スマートフォンで「写真へのアクセスを許可しますか」と聞かれ、深く考えずに許可を押した経験はないでしょうか。イタリアの個人データ保護当局は2026年11月14日、FacebookのAndroidアプリによる写真や動画へのアクセスをめぐり、Meta Platforms Ireland Limitedへ8億500万ユーロの制裁金を科しました。

争点には、写真を見る技術的な権限に加えて、もう一段あります。その権限を、Facebook閲覧中に端末内の写真を投稿候補として示す機能にも使うと、利用者へ具体的に説明していたか。スマホの小さな「許可」ボタンに、どこまでの了承を詰め込めるのかが問われたのです。

FILE - A car passes Facebook's new Meta logo on a sign at the company headquarters on Oct. 28, 2021, in Menlo Park, Calif. (AP Photo/Tony Avelar, File)
Meta fined $887 million in Italy over Android gallery photos and videos on Facebook

ROME (AP) — Italy announced an €805 million ($887 million) fine against Meta on Saturday for using photos and videos from Android users’ galleries on Facebook without specific consent or adequate disclosure.

今回の登場人物 ​

  • Meta Platforms Ireland Limited: EU域内でFacebookサービスを担い、今回の制裁対象になったMetaの法人です。
  • イタリア個人データ保護当局: 個人データやスマートフォン内の情報が法令に沿って扱われているかを監督する公的機関です。今回は同意の取り方を調査し、制裁と是正を命じました。
  • Androidの写真アクセス権限: アプリが端末内の写真や動画を読めるようにする、OS側の許可です。
  • ギャラリー提案機能: 端末内の写真や動画を、Facebookへ投稿する候補として表示する機能です。候補を出したあとも、投稿する操作は利用者側に残ります。
  • 目的別同意: どの機能が、何のために、どの範囲のデータを使うかを示したうえで、利用者が選ぶ同意です。
  • ePrivacy指令: 電子通信や、スマートフォンなどの端末内情報へのアクセスを扱うEU指令です。今回は、この指令を国内法化したイタリア・プライバシー法122条が判断の中心になりました。

何が起きたか ​

WRALに掲載されたAPの配信記事によると、イタリア当局はMeta Platforms Ireland Limitedへ8億500万ユーロの制裁金を科しました。対象になり得るのは、イタリア国内のAndroid利用者約2000万人です。

問題となったのは、Facebookを見ている間に、スマートフォンの写真や動画を「投稿しませんか」と候補に出す機能です。この機能は2023年から提供され、初期設定で有効だったと当局は説明しています。頼んでから出てくる候補なのか、最初から出てくる候補なのか。設定の順番は、同意を考えるうえで軽くありません。

調査は2025年7月、ボルツァーノの消費者保護センターからの申告を受けて始まりました。当局が技術面も調べたところ、写真ライブラリへの一つの権限が、必要性の異なる複数の機能に使われていたといいます。事前の表示は「ほかの機能を有効にする」といった一般的な説明で、ギャラリー提案にも使われることが十分に分からなかった、というのが当局の判断です。

APの報道時点で、Metaから直ちにコメントは得られていません。手続きの中でMetaは、イタリア当局ではなくアイルランドの当局が扱うべきだと管轄を争いました。イタリア当局は、今回のePrivacy指令を国内法化した規定には、GDPRで知られる監督機関の「ワンストップショップ」は適用されないとして退けています。

ここが本題 ​

中心問いはこうです。Androidで「写真へのアクセスを許可する」を押したら、その先のどんな機能にも写真を使ってよいと同意したことになるのか。

OSの権限画面は、アプリが写真へ技術的にアクセスできるかを決めます。目的別同意は、何の機能が、何のために、どの範囲を使うのかを利用者が理解して選んだかを確かめます。同じ「許可」の話でも、担当している仕事が違うのです。

たとえるなら、OS権限は建物へ入るための合鍵です。鍵を渡しただけで、あらゆる訪問目的への了承まで成立するわけではありません。荷物を届けに来るのか、修理に来るのかで、こちらが判断する材料は変わります。写真へのアクセスも同じで、使い道が増えれば説明すべき中身も増えます。鍵だけ見て話を終えると、用途がすっぽり抜け落ちます。

一つの権限、複数の目的 ​

当局が問題視した仕組みでは、一度与えたギャラリーへの権限を、アプリ内の複数機能が利用できました。全写真への許可を選んだ場合、アプリは写真アーカイブ全体を通常は継続的に読み取り得る状態だったとされています。

「読み取り得る」と書くのには理由があります。当局は、利用者も当局も、実際にどの情報が使われたのかを検証できない点を問題にしました。公開資料から、約2000万人全員の写真が実際に読まれたとは言えません。誰の何枚の写真が処理されたかも、端末の外へどこまで送られたかも確認できていません。

それでも、端末内の情報へアクセスする時点で、自由で、内容を理解した同意が必要だと当局は判断しました。情報の外部送信や具体的な損害が確認されるまで、同意の点検を待つ必要はないという整理です。問われたのは、玄関を開けたあとに何か盗まれたかだけでなく、そもそも何の説明で中へ入ったのかです。もちろん、Metaによる窃盗が認定された事案ではありません。

