Xandr får GDPR-bøde på 9,6 millioner dollar for deling af Grindr-data

Norges datatilsyn har pålagt det Microsoft-ejede reklamefirma Xandr en bøde på 92 millioner norske kroner, svarende til cirka 9,6 millioner dollar, for ulovlig behandling og deling af oplysninger om Grindr-brugere. GDPR-bøden til Xandr er den største bøde, som Norges databeskyttelsesmyndighed nogensinde har udstedt.

Myndigheden, Datatilsynet, oplyste, at overtrædelserne berørte tusindvis af norske brugere. Resultaterne vedrører annonceaktiviteter mellem juli 2018 og april 2020, før Microsoft opkøbte Xandr.

Annonceauktioner eksponerede følsomme oplysninger

I den undersøgte periode administrerede Xandr annonceauktioner i realtid på Grindr, en lokationsbaseret datingapp, der primært henvender sig til LGBTQ+-brugere.

I disse auktioner modtog annoncører profileringsoplysninger, før de afgav bud på at vise en annonce. Xandr fungerede som mellemled mellem appen og de deltagende reklamevirksomheder.

Ifølge Datatilsynet kan processen have eksponeret personoplysninger for tusindvis af virksomheder. Oplysningerne omfattede følsomme data om brugernes seksuelle orientering.

Myndigheden fastslog, at denne deling fandt sted uden det udtrykkelige samtykke, der var nødvendigt for behandlingen.

Xandr undlod at kontrollere brugernes samtykke

Datatilsynet fastslog, at Xandr fungerede som fælles dataansvarlig sammen med Grindr. Det betød, at reklamevirksomheden delte ansvaret for, hvordan personoplysningerne blev anvendt.

Xandr baserede sig imidlertid på en antagelse om, at Grindr havde indhentet gyldigt samtykke. Virksomheden kontrollerede ikke denne antagelse og etablerede heller ikke et lovligt behandlingsgrundlag for sin egen behandling, oplyste myndigheden.

Derfor konkluderede Datatilsynet, at Xandr ikke havde levet op til sit ansvar ved håndteringen af følsomme oplysninger.

Datatilsynet begrundede bødens størrelse med overtrædelsernes alvor og deres konsekvenser for tusindvis af brugere.

Privatlivsorganisationer hilser GDPR-bøden til Xandr velkommen

Afgørelsen følger en klage, som privatlivsorganisationen noyb og det norske Forbrukerrådet indgav i januar 2020.

Begge organisationer satte spørgsmålstegn ved håndteringen af Grindr-brugernes oplysninger i annonceøkosystemet. Efter afgørelsen hilste noyb bøden velkommen som et vigtigt skridt mod at holde annonceteknologivirksomheder ansvarlige.

Organisationen kritiserede også praksisser, der gør det muligt for følsomme oplysninger at cirkulere mellem apps, hjemmesider og annonceplatforme uden gyldigt samtykke.

Myndighedens konklusioner fremhæver et centralt spørgsmål i sagen: En annonceformidler kan ikke blot antage, at en anden virksomhed har indhentet de nødvendige tilladelser.

Microsoft siger, at forholdene ligger før opkøbet

Xandr opererer nu som Microsoft Advertising. Microsoft understregede dog, at undersøgelsen vedrørte forhold, der fandt sted før virksomhedens opkøb.

Virksomheden oplyste også, at juridiske rammer, fortolkninger og håndhævelsespraksis har ændret sig siden den periode, undersøgelsen omfatter.

Microsoft gennemgår afgørelsen og vurderer sine muligheder. Samtidig har Xandr tre uger til at klage over den norske tilsynsmyndigheds afgørelse.