Microsoftは、買収の数年前に起きたとされる違反行為によって、960万ドルのプライバシー問題を引き継ぐことになりました。
ノルウェーのデータ保護当局Datatilsynetは、Microsoftの広告テクノロジー子会社Xandrに対し、Grindrユーザーに関する個人情報を違法に処理したとして、9,200万ノルウェークローネ（約960万ドル）の制裁金を科しました。問題の行為は2018年7月から2020年4月にかけて行われたもので、MicrosoftがXandrを買収した2022年より前のことです。
この決定は、ユーザーの目に触れることの少ないデジタル広告の一側面に光を当てています。広告主が広告枠を獲得できるよう、ユーザーの情報を処理する仲介事業者の存在です。また、買収前に発生したプライバシー違反が、たとえ新たな所有者に責任がない場合でも、後に所有者となった企業の問題になり得ることも示しています。
XandrはGrindrユーザーのデータを同意なく処理したとノルウェー当局が指摘
同当局として過去最大とされる制裁金で、MicrosoftのXandrには9,200万NOK（約960万ドル）の支払いが命じられました。当局によると、この広告テクノロジー企業は、広告主が広告枠を売買するためのシステムを通じてデータを処理していました。
GrindrはLGBTQ+向けのデート・アプリであるため、ユーザーに関連する情報から性的指向が明らかになる可能性があります。性的指向は、EUの一般データ保護規則（GDPR）で機微な個人データに分類されています。
BleepingComputerは同当局の発表を引用し、Xandrは必要な同意をGrindrが取得済みだと想定していたものの、それを確認せず、自社の処理に関する有効な法的根拠も確立していなかったと規制当局が判断したと伝えています。
この制裁金により、6年以上にわたった本件は決着します。2020年1月にオーストリアの非営利プライバシー権利団体Noybが、Xandrに対する申し立てを行っていました。ただし、同社には3週間の不服申し立て期間があります。
Xandrにとどまらない制裁金の意味
本件は、デジタル広告のあまり目立たない側面を浮き彫りにしています。広告主が広告枠を売買できるよう、水面下で個人情報を処理している企業の存在です。
ユーザーは、ある1つのプラットフォームに情報を共有しているつもりでも、広告パートナーなどの仲介事業者が、自分の行動に関連するデータを受け取ったり処理したりする可能性があることに気づいていない場合があります。
こうした責任があるからこそ、規制当局はデータ共有の連鎖に連なる企業に対し、それぞれの役割に応じた責任をますます厳しく問うようになっています。MicrosoftのXandrに対するGrindrユーザーデータをめぐる制裁金は、その責任がユーザーが直接利用するアプリにとどまらず、広告テクノロジー事業者にまで及ぶことを示す一例です。
本件は例外ではありません。たとえばHims & Hersは、機微な健康情報の取り扱いをめぐって厳しい目を向けられました。企業が本人の同意しない形で個人データを収集・利用した場合に生じるプライバシーリスクを示す事例です。
状況はXandrのケースとは異なりますが、他社が収集したデータに依存する広告テクノロジー事業者にとって、特にユーザーの機微な情報が明らかになり得る場合には、規制上のリスクがあることをXandrへの決定は示しています。
このエコシステムで事業を行う企業にとって、本件は、個人情報を処理する前に同意を確認し、自社の責任を理解しておくことの重要性をあらためて示しています。
プラットフォームに個人情報を提供するとき、その情報はサービス内にとどまり、登録時の目的のために使われると考えるのが一般的でしょう。しかし、デジタルサービスは広告や分析などの機能をサードパーティ企業に頼ることが多く、あるプラットフォームに提供した情報が、複数の第三者に渡る可能性があります。
つまり、1つのサービスとの何気ないやり取りが、想像以上に広範な企業ネットワークへデータをさらすことになりかねません。
その情報が生活に関する機微な事柄を明らかにし得る場合、懸念はいっそう深刻です。ユーザーはこうしたデータの受け渡しをほとんど把握できず、誰が自分の情報にアクセスし、どう使っているのかを知ることも困難です。
本件はまた、プライバシー遵守の義務が、ユーザーが直接利用するプラットフォームだけでなく、その外側にも及ぶことを示しています。広告仲介事業者にも個人情報を扱う上での独自の責任があり、他社の同意取得の運用に頼るだけでは規制当局を満足させられない可能性があります。
Microsoft傘下のXandrにとっての当面の焦点は、この決定に不服を申し立てるかどうかです。広告業界全体にとっては、法的根拠が明確でないまま機微な情報を処理するリスクをあらためて印象づける判断となりました。
その他のニュース: セキュリティ研究者は、重大なSonicWall SMA1000の脆弱性を狙った135件の悪用の試みを検知しました。パッチが公開されてからわずか2日後のことです。
