La multa e ciò che copre
L'autorità norvegese per la protezione dei dati, Datatilsynet, ha multato il 12 ottobre per 92 milioni di NOK Xandr, oggi parte di Microsoft, per aver trattato e condiviso dati personali sensibili di utenti Grindr in violazione della normativa sulla protezione dei dati.
| Voce | Dettaglio |
|---|---|
| Multa | 92 milioni di NOK, circa 8,6 milioni di euro secondo la conversione dell'autorità (noyb parla di 8,5 milioni, BleepingComputer di 9,6 milioni di dollari) |
| Posizione | La multa più alta emessa finora da Datatilsynet |
| Periodo | Da luglio 2018 ad aprile 2020, quasi due anni |
| Base dell'importo | Il fatturato annuo di Xandr, non quello di Microsoft |
| Multa precedente a Grindr | 65 milioni di NOK nel 2021 per violazioni equivalenti |
| Termine per il ricorso | Tre settimane dalla ricezione della decisione |
Xandr partecipava al real-time bidding sia come acquirente sia come venditore. Quando qualcuno apriva Grindr, i suoi dati personali venivano in molti casi inoltrati tramite Xandr a potenzialmente migliaia di inserzionisti, che facevano offerte per mostrargli un annuncio, il tutto nascosto all'utente. Tra i dati c'erano informazioni che rivelano l'orientamento sessuale, cui l'autorità attribuisce una protezione speciale: essere utente di Grindr indica già quell'orientamento. La Corte d'appello di Borgarting ha deciso nello stesso senso nel caso della multa da 65 milioni di NOK inflitta a Grindr per violazioni equivalenti nel 2021.
Perché appoggiarsi al consenso di Grindr non ha funzionato
Datatilsynet ha concluso che per questi dati serviva un consenso esplicito e che Xandr non aveva fatto nulla per accertarsi di averne uno valido. La difesa di Xandr era di aver creduto che Grindr avesse raccolto il consenso degli utenti, e l'autorità non accetta che le aziende possano semplicemente scaricarsi la colpa a vicenda.
L'autorità ha ritenuto Xandr contitolare del trattamento insieme a Grindr, perciò l'obbligo di avere una base giuridica era di Xandr stessa. La direttrice generale Line Coll ha espresso il principio con chiarezza: la responsabilità sulla protezione dei dati non si può trasferire, e ogni azienda deve accertarsi da sé, e poterlo documentare, di trattare i dati personali in modo lecito.
Le informazioni sulla vita sessuale o sull'orientamento sessuale rientrano nelle categorie particolari dell'articolo 9 del GDPR, il cui trattamento è vietato salvo che si applichi un'eccezione. Due fattori hanno aumentato la multa: la pratica è durata quasi due anni e Xandr ha tratto un vantaggio finanziario diretto dalla condivisione illecita.
Cosa dice Microsoft e cosa aggiunge noyb
Microsoft ha detto a BleepingComputer che l'indagine e il suo esito riguardano condotte precedenti all'acquisizione di Xandr, che da allora i quadri normativi e la loro applicazione sono cambiati e che sta rivedendo la decisione e valutando le opzioni. Xandr oggi opera come Microsoft Advertising.
L'autorità ha calcolato l'importo sul fatturato annuo complessivo di Xandr e non su quello di Microsoft, perché nel periodo in questione Xandr non faceva parte di Microsoft. Eppure la multa pesa ora su un'azienda di proprietà di Microsoft, a ricordare che la storia dei dati segue la società che si acquista.
noyb, che nel 2020 ha presentato il reclamo originario insieme al Consiglio norvegese dei consumatori, definisce la decisione un duro colpo per la pubblicità online. Sostiene inoltre che la proposta Digital Omnibus della Commissione europea, ora in discussione al Parlamento e al Consiglio, toglierebbe gli identificatori di tracciamento online dall'ambito del GDPR dopo un forte lobbying delle grandi aziende tecnologiche. È la lettura di noyb della proposta, non una dichiarazione della Commissione.
Un'abitudine di verifica per chi riceve dati
La lezione pratica è che l'affermazione di un partner secondo cui esiste il consenso è una dichiarazione da verificare, e la verifica spetta a voi.
La decisione riguarda la tecnologia pubblicitaria, ma il suo ragionamento vale per qualunque azienda che riceva dati personali tramite una piattaforma pubblicitaria, un SDK, un partner di lead generation o un elenco acquistato. La tabella è un suggerimento di Servola per applicare il principio, non testo della decisione.
| Da dove ricevete dati personali | Cosa verificare | Quali prove conservare |
|---|---|---|
| Piattaforma pubblicitaria o feed SDK | Quale consenso ha raccolto il mittente e se la formulazione copre il vostro uso | Il testo del consenso e la conferma scritta della piattaforma |
| Partner di lead o di elenchi | Se ogni persona ha accettato di essere contattata da voi | Un campione di registrazioni di consenso e la clausola contrattuale sulla base giuridica |
| Tag e pixel sul vostro sito | Cosa fa ogni fornitore con i dati dei visitatori e se il vostro banner lo copre | L'elenco dei fornitori e il registro dei consensi con le date |
Trattate come dati dell'articolo 9 ogni feed che potrebbe rivelare salute, convinzioni o orientamento sessuale e verificate prima di usare il primo record. Una sola fonte non verificata può trasformare in violazione tutto ciò che viene dopo.
Da leggere ora: Google è stata multata per una prova mancante | Twitch addestra l'IA di Amazon con i tuoi stream di default
