プライバシー活動家らは、オンライン広告・データ仲介会社LiveRampに対し、「プライバシーを侵害するプロファイリング」が欧州のデータ保護法に違反しているとして、英国とフランスのデータ規制当局に正式な苦情を提出した。
Open Rights Group (ORG) は、2024 年 2 月末に英国情報コミッショナー局 (ICO) とフランス国立情報自由委員会 (CNIL) に 2 件の別々の苦情を提出しましたが、LiveRamp の広範なデータ処理活動は次のとおりであると主張しています。明確な法的根拠とデータ主体にとって意味のある透明性が欠如しているため、違法となる可能性があります。
訴状で言及されているその他のデータ保護問題には、LiveRamp による「個人データの無差別な収集と処理」が含まれており、ORG はこれを「その目的にまったく釣り合っていない」と主張した。 収集された個人データを他のコンテキストで再利用すること。 そして人々の機密データのセキュリティ。 ORGは、LiveRampのデータ処理に関するこれらの問題は英国の数百万人に影響を及ぼす可能性があると主張している。
「Liveramp システムは侵入的であり、広告主は人々の実際の住所や名前を閲覧習慣と結び付けることができます。 これは容認できない」とORG事務局長ジム・キロック氏は語った。
「各地の規制当局がプロファイリングや過剰なデータ共有を取り締まる中、アドテク業界は急速に進化しています。 これらの新しい危険なテクノロジーは、トラッキング Cookie の使用を制限する変更を回避し、オンライン広告を軽減するのではなく、より煩わしいものにしようとする試みです。
「（英国の）ICOとフランスのCNILの両方がこれらの問題を非常に真剣に受け止め、調査することを期待しています。 英国では、以前の苦情による未解決の問題が依然として残っています。 ヨーロッパは侵入的なアドテクノロジーに対して、ゆっくりではありますが確実な進歩を遂げています。」
Computer Weekly は ORG の苦情について LiveRamp に問い合わせましたが、記事の掲載時点までに返答はありませんでした。
通常、苦情申し立て者はICOに苦情を申し立てる前にデータ管理者（この場合はLiveRamp）に問題を取り上げることが期待されているが、ORGは、「違法な処理が核心部分に及ぶため、これは明らかに無駄」であると考えていると述べた。 LiveRamp のビジネス モデルについて」。
データ主体の非公式の苦情を理由に LiveRamp がコンプライアンスを遵守する見込みはなく、「違法な処理」の広範な性質により代わりに規制措置が必要であると付け加えた。
ORGはさらに、この苦情はLiveRampの処理に関する包括的な法的分析を意図したものではないが、その活動の規模と不透明さから「個々の苦情申立人がそれを完全に調査し、法的に分析することは非現実的である」と付け加え、ICO調査が必要であると述べた。 。
ORGは、オンライン広告技術は監視資本主義の根幹であり、問題のあるギャンブラーや付加価値のある人々をターゲットにするオンライン広告プロファイルの使用など、個人に深刻な結果をもたらす可能性があると付け加えた。 人種差別された少数派を住宅広告や求人広告から排除する。 そして、中絶する権利を行使した女性を追跡します。
この苦情について、ICOの広報担当者は次のように述べた。「アドテク部門を調査する業務の一環として同社の監査を行った後、LiveRamp UKに調査を行っていることを確認できます。 私たちはオープン・ライツ・グループから委託された報告書を承知しており、双方と連絡を取っているが、現段階ではこれ以上コメントすることはできない。」
LiveRampのビジネスモデル
Cracked Labs の独立した研究者らと協力して LiveRamp の処理に関する調査を行った後、ORG は、同社の事業には住所、電話番号、電子メール アドレス、Cookie 識別子を含む「個人情報の膨大なデータベースの保守」が含まれていると主張しました。
「LiveRamp は、これらの情報間のつながりを推測し、それらを仮名識別子にリンクすることで、デバイス識別子や電子メール アドレスなどの 1 つの情報だけで、個人の包括的な識別プロファイルを取得できるようにします」と ORG は述べています。さらに、同社はこのデータを幅広いオンライン関係者に販売し、閲覧中の個人を監視できると付け加えた。
「このように、LiveRamp の処理は、サードパーティ Cookie を必要とせずにアドテク広告や行動ターゲティング広告を容易にするため、今日のマーケティング監視エコシステムにおいて重要な役割を果たしています。 また、LiveRamp を使用すると、データ ブローカーが数百万人に関する個人データをデータ購入者に販売することができ、データ購入者はさらに記録を他の企業に送信できるようになり、同時にチェーン内の営利行為者が同じ個人について話していることを確認できます。」
