広告配信大手に約8.6億円相当の制裁金、同意の確認不足
原題：Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of personal data
何が起きた
ノルウェーのデータ保護当局は、広告技術会社Xandrが出会い系アプリGrindrの利用者データを有効な同意なしに広告入札で処理したとして、860万ユーロの制裁金を科しました。同意の確認を他社任せにできず、共同管理者それぞれが自ら確認する責任があるとされたため、広告配信を使うサイト運営者にも関係します。
誰に影響
- 広告配信やRTBを使うサイト運営者
- EU圏の利用者データを扱う事業者
- 広告・計測タグを導入している制作会社
何をすべき
広告・計測パートナーが取得した同意が自社の処理も有効にカバーしているか確認してください。同意管理(CMP)の設定と契約内容も見直してください。
制度の概要
- 地域・所管
- EU · Norwegian Data Protection Authority (Datatilsynet) / EDPB
- 対象
- 広告配信・RTBで利用者データを扱う事業者
案意見募集成立・公表施行
この FLAG にした理由
脆弱性ではなく、GDPRに基づく制裁決定の事例紹介であり、期限付きの義務も示されていないためBLUEが妥当です。
青旗：後続に注意 — 方針、研究、業界の動向、対策ガイドなど、すぐの技術対応は要らない情報。