Санкцията срещу Xandr е най-голямата, налагана досега от норвежкия орган за защита на личните данни. Случаят поставя под въпрос практиките на рекламната индустрия при обработването на информация за сексуалната ориентация и поведението на потребителите.

Норвежкият орган за защита на личните данни Datatilsynet наложи глоба от 92 млн. норвежки крони (около 9,6 млн. долара) на Xandr – рекламна компания, собственост на Microsoft. Причината е незаконно обработване и споделяне на чувствителни лични данни на потребители на приложението Grindr.

Според регулатора това е най-голямата санкция в историята на институцията. Разследването установява, че хиляди потребители в Норвегия са били засегнати от неправомерно разкриване на информация, включително данни, свързани със сексуалната им ориентация.

„Наложихме толкова висока глоба, защото установените нарушения бяха много сериозни“, заяви генералният директор на Datatilsynet Лине Кол.

Как рекламните търгове са изложили личните данни

Нарушенията обхващат периода от юли 2018 г. до април 2020 г. През това време Xandr е управлявала механизми за търгове в реално време за рекламни позиции в Grindr – приложение за запознанства, ориентирано основно към LGBTQ+ общността.

При този модел рекламодателите наддават за възможността да покажат реклама на конкретен потребител. За целта те получават информация за неговия профил чрез посредници като Xandr. Според норвежкия регулатор процесът е създавал възможност чувствителни данни на потребителите да достигнат до хиляди компании.

Проблемът не се свежда само до събирането на информация. Когато данни за сексуална ориентация, местоположение или поведение се използват за рекламно профилиране, самият механизъм за разпространението им може да създаде сериозен риск за личната неприкосновеност. Потребителите невинаги могат да установят кой получава информацията им и за какви цели я използва.

Липса на проверка за валидно съгласие

По време на разглеждания период Xandr е имала статут на съвместен администратор на лични данни с Grindr. Това означава, че компанията е носила отговорност за собственото си участие в обработването на информацията и е трябвало да разполага с подходящо правно основание.

Според Datatilsynet Xandr е приела, че Grindr е получила необходимото съгласие от потребителите, но не е проверила дали то е валидно и не е предприела достатъчни действия, за да установи правното основание за собствената си обработка.

В резултат чувствителна информация за потребители от Норвегия и други държави е могла да бъде предоставена на хиляди рекламодатели, без засегнатите лица да знаят за това или да са дали изрично съгласие за подобно използване.

Случаят показва съществен проблем при рекламните технологични платформи: компаниите не могат автоматично да приемат, че друг участник във веригата е изпълнил всички законови изисквания. Проверката на правното основание и ограниченията върху използването на данните са част от отговорността на всяка страна според ролята ѝ в обработването.

Жалбата на Noyb и последиците за рекламната индустрия

Първоначалната жалба е подадена през януари 2020 г. от европейската организация за защита на цифровите права Noyb съвместно с Норвежкия потребителски съвет (Forbrukerrådet).

Noyb приветства решението и го определи като сериозен удар срещу практики в онлайн рекламата, които позволяват непрозрачен обмен на чувствителна информация между уебсайтове, приложения, платформи и операционни системи.

Организацията подчертава, че профилирането на хора въз основа на техните интереси, навици, местоположение и поведение изисква валидно съгласие, което според нейната оценка рекламните технологични компании често не получават по надлежния ред.

За бизнеса решението има значение отвъд конкретната санкция. То напомня, че използването на външни рекламни платформи и посредници не премахва необходимостта от оценка на риска, контрол върху потоците от лични данни и проверка на договорните отношения с доставчиците.

Microsoft преразглежда решението

Xandr, която вече работи под името Microsoft Advertising, разполага с три седмици, за да обжалва санкцията.

Говорител на Microsoft е заявил пред BleepingComputer, че разследването и решението се отнасят до поведение, предхождащо придобиването на Xandr от компанията. По думите му оттогава правната рамка, нейното тълкуване и начинът на прилагане са се променили. Microsoft преглежда решението и оценява възможностите си за последващи действия.

Основният извод за организациите е, че защитата на личните данни не може да се основава единствено на уверенията на партньори и доставчици. При рекламни технологии, аналитични инструменти и други услуги, които обработват потребителска информация, трябва да е ясно какви данни се споделят, с кого, на какво правно основание и как се доказва полученото съгласие.