年11月2日に控訴した。ウィーン高等地方裁判所が民事地方裁判所の判決を確定させ、フェイスブックから500ユーロの象徴的な判決を受け取ったという意味でシュレムスは戦いに勝ったが、シュレムスの言葉を借りれば、地方裁判所は「この事件が提起する多くの問題を実際には扱っていない」ため、戦いは続いている。具体的には、この件でフェイスブックがデータ保護規則に違反したと認定しながらも、データ保護規則に基づくデータ処理義務の限界を定義するために強制契約を使用できるというフェイスブックの主張に反する判決は下さなかった。2020年12月現在、シュレムスはこの問題をオーストリア最高裁判所に付託しており、決定的な判決を得るために欧州司法裁判所に持ち込むことを望んでいる。^[35]

2018年5月25日に施行された直後、シュレムスはアイルランドで新たに公布された一般データ保護規則（GDPR）に基づき、GoogleとFacebookがユーザーにデータ収集ポリシーの受け入れを強制したとして訴訟を起こした。総額39億ユーロを超える3件の苦情が申し立てられた。^[36]

2019年1月18日、シュレムスはアマゾン、アップルミュージック、DAZN、Filmmit、Netflix、SoundCloud、Spotify、YouTubeに対してさらなるGDPR苦情を申し立てた。^{[37] [38]}彼の非営利団体noyb.euは、これらの企業が回答しなかった、十分な背景情報を提供しなかった、または不十分または理解できない生データを提供したと主張した。^[39] noybは8社に対して最大で188億ユーロの罰金を科すと予測した。

Schrems Iの判決を受けて、アイルランド高等裁判所は、この事件（現在はデータ保護コミッショナー対Facebook Irelandおよびマクシミリアン・シュレムスと呼ばれている）を、SCC ^[40]（標準契約条項）の有効性に関連する11の質問とともに、正式にCJEUに付託した。 ^[41]判決は2020年7月16日に言い渡された。^[42]

「欧州司法裁判所は、プライバシーシールドは適切な保護を提供していないと裁定し、合意を無効とした。また、欧州のデータ保護当局は、Facebook のような過度に広範な監視の対象となる企業が標準契約条項に基づいて行う個人データの転送を停止しなければならないと裁定した。この判決は、米国におけるプライバシー保護の適切性に疑問を投げかけるものであり、米国企業と米国議会にとって重大な意味を持つ。」

—  epic.org プレスリリース^[43]

「これは司法裁判所によるプライバシー権に関するもう一つの画期的な判決であり、米国が監視法を改正しなければ世界の技術リーダーとしての地位を失う危険があるという明確なシグナルだ。議会は米国の法律を国際人権基準に合わせるために迅速に行動すべきだ。」

—  EPIC暫定事務局長兼最高顧問アラン・バトラー氏は判決に対して次のように述べた^[44]

2020年9月、アイルランドのデータ保護委員会はFacebookに対し、EU市民から米国へのデータ転送を停止するよう仮命令を出した。条件が満たされない場合は年間売上高の4％の罰金が科せられる。^[45] Facebookのブログは2020年9月9日、グローバル業務およびコミュニケーション担当副社長のニック・クレッグによる返答書を公開した。 ^[46]クレッグは、データ転送に関する法律は変化しているが、関係者全員にとってより法的な明確さが必要であることを認め、プライバシーシールドの改訂を提唱した。さらに、返答では、EUと米国間のデータ転送に適用され裁判所が無効としたプライバシーシールドと、EUと第三国に適用され裁判所が依然として有効としているSCCとの間に矛盾があるように見えると指摘した。

「安全で、確実で、合法的な国際データ転送が欠如すると、COVID-19からの回復を目指すEUの経済にダメージを与え、データ駆動型ビジネスの成長を妨げることになる。その影響は、複数のセクターにわたる大小の企業に及ぶだろう。最悪のシナリオでは、ドイツの小さな技術系スタートアップ企業が米国を拠点とするクラウドプロバイダーを利用できなくなる可能性がある。スペインの製品開発会社は、複数のタイムゾーンにまたがる業務を運営できなくなる可能性がある。フランスの小売業者は、モロッコにコールセンターを維持できなくなるかもしれない。」

[...]

「EUは、ユーザーを保護し、権限を与えるデータ保護の枠組みの構築を先導してきました。プライバシーのルールは今後も進化を続け、グローバルルールは、データがどこに保存されていても一貫した取り扱いを保証することができます。そのため、Facebookは、EUと米国の立法者の間ですでに行われている「強化された」EU-米国フレームワーク、つまりプライバシーシールドプラスの可能性を評価する取り組みを歓迎します。これらの取り組みでは、EU加盟国と米国はどちらも民主主義国家であり、共通の価値観と法の支配を共有し、文化的、社会的、商業的に深く結びついており、非常に類似したデータ監視の権限と慣行を持っていることを認識する必要があります。」

— ニック・クレッグ

2021年3月、大西洋を越えた諜報機関と監視に対する潜在的な影響が再び浮上した。国家安全保障と加盟国の権利を引用し、欧州の諜報機関を裁判所の管轄外に留めようとする新たな取り組みが形成された。フランスが主導するEU加盟国政府は、審議中のeプライバシー規則に国家安全保障の免除を挿入し、米国などの第三国を除外することを目指している^[47]

2021年5月、アイルランド高等裁判所は、DPCの予備的決定草案（PDD）の差し止めを求める司法審査手続き（Facebook Ireland Limitedが提起）を却下した。^[48] Facebookは、手続き上の欠陥、他のデータ処理業者と比較してFacebookを不当に標的にしていること、手続きに関するFacebookの質問に裁判所が答えなかったことなど、いくつかの苦情を主張した。デイビッド・バルニヴィル判事はFacebookの各主張を却下し、DPCの手続きは合法であると判断したが、手続きに関するFacebookの質問には答えるべきだったと認めた。

2017年、シュレムスはNOYBを共同設立した。NOYBは、一般データ保護規則（GDPR）、提案中のeプライバシー規則、および情報プライバシー全般を支援するための戦略的な訴訟やメディアイニシアチブを立ち上げることを目指している。^{[49] [50]} 2017年以降、彼が関与した最近の訴訟の多くは、シュレムス個人ではなくNOYBによって提起されたものである。

シュレムスはドイツ語で以下の本を執筆しています。

• Kämpf um deine Daten (データのために戦う)、2014
• Private Videoüberwachung (私的ビデオ監視法)、2011 年

• 2011年：オーストリアビッグブラザー賞の自由擁護者賞。^[51]
• 2013年：米国のプライバシーNGO EPICによるEPICプライバシーチャンピオン賞^[52]
• 2013年：インターネットと社会賞（オックスフォードインターネット研究所）^[53]
• 2015: テオドール・ホイスメダル^[54]
• 2016年：EFFパイオニア賞^[55]
• 2017年：フォーブス30アンダー30ヨーロッパ - 法律と政策2017 ^[56]

注記

参考文献

ウィキメディア・コモンズのマックス・シュレムスに関連するメディア

• 公式サイト
• 翻訳
• 2015年3月24日のCJEU審理に関するメモ