Microsoftbolag får rekordbot efter delning av Grindr-användares uppgifter
Norska dataskyddsmyndigheten bötfäller Microsofts annonsteknikbolag Xandr med 92 miljoner norska kronor, motsvarande omkring 8,5 miljoner euro. Bolaget bedöms olagligt ha förmedlat känsliga uppgifter om Grindr-användare till tusentals annonsörer.
Microsofts annonsteknikbolag Xandr har fått en bot på 92 miljoner norska kronor efter att ha hanterat personuppgifter från dejtingappen Grindr utan giltigt rättsligt stöd.
Enligt den norska dataskyddsmyndigheten Datatilsynet är det den största sanktionsavgift myndigheten hittills har utfärdat.
Uppgifterna förmedlades mellan juli 2018 och april 2020 genom system för automatiserade annonsauktioner. I sådana system kan information om användare skickas vidare till annonsföretag som konkurrerar om att visa riktade annonser.
Enligt myndigheten kunde uppgifterna från Grindr avslöja användarnas sexuella läggning och nå tusentals företag.
Känsliga personuppgifter
Grindr riktar sig till homosexuella, bisexuella och andra hbtqi-personer. Uppgifter om sexuell läggning räknas som känsliga personuppgifter enligt EU:s dataskyddsförordning, GDPR, och omfattas av särskilda skyddsregler.
Datatilsynet anser att Xandr hade ett eget ansvar för att säkerställa att behandlingen var laglig och att användarnas samtycke uppfyllde kraven.
Xandr har enligt Reuters uppgett att bolaget utgick från att Grindr hade inhämtat användarnas samtycke, utan att självt kontrollera saken. Den norska myndigheten avvisade det resonemanget och slog fast att ansvaret inte kan skjutas över på den app som samlar in uppgifterna.
Microsoft köpte Xandr 2022 efter den period då överträdelserna ägde rum. Företaget uppger att integritetsskydd är en prioritet och att det nu granskar beslutet och sina handlingsalternativ. Xandr har tre veckor på sig att överklaga.
Appar sprider användardata
Grindr fick tidigare en sanktionsavgift på 65 miljoner norska kronor för samma typ av datadelning. Det nya beslutet riktar i stället in sig på en aktör längre ned i annonskedjan och understryker att även företag som tar emot och förmedlar personuppgifter kan hållas ansvariga för hur informationen används.
Ärendet började med en anmälan 2020 från norska Forbrukerrådet och den europeiska integritetsorganisationen noyb. Deras granskning av annonsbranschen visade hur appar kunde sprida användardata vidare till ett stort antal företag, ofta utan att användarna hade en tydlig bild av vilka aktörer som fick tillgång till informationen.
