ノルウェーのプライバシー規制当局Datatilsynetは、広告テクノロジー企業のXandrに対し、Grindrユーザーの機微な情報を違法に処理・共有したとして、9200万ノルウェークローネ（約960万ドル）の制裁金を科しました。
決定の対象はノルウェーのユーザーですが、こうしたデータ共有の慣行はノルウェー国内にとどまっていませんでした。BleepingComputerの報道によると、他国のGrindrユーザーの情報も、この広告システムを通じて流出していました。
Xandrは2018年7月から2020年4月にかけて、Grindrユーザーを対象としたリアルタイム広告オークションを扱っていました。この自動化されたオークションでは、広告主が広告の表示枠に入札します。その過程では、広告を目にする人物に関する情報も流通していました。性的指向を示唆する機微な情報が、数千社に届いていた可能性があります。
重要なのは、ユーザーがプロフィールで性的指向を明かす必要はなかったという点です。Datatilsynetは、Grindrのユーザーであると特定されること自体が、性的指向を示す情報にあたると指摘しています。
規制当局によると、XandrはGrindrが同意を取得していると信頼し、その同意が有効かどうかを確認していませんでした。Xandrは処理に共同で責任を負う企業として、自社の義務も負っていました。アプリ側が必要な明示的同意を取得したと単に想定するだけでは、十分ではありませんでした。
これは、ハッカーがマッチングアプリに侵入した事件ではありません。有効な法的根拠のないまま、広告ビジネスを通じて情報が流れていたのです。ノルウェー消費者評議会と協力して苦情を申し立てたプライバシー団体noybは、こうした仕組みがトラッキング用の識別子を使い、人々の関心事や習慣、行動のプロファイルを作成していると説明しています。
XandrはいまやMicrosoft傘下にありますが、問題となった不正行為は買収前のものです。MicrosoftがAT&TからXandrの買収を完了したのは2022年6月6日で、制裁金の対象期間から2年以上が経過していました。MicrosoftはBleepingComputerに対し、決定内容を精査し、対応策を検討していると述べています。
プライバシーを守るには
今回はノルウェーでの執行措置ですが、データ共有の慣行は国境を越えていました。米国などのユーザーも、制裁金がノルウェーで科されたからといって、自分の情報が守られていたと考えるべきではありません。
マッチングアプリには、利用に必要な情報だけを提供することで、余分な情報の開示を抑えられます。
- 個人的すぎると感じる任意のプロフィール項目は、空欄のままにする
- 勤務先や自宅の住所、普段のスケジュールなど、居場所を特定されやすい情報は公開しない
- 位置情報の許可と広告設定を見直し、可能な範囲で制限する
- 身元がより詳しくわかるSNSアカウントとの連携は、慎重に検討する
- 会社支給の端末ではマッチングアプリを使わない
こうした対策でプライバシーを保証できるわけではありません。違法な共有の責任は、関与した企業にあります。今回の事例は、プロフィールに書いた内容だけでなく、サービスを利用すること自体から機微な情報が生まれ得ることを示しています。
詐欺師は、あなたをハッキングする必要はありません。一度クリックさせるだけで十分です。
Malwarebytes Identity Theft Protectionは、不審な動きが問題になる前に検知します。
