Норвежкият орган за защита на данните (Datatilsynet) наложи глоба от 9,6 милиона долара (92 милиона норвежки крони) на Xandr, рекламна компания, собственост на Microsoft, за незаконосъобразно обработване и споделяне на чувствителни данни, принадлежащи на потребители на Grindr в страната.

Органът за защита на данните заяви, че това е най-голямата глоба, която някога е налагал.

„Наложихме толкова висока глоба в този случай, тъй като установените от нас нарушения бяха изключително сериозни“, заяви Лине Кол, генерален директор на Datatilsynet.

„Хиляди потребители в Норвегия са били подложени на незаконосъобразно споделяне на техните чувствителни данни.“

Според констатациите на органа, между юли 2018 г. и април 2020 г. Xandr е управлявала рекламни търгове в реално време вътре в Grindr, които потенциално са изложили данните на потребителите, включително чувствителна информация за сексуална ориентация, пред хиляди компании.

Тези търгове функционират чрез наддаване от страна на рекламодателите за правото да показват реклама на потребител на Grindr, след като получат профилираща информация от Xandr, която е действала като посредник.

По това време Xandr е била съвместен администратор заедно с Grindr, което означава, че е носила отговорност за начина, по който са били използвани данните, и е трябвало да изисква и получи изрично съгласие от субектите на данни за това обработване.

Grindr е приложение за запознанства, базирано на местоположение, което обслужва предимно ЛГБТК+ общността.

Според норвежката агенция за защита на личните данни Xandr е предположила, че Grindr е получил валидно съгласие, но не е предприела никакви действия, за да го провери.

„Xandr е пропуснала да провери дали съгласията от Grindr са били валидни и не е направила нищо, за да гарантира, че разполага с правно основание за собственото си обработване“, заяви Кол.

В резултат на това чувствителна информация за потребители на Grindr от Норвегия и други държави е била разкрита пред хиляди рекламодатели, без потребителите да осъзнават това или някога да са предоставяли изрично съгласие.

Австрийската неправителствена организация за защита на неприкосновеността на личния живот Noyb, която подаде първоначалната жалба през януари 2020 г. съвместно с Норвежкия потребителски съвет (Forbrukerrådet), приветства решението на Datatilsynet, наричайки го „голям удар срещу индустрията за онлайн рекламни технологии“.

Според организацията решението слага край на лошите практики на големите играчи в индустрията за онлайн реклама и търговско наблюдение, включително неограничения и скрит обмен на чувствителни потребителски данни между уебсайтове, приложения, платформи и операционни системи.

„Настоящата глоба показва, че компании като Xandr в крайна сметка биват държани отговорни за своите сенчести практики“, заявиха от Noyb.

„Профилирането на интересите, навиците, местоположението и поведението на хората изисква валидно съгласие – каквото adtech компаниите почти никога не получават.“

На Xandr, която понастоящем функционира като Microsoft Advertising, бяха дадени три седмици за обжалване на решението.

BleepingComputer се свърза с Microsoft за коментар относно решението на норвежката агенция, а говорител подчерта, че разследването и резултатът „са насочени към поведение, предхождащо придобиването на Xandr от Microsoft“.

Оттогава правните рамки и начинът, по който се тълкуват и прилагат, са се променили, заяви говорителят, добавяйки, че Microsoft „преглежда решението и оценява възможностите си“.