- ノルウェーのデータ保護当局（Datatilsynet）は、MicrosoftのXandrに対し、性的指向などのシグナルを含むGrindrユーザーの機微データを、明示的な同意なしに潜在的に数千社もの広告主に共有したとして、過去最大の9200万クローネ（約960万ドル）の罰金を科しました。
- ノルウェーの規制当局は、アドテク仲介業者は、データ購入元のアプリに対して自らのプライバシー上の義務を転嫁できないと判断しました。
- Xandrはこの決定に対して異議を申し立てるために3週間を与えられています。
ノルウェーのデータ保護当局は、法的根拠なく広告主へGrindrユーザーの機微データを共有したとして、Microsoftの広告部門であるXandrに9200万クローネ（約960万ドル）の罰金を科しました。この制裁金は、同機関が過去に企業に対して課した中で最大のものとなります。
判決を下したノルウェーの当局であるDatatilsynetは、対象となったデータにはユーザーの性的指向を特定できる情報が含まれていたと主張しました。この最終決定により、ノルウェーで6年以上にわたって進行していた事件が結着を迎えました。
Grindrのデータが数千の入札者に渡った理由
本件はリアルタイム入札（RTB）に関わるもので、これはユーザーがアプリを開いた瞬間に広告枠をミリ秒単位で売却するプロセスです。Datatilsynetによると、個人がノルウェーでGrindrアプリを起動すると、その個人データはXandrを経由して送信され、広告業界における数千の企業や法人に共有される可能性があります。これらの企業はその後、そのユーザーに対してターゲティング広告を提供するために競合しました。
Grindrはゲイ、バイセクシャル、トランスジェンダー、およびクィアなユーザーを対象としているため、規制当局はアプリの使用履歴だけでも個人の性的指向が明らかになると判断しました。欧州のデータ保護規則では、これは明示的な同意なくして処理できない機微データ（センシティブデータ）と見なされます。
ノルウェーの当局はXandrが必要な同意を取得しなかったと認定しました。また、同社は単なる仲介業者として行動するのではなく、Grindrと共にデータ処理に対する責任を共有していると判断しました。データ共有からXandrが直接得た金銭的利得も、罰金の規模を評価する際の重要な要素となりました。
アプリ側の責任追及は認められなかった
Xandrは、Grindrがすでにユーザーから有効な同意を取得していると想定していたと主張しましたが、この論理は規制当局によって却下されました。
「データ保護の責任は他者に委譲することはできません」と、Datatilsynet（ノルウェー個人情報保護局）の局長であるLine Coll氏は、Tech Xploreによって引用された当局の声明で述べています。同局長は、各企業が自らが取得したデータの使用方法に法的根拠があることを独立して確保し、証明できる必要があると主張しました。
Coll氏は、違反が特に深刻であると述べ、数千人のノルウェーユーザーの機密個人データが違法に共有されていたと指摘した。PPC Landの報道によると、このデータ共有はMicrosoftが当時AppNexusとして知られていた事業を買収する前の2018年7月から2020年4月にかけて行われた。Xandrは今後3週間以内に控訴でこの決定に異議を唱えることができる。
ノルウェーの決定は、2026年初頭にフランスで行われた類似のケースに続くものである。その事件では、Conseil d’Etatがリターゲティング企業のCriteoに対する4,000万ユーロの罰金刑を支持し、同意収集についてパートナーウェブサイトが責任を負うべきだという同社の主張を退けた。これらの2つの決定は、企業がデータ保護に対して依然として責任を負っており、ユーザーの同意収集にパートナーに依存することはできないことを明確にしている。
2020から始まったノルウェーでの苦情
この苦情は、Grindrのデータ共有慣行について、ノルウェー消費者評議会およびプライバシー団体noybによって2020年に提出された。それは同年に提出された3件の苦情の一つであり、アプリのユーザーデータの取り扱いとそれを受領するアドテック企業を対象としていた。
noybのデータ保護弁護士であるFelix Mikolasch氏は、この判決が広告技術企業であるXandrなど、その活動が一般にはほとんど見られず注目されていない企業に対して、より大きな説明責任を課す可能性があると述べ、この決定をグループからの声明の中で、類似の事例にとって重要な先例であると評しました。
ノルウェー消費者協議会のデジタル政策責任者であるフィン・ミュルスタッド氏は、この決定がユーザー追跡に依存する企業に対する警告となるだろうと述べた。今回の判決は、Grindrがノルウェーで同様の罰金処分を受けた後のことである。2025年、同国の裁判所は、アプリがユーザーの機密個人情報を違法に共有したとして科された6,500万クローネの罰金を支持した。
この罰金は、GuruFocusによると約3兆9700億ドルで評価されている企業を対象としています。ただし、noybは、欧州委員会の提案する「デジタルオムニバス」がGDPRにおけるオンライン追跡IDの扱いを弱める場合、この先例が意図した効果を失う可能性があると警告しています。この提案は現在、欧州議会と欧州理事会で審議中です。
暗号通貨のニュースを読むだけでなく、それを理解しましょう。ニュースレターに登録してください。無料です。
免責事項。 本情報は取引助言ではありません。Cryptopolitan.com は、本ページに記載された情報に基づいて行われた投資に対して一切の責任を負いません。投資判断を下す前に、独自の調査を行うか、資格を有する専門家にご相談することを強く推奨します。
Opeyemi Olanrewaju
Opeyemi氏は、暗号資産、グローバル金融市場、経済に焦点を当てた高品質なコンテンツの作成と洗練を専門としています。イバダン大学で医学博士（MBBS）号を取得し、同大学の編集出版機関で編集長を務め、以前はCFAでも働きました。Cryptopolitanでは過去6年以上にわたり、ニュースエディターとして独自性の維持に貢献しています。
