TL;DR
Ostateczną decyzją z 2 października 2026 r., opublikowaną przez EROD 16 października, norweski organ ochrony danych nałożył na Xandr Inc. (dawniej AppNexus, obecnie część Microsoft) karę 8,6 mln euro, czyli 92 mln koron. Xandr przetwarzał dane norweskich użytkowników Grindr podczas licytacji w czasie rzeczywistym bez podstawy prawnej (art. 6 ust. 1) i bez ważnego wyjątku dla danych o orientacji seksualnej (art. 9 ust. 1). Zgoda zebrana przez Grindr była nieważna, a Xandr jej nie sprawdził.
Jak zaczęła się sprawa
Skarga pochodzi z 2020 r. i złożyła ją Norweska Rada Konsumentów (Forbrukerrådet). Dotyczy licytacji w czasie rzeczywistym w Grindr, aplikacji randkowej opartej na lokalizacji, skierowanej do osób gejowskich, biseksualnych, transpłciowych i queer: za każdym razem, gdy otwiera się miejsce reklamowe, dane użytkownika są oferowane wielu reklamodawcom, którzy licytują w ciągu milisekund. W 2021 r. ten sam organ nałożył na Grindr karę 65 mln koron za udostępnianie danych partnerom reklamowym.
Co ustalił organ
- PRZETWARZANE DANE. Co najmniej fakt korzystania z Grindr, identyfikator reklamowy i adres IP: dane osobowe w rozumieniu art. 4 pkt 1, a z uwagi na samo korzystanie z aplikacji – dane dotyczące orientacji seksualnej w rozumieniu art. 9 ust. 1.
- WSPÓŁADMINISTROWANIE. Xandr jest współadministratorem przetwarzania, zarówno jako platforma po stronie podaży (SSP), jak i po stronie popytu (DSP).
- PODSTAWA PRAWNA. Przy szczególnych kategoriach właściwą podstawą była wyraźna zgoda z art. 9 ust. 2 lit. a. Xandr jej nie zbierał – opierał się na zgodzie Grindr.
- NIEWAŻNA ZGODA. Zgoda w Grindr nie spełniała art. 4 pkt 11 i art. 7, więc nie mogła objąć także przetwarzania przez Xandr.
- WAGA. Naruszenia co najmniej nieumyślne, dotyczące kluczowych przepisów rozporządzenia i danych wrażliwych: według organu o wysokiej wadze.
Odpowiedzialności nie da się zlecić na zewnątrz
To wniosek wykraczający poza adtech. Datatilsynet stwierdza, że każdy współadministrator musi samodzielnie sprawdzić, czy zgoda jest ważna i obejmuje jego własne przetwarzanie. Klauzula umowna, w której partner „zapewnia”, że zebrał zgodę, nie wystarczy, jeśli potem nikt nie kontroluje, jak jest ona odbierana.
Co to oznacza dla IOD
Cztery kontrole
Po pierwsze: zinwentaryzować SDK i partnerów reklamowych w aplikacjach i serwisach klienta oraz dane, które otrzymują. Po drugie: zapytać, czy sam kontekst ujawnia szczególną kategorię (aplikacja o zdrowiu, religii, orientacji seksualnej): jeśli tak, to wyraźna zgoda albo nic. Po trzecie: dla każdej zgody otrzymanej od podmiotu trzeciego przechowywać dowód, jak została zebrana i że obejmuje dokładnie to przetwarzanie. Po czwarte: zawrzeć uzgodnienia z art. 26 z tymi, którzy wspólnie ustalają cele i sposoby.
Decyzja wpisuje się w utrwaloną już europejską linię wobec licytacji w czasie rzeczywistym – od wyroku Trybunału Sprawiedliwości z 2024 r. w sprawie TCF IAB Europe po postępowania wobec pośredników reklamowych. Kto otrzymuje dane z aplikacji, nie powinien już pytać „czy partner ma zgodę?”, lecz „czy sam to sprawdziłem?”.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
