Глоба за Xandr от около 92 млн. норвежки крони наложи норвежкият регулатор за защита на данните Datatilsynet на рекламната компания на Microsoft. Причината е обработка на чувствителни данни на потребители на приложението Grindr по време на рекламни търгове в реално време. Според агенцията това е най-голямата глоба, която някога е налагала, а решението още не е окончателно, защото Xandr може да го обжалва.
Накратко
- Datatilsynet наложи на Xandr глоба от около 92 млн. норвежки крони (приблизително 9 млн. долара) заради данни на потребители на Grindr.
- Регулаторът смята Xandr за съвместен администратор с Grindr, който не е проверил дали съгласията са валидни.
- Microsoft казва, че случаят предшества придобиването на Xandr и че решението се преглежда; обжалване е възможно в рамките на три седмици.
Какво реши норвежкият регулатор
Според BleepingComputer и The Hacker News Datatilsynet е установила, че между юли 2018 г. и април 2020 г. Xandr е управлявала търгове за реклама в реално време вътре в Grindr. В тях са могли да бъдат разкрити данни на потребителите пред хиляди компании. Част от тези данни, включително такива, показващи сексуална ориентация, спадат към специалната категория лични данни по GDPR.
Сумата е около 92 млн. норвежки крони. Различните медии я превръщат по различен курс – между 8,6 и 9,6 млн. в долари или евро – затова най-сигурно е да се държим за първоначалната стойност в крони. Регулаторът нарича нарушенията „много сериозни“ и подчертава, че това е най-високата глоба в досегашната му практика.
Защо отговорността пада върху рекламната компания
Ключовият момент в решението е квалификацията на Xandr като съвместен администратор на данни заедно с Grindr. Това означава, че компанията не може да се скрие зад твърдението, че просто е предоставяла техническа платформа. Като съвместен администратор тя е носела собствена отговорност да се увери, че съгласията на потребителите са валидни.
Според регулатора Xandr не е проверила дали съгласията, събрани от Grindr, са законни, и не е имала собствено правно основание за обработката. Практическият извод за целия рекламен пазар е ясен: който участва във веригата на търга и получава или предава лични данни, не може да се позовава само на договорите си с издателя на приложението.
Как започна случаят
Производството е резултат от жалба на организацията за защита на неприкосновеността noyb и Норвежкия съвет на потребителите от януари 2020 г. Те твърдят, че приложението предава лични данни на рекламни партньори без валидно съгласие. Самото Grindr вече е получило глоба от 65 млн. норвежки крони през декември 2021 г. заради свързано споделяне на потребителски данни.
Така делото срещу Xandr е логичното продължение: след като платформата е наказана, регулаторът се насочва към участника в рекламната верига. За Microsoft е допълнително неприятно, че името ѝ се свързва със спор за чувствителни данни, макар компанията да твърди, че описаните събития предшестват придобиването на Xandr.
Позицията на Microsoft и какво следва
Microsoft заяви, че поведението, за което се говори, е от преди придобиването на Xandr, и че преглежда решението. Xandr има три седмици от получаването му, за да го обжалва, така че глобата все още не е влязла окончателно в сила. Не е ясно дали компанията ще оспори както размера, така и самата квалификация като съвместен администратор.
Какво са рекламните търгове в реално време
Когато отворите приложение или сайт с реклама, за части от секундата се провежда автоматичен търг. Приложението изпраща на рекламната борса информация за вас – устройство, приблизително местоположение, интереси – а рекламодателите залагат за показване на обява. Проблемът е, че данните от заявката се предават на много участници, дори и на тези, които не печелят търга.
Именно това разпространение на данни към хиляди компании регулаторите смятат за рисково, особено когато заявките съдържат чувствителна информация. По-подробно за скритото следене през реклами разказваме в материала за шпионския софтуер през реклами AdFection.
Значение за потребителите в България
GDPR важи във всички държави от ЕС и ЕИП, включително в България, където надзорен орган е Комисията за защита на личните данни. Нормите за специалните категории данни са еднакви: обработването им изисква изрично съгласие или друго изрично основание. Случаят показва, че регулаторите все по-често търсят отговорност не само от приложението, а и от рекламните посредници.
Какво можете да направите? Прегледайте разрешенията за реклама и проследяване в приложенията си, изключете персонализираните реклами в настройките на телефона и отказвайте ненужни бисквитки. За чувствителни приложения проверете какви данни споделят с трети страни. Така намалявате количеството информация, което попада в рекламните търгове. Подобна тема – за закриването на Jumpshot след скандал с данни – ще намерите в материала ни за Avast.
Значението на решението излиза извън конкретния случай. Рекламната индустрия години наред се оправдава, че данните от търговете са „анонимни“ или че отговорността е на издателя. Норвежкото решение показва, че регулаторите гледат на цялата верига: издател, борса и посредници. Компаниите, които купуват и препродават рекламно пространство, вероятно ще трябва да проверяват по-внимателно как са събрани съгласията и да изключват чувствителни категории от търговете си. За потребителите това е аргумент да следят какво приложенията споделят, особено ако в тях се съдържат лични или интимни теми.
Често задавани въпроси
Окончателна ли е глобата?
Не. Xandr има три седмици от получаването на решението, за да го обжалва, а Microsoft казва, че го преглежда.
За кои години се отнася нарушението?
Решението обхваща периода от юли 2018 г. до април 2020 г., когато Xandr е управлявала търгове за реклама вътре в Grindr.
Засяга ли това потребителите в България?
Решението е на норвежкия регулатор, но принципите на GDPR важат и у нас. Случаят е важен ориентир за отговорността на рекламните платформи в цяла Европа.
Още новини за технологиите, поверителността и регулациите ще намерите в рубриката Новини.
