ノルウェー、MicrosoftのXandrにGrindrデータ中継で記録的860万ユーロの制裁金

ノルウェーデータ保護庁は、AT&TがAppNexusから構築し後にMicrosoftが所有した広告技術部門Xandrに対し、Grindrユーザーの機微データを広告主に違法に中継したとして860万ユーロ（962万ドル）の制裁金を科した。違反は2018年7月から2020年4月に及び、同庁はこの侵害を「非常に重大」と評し、これまで発した中で最大の行政制裁金に値するとした。金額はMicrosoftによる買収前のこの2年間におけるXandrの年間総売上高に基づいて算定された。Xandrには不服申立ての期限が3週間あり、Microsoftは決定を検討中だと述べた。

仕組みはリアルタイム入札だった。ある人がGrindrを開くと、その個人データは多くの場合Xandrを通じて潜在的に数千の主体に中継され、広告主はユーザーに見えない形でターゲット広告の表示に入札した。データには性的指向を明らかにするシグナルが含まれ、これは欧州のプライバシー法上の特別カテゴリー情報である。同庁はXandrがGrindrとの共同管理者であると認定し、ユーザーの同意取得に責任があるとした。しかしXandrは自らの処理について法的根拠を確保する代わりにGrindrを指し、出会い系アプリが同意を取得済みだと想定していたと述べた。

本件は2020年、ノルウェー消費者評議会とオーストリアのプライバシー非営利団体noybによる申立てから始まり、Xandrが明示的な同意なくノルウェーユーザーの個人データを違法に共有したと主張した。Xandrの企業としての存続はその後解消された。AT&Tは2018年6月にAppNexusを買収して同社を設立し、2021年12月下旬にMicrosoftへ売却、ブランドは2023年6月にMicrosoft Adsへ統合された。しかし責任は処理を行った事業体に帰属した。この決定は、GrindrがHIVステータスを含むユーザーデータ共有をめぐる英国の訴訟で和解するため2600万ポンドを支払った1か月後に下された。

860万ユーロ（962万ドル）。ノルウェーデータ保護庁の史上最大の制裁金で、2018～2020年のXandrの売上高に基づき算定された。不服申立ての期限は3週間。

共同管理者として、Xandrは処理について自らの法的根拠を必要とし、Grindrがユーザーの同意を得たと単純に想定することはできなかった。

リアルタイム入札は、Grindrアプリが開かれるたびに潜在的に数千の入札者へ中継した。ユーザーには見えず、一度送信されれば制御できない。

データはGDPR上の特別カテゴリー情報である性的指向を明らかにしたため、同庁は通常の制裁金ではなく記録的な制裁金を設定した。

制裁金はMicrosoftの所有前である違反期間中のXandrの売上高に基づき算定されたため、制裁は現在の所有者ではなく行為に追随した。

仲介者であることは盾にならない。共同管理者に該当する者は、他者が収集したデータであっても同意の問題を負う。

Xandrには決定に対する不服申立ての期限が3週間あり、Microsoftは決定を検討し選択肢を評価していると述べている。noybはこの制裁金を「オンライン広告および商業的監視業界への重大な打撃」と呼んだ。この決定は、Grindr自身のデータ慣行が2021年にノルウェー最大のプライバシー制裁金を招いたときに始まった循環を完成させる。アクセスを購入し再販した広告技術仲介者も今や制裁金を科された。