headless 曰く、

欧州データ保護監察機関 (EDPS) は 10 日、データ主体がカテゴライズされていない (犯罪との関連が確立されていない) 個人情報を削除するよう 1 月 3 日に欧州刑事警察機構 (Europol) へ命じていたことを発表した (プレスリリース、 The Guardian の記事、 The Verge の記事、 BetaNews の記事)。

EDPS はこの問題を 2019 年から調査しており、2020 年 9 月にはデータ主体がカテゴライズされていない大量のデータを保持し続けることは個人の基本的権利を侵害することになると Europol に勧告していた。Europol は一定の対策を講じたものの、EDPS が求めたデータの選別と個人情報抽出に必要なデータ保持期間の設定は行わなかったという。

Europol の規則はデータの最小化と保存の制限を定めており、Europol がデータを必要以上に長期間保存していることになる。そのため、EDPS が選別・抽出前のデータ保持期間を 6 か月と定め、データ主体のカテゴライズが行われないまま 6 か月以上経過したデータを消去するよう命じた。Europol には命令を順守するための猶予が 12 か月間与えられる。なお、The Guardian によれば、Europol のキャッシュには少なくとも 4 PB のデータが保存されているとのことだ。