TL;DR
Bij definitief besluit van 2 oktober 2026, op 16 oktober gepubliceerd door de EDPB, heeft de Noorse toezichthouder Xandr Inc. (voorheen AppNexus, nu onderdeel van Microsoft) een boete van 8,6 miljoen euro opgelegd, 92 miljoen kronen. Xandr verwerkte gegevens van Noorse Grindr-gebruikers tijdens real-time bidding zonder rechtsgrond (art. 6, lid 1) en zonder geldige uitzondering voor gegevens over seksuele geaardheid (art. 9, lid 1). De door Grindr verzamelde toestemming was ongeldig en Xandr had die niet gecontroleerd.
Hoe de zaak begon
De klacht dateert van 2020 en werd ingediend door de Noorse Consumentenraad (Forbrukerrådet). Ze betreft real-time bidding in Grindr, de locatiegebaseerde datingapp voor homo, bi, trans en queer personen: telkens wanneer een advertentieruimte opengaat, worden de gegevens van de gebruiker aangeboden aan een menigte adverteerders die binnen milliseconden bieden. In 2021 had dezelfde toezichthouder Grindr al 65 miljoen kronen boete opgelegd voor het delen van gegevens met advertentiepartners.
Wat de toezichthouder vaststelde
- VERWERKTE GEGEVENS. Ten minste het feit dat iemand Grindr gebruikte, de advertentie-ID en het IP-adres: persoonsgegevens in de zin van art. 4, punt 1, en door het gebruik van de app zelf gegevens over seksuele geaardheid in de zin van art. 9, lid 1.
- GEZAMENLIJKE VERANTWOORDELIJKHEID. Xandr is gezamenlijk verwerkingsverantwoordelijke, zowel als supply-side platform (SSP) als als demand-side platform (DSP).
- RECHTSGROND. Bij bijzondere categorieën was de relevante grondslag uitdrukkelijke toestemming op grond van art. 9, lid 2, onder a. Xandr vroeg die niet zelf: het steunde op die van Grindr.
- ONGELDIGE TOESTEMMING. De toestemming van Grindr voldeed niet aan art. 4, punt 11, en art. 7, en kon dus evenmin de verwerking door Xandr dekken.
- ERNST. Ten minste nalatige inbreuken op kernbepalingen van de verordening en met gevoelige gegevens: volgens de toezichthouder zeer ernstig.
Verantwoordelijkheid besteed je niet uit
Dit is het punt dat verder reikt dan adtech. Datatilsynet stelt dat elke gezamenlijke verwerkingsverantwoordelijke zelfstandig moet nagaan of de toestemming geldig is en zijn eigen verwerking dekt. Een contractbepaling waarin de partner 'garandeert' dat toestemming is verkregen, volstaat niet als vervolgens niemand controleert hoe die wordt gevraagd.
Wat dit betekent voor de FG
Vier controles
Eén: breng de SDK's en advertentiepartners in de apps en websites van de klant in kaart, en welke gegevens ze ontvangen. Twee: ga na of de context zelf een bijzondere categorie onthult (een app over gezondheid, religie of seksuele geaardheid): zo ja, dan uitdrukkelijke toestemming of niets. Drie: bewaar voor elke toestemming van derden het bewijs van hoe die is gevraagd en dat ze precies deze verwerking dekt. Vier: leg de regeling van art. 26 vast met wie gezamenlijk doel en middelen bepaalt.
Het besluit past in een inmiddels vaste Europese lijn over real-time bidding, van het arrest van het Hof van Justitie uit 2024 over het TCF van IAB Europe tot de onderzoeken naar advertentie-intermediairs. Wie gegevens uit een app ontvangt, moet niet meer vragen 'heeft de partner toestemming?', maar 'heb ik het zelf gecontroleerd?'.
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
