Böterna och vad de omfattar
Norges dataskyddsmyndighet Datatilsynet bötfällde den 12 oktober Xandr, numera en del av Microsoft, med 92 miljoner NOK för att ha behandlat och delat känsliga personuppgifter om Grindr-användare i strid med dataskyddsreglerna.
| Punkt | Uppgift |
|---|---|
| Böter | 92 miljoner NOK, cirka 8,6 miljoner euro enligt myndighetens omräkning (noyb anger 8,5 miljoner, BleepingComputer 9,6 miljoner amerikanska dollar) |
| Rang | De högsta böter Datatilsynet hittills utfärdat |
| Period | Juli 2018 till april 2020, nästan två år |
| Grund för beloppet | Xandrs egen årsomsättning, inte Microsofts |
| Tidigare böter mot Grindr | 65 miljoner NOK 2021 för motsvarande överträdelser |
| Tid för överklagande | Tre veckor från att beslutet mottogs |
Xandr deltog i realtidsbudgivning som både köpare och säljare. När någon öppnade Grindr skickades personens personuppgifter i många fall vidare via Xandr till potentiellt tusentals annonsörer, som bjöd för att få visa en annons för personen, allt dolt för användaren. Uppgifterna omfattade information som avslöjar sexuell läggning, vilken enligt myndigheten har ett särskilt skydd: att vara användare av Grindr visar i sig läggningen. Hovrätten i Borgarting kom till samma slutsats i målet om Grindrs egna böter på 65 miljoner NOK för motsvarande överträdelser 2021.
Varför det inte räckte att lita på Grindrs samtycke
Datatilsynet drog slutsatsen att uttryckligt samtycke krävdes för att behandla uppgifterna och att Xandr inte hade gjort något för att försäkra sig om ett giltigt samtycke. Xandr försvarade sig med att man trodde att Grindr hade inhämtat användarnas samtycke, men myndigheten godtar inte att företag bara kan skylla på varandra.
Myndigheten fann att Xandr var gemensamt personuppgiftsansvarig med Grindr, så skyldigheten att ha en rättslig grund låg hos Xandr själv. Generaldirektör Line Coll formulerade principen tydligt: ansvaret för dataskydd kan inte skjutas över på andra, och varje företag måste själv säkerställa, och kunna dokumentera, att det behandlar personuppgifter lagligt.
Uppgifter om sexualliv eller sexuell läggning hör till de särskilda kategorierna i artikel 9 i GDPR, där behandling är förbjuden om inte ett undantag gäller. Två faktorer skärpte böterna: förfarandet pågick i nästan två år och Xandr fick en direkt ekonomisk fördel av det olagliga delandet.
Vad Microsoft säger och vad noyb tillägger
Microsoft sa till BleepingComputer att utredningen och utfallet gäller agerande från före köpet av Xandr, att rättsliga ramar och tillämpningen av dem har ändrats sedan dess och att man granskar beslutet och bedömer sina alternativ. Xandr verkar i dag som Microsoft Advertising.
Myndigheten räknade ut beloppet på Xandrs totala årsomsättning och inte på Microsofts, eftersom Xandr inte var en del av Microsoft under den aktuella perioden. Ändå hamnar böterna nu hos ett företag som Microsoft äger, en påminnelse om att datahistoriken följer med det företag man köper.
noyb, som lämnade in det ursprungliga klagomålet tillsammans med Norska konsumentrådet 2020, kallar beslutet ett stort slag mot nätannonsering. Organisationen hävdar också att Europeiska kommissionens förslag Digital Omnibus, som nu diskuteras i parlamentet och rådet, skulle ta spårnings-id på nätet ur GDPR:s tillämpningsområde efter hårt lobbyarbete från big tech. Det är noybs tolkning av förslaget och inget uttalande från kommissionen.
En kontrollvana för alla som tar emot data
Den praktiska lärdomen är att en partners uppgift om att samtycke finns är ett påstående som måste kontrolleras, och kontrollen ligger hos dig.
Beslutet gäller annonsteknik, men resonemanget passar varje företag som tar emot personuppgifter via en annonsplattform, en SDK, en leadspartner eller en köpt lista. Tabellen är Servolas förslag på hur principen kan tillämpas och inte ordalydelse ur beslutet.
| Var du tar emot personuppgifter | Vad som ska kontrolleras | Vilka bevis som ska sparas |
|---|---|---|
| Annonsplattform eller SDK-flöde | Vilket samtycke avsändaren inhämtade och om formuleringen täcker din användning | Samtyckestexten och plattformens skriftliga bekräftelse |
| Lead- eller listpartner | Om varje person har sagt ja till att bli kontaktad av dig | Ett urval av samtyckesregistreringar och avtalsklausulen om rättslig grund |
| Taggar och pixlar på din egen webbplats | Vad varje leverantör gör med besöksdata och om din banner täcker det | Leverantörslistan och samtyckesloggen med datum |
Behandla varje flöde som kan avslöja hälsa, övertygelser eller sexuell läggning som uppgifter enligt artikel 9 och kontrollera innan den första posten används. En enda okontrollerad källa kan göra allt som följer till en överträdelse.
Läs vidare: Google fick böter för bevis det inte hade | Twitch tränar Amazons AI på dina sändningar som standard
