ノルウェーのデータ保護機関は、性的指向に関する機微な情報を含むGrindrユーザーの個人データの取り扱いをめぐり、マイクロソフトのXandrに約850万ユーロの罰金を科した。このXandrに対するGrindrデータ罰金は、データを最初に収集したアプリだけでなく、広告チェーンのより下流に位置する企業を対象としている点で注目に値する。

私たちが入手した決定内容の要約は簡潔なものであるため、本記事では確認できた事実に絞り、読者向けに広い文脈を説明する。

ノルウェー規制当局がXandrに罰金を科した理由

報道によると、約850万ユーロの制裁金は、マイクロソフト傘下の広告事業であるXandrが、Grindrユーザーに属する個人データをどのように取り扱ったかに関連している。そのデータには、性的指向に関する機微な情報が含まれていた。

Grindrのデータ慣行がノルウェーから精査を受けたのは今回が初めてではない。同国のデータ保護機関は以前、GDPR第9条（特別カテゴリーの個人データの処理を制限する条項）に違反したとして、Grindr自体に6500万ノルウェークローネ（約550万ユーロ）の罰金を科した。この罰金は後にボルガルティング控訴裁判所によって支持された。今回のXandrに対する新たな措置は、アプリから、データを下流で取り扱った企業へと焦点を広げるものである。

機微なアプリデータが広告プラットフォームに届く仕組み

ほとんどの無料アプリは広告によって収益を得ている。関連性の高い広告を表示するため、アプリは端末識別子、おおよその位置情報、プロフィールの詳細など、ユーザーに関する情報を広告パートナーに渡すことがある。これらのパートナーには、広告交換業者や、広告をオーディエンスにマッチングさせるプラットフォームが含まれることがあり、多くの場合、アプリが開いてからわずか数ミリ秒のうちに処理される。

問題が生じるのは、関与する情報が機微なものである場合だ。GDPRの下では、性的指向を明らかにするデータは保護対象カテゴリーに属する。特定のアプリのユーザーであること自体が、何か機微なことを明らかにし得る。ひとたびそのシグナルがアドテックのパイプラインに入ると、複製され、他の識別子と組み合わされ、複数の企業間を渡っていくため、ユーザーがそれがどこに行き着いたかを知ることや、撤回することが難しくなる。

だからこそ規制当局はチェーン全体に目を向ける。そのようなデータを受け取ったり処理したりする企業は、それを最初に収集した企業でなかったとしても、自ら法的責任を負うのである。

GDPR執行がユーザーにとって意味するもの

今回の罰金は、欧州の規制当局が、大規模テクノロジーグループが所有する企業を含め、広告エコシステム全体にわたって企業を追及する用意があるというシグナルである。ユーザーにとっては、いくつかの実践的なポイントがある。

  • 特別カテゴリーのデータにはより厳格なルールが適用される。 性的指向、健康、宗教、および類似の話題に関する情報は、一般にGDPRの下で有効な法的根拠なしに処理することはできない。
  • 執行には時間がかかることがある。 以前のGrindrの案件は、罰金、上訴、裁判所の判決を経た。規制措置は、すでに生じた露出をなかったことにはしない。
  • 罰金は救済措置と同じではない。 制裁は企業を罰するが、個人は今後も自分自身の露出を管理する必要がある。

この規模の企業は他の文脈でも大量のデータを保有しており、エコシステムの他の場所でのセキュリティインシデントは、中央に保管されたデータが標的になることを思い起こさせる。例えば、私たちはマイクロソフトの内部解析サービス「Titan」への管理者レベルのアクセスを取得したとされる10代のバグハンターについて、またマイクロソフトのAzureインフラから従業員データベースが盗まれたとされる主張について報じた。これらはXandrの決定とは別個の事案だが、そもそも何を共有するかを制限することがなぜ重要かを示している。

これがあなたにとって意味すること

どの広告パートナーがアプリからデータを受け取っているかを確認することはできないため、最も信頼できるアプローチは、アプリが送信できるものを減らすことである。まずはここから始めよう。

  • アプリの権限を見直す。 スマートフォンの位置情報、連絡先、写真、トラッキングの権限を確認する。アプリが明確に必要としていないものはすべて取り消す。
  • 広告IDをリセットまたは無効化する。 AndroidとiOSのどちらでも、広告識別子を削除またはリセットしたり、広告トラッキングを制限したりできる。これにより、広告プラットフォームがアプリ間で活動を紐付けることが難しくなる。
  • アプリ内のプライバシー設定を確認する。 多くのアプリには、パーソナライズ広告やパートナーとのデータ共有に関するトグルがある。オフにできるものはオフにする。
  • 機微なプロフィール詳細には慎重になる。 アプリが、共有したくない情報を求めてきた場合は、空欄のままにすることを検討する。
  • もう使っていないアカウントを削除する。 休眠中のアカウントでもデータを保持している可能性がある。

VPNが適する場面

VPNはIPアドレスを隠し、端末とVPNサーバー間の通信を暗号化できるため、公衆Wi-Fiでの利用や、インターネットプロバイダーに見られる情報を制限するのに役立つ。しかし、アプリがあなたから提供されたデータ（プロフィールの詳細や広告IDなど）をパートナーに送信するのを止めることはできない。VPNは部分的な層の一つとして扱うべきであり、アプリ内のデータ共有に対する解決策ではない。

主なポイント

Xandrに対するGrindrデータ罰金は、規制当局が機微な情報を収集するアプリを超えて、それを処理するアドテック企業にも目を向けていることを示している。日常のユーザーにとって、最も効果的な対策は自分の管理の及ぶ範囲にある。アプリの権限を監査し、広告IDをリセットまたは無効化し、アプリ内のプライバシー設定を調整し、VPNは得意な用途にのみ使うことだ。今週10分間を使って、スマートフォン上のアプリを見直してみよう。最も多くの個人情報を保持しているものから始めるのがよい。