Норвежское управление по защите данных (DPA) оштрафовало Xandr, рекламное подразделение Microsoft, на 8,6 млн евро (9,62 млн долларов США) за незаконную передачу конфиденциальных данных пользователей Grindr рекламодателям.
Административный штраф является крупнейшим, выписанным надзорным органом по защите данных. Регулятор аргументировал необходимость высокого штрафа «очень серьезным» характером нарушения. Нарушения происходили в период с июля 2018 года по апрель 2020 года.
«Xandr выступала в качестве посредника, который передавал персональные данные пользователей Grindr в Норвегии, включая данные, раскрывающие сексуальную ориентацию, потенциально тысячам других компаний», — говорится в заявлении Управления по защите данных.
Управление по защите данных заявило, что его расследование установило, что Xandr совместно с Grindr являлась контролером данных, что означало ее ответственность за получение согласия пользователей перед обработкой их данных.
«Вместо того чтобы обеспечить законные основания для собственной обработки данных, Xandr перекладывала вину на Grindr, утверждая, что предполагала, что приложение для знакомств собрало согласие пользователей на это», — добавили в ведомстве.
Xandr была создана AT&T после приобретения AppNexus в июне 2018 года. Название является отсылкой к Александру Грэму Беллу, основателю AT&T в 1885 году. Впоследствии компания была продана Microsoft в конце декабря 2021 года, после чего бренд был выведен из эксплуатации и объединен под эгидой Microsoft Ads в июне 2023 года.
Дело берет начало в 2020 году, когда норвежский совет по делам потребителей вместе с австрийской организацией по защите конфиденциальности None of Your Business (noyb) подали жалобу на Xandr, обвинив компанию в незаконном обмене персональными данными пользователей в коммерческих целях без получения явного согласия пользователей. Тысячи пользователей в Норвегии, как сообщается, стали жертвами незаконного обмена их конфиденциальными данными в результате этой практики.
«Суть нарушения заключалась в участии Xandr в так называемых торгах в реальном времени (real-time bidding), где они действовали как со стороны покупателя, так и со стороны продавца», — заявил надзорный орган. «Когда человек открывал Grindr, его персональные данные во многих случаях передавались через Xandr потенциально тысячам участников рекламной экосистемы».
«Таким образом, рекламодатели могли конкурировать друг с другом, чтобы показывать таргетированную рекламу, полностью скрытую от отдельного пользователя».
DPA также заявило, что при расчете штрафа учитывался общий годовой оборот Xandr за двухлетний период, предшествовавший приобретению Microsoft. Xandr имеет три недели на обжалование решения.
Комментируя решение DPA, noyb охарактеризовал штраф как «серьезный удар по индустрии онлайн-рекламы и коммерческого наблюдения» и заявил, что «компании, подобные Xandr, в конечном итоге несут ответственность за свои сомнительные практики».
В заявлении, переданном Reuters, Microsoft заявила, что изучает решение и оценивает свои варианты.
В прошлом месяце Grindr согласился выплатить 26 млн фунтов стерлингов (35,1 млн долларов США) для урегулирования судебного иска в Великобритании по обвинениям в передаче персональной информации пользователей, включая их ВИЧ-статус, третьим сторонам.
Это развитие событий происходит на фоне того, как федеральный судья в Техасе окончательно одобрил урегулирование спора на сумму 177 млн долларов США с AT&T для клиентов AT&T, чья личная информация была раскрыта в результате двух отдельных утечек данных, произошедших в марте и июле 2024 года. Иск о коллективном иске был урегулирован в ноябре 2025 года.
Инцидент в марте 2024 года включал публикацию на дарквебе набора данных с номерами социального страхования. Он затронул около 7,6 млн действующих клиентов AT&T и примерно 65,4 млн бывших клиентов, отметили в то время поставщик телекоммуникационных услуг.
Вторая утечка данных была связана с тем, что злоумышленники незаконно скачали данные клиентов AT&T из сторонней облачной платформы, размещенной Snowflake. Американская компания заявила, что записи звонков и текстовых сообщений за период с 1 мая по 31 октября 2022 года были скомпрометированы для «почти всех» клиентов сотовой связи.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
