プライバシー

Xandr、グラインダーの性的指向データ流出で史上最高額の罰金

by

概要 ノルウェーのデータ保護機関は、Microsoft傘下の広告部門Xandrが、出会い系アプリGrindrの利用者データを広告主に転送したとして、史上最高額となる860万ユーロ（約960万ドル）の罰金を科しました。 転送された情報には、ユーザーの性的指向や年齢、位置情報など、極めて機微な個人情報が含まれていました。 本件は「非常に重大」な違反と評価され、欧州のプライバシー規制に基づく厳罰が適用されました。 技術的詳細・特徴 Xandrは広告配信プラットフォーム上で、Grindrから取得したユーザープロファイルを匿名化せずにサードパーティ広告主へ提供していました。データはAPI経由でリアルタイムに送信され、同意取得や目的限定の原則が守られていませんでした。 影響・対策方法 同様のデータリレーを行う広告テクノロジーは、GDPRや各国のプライバシー法に抵触する可能性が高い。 企業はデータ収集・共有のフローを見直し、最小限の情報のみを匿名化して利用するべき。 ユーザーはプライバシー設定を確認し、不要なデータ共有をオプトアウトすることが推奨されます。 出典 情報元: The Hacker News

データブローカーRadaris、プライバシー訴訟でドメイン失う

by

概要 米国の個人情報ブローカーRadaris.comが、ニュージャージー州のプライバシー法「Daniel’s Law」に違反したとして訴えられ、裁判所の命令で同社が保有するドメインが原告側に移管されました。訴訟はデータブローカーが州警察や裁判官など公務員の個人情報を削除しないことに対し、1件あたり1,000ドルの罰金を科す規定を根拠としています。 技術的詳細・特徴 Radarisは多数の人検索サービスとロシア語デーティングサイトを運営し、創業者はマサチューセッツ在住のロシア系兄弟（Igor・Dmitry）とされています。訴訟資料からは、同社が「Gary Norden」という架空のCEOを名乗り、投資家向けプレスリリースで引用していたことが判明しました。また、弁護士は訴訟前に証拠開示を遅延させ、最終的にデフォルト判決を回避できませんでした。 影響・対策方法 日本のエンジニアや情報セキュリティ担当者は、以下の点に留意すべきです。 自社のサービスが個人情報を第三者に提供していないか定期的にレビューする。 公的機関や裁判官の個人情報が検索エンジンに露出している場合、削除依頼をデータブローカーに提出する。 プライバシー法制（例：EU GDPR、米国州法）に準拠したデータ保持ポリシーを策定し、違反リスクを最小化する。 疑わしいデータブローカーはドメイン情報や所有者を WHOIS で確認し、必要に応じて法的手段を検討する。 出典 情報元: Krebs on Security