A norvég adatvédelmi hatóság (Datatilsynet) 92 millió norvég korona (mintegy 9,6 millió dollár) bírságot szabott ki a Microsoft tulajdonában álló Xandr hirdetéstechnológiai vállalatra, mert jogellenesen kezelte és osztotta meg a Grindr társkereső alkalmazás felhasználóinak különleges személyes adatait. Ez a hatóság eddigi legnagyobb bírsága.
„Azért szabtunk ki ilyen magas bírságot, mert a feltárt jogsértések rendkívül súlyosak voltak” – nyilatkozta Line Coll, a Datatilsynet főigazgatója. Hozzátette, hogy Norvégiában több ezer felhasználó érzékeny adatait osztották meg jogellenesen.
A hatóság megállapította, hogy 2018 júliusa és 2020 áprilisa között a Xandr valós idejű hirdetési aukciókat (real-time bidding, RTB) bonyolított le a Grindr alkalmazásban. Így a felhasználók adatai – köztük a szexuális irányultságukra utaló információk – akár több ezer vállalathoz is eljuthattak.
A valós idejű hirdetési aukciók során a hirdetők a felhasználókról rendelkezésre álló adatok alapján licitálnak arra, hogy megjeleníthessék hirdetésüket az adott felhasználónak. A Xandr közvetítőként vett részt az aukciókon, és továbbította a licitáláshoz szükséges adatokat az ajánlattevőknek.
A Grindr helyalapú társkereső alkalmazás, amely elsősorban az LMBTQ+ közösség tagjainak szól. Már az alkalmazás használatának ténye is a felhasználó szexuális irányultságára utaló információnak minősül, ezért különleges védelem illeti meg.
A Xandr nem ellenőrizte a felhasználói hozzájárulásokat
A vizsgált időszakban a Xandr és a Grindr közös adatkezelőnek minősült, így mindkét vállalat felelős volt az adatkezelés jogszerűségéért. A Xandrnak ezért gondoskodnia kellett volna arról, hogy a különleges személyes adatok kezeléséhez rendelkezésre álljon az érintettek érvényes, kifejezett hozzájárulása.
A norvég adatvédelmi hatóság szerint azonban a Xandr abból indult ki, hogy a Grindr már beszerezte a szükséges hozzájárulásokat, és érvényességüket nem ellenőrizte.
„A Xandr elmulasztotta ellenőrizni, hogy a Grindr által beszerzett hozzájárulások érvényesek-e, és semmit sem tett azért, hogy saját adatkezelésének legyen megfelelő jogalapja” – fogalmazott Line Coll a hatóság közleményében.
Ennek következtében Norvégiában és más országokban élő Grindr-felhasználók érzékeny adatai hirdetési szereplők ezreihez juthattak el anélkül, hogy az érintettek tudtak volna róla, vagy megadták volna kifejezett hozzájárulásukat.
Az ügy az egész online hirdetési piacra kihathat
Az eljárás azután indult, hogy 2020 januárjában panaszt nyújtott be a noyb (None of Your Business) osztrák adatvédelmi szervezet és a Norvég Fogyasztóvédelmi Tanács (Forbrukerrådet).
A noyb közleményében üdvözölte a hatóság döntését, és úgy látja, hogy ez komoly figyelmeztetés az online hirdetéstechnológiai iparág szereplőinek.
A szervezet szerint a döntés segíthet visszaszorítani azt a gyakorlatot, hogy a vállalatok a felhasználók tudta nélkül osztanak meg egymással érzékeny személyes adatokat, legyen szó weboldalakról, alkalmazásokról, platformokról vagy operációs rendszerekről.
A noyb úgy véli, hogy az ügy az online hirdetési piac egyik alapvető problémájára világít rá: a felhasználók személyes adatai számos vállalathoz kerülhetnek, miközben az érintettek gyakran nem tudják, kik és milyen célból kezelik azokat.
„A mostani bírság azt mutatja, hogy az olyan vállalatokat, mint a Xandr, előbb-utóbb felelősségre vonják a kifogásolható adatkezelési gyakorlatukért” – közölte a szervezet.
A noyb arra is felhívta a figyelmet, hogy ha a cégek az emberek érdeklődése, szokásai, tartózkodási helye és viselkedése alapján reklámcélú profilt alkotnak róluk, ahhoz érvényes hozzájárulás szükséges. A szervezet szerint azonban a hirdetéstechnológiai cégek ezt csak ritkán szerzik be szabályosan.
A Microsoft mérlegeli a fellebbezést
A Xandr, amely ma már a Microsoft Advertising részeként működik, a határozat kézhezvételétől számítva három héten belül fellebbezhet a döntés ellen.
A BleepingComputer megkeresésére a Microsoft szóvivője hangsúlyozta, hogy a vizsgálat és a hatósági döntés olyan adatkezelési gyakorlatra vonatkozik, amelyet a Xandr még azelőtt folytatott, hogy a Microsofthoz került.
A szóvivő szerint azóta megváltozott a szabályozási környezet, és a vonatkozó rendelkezéseket is másként értelmezik és érvényesítik. Hozzátette, hogy a Microsoft vizsgálja a határozatot, és mérlegeli a rendelkezésére álló jogi lehetőségeket.