Google、Amazon、X、Microsoftの広告慣行はEUプライバシー法違反と判断

欧州の規制当局は、Google、Amazon、X（旧Twitter）、Microsoftなどの企業がトラッキング広告に用いる同意取得メカニズムが、一般データ保護規則（GDPR）に違反していると判断しました。具体的には、インタラクティブ広告協議会（IAB）欧州委員会が策定した透明性と同意のフレームワーク（TCF）は、ウェブサイトがトラッキング広告に関してユーザーの同意を得る方法を標準化するものです。しかし、このフレームワークは、GDPRの有効なインフォームド・コンセント要件を満たしていないことが判明しました。

2022年、ベルギーのデータ保護当局（DPA）は、ウェブサイトがリアルタイム入札（RTB）（デジタル広告枠のオークションに使用されるシステム）を通じて訪問者データを収集・共有する方法が、有効な同意なしに個人データを違法に処理していると判断しました。IAB Europeは25万ユーロの罰金を科され、TCF（広告取引規則）の全面的な見直しを命じられました。

IAB Europeは控訴しましたが、ベルギー市場裁判所は最近DPAの調査結果を支持し、IAB Europeは違法な同意の枠組みについては責任を負うものの、サードパーティの広告主が下流でどのようにデータを処理するかについては直接の責任を負わないことを確認しました。このニュアンスはIAB Europeの責任範囲を限定するものの、現在のTCF（データ主体間取引）体制がGDPRに準拠していないという事実を変えるものではありません。

IAB Europe は、これらのコンプライアンス問題に対処するために TCF の変更を提案しました。

トラッキングベースの広告の仕組み

様々なオンライン広告スペースは、表示される個人のユーザープロファイルから価値を引き出しており、そのペルソナが具体的であるほど効果的です。これらのプロファイルは、Cookieを使用してウェブサイトやアプリ間でユーザーを追跡することで形成され、ユーザーの行動、興味、閲覧履歴に関するデータを収集します。

広告枠は、リアルタイム入札と呼ばれるプロセスを通じて分割されます。広告主は、ターゲットとする特定の個人に広告を表示する機会を得るために、数ミリ秒単位で入札を行います。広告枠に関して広告主に提供される情報の一つに、透明性と同意（TC）文字列があります。これは、ユーザーが共有することに同意したデータとその使用方法を示すものです。

参照：英国政府、Googleが広告テクノロジー分野での支配的地位を乱用していると主張

TCストリングは、理論的には、広告主がターゲティング広告のためにユーザーデータを処理することが法的に認められているスペースにのみ入札することを保証するのに役立つ。これは、IAB Europeが開発した、いわゆる透明性と同意のフレームワークの構成要素であり、広告スペースを持つウェブサイトが訪問者のトラッキングについて同意を得る方法を標準化している。

しかし、ユーザーが広告Cookieに「同意する」をクリックしたとき、本当に何に同意しているのか理解しているのでしょうか？自分のユーザープロファイルにアクセスできるすべてのウェブサイト、広告主、アドテク企業について、十分に理解しているのでしょうか？RTBシステム特有の複雑さと不透明性を考えると、その可能性は低いでしょう。裁判所は、TCF（タイムスタンプ）の個人データはGDPRの適用範囲内であると判断しており、透明性とユーザーからの十分な情報に基づく同意の欠如はTCFの不十分性、ひいてはGDPRへの準拠を阻害する要因となっています。

こちらもご覧ください

• AppleとMetaが欧州連合から8億ドルの罰金を科された理由
• 欧州脆弱性データベースが稼働中
• EU、バーチャル会議でのAIアシスタントの使用を禁止