Norveška izrekla Xandr-u kaznu od 8,6 miliona evra
Norveški organ za zaštitu podataka izrekao je kompaniji Xandr, nekadašnjoj oglasnoj jedinici u vlasništvu Microsofta, administrativnu kaznu od 8,6 miliona evra zbog nezakonitog prosleđivanja osetljivih podataka korisnika aplikacije Grindr oglašivačima. Regulator navodi da su od jula 2018. do aprila 2020. deljeni podaci koji otkrivaju seksualnu orijentaciju, a kazna je najveća koju je ovo nadzorno telo do sada izreklo.
U pitanju su bile hiljade korisnika u Norveškoj. Norveški regulator ocenio je povredu kao veoma ozbiljnu, jer su podaci preko Xandr-a mogli da stignu do potencijalno hiljada kompanija uključenih u oglasni ekosistem.
Zajednička odgovornost za pristanak
Istraga je utvrdila da su Xandr i Grindr bili zajednički rukovaoci podacima. Takav status znači da Xandr nije mogao samo da pretpostavi da je Grindr prikupio potreban pristanak korisnika, već je imao sopstvenu odgovornost da obezbedi pravni osnov za obradu podataka.
Xandr je, prema nalazima regulatora, ukazivao na Grindr i tvrdio da je smatrao da je aplikacija pribavila saglasnost. Organ za zaštitu podataka odbacio je takvo oslanjanje na partnera kao dovoljno opravdanje za Xandr-ovu sopstvenu obradu i prosleđivanje podataka.
Real-time bidding pod nadzorom
Središte slučaja bio je model real-time bidding, u kojem je Xandr delovao i na strani kupca i na strani prodavca oglasnog prostora. Kada bi korisnik otvorio Grindr, njegovi podaci su u mnogim slučajevima preko Xandr-a prosleđivani velikom broju učesnika, kako bi oglašivači mogli da licitiraju za prikaz ciljanog oglasa.
Regulator je naglasio da se takvo nadmetanje odvijalo skriveno od pojedinačnog korisnika. Visina kazne određena je i uzimajući u obzir ukupan godišnji promet Xandr-a tokom relevantnog dvogodišnjeg perioda, pre nego što je Microsoft kupio kompaniju.
Promene vlasništva ne brišu raniju obradu
Xandr je nastao nakon što je AT&T u junu 2018. preuzeo AppNexus. Microsoft je Xandr kupio krajem decembra 2021, a brend je u junu 2023. ugašen i objedinjen pod Microsoft Ads. Microsoft je saopštio da razmatra odluku norveškog regulatora i dostupne mogućnosti, dok Xandr ima rok od tri nedelje za žalbu.
Postupak je pokrenut posle prijave norveškog saveta potrošača i austrijske organizacije noyb iz 2020. godine. Za poslovanje je praktična pouka da ugovorna podela uloga ne uklanja obavezu provere pristanka, pravnog osnova i stvarnih tokova osetljivih podataka kroz oglasne tehnologije.