要約

  • 2026年10月2日付の決定で、Datatilsynetは2018年7月から2020年4月までのGrindr利用者データ処理について、Xandrに9,200万ノルウェークローネ（約860万ユーロ）の制裁金を科した。
  • 同当局はXandrを入札の売り手側・買い手側双方に関わる共同管理者と位置づけ、他社が得た同意に依存せず、自社の処理まで適法にカバーされるか確かめる義務があったとした。

入札の中継点にも責任が及ぶ

ノルウェーのデータ保護当局Datatilsynetは、Xandr Inc.に対し、これまでで最も高額な制裁金を科した。決定日は2026年10月2日で、金額は9,200万ノルウェークローネ、約860万ユーロ。対象は、Grindr利用者のデータがリアルタイム広告入札で処理されていた過去の事案だ。欧州データ保護会議（EDPB）は10月16日に各国当局のニュースとして紹介した。

調査はノルウェー消費者評議会が2020年に提出した苦情から始まった。対象期間は2018年7月20日から2020年4月7日までであり、現在のXandrの運用を調査した結果ではない。Datatilsynetは、入札リクエストにGrindrを使っている事実、広告ID、IPアドレスが含まれ得たと認定した。アプリ利用の事実は性的指向を示す情報であり、GDPR第9条の特別カテゴリーに該当すると判断した。

リアルタイム入札は、広告枠の発生、入札リクエストの転送、買い手同士の競争が短時間で進む仕組みとして説明される。しかし、その通信は単なる機械間の受け渡しではない。誰がデータを処理し、何の目的に使うかが同時に決まる。利用者の画面から見えないことは、処理主体がいなくなることを意味しない。

同意を受け取っただけでは足りない

Datatilsynetは、Xandrが供給側・需要側の双方のプラットフォームとして関与し、Grindrと共同管理者の立場にあったと認定した。GDPR第6条1項の適法な根拠がなく、性的指向に関するデータについて第9条の例外も満たさないという判断だ。明示的同意が問題となるところ、XandrはGrindrの同意を前提にしていたものの、その同意が有効で、自らの処理を対象にしているか独自に確認していなかった。

この決定は、リアルタイム入札を一律に禁止するものではない。問われているのは、参加者間の役割分担が同意確認まで移譲できるのか、という点だ。共同管理者であれば、自社が行う処理の根拠を自ら確かめる必要があり、別の会社が用意した同意画面を包括的な保証として扱えない。契約で作業を分けても、適法性の確認そのものは残る。

Datatilsynetの発表によると、データは他の数千社に転送された可能性がある。「可能性がある」と「数千社が実際に受領した」は違う。公表文は潜在的な規模を示すが、全ての候補先がデータを取得、保存したことを確定してはいない。市場の不透明さは重要な論点だが、確認されていない受領者数に置き換えるべきではない。

同じ出来事でも問われる主体は異なる

Datatilsynetは2021年、Grindr自身の処理と開示について6,500万ノルウェークローネの別の制裁金を科していた。今回の決定は、同じ時期の広告環境でXandrが担った役割を審査している。単一の制裁金を膨らませたのではなく、アプリとは別に、仲介側にも自社の処理根拠を確保する責任があったかを問うものだ。

この違いは、社内統制の設計に直結する。アプリ側は広告技術会社が全責任を負うと思い込めず、プラットフォーム側もアプリの同意があらゆる下流用途をカバーすると推定できない。誰が取得したかだけではなく、各社がどのデータに触れ、何を決め、何のために使ったかを分けて記録する必要がある。

制裁額は対象期間の企業に結びつく

MicrosoftがXandrを買収したのは2022年で、調査対象期間より後だ。Datatilsynetは、違反時にXandrがMicrosoftの一部ではなかったため、罰金の算定にはXandr自身の年間売上高を使い、Microsoftの売上高は使わなかったと説明している。後の親会社の規模を過去の事案に遡及して当てはめない境界である。

Xandrには、決定を受領してから3週間の不服申立て期間がある。公表資料は受領日を示していないため、10月2日の決定日から期限を計算することはできない。申立てが提出されたかも確認できない。現時点で言えるのは、Datatilsynetが最終決定を出した一方で、告知された不服申立ての手続が残っていることまでだ。

新しい禁止ではなく、既存GDPRの適用

Datatilsynetは、特定の過去の入札データに既存のGDPR義務を適用した。すべての入札プラットフォームが自動的に共同管理者になる、広告オークションが全て違法である、あるいはMicrosoftが2018～20年の行為に責任を負う、とは述べていない。判断の中心は実際の役割と、各社自身が行った処理である。

Daniel Kadeの提案は、参加主体と利用目的ごとに、同意を確かめた記録を残すことだ。処理データ、役割、利用者に示した同意の版、受領者に伝えた範囲、法的根拠、独自確認の証跡をひとまとまりにする。この形式は編集上の提案であり、Datatilsynetが定めた要件ではない。入札前にデータの受け渡しを検証できるようにするのが目的だ。

公開記録からXandrや現在の親会社の運用を推測することはできない。対象期間は2020年4月に終わっており、潜在的な受領者の全てや申立ての結果も公表資料だけでは分からない。それでも、画面に表示されない入札リクエストが統治上の行為であることは明らかになった。責任を決めるのは同意画面の所有者ではなく、実際にデータを処理する役割である。

出典