92 miliony koron — taką karę norweski Datatilsynet nałożył na Xandr, firmę zajmującą się technologiami reklamy internetowej. Sprawa dotyczy bezprawnego przetwarzania i udostępniania wrażliwych danych użytkowników aplikacji Grindr w Norwegii. To najwyższa kara w historii tego urzędu.

Według norweskiego urzędu Datatilsynet  tysiące użytkowników Grindr w Norwegii zostały objęte bezprawnym udostępnianiem wrażliwych informacji. Dane przechodziły przez Xandr do potencjalnie tysięcy innych firm. Sam fakt korzystania z aplikacji skierowanej do osób LGBT+ wskazuje na orientację seksualną, a takie informacje podlegają szczególnej ochronie.

– Naruszenia w tej sprawie są bardzo poważne i właśnie dlatego nakładamy tak wysoką karę. Tysiące użytkowników w Norwegii padły ofiarą nielegalnego udostępniania wrażliwych informacji – powiedziała dyrektorka Datatilsynet Line Coll w komunikacie opublikowanym na stronie urzędu.

Aukcja, której użytkownik nie widzi

Za sprawą stoi mechanizm powszechnie wykorzystywany w reklamie internetowej: aukcje odbywające się w czasie rzeczywistym, określane jako real-time bidding. Gdy użytkownik otwiera aplikację lub stronę, firmy reklamowe mogą automatycznie licytować możliwość pokazania mu reklamy. Wszystko trwa ułamek sekundy.

Żeby zdecydować, ile zapłacić za taką możliwość, uczestnicy aukcji otrzymują informacje o odbiorcy. W sprawie Grindr przekazywane dane pozwalały wnioskować o bardzo prywatnej części życia użytkowników. Datatilsynet zwraca uwagę, że po połączeniu takich informacji z innymi danymi można stworzyć szczegółowy profil konkretnej osoby. Użytkownik ma przy tym niewielką szansę ustalić, do kogo trafiły informacje i jak zostały później wykorzystane.

Xandr, który należy obecnie do Microsoft, zakładał, że Grindr uzyskał odpowiednie zgody. Urząd uznał jednak, że firma powinna sama zweryfikować ich ważność i zapewnić podstawę prawną własnego przetwarzania. Stwierdził również, że Xandr i Grindr byli współadministratorami danych.

Odpowiedzialność także po stronie pośrednika

Postępowanie rozpoczęło się od skargi złożonej w 2020 roku przez norweską organizację konsumencką Forbrukerrådet i NOYB (Europejskie Centrum Praw Cyfrowych). Sprawa pokazuje problem wykraczający poza jedną aplikację: użytkownik zna nazwę usługi, z której korzysta, ale często nie zna firm działających w tle i uczestniczących w obrocie jego danymi.

Naruszenia prawa trwały przez niemal dwa lata – od lipca 2018 r. do kwietnia 2020 r. Tak długi okres stosowania niezgodnych z prawem praktyk uznano za okoliczność obciążającą przy ustalaniu wysokości kary pieniężnej.

Microsoft przekazał Reutersowi, że analizuje decyzję i rozważa dalsze działania. Podkreślił, że postępowanie dotyczy praktyk sprzed przejęcia Xandr. Firma ma trzy tygodnie od otrzymania decyzji na odwołanie.

Dla mieszkańców Norwegii sprawa jest przypomnieniem, że prywatność zależy również od tego, co dzieje się z danymi po opuszczeniu aplikacji. Nawet jeśli znamy usługę i jej właściciela, dalszy obieg informacji może obejmować wiele firm, o których istnieniu nigdy nie słyszeliśmy.