ノルウェーのデータ保護機関（Datatilsynet）は、Microsoft傘下の広告会社Xandrに対し、960万ドル（9200万ノルウェー・クローネ）の制裁金を科しました。Xandrが同国のGrindrユーザーの機微なデータを違法に処理・共有していたことが理由です。
同機関によると、この金額は過去に科した制裁金として最大です。
Datatilsynetのライン・コル長官は「今回の違反は極めて深刻だったため、これほど高額な制裁金を科しました」と述べています。
「ノルウェーでは、数千人のユーザーが機微なデータを違法に共有される被害を受けました」
同機関の調査によると、Xandrは2018年7月から2020年4月にかけて、Grindrアプリ内でリアルタイム広告オークションを運営していました。この仕組みにより、性的指向に関する機微な情報を含むユーザーデータが、数千社に流出した可能性があります。
このオークションでは、仲介役のXandrからプロファイリング情報を受け取った広告主が、Grindrユーザーに広告を表示する権利を入札します。
当時のXandrはGrindrと共同管理者の関係にありました。つまり、データの利用方法について責任を負い、この処理についてデータ主体から明示的な同意を求め、取得しておくべき立場だったことになります。
Grindrは位置情報を利用した出会い系アプリで、主にLGBTQ+コミュニティ向けに提供されています。
ノルウェーのデータ保護当局によると、XandrはGrindrが有効な同意を得ていると想定していたものの、その確認は一切行っていませんでした。
「Xandrは、Grindrからの同意が有効かどうかを確認せず、自らの処理に法的根拠があることを担保するための措置も講じませんでした」とコル氏は述べています。
その結果、ノルウェーをはじめ各国のGrindrユーザーの機微な情報が、本人が気付かないまま、また明示的な同意を一度も与えないまま、数千社の広告主に晒されました。
2020年1月に当初の申し立てを行ったオーストリアの非営利プライバシー団体Noybは、ノルウェー消費者評議会（Forbrukerrådet）とともに、Datatilsynetの決定を歓迎しました。Noybはこの決定を「オンライン広告技術（アドテック）業界にとって大きな打撃」と評しています。
同団体によると、今回の決定は、オンライン広告と商業的監視を担う大手事業者の悪質な慣行に歯止めをかけるものです。具体的には、ウェブサイト、アプリ、プラットフォーム、OSの間で、機微なユーザーデータが無制限かつ秘密裏にやり取りされている実態を指します。
「今回の制裁金は、Xandrのような企業が、その不透明な慣行について最終的に責任を問われることを示しています」と、Noybは述べています。
「人々の関心、習慣、位置情報、行動をプロファイリングするには有効な同意が必要です。しかし、アドテック企業がそれを得ていることはほとんどありません」
現在はMicrosoft Advertisingとして事業を行うXandrには、決定に対して異議を申し立てる期間として3週間が与えられています。
BleepingComputerはノルウェー当局の決定についてMicrosoftにコメントを求めました。同社の広報担当者は、今回の調査と結果は「MicrosoftによるXandr買収より前の行為を対象としたもの」だと強調しました。
広報担当者は、その後、法的枠組みやその解釈・執行の在り方が変化したと説明しました。さらに、Microsoftは「決定内容を精査し、対応方針を検討しているところです」と述べています。
