Норвегия оштрафовала рекламную дочку Microsoft на 9,6 млн долларов за данные Grindr

Управление по защите данных Норвегии (Datatilsynet) оштрафовало рекламную компанию Xandr, принадлежащую Microsoft, на 92 млн норвежских крон (9,6 млн долларов) за незаконную обработку и передачу чувствительных данных норвежских пользователей приложения Grindr.

Регулятор подчеркнул, что это крупнейший штраф в его истории. «Мы назначили столь высокий штраф, потому что выявленные нарушения были очень серьёзными, — заявила директор Datatilsynet Лине Колл. — Тысячи пользователей в Норвегии пострадали от незаконной передачи их чувствительных данных».

Рекламные аукционы в реальном времени

По данным ведомства, с июля 2018 по апрель 2020 года Xandr управляла аукционами таргетированной рекламы внутри Grindr. Эти аукционы могли раскрывать данные пользователей — в том числе сведения о сексуальной ориентации — тысячам компаний. Рекламодатели делали ставки за право показать объявление конкретному пользователю, предварительно получая от Xandr, выступавшей посредником, профилирующую информацию.

Grindr — геолокационное приложение для знакомств, ориентированное прежде всего на ЛГБТК+-сообщество, поэтому сам факт его использования уже раскрывает чувствительные данные.

В тот период Xandr была совместным контролёром данных вместе с Grindr, то есть отвечала за их использование и обязана была получить явное согласие пользователей. По заключению регулятора, компания исходила из того, что Grindr уже собрал действительное согласие, однако ничего не предприняла, чтобы это проверить. «Xandr не удостоверилась, что согласия, полученные Grindr, были действительны, и не сделала ничего, чтобы обеспечить законное основание для собственной обработки», — отметила Колл.

«Удар по индустрии»

Изначальную жалобу ещё в январе 2020 года подала австрийская правозащитная организация Noyb совместно с Норвежским советом потребителей. Они приветствовали решение, назвав его «серьёзным ударом по индустрии онлайн-рекламы». По словам Noyb, вердикт ставит заслон скрытому обмену чувствительными данными между сайтами, приложениями, платформами и операционными системами. «Профилирование интересов, привычек, местоположения и поведения людей требует действительного согласия, которое рекламные компании почти никогда не получают», — заявили в организации.

Xandr, сегодня работающая под брендом Microsoft Advertising, получила три недели на обжалование. Представитель Microsoft подчеркнул, что расследование касалось действий, совершённых ещё до приобретения Xandr корпорацией. С тех пор, по его словам, изменились правовые рамки и практика их применения, а Microsoft «изучает решение и оценивает варианты действий».

Источник: Bleeping Computer