De Noorse privacytoezichthouder Datatilsynet heeft een boete van 92 miljoen Noorse kronen, omgerekend zo’n 9,6 miljoen dollar, opgelegd aan advertentiebedrijf Xandr. Xandr is eigendom van Microsoft en opereert inmiddels onder de naam Microsoft Advertising. De boete, de hoogste die de toezichthouder ooit heeft uitgedeeld, komt voort uit het onrechtmatig verwerken en delen van gevoelige gegevens van gebruikers van datingapp Grindr.
Realtime veilingen zonder geldige toestemming
Tussen juli 2018 en april 2020 beheerde Xandr de realtime advertentieveilingen binnen Grindr. In zulke veilingen bieden adverteerders op het recht om een advertentie te tonen aan een specifieke gebruiker, nadat ze eerst profielinformatie over die gebruiker van Xandr hebben ontvangen. Bij Grindr, een datingapp die vooral de LGBTQ+-gemeenschap bedient, kon daarbij ook informatie over seksuele geaardheid terechtkomen bij duizenden bedrijven tegelijk.
Volgens Datatilsynet was Xandr samen met Grindr verantwoordelijk voor die verwerking en had het bedrijf dus zelf expliciete toestemming van gebruikers moeten vragen en verifiëren. In plaats daarvan ging Xandr er zonder controle van uit dat Grindr al geldige toestemming had geregeld. Directeur-generaal Line Coll van Datatilsynet noemt de overtredingen “zeer ernstig” en stelt dat duizenden Noorse gebruikers hun gevoelige gegevens ongewild en zonder toestemming gedeeld zagen worden. Xandr heeft volgens haar nooit gecontroleerd of die toestemming geldig was, en evenmin een eigen rechtsgrond voor de verwerking vastgesteld.
Reacties en vervolg
De klacht die tot de boete leidde, werd in januari 2020 ingediend door de Oostenrijkse privacyorganisatie Noyb en de Noorse Consumentenbond Forbrukerrådet. Noyb noemt de uitspraak “een grote klap voor de online adtech-industrie” en wijst erop dat profilering een geldige toestemming vereist, iets wat adtech-bedrijven volgens de organisatie zelden daadwerkelijk ophalen. Microsoft laat weten dat het onderzoek en de uitkomst betrekking hebben op gedrag van vóór de overname van Xandr, en dat wet- en regelgeving sindsdien is veranderd. Het bedrijf beraadt zich nog op een reactie. Xandr heeft drie weken de tijd om in beroep te gaan tegen de boete.
Nederlandse en Europese toezichthouders hanteren dezelfde AVG-principes als Datatilsynet. Bedrijven die adverteren via platforms met gevoelige gebruikersdata kunnen dus niet volstaan met vertrouwen op de toestemming van de app zelf: wie als gezamenlijke verwerkingsverantwoordelijke optreedt, moet zelf kunnen aantonen dat er een geldige rechtsgrond is.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Adverteert uw bedrijf via real-time bidding op platforms die gevoelige informatie verwerken, zoals daten, gezondheid of geloof? Vertrouw dan niet blind op de toestemming die het platform zelf zegt te hebben: als gezamenlijke verwerkingsverantwoordelijke moet u zelf een geldige rechtsgrond en expliciete toestemming kunnen aantonen, precies waar Xandr nu op wordt afgerekend.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.