Norvegia amendează Xandr cu suma record de 8,6 mil. € pentru datele utilizatorilor Grindr

Autoritatea norvegiană pentru protecția datelor, Datatilsynet, a amendat Xandr cu 8,6 milioane de euro (circa 9,6 milioane de dolari). Xandr este divizia de publicitate construită de AT&T și vândută ulterior către Microsoft. Firma a transmis către advertiseri date personale ale utilizatorilor Grindr, inclusiv informații care dezvăluie orientarea sexuală. Este cea mai mare amendă administrativă dată vreodată de această autoritate, care a descris încălcarea drept „foarte gravă”.

Ce s-a întâmplat

Perioada: încălcările au avut loc între iulie 2018 și aprilie 2020.
Mecanismul: Xandr acționa atât pe partea de cumpărare, cât și pe cea de vânzare în licitațiile publicitare în timp real (RTB). Când un utilizator deschidea Grindr, datele lui puteau ajunge prin Xandr la potențial mii de companii din ecosistemul publicitar. Aceste companii licitau apoi pentru a-i afișa reclame țintite, fără ca utilizatorul să vadă ceva din acest proces.
Constatarea juridică: autoritatea a stabilit că Xandr era operator asociat împreună cu Grindr. Prin urmare, Xandr trebuia să aibă propriul temei legal, inclusiv consimțământul, înainte să prelucreze datele. Xandr a susținut că a presupus că Grindr obținuse consimțământul. Autoritatea a respins această apărare.
Cum a început cazul: în 2020, Consiliul Consumatorilor din Norvegia și organizația austriacă noyb au depus o plângere. Aceștia au acuzat partajarea datelor în scop comercial fără consimțământul explicit al utilizatorilor.
Cum s-a calculat amenda: pe baza cifrei de afaceri anuale a Xandr din perioada încălcării, adică dinainte de achiziția de către Microsoft. Xandr are trei săptămâni pentru a contesta decizia. Microsoft spune că analizează decizia.

De ce contează

Cazul nu privește doar o singură platformă de publicitate. El arată patru lucruri:

Rolul de intermediar nu te protejează. Dacă platforma ta decide cum și de ce circulă datele personale, autoritățile te pot considera operator asociat, chiar dacă nu ai colectat tu datele.
„Partenerul a obținut consimțământul” nu este o apărare. Fiecare operator trebuie să își poată demonstra propriul temei legal.
Datele sensibile atrag cele mai mari amenzi. Conform art. 9 GDPR, datele care dezvăluie orientarea sexuală, starea de sănătate sau trăsături similare atrag un control mai strict și amenzi mai mari.
Răspunderea rămâne și după o achiziție. Faptele au avut loc sub AT&T, dar decizia a venit ani mai târziu, după vânzare. Cine cumpără o companie preia și riscurile istorice legate de date.

Ce e de făcut

Inventariați fluxurile de date către terți. Listați fiecare SDK, rețea de publicitate, instrument de analiză și broker de date din aplicațiile web și mobile, împreună cu câmpurile exacte pe care le primește fiecare.
Identificați semnalele sensibile. Marcați orice informație care poate dezvălui date din categorii speciale. Aici intră chiar și faptul că cineva folosește o anumită aplicație: o aplicație de dating, de sănătate sau religioasă poate fi suficientă. Nu trimiteți astfel de date în fluxuri RTB fără consimțământ explicit și documentat.
Revizuiți rolurile de operator și persoană împuternicită. Recitiți contractele de ad-tech și de partajare a datelor. Acolo unde stabiliți scopul sau mijloacele prelucrării, porniți de la ideea că sunteți operator asociat și documentați-vă propriul temei legal.
Verificați consimțământul cu dovezi. Testați ce transmite efectiv platforma de consimțământ înainte și după ce utilizatorul refuză. Nu vă bazați doar pe ce spun furnizorii.
Includeți protecția datelor în due diligence-ul pentru achiziții. Înainte de a finaliza o tranzacție, cereți inventarul fluxurilor de date, istoricul plângerilor la autorități și dovezi ale consimțământului.
Fiți pregătiți pentru întrebările autorității. Păstrați un registru al activităților de prelucrare și evaluări DPIA care să arate rapid cine primește ce date și de ce.

Evaluările noastre semnalează scripturile terțe necontrolate, SDK-urile de tracking și datele care ajung pe domenii externe. Acestea sunt adesea punctul tehnic de pornire pentru astfel de probleme de conformitate.

Subiect relatat inițial de The Hacker News. Rezumat și analiză: echipa 4Tify.