Норвежский регулятор оштрафовал Xandr на 92 млн крон за данные пользователей Grindr

Нарушения относятся к периоду с июля 2018 по апрель 2020 года, когда компания ещё работала независимо от Microsoft. Жалобу в 2020 году подала Норвежская совет потребителей, тогда компания действовала под названием AppNexus.

По данным регулятора, Xandr передавал сведения о пользователях приложения знакомств Grindr тысячам участников рекламного аукциона без законного основания и явного согласия. Сам факт пользования Grindr указывает на сексуальную ориентацию, поэтому такие данные относятся к особой категории с повышенной защитой.

Как работала передача данных

Xandr участвовал в real-time bidding, действуя и на стороне продавца, и на стороне покупателя рекламы. Когда человек открывал Grindr в Норвегии, его данные передавались через Xandr потенциально тысячам компаний, которые затем соревновались за показ рекламы. Пользователь при этом ничего не видел.

Xandr ссылался на то, что, по его мнению, Grindr получил согласие пользователей. Регулятор отклонил этот довод и указал, что компания не проверяла, были ли согласия действительными.

Контекст и что это значит

Решение во многом совпадает с недавним французским делом против Criteo, где суд оставил в силе штраф в €40 млн и указал, что контролёр должен уметь доказать наличие согласия, даже если его собрала третья сторона.

Для рекламодателей и рекламных технологий вывод простой: ответственность за законность данных не переходит к партнёрам по цепочке. Компаниям стоит проверить, какие аудиторные сегменты построены на чувствительных признаках. Апелляция возможна в течение трёх недель с момента получения решения.