De Noorse toezichthouder voor gegevensbescherming, Datatilsynet, heeft Xandr, een reclamebedrijf van Microsoft, een boete van 9,6 miljoen dollar (92 miljoen NOK) opgelegd voor het onrechtmatig verwerken en delen van gevoelige gegevens van Grindr-gebruikers in het land.

Het is de hoogste boete die de autoriteit ooit heeft opgelegd.

“We hebben in dit geval zo’n hoge boete opgelegd omdat de overtredingen zeer ernstig waren,” aldus Line Coll, directeur-generaal van Datatilsynet.

“Duizenden gebruikers in Noorwegen waren het slachtoffer van onrechtmatig delen van hun gevoelige gegevens.”

Uit onderzoek bleek dat Xandr tussen juli 2018 en april 2020 real-time advertentieveilingen beheerde binnen Grindr. Hierbij werd potentieel gevoelige informatie, waaronder seksuele voorkeuren, blootgesteld aan duizenden bedrijven.

Deze veilingen werken door adverteerders te laten bieden op de recht om een advertentie te tonen aan een Grindr-gebruiker nadat ze profileringsinformatie van Xandr kregen, dat als tussenpersoon optrad.

Destijds was Xandr medecontroller met Grindr, wat betekent dat ze verantwoordelijk waren voor het gebruik van de gegevens en expliciete toestemming van de betrokkenen hadden moeten verkrijgen voor deze verwerking.

Grindr is een op locatie gebaseerde datingapp die zich voornamelijk richt op de LGBTQ+-gemeenschap.

Volgens de Noorse toezichthouder ging Xandr ervan uit dat Grindr geldige toestemming had verkregen, maar verzuimde dit te controleren.

“Xandr heeft nagelaten te verifiëren of de toestemmingen van Grindr geldig waren en ondernam niets om ervoor te zorgen dat zij een wettelijke basis hadden voor hun eigen verwerking,” aldus Coll.

Hierdoor werd gevoelige informatie over Grindr-gebruikers uit Noorwegen en andere landen blootgesteld aan duizenden adverteerders zonder dat de gebruikers daarvan op de hoogte waren of expliciete toestemming hadden gegeven.

De Oostenrijkse non-profit organisatie voor privacyrechten Noyb, die samen met de Noorse Consumentenraad (Forbrukerrådet) de oorspronkelijke klacht indiende in januari 2020, juicht de beslissing van Datatilsynet toe en noemt het “een grote klap voor de online adtech-industrie.”

De organisatie stelt dat het besluit een rem zet op de slechte praktijken van grote spelers in de online reclame- en surveillancesector, waaronder de onbeperkte en heimelijke uitwisseling van gevoelige gebruikersgegevens tussen websites, apps, platforms en besturingssystemen.

“De huidige boete toont aan dat bedrijven zoals Xandr uiteindelijk ter verantwoording worden geroepen voor hun schimmige praktijken,” aldus Noyb.

“Het profileren van iemands interesses, gewoonten, locatie en gedrag vereist geldige toestemming – iets wat adtech-bedrijven zelden verkrijgen.”

Xandr, dat nu opereert als Microsoft Advertising, kreeg drie weken de tijd om in beroep te gaan tegen de beslissing.

BleepingComputer nam contact op met Microsoft voor een reactie op de beslissing van de Noorse autoriteit. Een woordvoerder benadrukte dat het onderzoek en de uitkomst “zich richtten op gedrag dat plaatsvond vóór de overname van Xandr door Microsoft.”

Sindsdien zijn juridische kaders en de manier waarop ze worden geïnterpreteerd en gehandhaafd veranderd, aldus de woordvoerder, die eraan toevoegde dat Microsoft “de beslissing aan het herzien is en onze opties aan het evalueren is.”

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.