Grindrは、2020年以前にユーザーの個人データを違法に処理し、プライベートな情報を悪用したとする英国の集団訴訟について、2600万ポンド(3520万ドル)を支払うことで和解に合意しました。
この和解は9月2日に成立し、2日後には米証券取引委員会(SEC)への提出書類で投資家に開示されました。
このLGBTQ向けデート・アプリを運営するGrindrによると、今回の申し立てが対象とするのは、同社が中国のコングロマリット、Kunlunによって所有・支配されていた時期の過去のデータ取り扱いに関するものだといいます。
今回の合意には責任を認める内容や認定は含まれておらず、Grindrは引き続き申し立ての内容を争う姿勢です。同社は2026年12月31日までに1300万ポンド(1760万ドル)を、さらに2027年3月31日までに1300万ポンドを支払う予定です。
英国での申し立ての中心にあった機密データ
法律事務所Austen Haysは2024年4月22日、イングランド・ウェールズ高等法院に申し立てを行い、Grindrが十分な同意を得ないまま機密性の高い個人データを第三者と共有していたと主張しました。Grindrによると、同社が訴訟手続きの通知を受けたのは2025年4月だといいます。
Austen Haysによると、今回の申し立てはHIV感染状況、最終検査日、PrEP(曝露前予防投薬)の服用有無を対象としており、民族性や性生活・性的指向に関するデータについても共有されていた可能性があるといいます。同社によると、この訴訟は2016年から2020年にかけての同アプリ無料版のユーザーに関するものだといいます。
Grindrは2018年、HIVに関するデータを2社のアナリティクス事業者、ApptimizeとLocalyticsに共有していたことを公表しており、ノルウェーの研究者らがこの取り扱いを明るみに出したことを受けて中止したと説明していました。
健康状態、性生活、性的指向はいずれも英国のデータ保護法の下で特別な保護を受ける区分であり、これらの違法なデータ共有は規制上・民事上のリスクが最も高いカテゴリーに位置づけられています。
データプライバシー関連の関連記事: FBI、運転免許証1億5300万件の侵害の可能性を捜査
Grindrの提出書類では、2020年以前の期間について一部の英国ユーザーが表明した苦痛や信頼喪失についても言及していますが、申し立ての内容自体については引き続き争う姿勢を崩していません。
和解により過去のプライバシー関連の申し立てに区切り
今回の訴訟は2件の申し立てで構成されていました。Austen Haysによると、対象となるのは約12,000人で、和解金を均等に分配した場合、申立人1人当たり平均でおよそ2167ポンド(2928ドル)となる計算ですが、実際の分配方法はまだ確定していません。
同社によると、Grindrは2020年に新たなオーナーに売却され、それ以降プライバシー保護プログラムを全面的に見直してきたといい、透明性とユーザーによるコントロールを重視する安全な空間を目指していると説明しています。
他の規制当局もGrindrによる違法なデータ取り扱いを認定しています。ノルウェーのデータ保護当局は2021年、法的根拠のないまま行動ターゲティング広告のためにユーザーデータを共有していたとしてGrindrに650万ユーロ(7549ドル)の制裁金を科しており、この制裁金は2024年にGrindrがオスロ地方裁判所での不服申し立てに敗訴したことで維持されています。
英国情報コミッショナー事務局(ICO)は2022年7月、英国ユーザーに対して実効性があり透明性のあるプライバシー情報を提供していなかったとして、同社を譴責処分としました。
画像提供: Mehaniq / Shutterstock.com
翻訳元: https://www.infosecurity-magazine.com/news/grindr-settles-uk-data-privacy/
