Norwegia karze Xandr za domniemaną zgodę

Kara i co obejmuje

Norweski organ ochrony danych, Datatilsynet, nałożył 12 października na Xandr, dziś część Microsoftu, karę 92 milionów NOK za przetwarzanie i udostępnianie wrażliwych danych osobowych użytkowników Grindr z naruszeniem prawa ochrony danych.

Xandr uczestniczył w licytacjach w czasie rzeczywistym jako kupujący i sprzedający. Gdy ktoś otwierał Grindr, jego dane osobowe były w wielu przypadkach przekazywane przez Xandr potencjalnie tysiącom reklamodawców, którzy licytowali prawo pokazania tej osobie reklamy, wszystko ukryte przed użytkownikiem. Wśród danych były informacje ujawniające orientację seksualną, którym organ przypisuje szczególną ochronę: samo bycie użytkownikiem Grindr wskazuje na tę orientację. Sąd apelacyjny Borgarting orzekł tak samo w sprawie własnej kary 65 milionów NOK dla Grindr za równoważne naruszenia w 2021 roku.

Dlaczego oparcie się na zgodzie Grindr nie wystarczyło

Datatilsynet uznał, że do przetwarzania tych danych potrzebna była wyraźna zgoda i że Xandr nie zrobił nic, aby upewnić się, że ma ważną zgodę. Xandr bronił się twierdzeniem, że sądził, iż Grindr zebrał zgody użytkowników, ale organ nie akceptuje, by firmy mogły po prostu zrzucać odpowiedzialność na siebie nawzajem.

Organ uznał Xandr za współadministratora razem z Grindr, więc obowiązek posiadania podstawy prawnej spoczywał na samym Xandr. Dyrektor generalna Line Coll sformułowała zasadę jasno: odpowiedzialności za ochronę danych nie można przerzucić na innych, a każda firma musi sama zapewnić i umieć udokumentować, że przetwarza dane osobowe zgodnie z prawem.

Informacje o życiu seksualnym lub orientacji seksualnej należą do szczególnych kategorii z artykułu 9 RODO, których przetwarzanie jest zakazane, chyba że zachodzi wyjątek. Dwa czynniki zaostrzyły karę: praktyka trwała prawie dwa lata, a Xandr czerpał bezpośrednią korzyść finansową z niezgodnego z prawem udostępniania.

Co mówi Microsoft i co dodaje noyb

Microsoft powiedział BleepingComputer, że dochodzenie i jego wynik dotyczą zachowań sprzed przejęcia Xandr, że ramy prawne i ich egzekwowanie od tamtej pory się zmieniły oraz że firma analizuje decyzję i ocenia swoje opcje. Xandr działa dziś jako Microsoft Advertising.

Organ obliczył kwotę na podstawie całkowitego rocznego obrotu Xandr, a nie Microsoftu, ponieważ w danym okresie Xandr nie był częścią Microsoftu. Mimo to kara spoczywa teraz na firmie należącej do Microsoftu, co przypomina, że historia danych podąża za kupowaną spółką.

noyb, który w 2020 roku złożył pierwotną skargę razem z Norweską Radą Konsumentów, nazywa decyzję poważnym ciosem dla reklamy internetowej. Twierdzi też, że wniosek Komisji Europejskiej Digital Omnibus, omawiany obecnie w Parlamencie i Radzie, wyłączyłby internetowe identyfikatory śledzące z zakresu RODO po silnym lobbingu wielkich firm technologicznych. To interpretacja noyb, a nie oświadczenie Komisji.

Nawyk weryfikacji dla każdego, kto otrzymuje dane

Praktyczna lekcja jest taka, że zapewnienie partnera o istnieniu zgody to twierdzenie do sprawdzenia, a sprawdzenie należy do ciebie.

Decyzja dotyczy technologii reklamowej, ale jej rozumowanie pasuje do każdej firmy, która otrzymuje dane osobowe przez platformę reklamową, SDK, partnera od leadów lub kupioną listę. Tabela to propozycja Servoli, jak zastosować tę zasadę, a nie treść decyzji.

Traktuj każdy kanał, który mógłby ujawniać zdrowie, przekonania lub orientację seksualną, jak dane z artykułu 9 i sprawdź go, zanim użyjesz pierwszego rekordu. Jedno niesprawdzone źródło może zamienić wszystko, co dalej, w naruszenie.

Czytaj dalej: Google ukarano za dowód, którego nie miał  |  Twitch domyślnie trenuje AI Amazona na twoich streamach