ORGは、LiveRampの処理の複雑さと不透明さは、一般の消費者にとって理解するのが難しく、人々が気づかないうちに追跡され、パーソナライズされた方法で影響を受けることを可能にすることを意味すると付け加えた。
「実際、サイトにログインしない、アドレス情報の一部のみを提供するなど、追跡されないようにしていると思われる閲覧行動をしている人でも、LiveRamp の処理のおかげで、予期しない方法で監視され、プロファイリングされる可能性があります。」 」と書いた。
ORGは訴状の中で、LiveRampが異なる管轄区域にわたる処理の法的根拠について一貫性のない情報を提供しているとも具体的に主張し、フランスのプライバシー通知ではユーザーの同意に依存していることが示唆されているのに対し、英国のプライバシー通知では主に「正当な利益」に依存していることが示唆されていると指摘した。 ‘。
しかし、いずれの場合もORGは、その処理は違法である可能性が高いと主張している。 「正当な利益」の場合、ORGは、その「純粋に商業的な」利益と、「人々のオンラインおよびオフラインの行動（住所の変更など）を細かく追跡し、目に見えない形で個人情報を公開する」処理の侵入性とのバランスを取る必要があると述べた。何百ものクライアントに。」
同意に依存する場合、ORG は、同意は英国一般データ保護規則 (GDPR) で要求されているように「自由に与えられ、具体的で、情報に基づいた、明確な」ものではないと付け加えました。「特に、これは LiveRamp の複雑さと規模が原因です。処理するということは、データ主体が適切に理解できないことを意味します。」
現在進行中のオンライン広告の問題
ORGは以前、2018年にオンライン広告業界全体にわたるデータ保護慣行の広範な違法性について苦情を提出した。
2019年、ICOは次のタイトルのレポートを発行しました。 アドテックとリアルタイム入札に関するレポートを更新この調査では、オンライン広告会社が、データ処理の合法性、透明性、機密データの使用、説明責任の要件、サプライチェーン全体にわたる適切なレベルのセキュリティの確保などの重要な分野で法律を遵守していないことが判明した。
「人々に関する個人データプロファイルの作成と共有は、私たちがこれまで見てきた規模では、特に人々がそれが行われていることに気づいていないことが多い場合には、不釣り合いで、押し付けがましい、そして不公平であると感じられる」とICOは書いている。 「ウェブサイトへの 1 回のアクセスにより、広告主間で 1 回のオークションが行われると、個人の個人データが何百もの組織に閲覧される可能性があると概説しています。これは、データ保護ルールが十分に考慮されていないことを示唆するものです。」
ICOは2020年8月にORGの告訴を終結させたが、プライバシー保護団体は提起された問題が十分に対処されていないとしてこの決定に対して控訴した。 2021年、ORGは情報法廷に対する告訴の再開を求める訴えを敗訴した。
ORGは、ICOはこれまでのところ、告訴やICO最新報告書の結果として明らかになったオンライン広告分野におけるデータ保護侵害に対していかなる規制措置を講じていないと述べた。
これは、Cookieバナーの違法性について判決を下し、メタによる行動広告のための個人データの処理に積極的に異議を唱えている他の欧州のデータ保護当局とは対照的であると付け加えた。
「不正なアドテックのビジネスモデルはどこでも争われていますが、英国は遅れをとっています。 2018年にICOで提起された実質的な問題がまだ対処されていないこともあり、新たな苦情が提起された」とORGは述べた。
ORGは最新の訴状の中で、LiveRampは世界中で数億人の個人を監視しているが、同社が英国に物理的に存在することは、英国の数百万人の個人データを処理しているという事実は、問題がICOの管轄内にあることを意味していると述べた。 。
Computer Weekly は、規制の不作為に対する ORG の主張について ICO に問い合わせた。 広報担当者は、一方で一般大衆と他方でオンライン広告主やアグリゲーターとの間の力の不均衡を是正することが規制当局の優先事項であり、ICOはアドテクエコシステム内での透明性と説明責任の向上を引き続き求めていくと述べた。
「たとえば、2023 年 11 月に、英国の上位 100 の Web サイトに対して、広告 Cookie の「すべて拒否」ボタンが「すべて受け入れる」ボタンほど目立たない場合、強制措置に直面する可能性があると警告しましたが、80% の成功率でした。これまでの遵守率と今後のさらなる措置。 私たちは、必要に応じて国民を守るために断固として行動することを明確にしています。」