De boete en wat ze omvat
De Noorse gegevensbeschermingsautoriteit Datatilsynet legde op 12 oktober een boete van 92 miljoen NOK op aan Xandr, nu onderdeel van Microsoft, omdat het gevoelige persoonsgegevens van Grindr-gebruikers verwerkte en deelde in strijd met het gegevensbeschermingsrecht.
| Punt | Detail |
|---|---|
| Boete | 92 miljoen NOK, ongeveer 8,6 miljoen euro volgens de omrekening van de autoriteit (noyb noemt 8,5 miljoen, BleepingComputer 9,6 miljoen Amerikaanse dollar) |
| Rang | Hoogste boete die Datatilsynet tot nu toe oplegde |
| Periode | Juli 2018 tot april 2020, bijna twee jaar |
| Grondslag van het bedrag | De eigen jaaromzet van Xandr, niet die van Microsoft |
| Eerdere boete voor Grindr | 65 miljoen NOK in 2021 voor gelijkwaardige overtredingen |
| Beroepstermijn | Drie weken na ontvangst van het besluit |
Xandr deed als koper en verkoper mee aan realtime bidding. Als iemand Grindr opende, werden diens persoonsgegevens in veel gevallen via Xandr doorgegeven aan mogelijk duizenden adverteerders, die boden om die persoon een advertentie te tonen, alles verborgen voor de gebruiker. Daaronder zaten gegevens die de seksuele gerichtheid onthullen, waarvoor volgens de autoriteit bijzondere bescherming geldt: al het gebruik van Grindr wijst daarop. Het gerechtshof van Borgarting oordeelde in dezelfde zin in de zaak over de eigen boete van 65 miljoen NOK voor Grindr wegens gelijkwaardige overtredingen in 2021.
Waarom steunen op de toestemming van Grindr mislukte
Datatilsynet concludeerde dat voor deze gegevens uitdrukkelijke toestemming nodig was en dat Xandr niets had gedaan om te zorgen dat die toestemming geldig was. Xandr verweerde zich met de stelling dat het dacht dat Grindr de toestemming van gebruikers had verzameld, maar de autoriteit accepteert niet dat bedrijven de verantwoordelijkheid simpelweg naar elkaar kunnen schuiven.
De autoriteit stelde vast dat Xandr samen met Grindr gezamenlijk verwerkingsverantwoordelijke was, zodat de plicht om een rechtsgrond te hebben bij Xandr zelf lag. Directeur-generaal Line Coll formuleerde het principe helder: verantwoordelijkheid voor gegevensbescherming kan niet worden doorgeschoven, en elk bedrijf moet zelf zorgen, en kunnen aantonen, dat het persoonsgegevens rechtmatig verwerkt.
Informatie over seksleven of seksuele gerichtheid valt onder de bijzondere categorieën van artikel 9 AVG, waarvan de verwerking verboden is tenzij een uitzondering geldt. Twee factoren verhoogden de boete: de praktijk duurde bijna twee jaar en Xandr haalde direct financieel voordeel uit het onrechtmatige delen.
Wat Microsoft zegt en wat noyb toevoegt
Microsoft zei tegen BleepingComputer dat het onderzoek en de uitkomst gaan over gedrag van vóór de overname van Xandr, dat wettelijke kaders en de handhaving ervan sindsdien zijn veranderd en dat het de beslissing bekijkt en zijn opties beoordeelt. Xandr opereert nu als Microsoft Advertising.
De autoriteit berekende het bedrag op de totale jaaromzet van Xandr en niet op die van Microsoft, omdat Xandr in de bewuste periode geen onderdeel van Microsoft was. Toch ligt de boete nu bij een bedrijf in Microsoft-handen, een herinnering dat de datageschiedenis meeverhuist met het bedrijf dat men koopt.
noyb, dat de oorspronkelijke klacht in 2020 samen met de Noorse Consumentenraad indiende, noemt de beslissing een zware klap voor online adverteren. Het stelt ook dat het Digital Omnibus-voorstel van de Europese Commissie, dat nu in Parlement en Raad wordt besproken, online trackingidentifiers na zware lobby van big tech uit het bereik van de AVG zou halen. Dat is de lezing van noyb van het voorstel, geen verklaring van de Commissie.
Een controlegewoonte voor iedereen die gegevens ontvangt
De praktische les is dat de bewering van een partner dat er toestemming is een claim is die gecontroleerd moet worden, en die controle ligt bij u.
De beslissing gaat over advertentietechnologie, maar de redenering past op elk bedrijf dat persoonsgegevens ontvangt via een advertentieplatform, een SDK, een leadpartner of een gekochte lijst. De tabel is een suggestie van Servola om het principe toe te passen, geen tekst uit de beslissing.
| Waar u persoonsgegevens ontvangt | Wat te controleren | Welk bewijs te bewaren |
|---|---|---|
| Advertentieplatform of SDK-feed | Welke toestemming de afzender verzamelde en of de formulering uw gebruik dekt | De toestemmingstekst en de schriftelijke bevestiging van het platform |
| Lead- of lijstpartner | Of elke persoon akkoord ging met contact door u | Een steekproef van toestemmingsregistraties en de contractclausule over de rechtsgrond |
| Tags en pixels op uw eigen website | Wat elke leverancier met bezoekersgegevens doet en of uw banner dat dekt | De leverancierslijst en het toestemmingslogboek met data |
Behandel elke feed die gezondheid, overtuigingen of seksuele gerichtheid zou kunnen onthullen als artikel 9-gegevens en controleer voordat het eerste record wordt gebruikt. Eén ongecontroleerde bron kan alles wat daarna komt tot een overtreding maken.
Lees hierna: Google kreeg een boete voor bewijs dat ontbrak | Twitch traint Amazons AI standaard op jouw streams
