Норвегия оштрафовала Xandr на €8,6 млн за передачу данных Grindr
Норвежский орган по защите данных оштрафовал Xandr на 8,6 млн евро за незаконную передачу рекламодателям данных пользователей Grindr, способных раскрывать их сексуальную ориентацию. Это крупнейший административный штраф, назначенный регулятором. Нарушения, по его оценке, происходили с июля 2018 года по апрель 2020 года.
Xandr выступала посредником в распространении персональных данных пользователей Grindr в Норвегии. Регулятор сообщил, что такая информация могла передаваться потенциально тысячам компаний рекламной экосистемы. Речь шла о чувствительных данных, для обработки которых требуется надлежащее правовое основание.
Ответственность в цепочке рекламных торгов
Расследование установило, что Xandr и Grindr были совместными операторами данных. В таком статусе Xandr отвечала за получение согласия пользователей до обработки их информации. Однако платформа исходила из того, что согласие уже собрано приложением Grindr, вместо того чтобы самостоятельно удостовериться в законности обработки.
Суть дела связана с механизмом торгов рекламными показами в реальном времени, или real-time bidding. По версии надзорного органа, когда пользователь открывал Grindr, его данные во многих случаях проходили через Xandr к множеству участников рекламного рынка. Рекламодатели могли делать ставки за таргетированное объявление, не раскрывая этот процесс самому пользователю.
Жалобу на Xandr в 2020 году подали Норвежский совет потребителей и австрийская некоммерческая организация None of Your Business, известная как noyb. Они заявляли, что данные передавались в коммерческих целях без явного согласия. По оценке регулятора, от этой практики пострадали тысячи пользователей в Норвегии.
История Xandr и возможное обжалование
Xandr была создана AT&T после покупки AppNexus в июне 2018 года. В конце 2021 года компанию приобрела Microsoft, а в июне 2023 года бренд Xandr был упразднён и объединён с Microsoft Ads. При расчёте штрафа норвежский регулятор учёл совокупный годовой оборот Xandr за двухлетний период до сделки с Microsoft.
На подачу апелляции у Xandr есть три недели. Microsoft сообщила Reuters, что изучает решение и оценивает дальнейшие варианты. В noyb назвали санкцию существенным ударом по индустрии онлайн-рекламы и коммерческого наблюдения.
Что учитывать компаниям
Решение показывает, что посредник в рекламной технологической цепочке не может переложить на партнёра проверку согласия на обработку чувствительных данных. Бизнесу, использующему программные рекламные торги, важно фиксировать собственную роль в обработке, проверять правовые основания и контролировать, кому именно передаются пользовательские данные.