Ile wynosi kara nałożona na Xandr przez norweski regulator?

Datatilsynet nałożył na Xandr karę 92 mln NOK, czyli około 9,6 mln USD. Decyzja dotyczy nielegalnego przetwarzania i udostępniania danych użytkowników Grindra.

Dlaczego sama zgoda zgłoszona przez aplikację nie wystarczyła?

Administrator danych odpowiada za to, czy zgoda jest ważna, i nie może przerzucić tego obowiązku na aplikację bez sprawdzenia. W tej sprawie zabrakło takiej weryfikacji.

Czy do ujawnienia danych potrzebna była orientacja seksualna użytkownika?

Nie. Wystarczyło, że w systemie reklamowym pojawiła się informacja, że dana osoba korzysta z Grindra, nawet jeśli profil nie zawierał orientacji seksualnej.

Czy RODO obowiązuje w Norwegii?

Tak. Norwegia nie należy do Unii Europejskiej, ale jest członkiem Europejskiego Obszaru Gospodarczego, dlatego stosuje RODO.

Jak mogę sprawdzić i ograniczyć udostępnianie swoich danych reklamowym firmom?

Warto przejrzeć uprawnienia aplikacji, wyłączyć personalizację reklam w systemie i skorzystać z prawa dostępu do danych oraz prawa do ich usunięcia.

Kara 92 mln NOK dla Xandr: nieważna zgoda na dane z Grindra

Norweski regulator ukarał firmę Xandr za przetwarzanie danych użytkowników Grindra bez weryfikacji zgody. Sprawdź, co to oznacza dla Twojej prywatności.

Norweski urząd ochrony danych Datatilsynet nałożył na firmę reklamową Xandr karę w wysokości 92 mln NOK (ok. 9,6 mln USD) za nielegalne przetwarzanie i udostępnianie danych użytkowników aplikacji randkowej Grindr.

Za co Xandr został ukarany?

Podstawą decyzji było to, że Xandr opierał się na zgodzie użytkowników Grindra, nie sprawdzając, czy została ona ważnie udzielona. Problem dotyczył aukcji reklamowych działających w czasie rzeczywistym, w których dane o użytkownikach były przekazywane innym podmiotom. Ten mechanizm działał od lipca 2018 do kwietnia 2020 roku.

Najważniejsze jest to, że do ujawnienia wrażliwej informacji nie trzeba było znać orientacji seksualnej. Wystarczyło, że w systemie reklamowym pojawiał się fakt korzystania z Grindra. Dla wielu osób sama taka informacja jest na tyle wrażliwa, że może wskazywać na ich orientację, dlatego regulator potraktował ją jako dane szczególnie chronione.

Dlaczego zgoda przekazana przez aplikację nie wystarcza?

Z perspektywy RODO zgoda na przetwarzanie danych musi być dobrowolna, świadoma i wyraźna. Obowiązek jej ważności spoczywa na podmiocie, który dane wykorzystuje, a nie wyłącznie na aplikacji, która zbiera zgodę od użytkownika. Firma reklamowa nie może więc bezkrytycznie przyjmować deklaracji partnera jako dowodu.

W praktyce oznacza to, że przedsiębiorstwa działające w ekosystemie reklamowym powinny samodzielnie kontrolować, czy zgody faktycznie spełniają wymogi prawa. Sprawa Xandr pokazuje, że poleganie na cudzym zapewnieniu bez weryfikacji może kosztować bardzo dużo.

Kluczowe liczby i daty sprawy

Parametr	Wartość
Kara Datatilsynet dla Xandr	92 mln NOK (ok. 9,6 mln USD)
Okres działania aukcji w czasie rzeczywistym	lipiec 2018 – kwiecień 2020
Przejęcie Xandr przez Microsoft	6 czerwca 2022
Poprzedni właściciel Xandr	AT&T

Z tabeli widać istotną zależność: naruszenie miało miejsce ponad dwa lata przed przejęciem Xandr przez Microsoft, czyli w okresie, gdy firma należała do AT&T.

Kto zgłosił sprawę i jak zareagował Microsoft?

Skargę złożyła organizacja noyb we współpracy z Norweską Radą Konsumentów. Ponieważ naruszenie miało miejsce przed przejęciem przez Microsoft, odpowiedzialność dotyczy działań podejmowanych jeszcze w strukturze AT&T. Microsoft poinformował, że analizuje decyzję i rozważa dalsze kroki.

Jak ograniczyć udostępnianie swoich danych reklamowym firmom?

Sprawa nie dotyczy wyłącznie Norwegii ani wyłącznie aplikacji randkowych. Mechanizmy, które wykorzystywał Xandr, działają w całym ekosystemie reklamy internetowej. Warto podjąć kilka prostych kroków:

Przejrzyj uprawnienia zainstalowanych aplikacji w ustawieniach telefonu i odbierz dostęp do lokalizacji oraz identyfikatora reklamowego tym, które go nie potrzebują.
Wyłącz personalizację reklam w systemie operacyjnym oraz w ustawieniach prywatności poszczególnych serwisów.
Sprawdź, jakie zgody zaakceptowałeś w aplikacjach dotyczących życia prywatnego, i wycofaj te, których nie chcesz utrzymywać.
Skorzystaj z prawa dostępu do danych, aby dowiedzieć się, jakie informacje o Tobie zostały przekazane podmiotom trzecim, oraz z prawa do żądania ich usunięcia.

Kontekst dla polskiego czytelnika

RODO obowiązuje w Polsce w takim samym kształcie jak w całej Unii Europejskiej, a nadzór nad jego stosowaniem sprawuje Urząd Ochrony Danych Osobowych (UODO). Dla orientacji warto przeliczyć karę: przy założeniu kursu około 0,40 zł za 1 NOK (kurs orientacyjny, zmienny) 92 mln NOK to około 37 mln zł. Polski użytkownik aplikacji randkowych może więc skorzystać z tych samych uprawnień co Norwegowie, a skarga do UODO jest realną drogą, jeśli zauważy nieprawidłowości w przetwarzaniu swoich danych.

Co to oznacza dla Ciebie

Sprawa Xandr pokazuje, że zgoda zapisana w aplikacji nie zawsze chroni użytkownika, bo o jej ważności decyduje także firma, która dane przetwarza. Jeśli korzystasz z aplikacji, które dotyczą Twojej orientacji, wyznania, zdrowia lub innych wrażliwych tematów, zwróć szczególną uwagę na uprawnienia i ustawienia reklam. Nawet pozornie niewinna informacja, na przykład sam fakt korzystania z określonej aplikacji, może zostać wykorzystana w sposób, którego się nie spodziewasz. Warto regularnie sprawdzać ustawienia prywatności i pamiętać, że masz prawo żądać wyjaśnień dotyczących przetwarzania Twoich danych.