8,6 millió euróra bírságolta az Xandrt a norvég adatvédelmi hatóság
8 600 000 eurós közigazgatási bírságot szabott ki az Xandr Inc.-re a norvég adatvédelmi hatóság a Grindr felhasználóinak adatai miatt. Az Európai Adatvédelmi Testület szerint a cég jogalap nélkül kezelte többek között a felhasználók Grindr-használatára, hirdetési azonosítójára és IP-címére vonatkozó adatokat.
- A norvég adatvédelmi hatóság 8 600 000 eurós bírságot szabott ki az Xandr Inc.-re.
- Az ügy a Grindr valós idejű hirdetési licitálási rendszeréhez kapcsolódott.
- A vizsgált adatok között a Grindr használata, a hirdetési azonosító és az IP-cím szerepelt.
- A hatóság a Grindr-használat tényét a szexuális irányultságra vonatkozó adatként kezelte.
- Az Xandrnek közös adatkezelőként saját maga kellett volna ellenőriznie a hozzájárulás érvényességét.
Egy 2020-ban indult ügy végére került pont
Az ügy 2020-ban kezdődött, amikor a Norvég Fogyasztóvédelmi Tanács panaszt tett a norvég adatvédelmi hatóságnál az Xandr ellen. A vállalat akkor AppNexus néven működött, jelenleg pedig a Microsoft része.
A vizsgálat a Grindr helyalapú társkereső alkalmazás valós idejű licitálási rendszerére, vagyis a real-time bidding folyamatára terjedt ki. A Grindr a meleg, biszexuális, transznemű és queer embereket célozza. A norvég hatóság végleges döntésének dátuma 2026. október 2., az Európai Adatvédelmi Testület erről szóló híre október 16-án jelent meg.
A hatóság szerint érzékeny adatokat is kezeltek
A norvég adatvédelmi hatóság álláspontja szerint egyértelműen valószínűsíthető, hogy az Xandr a valós idejű licitálás során kezelte a Grindr felhasználóinak személyes adatait. Ezek közé tartozott legalább annak ténye, hogy valaki használta a Grindrt, továbbá a hirdetési azonosító és az IP-cím.
A döntés szerint ezek az általános adatvédelmi rendelet, vagyis a GDPR 4. cikkének 1. pontja alapján személyes adatok. A Grindr használatának ténye ugyanakkor a szexuális irányultságra vonatkozó adatnak minősülhet, amelyet a GDPR 9. cikkének 1. pontja különleges adatkategóriájú adatként kezel.
Az Xandr a hatóság szerint közös adatkezelőnek számított a feldolgozásban, beszállítói és keresleti oldali platformként is. Mivel különleges adatok érintettek, a kezeléshez a GDPR 9. cikkének 2. a) pontja szerinti kifejezett hozzájárulás lett volna szükséges.
A hozzájárulás ellenőrzését nem lehet másra átruházni
Az Xandr maga nem szerzett hozzájárulást, hanem a Grindr által begyűjtött hozzájárulásra támaszkodott. A norvég hatóság szerint ez a hozzájárulás nem felelt meg a GDPR 4. cikkének 11. pontjában és 7. cikkében meghatározott követelményeknek.
Az Európai Adatvédelmi Testület összefoglalója szerint az adatkezelői felelősség nem szervezhető ki. Minden közös adatkezelőnek önállóan kell ellenőriznie, hogy a hozzájárulás érvényes-e, és kiterjed-e a saját adatkezelésére. A hatóság a jogsértéseket legalább gondatlanságból elkövetettnek minősítette, súlyosságukat pedig magasnak értékelte, mivel a GDPR központi rendelkezéseit és érzékeny adatokat érintettek.
Az Xandr Inc.-re kiszabott 8 600 000 eurós bírság két jogsértéshez kapcsolódik: a Grindr norvég felhasználói személyes adatainak jogalap nélküli kezeléséhez, amely sérti a GDPR 6. cikkének 1. pontját, valamint a szexuális irányultságra vonatkozó különleges adatok érvényes kivétel nélküli kezeléséhez, amely sérti a GDPR 9. cikkének 1. pontját.
A döntés a hirdetési technológiai cégek és az online platformok számára azt jelenti, hogy a valós idejű hirdetési folyamatban részt vevő közös adatkezelőknek saját maguknak is vizsgálniuk kell a hozzájárulások jogszerűségét, különösen különleges adatok kezelésekor.
