Сега санкцията е за компанията на Microsoft Xandr
Норвежкият орган за защита на данните, Datatilsynet, написа вчера, че е наложил административна глоба в размер на 92 млн. норвежки крони, еквивалентни на 8,6 милиона евро ($9.61 млн.), което е най-високата глоба, наложена досега. Санкцията е за дружеството на Microsoft Xandr, обработвало и споделяло чувствителни лични данни в нарушение на GDPR.
„Наложихме толкова висока глоба в този случай, защото установените от нас нарушения бяха много сериозни. Хиляди потребители в Норвегия са били обект на незаконно споделяне на чувствителните им данни“, е цитирана да казва Лине Кол, генерален директор на Datatilsynet.
Xandr е действала като посредник, който е предавал личните данни на потребителите на Grindr в Норвегия, включително данни, разкриващи сексуална ориентация, на потенциално хиляди други компании. Xandr се защити, като заяви, че според тях Grindr е събрала съгласието на потребителите, но Datatilsynet не приема, че участниците могат просто да се обвиняват взаимно.
„Нашето ключово послание е, че отговорността за защитата на данните не може да се прехвърля на други. Всяка компания трябва сама да гарантира и да може да документира, че обработва личните данни законосъобразно. Този случай също показва колко непрозрачна е рекламната екосистема за отделните лица. Когато компаниите не поемат отговорност и се обвиняват взаимно, правата на потребителите на практика стават безполезни“, казва Кол.
Делото започва през 2020 г., когато Норвежкият съвет на потребителите подава жалба срещу компанията за рекламни технологии Xandr (по това време AppNexus, сега част от Microsoft) до Datatilsynet.
Datatilsynet вече е заключил, че компанията не е имала правно основание да обработва личните данни на потребителите на Grindr в Норвегия. Grindr е приложение за запознанства, базирано на местоположение, насочено към гей, бисексуални, транссексуални и куиър хора.
Същността на нарушението е участието на Xandr в така нареченото наддаване в реално време, където те действат както от страна на купувача, така и от страна на продавача. Когато дадено лице отвори Grindr, личните му данни в много случаи се предават чрез Xandr на потенциално хиляди участници в рекламната екосистема. По този начин рекламодателите могат да наддават помежду си, за да представят целенасочени реклами, напълно скрити от отделния потребител.
Наддаването в реално време е технология в рекламния бизнес, при която уебсайтове и приложения с рекламно пространство споделят лични данни на посетители и потребители с рекламни платформи.
По този начин различни рекламодатели могат да наддават един срещу друг, за да покажат рекламата си на лицето, посещаващо услугата. Това прави възможни персонализираните реклами. Транзакциите са автоматични и се случват за части от секундата.
„Това показва колко уязвима е нашата поверителност. След като личните данни са публикувани, е трудно да се знае къде се озовават или как се използват. Тук говорим за информация от личен характер, върху която някой е загубил контрол. Тази информация може да се комбинира и с други данни и да създаде изключително подробна картина на живота на човек“, казва Кол.
Самото използване на Grindr е информация, която показва сексуална ориентация. Такава информация се ползва със специална защита, което е постановено и от Апелативния съд в Боргартинг, когато Grindr получи глоба от 65 милиона крони за еквивалентни нарушения през 2021 г.
Заключението на надзорния орган за защита на данните беше, че е необходимо изрично съгласие за обработката на тези лични данни, но че Xandr не е направил нищо, за да гарантира, че те имат валидно съгласие.
„Вместо това, компанията прие, че това е отговорност на Grindr. Xandr не е проверила валидността на съгласията от Grindr и не е направила нищо, за да гарантира, че имат правно основание за собствената си обработка“, казва Кол.
Datatilsynet установи, че Xandr е съвместен администратор с Grindr.
Административната глоба трябва да бъде ефективна, пропорционална на нарушението и възпиращ ефект, както за Xandr, така и за други участници. Xandr е голям и водещ участник в сектора на рекламните технологии, където самата основа на бизнес модела всъщност е обработката на лични данни. Фактът, че компанията е получила пряка финансова полза от незаконното споделяне на лични данни, е бил основен фактор.
Нарушенията са извършени в продължение на почти две години, от юли 2018 г. до април 2020 г. Фактът, че незаконната практика е продължила толкова дълго време, е бил счетен за отегчаващо обстоятелство при определяне на размера на глобата.
Сумата е изчислена въз основа на общия годишен оборот на Xandr. Оборотът на Microsoft не е използван, тъй като Xandr не е била част от Microsoft за въпросния период от време.
Xandr има три седмици от получаването на решението, за да го обжалва.
На 22.10.2025 г. писах, че Апелативният съд потвърди глобата от 65 млн. норвежки крони за Grindr, а до 2023 г. това беше най-високата санкция, налагана от Datatilsynet.
На 11.07.2024 г. писах, че NOYB обвинява притежаван от Microsoft рекламен брокер в нарушаване на GDPR – Xandr събира чувствителна информация и не отговаря на потребителските искания за достъп.