Androidには、利用者が選んだ写真や動画だけをアプリへ渡す「Photo Picker」という仕組みがあります。Android 14では、アプリへ見せる写真を選ぶ部分アクセスも用意されています。アルバムを丸ごと開けず、必要な写真だけを手渡す設計もできます。

ただし、こうした技術が存在しても、Metaに特定の仕組みを使う法的義務があったことまでは示しません。今回の当局発表が問うたのは、広い権限を複数の目的に使うとき、その目的が利用者へ具体的に伝わり、選べる状態だったかです。

初期設定の重み ​

ギャラリー提案機能が初期設定で有効だった点も、当局は重く見ました。機能の初期設定とOSの写真権限は、分けて考える必要があります。最初からオンだったのは機能の側で、Androidが写真への権限まで勝手に与えたことを示す資料はありません。

利用者が以前、別の機能を使うために写真権限を許可していたとします。新しい提案機能が初期状態でオンなら、その権限が別の目的にも使われる可能性があります。利用者の側では、「前に写真を選んだときの許可」と「閲覧中に端末の写真を候補表示する機能」が頭の中でつながらないかもしれません。

アプリを作る側には便利な設計でも、説明が大ざっぱだと、利用者の理解だけが置いていかれます。「写真を使います」の一言は短くて、画面への収まりもいい。けれど、どの場面で何に使うかまで削ると、同意の中身も薄くなります。画面が小さいから説明も小盛りでいい、とはならないんですね。

認定されていないこと ​

プライバシーのニュースは、不安が大きいぶん、確認されていない話まで一気につながりがちです。今回は境界線を三本引いておきます。

一つ目は、アクセスと公開の違いです。当局が問題にしたのは、端末内の写真や動画、関連するメタデータへアクセスし、投稿候補を示す機能です。利用者の写真をFacebookへ勝手に公開したという認定はありません。

二つ目は、アクセスと外部送信の違いです。公開資料からは、各写真が端末内だけで処理された範囲と、サーバーへ送られた範囲を確認できません。分からない部分を「全部送られた」に変えると、記事のほうが権限を使いすぎます。

三つ目は、AI学習です。イタリア当局は、今回の調査はAI学習への利用を対象にしていないと明記しています。MetaもAI学習への利用を否定しました。2026年に導入されたクラウド処理型の別のギャラリー機能については、当局が別途検討するとしています。似た単語が並んでいても、同じ調査として束ねないことが大切です。

制裁が求めた変更 ​

当局はMetaに対し、60日以内にギャラリー提案機能について分離した具体的な同意を求めること、目的やアクセス範囲、無効にする方法を明確に説明することを命じました。過去に写真権限を与えた利用者についても、この機能を初期状態で無効にしておくよう求めています。

さらに、30日以内に実施予定を報告し、90日以内に講じた措置を報告する必要があります。制裁金の8億500万ユーロは、Metaグループの世界売上高の約0.47％に当たると当局は説明しています。巨額ではありますが、利用者一人ひとりへ支払われる損害賠償ではなく、行政上の制裁金です。

金額だけを見ると、ニュースの看板はかなり大きい。けれど、実際にアプリの使い方を変えるのは是正命令のほうです。目的ごとに説明し、選ばせ、最初からオンにしない。この三つが、同意を「一度押した万能券」から具体的な選択へ戻します。

日本ではどう読むか ​

今回の処分はイタリア当局がイタリア法に基づいて出したものです。日本の同じような機能が、そのまま同じ結論になるとは言えません。日本の個人情報保護法では、利用目的をできる限り具体的に特定し、その範囲を超えて扱う場合など、法令上同意が必要な場面では、本人が判断できる情報を示して同意を得る考え方があります。ただし、制度も事案も分けて見る必要があります。

それでも、日本のスマートフォン利用者に身近な問いは残ります。写真権限を許可するとき、全写真を見せるのか、選んだ写真だけにするのか。アプリ内でどの機能がオンなのか。後から無効にできるのか。この三つを別々に確認すると、「許可した覚えはあるけれど、こんな使い方だとは思わなかった」を減らせます。

アプリを作る側にも宿題があります。広い権限を一度取れたとしても、後から加わる機能の目的まで説明済みにはなりません。機能ごとに必要な範囲を考え、利用者が選び直せるようにする。許可画面を通過点だけにせず、説明の場として設計する必要があります。

写真フォルダは、買い物メモから家族の記録まで、いろいろな生活が一つの箱に入る場所です。だから権限の名前が同じでも、使う目的まで同じとは限りません。今回の制裁は、その当たり前をアプリの画面と仕組みに戻すよう求めたものだと読めます。

まとめ ​

スマートフォンで写真へのアクセスを許可する操作は、アプリが写真を読めるようにする技術的な許可です。イタリア当局は、それだけではギャラリー提案という具体的な目的まで理解して同意したことにならず、機能ごとの説明と選択が必要だと判断しました。アクセスできるかに加え、何のために使うのかまで示す。それが今回の中心です。

Sources ​