Bøden og hvad den dækker
Norges datatilsyn, Datatilsynet, pålagde den 12. oktober Xandr, nu en del af Microsoft, en bøde på 92 millioner NOK for at behandle og dele følsomme personoplysninger om Grindr-brugere i strid med databeskyttelsesreglerne.
| Punkt | Detalje |
|---|---|
| Bøde | 92 millioner NOK, cirka 8,6 millioner euro efter myndighedens omregning (noyb nævner 8,5 millioner, BleepingComputer 9,6 millioner amerikanske dollars) |
| Placering | Den højeste bøde, Datatilsynet hidtil har givet |
| Periode | Juli 2018 til april 2020, næsten to år |
| Grundlag for beløbet | Xandrs egen årsomsætning, ikke Microsofts |
| Tidligere bøde til Grindr | 65 millioner NOK i 2021 for tilsvarende overtrædelser |
| Klagefrist | Tre uger fra modtagelsen af afgørelsen |
Xandr deltog i realtidsbudgivning som både køber og sælger. Når nogen åbnede Grindr, blev vedkommendes personoplysninger i mange tilfælde videresendt via Xandr til potentielt tusindvis af annoncører, som bød på at vise personen en annonce, alt sammen skjult for brugeren. Oplysningerne omfattede information, der afslører seksuel orientering, som ifølge myndigheden har et særligt værn: at være bruger af Grindr viser i sig selv orienteringen. Appelretten Borgarting nåede samme resultat i sagen om Grindrs egen bøde på 65 millioner NOK for tilsvarende overtrædelser i 2021.
Hvorfor det ikke holdt at støtte sig til Grindrs samtykke
Datatilsynet konkluderede, at der krævedes udtrykkeligt samtykke til at behandle disse oplysninger, og at Xandr intet havde gjort for at sikre et gyldigt samtykke. Xandr forsvarede sig med, at det troede, Grindr havde indhentet brugernes samtykke, men myndigheden accepterer ikke, at virksomheder bare kan give hinanden skylden.
Myndigheden fandt, at Xandr var fælles dataansvarlig sammen med Grindr, så pligten til at have et retsgrundlag lå hos Xandr selv. Generaldirektør Line Coll formulerede princippet klart: ansvaret for databeskyttelse kan ikke gives videre, og hver virksomhed må selv sikre og kunne dokumentere, at den behandler personoplysninger lovligt.
Oplysninger om seksualliv eller seksuel orientering hører til de særlige kategorier i artikel 9 i GDPR, hvor behandling er forbudt, medmindre en undtagelse gælder. To forhold skærpede bøden: praksis varede næsten to år, og Xandr fik en direkte økonomisk fordel af den ulovlige deling.
Hvad Microsoft siger, og hvad noyb tilføjer
Microsoft sagde til BleepingComputer, at undersøgelsen og udfaldet vedrører forhold fra før købet af Xandr, at de juridiske rammer og håndhævelsen af dem er ændret siden, og at det gennemgår afgørelsen og vurderer sine muligheder. Xandr opererer i dag som Microsoft Advertising.
Myndigheden beregnede beløbet ud fra Xandrs samlede årsomsætning og ikke Microsofts, fordi Xandr ikke var en del af Microsoft i den pågældende periode. Alligevel ligger bøden nu hos en virksomhed, som Microsoft ejer, en påmindelse om, at datahistorikken følger med den virksomhed, man køber.
noyb, som indgav den oprindelige klage sammen med Forbrugerrådet i Norge i 2020, kalder afgørelsen et stort slag mod onlineannoncering. Organisationen hævder desuden, at Europa-Kommissionens Digital Omnibus-forslag, som nu drøftes i Parlamentet og Rådet, vil tage online-sporings-id'er ud af GDPR's anvendelsesområde efter massivt lobbyarbejde fra big tech. Det er noybs læsning af forslaget og ikke en udtalelse fra Kommissionen.
En kontrolvane for alle, der modtager data
Den praktiske lære er, at en partners udsagn om, at der findes samtykke, er en påstand, der skal kontrolleres, og kontrollen er din.
Afgørelsen handler om annonceteknologi, men dens ræsonnement passer på enhver virksomhed, der modtager personoplysninger via en annonceplatform, en SDK, en leadpartner eller en købt liste. Tabellen er Servolas forslag til at anvende princippet og ikke ordlyd fra afgørelsen.
| Hvor du modtager personoplysninger | Hvad der skal kontrolleres | Hvilken dokumentation der skal gemmes |
|---|---|---|
| Annonceplatform eller SDK-feed | Hvilket samtykke afsenderen indhentede, og om formuleringen dækker din brug | Samtykketeksten og platformens skriftlige bekræftelse |
| Lead- eller listepartner | Om hver person har sagt ja til at blive kontaktet af dig | En stikprøve af samtykkeregistreringer og kontraktklausulen om retsgrundlag |
| Tags og pixels på dit eget websted | Hvad hver leverandør gør med besøgsdata, og om dit banner dækker det | Leverandørlisten og samtykkelogningen med datoer |
Behandl ethvert feed, der kunne afsløre helbred, overbevisninger eller seksuel orientering, som oplysninger efter artikel 9, og kontroller, før den første post bruges. Én ukontrolleret kilde kan gøre alt det efterfølgende til en overtrædelse.
Læs videre: Google fik en bøde for beviser, det ikke havde | Twitch træner Amazons AI på dine streams som standard
