Microsoftは、疑われる違反行為が起きた何年も後に買収した企業をめぐる、960万ドルのプライバシー問題を引き継ぐことになった。
ノルウェーのデータ保護当局Datatilsynetは、Microsoftの広告技術子会社Xandrに対し、Grindrユーザーに関連する個人情報を違法に処理したとして、9200万ノルウェークローネ（約960万ドル）の罰金を科した。この行為は2018年7月から2020年4月にかけて行われたもので、MicrosoftがXandrを買収した2022年より前のことだった。
この決定は、ユーザーが目にすることの少ないデジタル広告の一側面を浮き彫りにしている。広告主が広告枠の獲得を競うのを支援するため、ユーザーに関する情報を処理する仲介業者の存在だ。また、買収前に行われたプライバシー侵害が、元の行為に関与していなかった新たな所有者にとっても、後に問題になり得ることを示している。
ノルウェー、Xandrが同意なくGrindrユーザーデータを処理したと指摘
規制当局が科した過去最大の罰金とされる今回の処分で、MicrosoftのXandrは9200万ノルウェークローネ（約960万ドル）の支払いを命じられた。当局によると、この広告技術企業は、広告主による広告枠の売買を支援するシステムを通じてデータを処理していた。
GrindrはLGBTQ+向けの出会い系アプリであるため、ユーザーに関連する情報から性的指向が明らかになる可能性がある。性的指向は、欧州の一般データ保護規則（GDPR）でセンシティブな個人データに分類されている。
BleepingComputerが当局の発表を引用して報じたところによると、規制当局は、XandrがGrindrによって必要な同意が取得済みだと考えていた一方で、それを確認せず、自社による処理の有効な法的根拠も確立していなかったと認定した。
この罰金により、オーストリアの非営利プライバシー権擁護団体Noybが2020年1月にXandrに対して申し立てを行ってから6年以上に及んだ事案に決着がついた。ただし同社には、異議を申し立てるための3週間の期限がある。
Xandrにとどまらない今回の罰金の意味
この事案は、デジタル広告の目立たない一面を浮き彫りにしている。広告主による広告枠の売買を支援するため、舞台裏で個人情報を処理する企業の存在だ。
ユーザーは、あるプラットフォームと情報を共有していても、自分の活動に関連するデータを広告パートナーや他の仲介業者も受け取ったり処理したりする可能性に気づかないことがある。
この責任があるため、規制当局はデータ共有チェーン全体の企業に、それぞれの役割について責任を問うようになっている。GrindrユーザーデータをめぐるMicrosoftのXandrへの罰金は、ユーザーが直接利用するアプリに責任追及をとどめず、広告技術プロバイダーにまで及び得ることを示す一例だ。
この事案は孤立したものではない。たとえばHims & Hersも、センシティブな健康情報の取り扱いをめぐって scrutinyを受けており、本人が決して同意していない方法で人々に関するデータを収集・利用する際に生じるプライバシーリスクを浮き彫りにしている。
Xandrの事案とは状況が異なるものの、今回のXandrの決定は、他社が収集したデータに依存する広告技術プロバイダーが負う規制上のリスクを示している。特に、その情報からユーザーに関するセンシティブな詳細が明らかになる可能性がある場合はなおさらだ。
このエコシステムで事業を展開する企業にとって、今回の事案は、個人情報を処理する前に同意を確認し、自社の責任を理解しておくことの重要性を改めて示している。
自分が共有したデータは、必ずしもそのプラットフォーム内にとどまらない
プラットフォームに個人情報を共有すると、そのサービス内にとどまり、登録時に想定した目的で使われると考えるかもしれない。しかし、デジタルサービスは広告、分析などの機能を第三者企業に依存することが多い。つまり、1つのプラットフォームに提供した情報が、複数の他社に渡されることがある。
そのため、1つのサービスとの単純なやり取りから始まった行為が、想像以上に広い企業ネットワークにデータをさらすことになり得る。
関係する情報から生活上のセンシティブな詳細が明らかになる可能性がある場合、問題はさらに深刻になる。ユーザーはこうした移転をほとんど把握できないことがあり、誰が自分の情報にアクセスできるのか、またどのように使われているのかを知るのが難しくなる。
この事案は、プライバシーコンプライアンス上の義務が、ユーザーが直接利用するプラットフォームだけに及ぶものではないことも示している。広告仲介業者には個人情報を扱う際の固有の責任があり、他社の同意取得慣行に依存するだけでは、規制当局を納得させるのに十分でない可能性がある。
Microsoft傘下のXandrにとって当面の問題は、この決定に異議を申し立てるかどうかだ。広告業界全体にとって今回の判断は、明確な法的根拠を確立せずにセンシティブな情報を処理するリスクを改めて示している。
パッチ公開からわずか2日後に、 重大なSonicWall SMA1000の脆弱性を標的にした135件の悪用試行をセキュリティ研究者が検知した。