TL;DR
Norjan tietosuojaviranomainen määräsi 2.10.2026 tekemällään lopullisella päätöksellä, jonka EDPB julkaisi 16.10., Xandr Inc:lle (entinen AppNexus, nykyään osa Microsoftia) 8,6 miljoonan euron eli 92 miljoonan kruunun hallinnollisen sakon. Xandr käsitteli norjalaisten Grindr-käyttäjien tietoja reaaliaikaisessa huutokaupassa ilman oikeusperustetta (6 artiklan 1 kohta) ja ilman pätevää poikkeusta seksuaalista suuntautumista koskeville tiedoille (9 artiklan 1 kohta). Grindrin keräämä suostumus oli pätemätön, eikä Xandr ollut tarkistanut sitä.
Miten asia alkoi
Valitus on vuodelta 2020, ja sen teki Norjan kuluttajaneuvosto (Forbrukerrådet). Se koskee reaaliaikaista huutokauppaa Grindrissa, sijaintiin perustuvassa deittisovelluksessa, joka on suunnattu homoille, biseksuaaleille, transihmisille ja queer-ihmisille: aina kun mainospaikka avautuu, käyttäjän tietoja tarjotaan suurelle joukolle mainostajia, jotka tekevät tarjouksen millisekunneissa. Vuonna 2021 sama viranomainen oli määrännyt Grindrille 65 miljoonan kruunun sakon tietojen jakamisesta mainoskumppaneille.
Mitä viranomainen totesi
- KÄSITELLYT TIEDOT. Vähintään se, että henkilö käytti Grindria, mainostunniste ja IP-osoite: henkilötietoja 4 artiklan 1 kohdan mukaisesti ja jo sovelluksen käytön vuoksi seksuaalista suuntautumista koskevia tietoja 9 artiklan 1 kohdan mukaisesti.
- YHTEISREKISTERINPITO. Xandr on käsittelyn yhteisrekisterinpitäjä sekä tarjontapuolen (SSP) että kysyntäpuolen alustana (DSP).
- OIKEUSPERUSTE. Koska kyse oli erityisistä tietoryhmistä, asianmukainen peruste oli 9 artiklan 2 kohdan a alakohdan mukainen nimenomainen suostumus. Xandr ei kerännyt sitä itse vaan nojasi Grindrin suostumukseen.
- PÄTEMÄTÖN SUOSTUMUS. Grindrin suostumus ei täyttänyt 4 artiklan 11 kohdan ja 7 artiklan vaatimuksia, joten se ei voinut kattaa myöskään Xandrin käsittelyä.
- VAKAVUUS. Vähintään tuottamukselliset rikkomukset, jotka koskivat asetuksen keskeisiä säännöksiä ja arkaluonteisia tietoja: viranomaisen mukaan erittäin vakavia.
Vastuuta ei voi ulkoistaa
Tämä on kohta, joka ulottuu adtechia pidemmälle. Datatilsynet toteaa, että jokaisen yhteisrekisterinpitäjän on itsenäisesti varmistettava, että suostumus on pätevä ja kattaa sen oman käsittelyn. Sopimuslauseke, jossa kumppani ”takaa” keränneensä suostumuksen, ei riitä, jos kukaan ei sen jälkeen tarkista, miten suostumusta pyydetään.
Mitä tämä tarkoittaa tietosuojavastaavalle
Neljä tarkistusta
Yksi: kartoita asiakkaan sovellusten ja verkkosivustojen SDK:t ja mainoskumppanit sekä niiden saamat tiedot. Kaksi: kysy, paljastaako jo asiayhteys erityisen tietoryhmän (terveyteen, uskontoon tai seksuaaliseen suuntautumiseen liittyvä sovellus): jos paljastaa, tarvitaan nimenomainen suostumus tai ei mitään. Kolme: säilytä jokaisesta kolmannelta saadusta suostumuksesta näyttö siitä, miten sitä pyydettiin ja että se kattaa juuri tämän käsittelyn. Neljä: tee 26 artiklan mukainen järjestely niiden kanssa, jotka määrittävät yhdessä tarkoitukset ja keinot.
Päätös jatkaa nyt jo vakiintunutta eurooppalaista linjaa reaaliaikaisesta huutokaupasta, unionin tuomioistuimen vuoden 2024 IAB Europen TCF-tuomiosta mainosvälittäjiin kohdistuviin tutkintoihin. Sovelluksesta tietoja saavan ei enää pidä kysyä ”onko kumppanilla suostumus?” vaan ”olenko tarkistanut sen itse?”.
Etsitkö työkalua tietosuojavastaavan työhösi?
DPO Workspace on sertifioidun tietosuojavastaavan rakentama. 30 päivää maksutta.
Aloita maksutta
