Xandr får GDPR-böter på 9,6 miljoner dollar för delning av Grindr-data

Norges integritetsskyddsmyndighet har utfärdat böter på 92 miljoner norska kronor, motsvarande cirka 9,6 miljoner dollar, mot det Microsoft-ägda annonsföretaget Xandr för olaglig behandling och delning av Grindr-användares uppgifter. GDPR-böterna mot Xandr är de högsta som Norges dataskyddsmyndighet någonsin har utfärdat.

Myndigheten Datatilsynet uppgav att överträdelserna påverkade tusentals norska användare. Resultaten gäller annonsverksamhet mellan juli 2018 och april 2020, innan Microsoft förvärvade Xandr.

Annonsauktioner exponerade känslig information

Under den undersökta perioden hanterade Xandr annonsauktioner i realtid inom Grindr, en platsbaserad dejtingapp som främst riktar sig till HBTQ+-personer.

I dessa auktioner fick annonsörer tillgång till profileringsinformation innan de lade bud för att visa en annons. Xandr fungerade som mellanhand mellan appen och de deltagande annonsföretagen.

Enligt Datatilsynet kan processen ha exponerat personuppgifter för tusentals företag. Informationen omfattade känsliga uppgifter om användarnas sexuella läggning.

Myndigheten konstaterade att denna delning skedde utan det uttryckliga samtycke som krävdes för behandlingen.

Xandr kontrollerade inte användarnas samtycke

Datatilsynet fastställde att Xandr agerade som gemensamt personuppgiftsansvarig tillsammans med Grindr. Det innebar att annonsföretaget delade ansvaret för hur personuppgifterna användes.

Xandr utgick dock från antagandet att Grindr hade samlat in giltiga samtycken. Företaget kontrollerade inte detta antagande och fastställde inte heller någon rättslig grund för sin egen behandling, enligt myndigheten.

Därför drog Datatilsynet slutsatsen att Xandr hade brustit i sitt ansvar vid hanteringen av känslig information.

Myndigheten förklarade böternas storlek med överträdelsernas allvar och deras påverkan på tusentals användare.

Integritetsorganisationer välkomnar GDPR-böterna mot Xandr

Beslutet följer på ett klagomål som integritetsorganisationen noyb och det norska Forbrukerrådet lämnade in i januari 2020.

Båda organisationerna ifrågasatte hanteringen av Grindr-användares uppgifter inom annonsekosystemet. Efter beslutet välkomnade noyb böterna som ett viktigt steg mot att hålla annonsteknikföretag ansvariga.

Organisationen kritiserade också metoder som gör det möjligt för känslig information att cirkulera mellan appar, webbplatser och annonsplattformar utan giltigt samtycke.

Myndighetens slutsatser belyser en central fråga i ärendet: en annonsförmedlare kan inte bara anta att ett annat företag har fått de tillstånd som krävs.

Microsoft uppger att agerandet skedde före förvärvet

Xandr verkar numera under namnet Microsoft Advertising. Microsoft betonade dock att utredningen gällde verksamhet som ägde rum innan företaget förvärvades.

Företaget uppgav också att rättsliga ramverk, tolkningar och tillsynspraxis har förändrats sedan den period som utredningen omfattar.

Microsoft granskar beslutet och utvärderar sina alternativ. Samtidigt har Xandr tre veckor på sig att överklaga den norska tillsynsmyndighetens beslut.