ノルウェー、Grindrとのプライバシー違反でMicrosoft子会社Xandrに960万ドルの罰金

ノルウェーのデータ保護当局は、法的根拠なく広告主へGrindrユーザーの機微データを共有したとして、Microsoftの広告部門であるXandrに9200万クローネ（約960万ドル）の罰金を科しました。この制裁金は、同機関が過去に企業に対して課した中で最大のものとなります。

判決を下したノルウェーの当局であるDatatilsynetは、対象となったデータにはユーザーの性的指向を特定できる情報が含まれていたと主張しました。この最終決定により、ノルウェーで6年以上にわたって進行していた事件が結着を迎えました。

Grindrのデータが数千の入札者に渡った理由

本件はリアルタイム入札（RTB）に関わるもので、これはユーザーがアプリを開いた瞬間に広告枠をミリ秒単位で売却するプロセスです。Datatilsynetによると、個人がノルウェーでGrindrアプリを起動すると、その個人データはXandrを経由して送信され、広告業界における数千の企業や法人に共有される可能性があります。これらの企業はその後、そのユーザーに対してターゲティング広告を提供するために競合しました。

Grindrはゲイ、バイセクシャル、トランスジェンダー、およびクィアなユーザーを対象としているため、規制当局はアプリの使用履歴だけでも個人の性的指向が明らかになると判断しました。欧州のデータ保護規則では、これは明示的な同意なくして処理できない機微データ（センシティブデータ）と見なされます。

ノルウェーの当局はXandrが必要な同意を取得しなかったと認定しました。また、同社は単なる仲介業者として行動するのではなく、Grindrと共にデータ処理に対する責任を共有していると判断しました。データ共有からXandrが直接得た金銭的利得も、罰金の規模を評価する際の重要な要素となりました。

アプリ側の責任追及は認められなかった

Xandrは、Grindrがすでにユーザーから有効な同意を取得していると想定していたと主張しましたが、この論理は規制当局によって却下されました。

「データ保護の責任は他者に委譲することはできません」と、Datatilsynet（ノルウェー個人情報保護局）の局長であるLine Coll氏は、Tech Xploreによって引用された当局の声明で述べています。同局長は、各企業が自らが取得したデータの使用方法に法的根拠があることを独立して確保し、証明できる必要があると主張しました。

Coll氏は、違反が特に深刻であると述べ、数千人のノルウェーユーザーの機密個人データが違法に共有されていたと指摘した。PPC Landの報道によると、このデータ共有はMicrosoftが当時AppNexusとして知られていた事業を買収する前の2018年7月から2020年4月にかけて行われた。Xandrは今後3週間以内に控訴でこの決定に異議を唱えることができる。

ノルウェーの決定は、2026年初頭にフランスで行われた類似のケースに続くものである。その事件では、Conseil d’Etatがリターゲティング企業のCriteoに対する4,000万ユーロの罰金刑を支持し、同意収集についてパートナーウェブサイトが責任を負うべきだという同社の主張を退けた。これらの2つの決定は、企業がデータ保護に対して依然として責任を負っており、ユーザーの同意収集にパートナーに依存することはできないことを明確にしている。

2020から始まったノルウェーでの苦情

この苦情は、Grindrのデータ共有慣行について、ノルウェー消費者評議会およびプライバシー団体noybによって2020年に提出された。それは同年に提出された3件の苦情の一つであり、アプリのユーザーデータの取り扱いとそれを受領するアドテック企業を対象としていた。

noybのデータ保護弁護士であるFelix Mikolasch氏は、この判決が広告技術企業であるXandrなど、その活動が一般にはほとんど見られず注目されていない企業に対して、より大きな説明責任を課す可能性があると述べ、この決定をグループからの声明の中で、類似の事例にとって重要な先例であると評しました。

ノルウェー消費者協議会のデジタル政策責任者であるフィン・ミュルスタッド氏は、この決定がユーザー追跡に依存する企業に対する警告となるだろうと述べた。今回の判決は、Grindrがノルウェーで同様の罰金処分を受けた後のことである。2025年、同国の裁判所は、アプリがユーザーの機密個人情報を違法に共有したとして科された6,500万クローネの罰金を支持した。

この罰金は、GuruFocusによると約3兆9700億ドルで評価されている企業を対象としています。ただし、noybは、欧州委員会の提案する「デジタルオムニバス」がGDPRにおけるオンライン追跡IDの扱いを弱める場合、この先例が意図した効果を失う可能性があると警告しています。この提案は現在、欧州議会と欧州理事会で審議中です。

これをお読みいただいているあなたは、すでに一歩先を行っています。当社のニュースレターでその先を行ってください。