TL;DR
Genom ett slutligt beslut den 2 oktober 2026, publicerat av EDPB den 16 oktober, påförde den norska dataskyddsmyndigheten Xandr Inc. (tidigare AppNexus, i dag en del av Microsoft) en sanktionsavgift på 8,6 miljoner euro, 92 miljoner norska kronor. Xandr behandlade uppgifter om norska Grindr-användare under realtidsbudgivning utan rättslig grund (art. 6.1) och utan giltigt undantag för uppgifter om sexuell läggning (art. 9.1). Samtycket som Grindr samlat in var ogiltigt, och Xandr hade inte kontrollerat det.
Hur ärendet började
Klagomålet är från 2020 och lämnades av Norska konsumentrådet (Forbrukerrådet). Det gäller realtidsbudgivning i Grindr, den platsbaserade dejtingappen för homosexuella, bisexuella, trans- och queerpersoner: varje gång en annonsplats öppnas erbjuds användarens uppgifter till en mängd annonsörer som lägger bud inom millisekunder. År 2021 hade samma myndighet påfört Grindr en avgift på 65 miljoner norska kronor för delning av uppgifter med annonspartner.
Vad myndigheten konstaterade
- BEHANDLADE UPPGIFTER. Åtminstone att en person använde Grindr, annons-ID och IP-adress: personuppgifter enligt art. 4.1 och, på grund av själva användningen av appen, uppgifter om sexuell läggning enligt art. 9.1.
- GEMENSAMT ANSVAR. Xandr är gemensamt personuppgiftsansvarig för behandlingen, både som utbudsplattform (SSP) och som efterfrågeplattform (DSP).
- RÄTTSLIG GRUND. Eftersom det gällde särskilda kategorier var den relevanta grunden uttryckligt samtycke enligt art. 9.2 a. Xandr samlade inte in det själv, utan stödde sig på Grindrs.
- OGILTIGT SAMTYCKE. Samtycket i Grindr uppfyllde inte art. 4.11 och art. 7 och kunde därför inte heller täcka Xandrs behandling.
- ALLVAR. Åtminstone oaktsamma överträdelser av centrala bestämmelser i förordningen och med känsliga uppgifter: enligt myndigheten av högt allvar.
Ansvaret kan inte läggas ut
Det är poängen som sträcker sig längre än adtech. Datatilsynet slår fast att varje gemensamt personuppgiftsansvarig självständigt måste kontrollera att samtycket är giltigt och täcker den egna behandlingen. En avtalsklausul där partnern ”garanterar” att samtycke har samlats in räcker inte om ingen sedan kontrollerar hur det efterfrågas.
Vad det betyder för dataskyddsombudet
Fyra kontroller
Ett: kartlägg SDK:er och annonspartner i klientens appar och webbplatser, och vilka uppgifter de får. Två: fråga om själva sammanhanget avslöjar en särskild kategori (en app om hälsa, religion eller sexuell läggning): i så fall gäller uttryckligt samtycke eller ingenting. Tre: för varje samtycke från tredje part, spara bevis på hur det efterfrågades och att det täcker just den behandlingen. Fyra: upprätta arrangemanget enligt art. 26 med dem som gemensamt bestämmer ändamål och medel.
Beslutet ligger i linje med en numera fast europeisk hållning till realtidsbudgivning, från EU-domstolens dom 2024 om IAB Europes TCF till granskningarna av annonsförmedlare. För den som tar emot uppgifter från en app är frågan inte längre ”har partnern samtycke?” utan ”har jag själv kontrollerat det?”.
Söker du ett verktyg för ditt arbete som dataskyddsombud?
DPO Workspace är byggt av ett certifierat dataskyddsombud. 30 dagar gratis.
Börja gratis
