TL;DR
Ved endelig vedtak 2. oktober 2026, publisert av EDPB 16. oktober, ila Datatilsynet Xandr Inc. (tidligere AppNexus, nå del av Microsoft) et overtredelsesgebyr på 92 millioner kroner, 8,6 millioner euro. Xandr behandlet opplysninger om norske Grindr-brukere under sanntidsbudgivning uten rettslig grunnlag (art. 6 nr. 1) og uten gyldig unntak for opplysninger om seksuell orientering (art. 9 nr. 1). Samtykket Grindr innhentet var ugyldig, og Xandr hadde ikke kontrollert det.
Hvordan saken startet
Klagen er fra 2020 og kom fra Forbrukerrådet. Den gjelder sanntidsbudgivning i Grindr, den posisjonsbaserte datingappen for homofile, bifile, trans og skeive: hver gang en annonseplass åpnes, tilbys brukerens opplysninger til en mengde annonsører som byr i løpet av millisekunder. I 2021 ila Datatilsynet Grindr et gebyr på 65 millioner kroner for deling av opplysninger med annonsepartnere.
Hva Datatilsynet fant
- OPPLYSNINGER SOM BLE BEHANDLET. Minst det at en person brukte Grindr, annonse-ID og IP-adresse: personopplysninger etter art. 4 nr. 1 og, på grunn av selve bruken av appen, opplysninger om seksuell orientering etter art. 9 nr. 1.
- FELLES BEHANDLINGSANSVAR. Xandr er felles behandlingsansvarlig, både som tilbudsplattform (SSP) og etterspørselsplattform (DSP).
- RETTSLIG GRUNNLAG. Siden det gjaldt særlige kategorier, var det relevante grunnlaget uttrykkelig samtykke etter art. 9 nr. 2 bokstav a. Xandr innhentet det ikke selv, men bygde på Grindrs.
- UGYLDIG SAMTYKKE. Samtykket i Grindr oppfylte ikke art. 4 nr. 11 og art. 7, og kunne derfor heller ikke dekke Xandrs behandling.
- ALVORLIGHET. Minst uaktsomme overtredelser av sentrale bestemmelser i forordningen og med sensitive opplysninger: etter Datatilsynets syn svært alvorlig.
Ansvar kan ikke settes ut
Dette er poenget som går lenger enn adtech. Datatilsynet slår fast at hver felles behandlingsansvarlig selvstendig må kontrollere at samtykket er gyldig og dekker egen behandling. En avtaleklausul der partneren «garanterer» at samtykke er innhentet er ikke nok, om ingen deretter kontrollerer hvordan det blir bedt om.
Hva det betyr for personvernombudet
Fire kontroller
Én: kartlegg SDK-er og annonsepartnere i kundens apper og nettsteder, og hvilke opplysninger de mottar. To: spør om selve konteksten avslører en særlig kategori (en app om helse, religion eller seksuell orientering): i så fall gjelder uttrykkelig samtykke eller ingenting. Tre: for hvert samtykke mottatt fra tredjepart, ta vare på dokumentasjon på hvordan det ble innhentet og at det dekker akkurat denne behandlingen. Fire: inngå ordningen etter art. 26 med dem som sammen bestemmer formål og midler.
Vedtaket føyer seg inn i en nå fast europeisk linje om sanntidsbudgivning, fra EU-domstolens dom fra 2024 om IAB Europes TCF til undersøkelsene av annonseformidlere. For den som mottar opplysninger fra en app, er spørsmålet ikke lenger «har partneren samtykke?», men «har jeg kontrollert det selv?».
Ser du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
