Норвегия оштрафовала Xandr на 92 млн крон за передачу данных Grindr

Как сообщает регулятор, Xandr передавала информацию участникам рекламных аукционов, не проверив, дали ли пользователи необходимое согласие.

Штраф составил 92 млн норвежских крон, или €8,6 млн (около 809 млн ₽). Это крупнейшее взыскание в истории норвежского управления по защите данных. Регулятор считает нарушения серьёзными: незаконная передача чувствительных сведений затронула тысячи пользователей в Норвегии и продолжалась почти два года — с июля 2018-го по апрель 2020-го. Штраф рассчитали по годовому обороту Xandr, а не Microsoft: во время нарушений Xandr ещё не входила в её состав.

Xandr была посредником в автоматических аукционах интернет-рекламы и работала как на стороне покупателей, так и продавцов рекламных мест. Когда человек открывал Grindr, его персональные данные часто проходили через Xandr и могли попасть к тысячам участников рекламной системы. Рекламодатели конкурировали за возможность показать ему персонализированное объявление. Всё происходило автоматически, за доли секунды и без ведома пользователя.

Среди передаваемых сведений были данные, способные раскрыть сексуальную ориентацию человека. На неё также может указывать сам факт использования Grindr — приложения для знакомств, ориентированного на геев, бисексуалов, трансгендерных и квир-людей. Регулятор установил, что для обработки таких данных требовалось явное согласие. Xandr не проверила, было ли оно, и не обеспечила законное основание для обработки информации.

Жалоба на Xandr и рекламные аукционы

Разбирательство началось в 2020 году после жалобы Норвежского совета потребителей на Xandr, тогда называвшуюся AppNexus. Компания считала, что получать согласие должна Grindr. Управление по защите данных не приняло этот довод: по его решению, Xandr разделяла с Grindr ответственность за обработку данных и должна была сама проверить её законность.

Генеральный директор управления Лине Колль заявила, что компании не могут перекладывать друг на друга ответственность за защиту данных. Каждая должна самостоятельно обеспечить законную обработку персональной информации и быть готовой это подтвердить. При расчёте штрафа регулятор учёл, что Xandr получала прямую финансовую выгоду от передачи данных, а практика продолжалась долго.

В 2021 году норвежский регулятор оштрафовал Grindr на 65 млн крон за схожие нарушения. Компания оспорила решение, но в октябре 2025 года апелляционный суд Норвегии оставил штраф в силе. Новое решение касается посредника в рекламных аукционах, а не приложения, где собирали данные.

Xandr может обжаловать решение в течение трёх недель с момента его получения. Microsoft заявила, что изучает документ и оценивает дальнейшие действия. Компания отметила, что расследование касается периода до покупки Xandr.