Νορβηγία: Πρόστιμο 8,6 εκατ. ευρώ σε εταιρεία ψηφιακής διαφήμισης για παράνομη διαβίβαση ευαίσθητων δεδομένων χρηστών του Grindr

Το υψηλότερο πρόστιμο στην ιστορία της, ύψους 92 εκατομμυρίων νορβηγικών κορωνών (περίπου 8,6 εκατ. ευρώ), επέβαλε η νορβηγική αρχή προστασίας δεδομένων Datatilsynet στην εταιρεία διαφημιστικής τεχνολογίας Xandr, η οποία σήμερα ανήκει στη Microsoft, για παράνομη επεξεργασία και κοινολόγηση ευαίσθητων προσωπικών δεδομένων χρηστών της εφαρμογής γνωριμιών Grindr.

Η υπόθεση ξεκίνησε το 2020, έπειτα από καταγγελία του Νορβηγικού Συμβουλίου Καταναλωτών, και αφορά πρακτικές που εφαρμόστηκαν από τον Ιούλιο του 2018 έως τον Απρίλιο του 2020.

Διαβίβαση δεδομένων σε χιλιάδες διαφημιστικές εταιρείες

Σύμφωνα με τη νορβηγική αρχή, η Xandr λειτουργούσε ως ενδιάμεσος στο σύστημα δημοπρασιών διαφημιστικού χώρου σε πραγματικό χρόνο (real-time bidding – RTB), συμμετέχοντας τόσο στην πλευρά των αγοραστών όσο και των πωλητών.

Όταν ένας χρήστης άνοιγε την εφαρμογή Grindr, προσωπικά του δεδομένα διαβιβάζονταν, σε πολλές περιπτώσεις μέσω της Xandr, σε δυνητικά χιλιάδες συμμετέχοντες στο διαφημιστικό οικοσύστημα. Οι ενδιαφερόμενοι διαφημιζόμενοι μπορούσαν στη συνέχεια να υποβάλουν αυτοματοποιημένες προσφορές για την προβολή εξατομικευμένων διαφημίσεων, χωρίς ο χρήστης να γνωρίζει τη διαδικασία.

Ιδιαίτερη βαρύτητα είχε το γεγονός ότι η χρήση του Grindr, μιας εφαρμογής γνωριμιών, αποτελεί πληροφορία που μπορεί να αποκαλύπτει τον σεξουαλικό προσανατολισμό του χρήστη και, συνεπώς, εμπίπτει στις ειδικές κατηγορίες δεδομένων του ΓΚΠΔ.

Σημειώνεται πως η νορβηγική αρχή έχει ήδη εξετάσει και τη νομιμότητα της επεξεργασίας από το ίδιο το Grindr, στο πλαίσιο των ίδιων καταγγελιών. Τον Δεκέμβριο του 2021, η Datatilsynet είχε επιβάλει στην εταιρεία πρόστιμο 65 εκατομμυρίων νορβηγικών κορωνών, κρίνοντας ότι η διαβίβαση προσωπικών δεδομένων των χρηστών της σε διαφημιστικούς συνεργάτες πραγματοποιείτο χωρίς έγκυρη συγκατάθεση. Το πρόστιμο επικυρώθηκε τον Σεπτέμβριο του 2023 από το αρμόδιο όργανο εξέτασης προσφυγών και στη συνέχεια από τη νορβηγική Δικαιοσύνη τον Οκτώβριο του 2025.

Η ευθύνη της Xandr για τη νομιμότητα της επεξεργασίας

Στο επίκεντρο της υπόθεσης βρέθηκε το ζήτημα της ευθύνης της Xandr για τη διαβίβαση των προσωπικών δεδομένων, καθώς η εταιρεία υποστήριξε ότι είχε βασιστεί στη συγκατάθεση που θεωρούσε ότι είχε εξασφαλίσει το Grindr από τους χρήστες της εφαρμογής.

Η νορβηγική αρχή δεν αποδέχθηκε την επιχειρηματολογία αυτή. Σύμφωνα με τη Datatilsynet, η Xandr δεν είχε προβεί στους αναγκαίους ελέγχους προκειμένου να διαπιστώσει αν η συγκατάθεση των χρηστών ήταν πράγματι έγκυρη και αν κάλυπτε την επεξεργασία των δεδομένων τους για σκοπούς στοχευμένης διαφήμισης.

Καθοριστικό για την κρίση της αρχής ήταν το γεγονός ότι η Xandr δεν αποτελούσε έναν απλό αποδέκτη των δεδομένων, αλλά συμμετείχε ενεργά στο διαφημιστικό οικοσύστημα, έχοντας την ιδιότητα του από κοινού υπευθύνου επεξεργασίας με το Grindr. Ως εκ τούτου, η εταιρεία όφειλε να διασφαλίζει η ίδια τη νομιμότητα της επεξεργασίας, η οποία, λόγω της φύσης των δεδομένων, απαιτούσε τη ρητή συγκατάθεση των χρηστών.

Το μεγαλύτερο πρόστιμο της νορβηγικής αρχής

Κατά την επιμέτρηση του προστίμου, η Datatilsynet συνεκτίμησε τη σοβαρότητα των παραβάσεων, τη σχεδόν διετή διάρκειά τους και το άμεσο οικονομικό όφελος που αποκόμισε η Xandr από την παράνομη διαβίβαση των δεδομένων.

Η νορβηγική αρχή έλαβε επίσης υπόψη ότι η επεξεργασία προσωπικών δεδομένων βρίσκεται στον πυρήνα της επιχειρηματικής δραστηριότητας της εταιρείας.

Το πρόστιμο υπολογίστηκε με βάση τον ετήσιο κύκλο εργασιών της ίδιας της Xandr και όχι της Microsoft, καθώς η εταιρεία δεν ανήκε στον όμιλο κατά την περίοδο των παραβάσεων.