Norge ger Microsoftbolaget rekordbot – känsliga uppgifter användes i annonser

Den norska dataskyddsmyndigheten Datatilsynet har beslutat att bötfälla annonsföretaget Xandr, som sedan 2022 ägs av Microsoft. Företaget har behandlat uppgifter från användare av dejtingappen Grindr utan giltig rättslig grund. Böterna motsvarar omkring 8,6 miljoner euro och är de högsta som den norska myndigheten någonsin har utfärdat.

Enligt Datatilsynet handlar det om tusentals norska användare vars känsliga information har kunnat delas vidare till potentiellt tusentals andra företag. Bland uppgifterna finns information som kan avslöja en persons sexuella läggning.

Så spreds användarnas uppgifter på bråkdelar av en sekund

Bakom överträdelsen finns en teknik som kallas realtidsbudgivning, eller Real-Time Bidding (RTB). Den används inom digital annonsering för att automatiskt sälja annonsutrymme till högstbjudande annonsör.

När en användare öppnar en app kan information om personen skickas till olika annonsplattformar. Där får annonsörer möjlighet att lägga bud på att visa reklam för just den användaren. Hela processen sker automatiskt, ofta på en bråkdel av en sekund.

Problemet i Xandrs fall var vilken information som skickades vidare och att företaget saknade giltig rättslig grund för behandlingen. Myndighetens utredning visar att uppgifter om användarnas IP-adresser, reklamidentifierare och användning av Grindr behandlades i annonsauktionerna.

Eftersom Grindr framför allt riktar sig till homosexuella, bisexuella och andra hbtq-personer kan själva uppgiften om att någon använder appen avslöja känslig information. Enligt GDPR omfattas uppgifter om sexuell läggning av ett särskilt starkt skydd.

Det innebär inte att varje annonsör automatiskt fick tillgång till samtliga personuppgifter. Däremot kunde information spridas till ett stort antal aktörer redan genom att de deltog i annonsauktionerna, oavsett vem som till slut vann budgivningen.

Läs mer: Dustin.se varnar kunder efter intrång: personuppgifter kan vara drabbade

Företaget litade på Grindrs samtycke

En central del av beslutet handlar om vem som egentligen ansvarar för att användarna har godkänt hur deras information används. Xandr har försvarat sin hantering med att företaget utgick från att Grindr redan hade samlat in nödvändiga samtycken.

Det argumentet accepterar inte Datatilsynet. Myndigheten anser att Xandr hade ett eget ansvar att kontrollera att samtyckena var giltiga och omfattade den personuppgiftsbehandling som företaget utförde.

Xandr bedöms ha varit gemensamt personuppgiftsansvarigt med Grindr. Det betyder att bolaget inte kunde överlåta hela ansvaret för användarnas integritet till apputvecklaren.

Fallet började redan 2020 när norska Forbrukerrådet lämnade in klagomål mot Grindr och flera företag inom annonsteknik. Organisationen hade undersökt hur appar delade information med externa aktörer och ifrågasatte om användarna hade tillräcklig insyn och kontroll.

Samma annonsteknik används i Sverige

Även om beslutet gäller norska Grindr-användare är tekniken bakom händelsen inte begränsad till Norge. Realtidsbudgivning används även på den svenska annonsmarknaden, där webbplatser och appar kan dela information med annonsplattformar för att sälja riktad reklam.

Det betyder inte att all sådan annonsering är olaglig. Däremot måste företagen kunna visa att personuppgifter behandlas enligt GDPR och att det finns en giltig rättslig grund. För känsliga personuppgifter gäller särskilt stränga regler.

Fallet illustrerar också en svårighet med digital annonsering. Användaren ser vanligtvis bara den färdiga annonsen, inte alla företag som kan ha varit inblandade i processen bakom den.

Läs mer: M varnar för amerikanska moln – vill se gemensam strategi

Överträdelserna pågick under nästan två år

Datatilsynets beslut gäller överträdelser som ägde rum mellan juli 2018 och april 2020. Myndigheten har vägt in att behandlingen pågick under lång tid, att informationen var särskilt känslig och att Xandr hade ekonomisk nytta av den olagliga datadelningen.

En viktig detalj är att Microsoft inte ägde Xandr när överträdelserna inträffade. Microsoft köpte bolaget 2022, och bötesbeloppet har därför beräknats utifrån Xandrs egen omsättning snarare än Microsofts betydligt större verksamhet.

Grindr har tidigare fått böter på 65 miljoner norska kronor för överträdelser kopplade till samma hantering av personuppgifter. Den påföljden har också prövats och fastställts i norsk domstol.

Xandr har tre veckor från att företaget tog emot beslutet på sig att överklaga. Beslutet markerar samtidigt att företag som förmedlar personuppgifter i digitala annonsauktioner har ett eget ansvar för att hanteringen är laglig, även när informationen ursprungligen kommer från en annan app.