Norveška: 8,6 mio EUR za Xandr
Norveški nadzorni organ Datatilsynet je Microsoftovemu podjetju izrekel globo zaradi nezakonite obdelave osebnih podatkov uporabnikov aplikacije Grindr.
Novica je bila objavljena 12. 10. 2026.
ostopek se je začel leta 2020, ko je norveški potrošniški svet ob podpori organizacije noyb vložil več prijav zaradi domnevno nezakonitega posredovanja osebnih podatkov uporabnikov aplikacije Grindr oglaševalskim podjetjem. Med prijavljenimi družbami je bil tudi Xandr, nekdanji AppNexus, ki ga je leta 2022 prevzel Microsoft.
Grindr je aplikacija za spoznavanje, namenjena predvsem gejem, biseksualnim, transspolnim in queer osebam. Njena brezplačna različica se med drugim financira z oglaševanjem, pri čemer so se podatki uporabnikov posredovali različnim ponudnikom oglaševalskih storitev.
Xandr je v tem procesu sodeloval kot posrednik v sistemu programatičnega oglaševanja oziroma dražb v realnem času (real-time bidding, RTB). Gre za način spletnega oglaševanja, pri katerem se ob uporabi aplikacije ali obisku spletne strani v delčku sekunde izvede avtomatizirana dražba za prikaz oglasa. Podatki o uporabniku se pri tem posredujejo oglaševalskim platformam, ki oglaševalcem omogočajo odločanje o tem, koliko so pripravljeni plačati za prikaz oglasa določenemu posamezniku.
V obravnavanem primeru so se prek sistema Xandr obdelovali podatki uporabnikov Grindrja, med drugim oglaševalski identifikatorji, naslovi IP in podatek o uporabi aplikacije. Ti podatki so bili v okviru oglaševalskega ekosistema lahko posredovani potencialno več tisoč drugim subjektom.
Posebej problematično je bilo dejstvo, da lahko že podatek o uporabi aplikacije Grindr razkriva spolno usmerjenost posameznika. Takšna informacija predstavlja posebno vrsto osebnih podatkov v smislu 9. člena GDPR, za katere velja strožji režim varstva.
Odločitev nadzornega organa
Norveški nadzorni organ je ugotovil, da je družba Xandr osebne podatke uporabnikov Grindrja obdelovala brez ustrezne pravne podlage, s čimer je kršila prvi odstavek 6. člena GDPR. Ker je obdelava zajemala tudi podatke, ki razkrivajo spolno usmerjenost, je ugotovil še kršitev prvega odstavka 9. člena GDPR, saj ni bila izpolnjena nobena od izjem, ki dopuščajo obdelavo posebnih vrst osebnih podatkov.
Pomemben del presoje se je nanašal na vprašanje odgovornosti posameznih subjektov, ki sodelujejo v kompleksnem sistemu spletnega oglaševanja.
Xandr je namreč zatrjeval, da je za pridobitev privolitev uporabnikov odgovoren Grindr in da se je pri svoji obdelavi podatkov zanašal na privolitve, ki naj bi jih pridobila aplikacija. Nadzorni organ takšnega stališča ni sprejel.
Ugotovil je, da je imel Xandr pri obravnavanih postopkih obdelave položaj skupnega upravljavca, in sicer pri dejavnostih na strani ponudbe in povpraševanja po oglasnem prostoru. Zato bi moral tudi sam zagotoviti, da so za njegovo obdelavo osebnih podatkov izpolnjene zahteve GDPR.
Ker je šlo za posebne vrste osebnih podatkov, bi bila za obravnavano obdelavo potrebna izrecna privolitev posameznikov v skladu s točko (a) drugega odstavka 9. člena GDPR. Nadzorni organ je ugotovil, da privolitve, na katere se je sklicevala družba Xandr, niso izpolnjevale zahtev iz 4. in 7. člena GDPR. Družba njihove veljavnosti ni ustrezno preverila, prav tako ni zagotovila, da bi zajemale njene lastne postopke obdelave.
Nadzorni organ je pri tem poudaril, da odgovornosti za zakonitost obdelave osebnih podatkov ni mogoče preprosto prenesti na drugega udeleženca v oglaševalski verigi. Vsak skupni upravljavec mora biti sposoben izkazati, da ima za svoje postopke obdelave ustrezno pravno podlago. Zgolj zanašanje na zagotovila poslovnega partnerja zato ne zadostuje.
Pri določanju višine globe je nadzorni organ upošteval resnost kršitev, naravo obdelovanih podatkov in dejstvo, da je nezakonita obdelava trajala skoraj dve leti, od julija 2018 do aprila 2020. Pomembna okoliščina je bila tudi gospodarska korist, ki jo je družba pridobivala z obdelavo in posredovanjem osebnih podatkov v okviru svoje oglaševalske dejavnosti.
Izrečena globa v višini 92 milijonov norveških kron je najvišja v zgodovini norveškega nadzornega organa. Pri njenem izračunu je bil upoštevan letni promet družbe Xandr, ne pa celotne skupine Microsoft, saj Xandr v času kršitev še ni bil del Microsofta.
Odločitev je pomembna predvsem za ponudnike oglaševalskih tehnologij in druge subjekte, ki sodelujejo v obsežnih podatkovnih ekosistemih. Potrjuje namreč, da kompleksnost oglaševalske verige posameznih udeležencev ne razbremeni odgovornosti za zakonitost obdelave. Tudi kadar osebne podatke in informacije o privolitvah prejmejo od drugih subjektov, morajo sami preveriti, ali so izpolnjeni pogoji za njihovo nadaljnjo obdelavo.
Odločitev še ni nujno dokončna, saj ima družba Xandr možnost vložitve pritožbe v treh tednih od prejema odločbe.
Sporočilo za javnost nadzornega organa je dostopno tukaj.
Vir: noyb.eu
Naslovna fotografija: Ustvarjena z UI
