Норвегия оштрафовала Xandr Microsoft на $9,6 млн за передачу данных Grindr

Норвежский регулятор по защите данных наложил штраф в размере 92 млн норвежских крон (9,6 млн долларов США) на рекламное подразделение Microsoft Xandr за передачу конфиденциальных данных пользователей Grindr рекламодателям без законных оснований. Этот штраф станет крупнейшим, когда-либо наложенным агентством на компанию.

Норвежский регулятор Datatilsynet, вынесший решение, заявил, что затронутые данные могли раскрывать сексуальную ориентацию пользователей. Итоговое решение закрывает дело, которое расследовалось в Норвегии более шести лет.

Как данные Grindr оказались у тысяч участников торгов

Дело касается системы real-time bidding — процесса продажи рекламных мест за миллисекунды при открытии приложения. Когда пользователь запускал приложение Grindr в Норвегии, его личные данные передавались через платформу Xandr и потенциально становились доступны тысячам компаний и фирм из рекламной индустрии, согласно данным Datatilsynet. Эти компании затем конкурировали за возможность показать пользователю таргетированную рекламу.

Поскольку Grindr ориентировано на геев, бисексуалов, трансгендерных и квир-пользователей, регулятор счёл сам факт использования приложения достаточным для определения сексуальной ориентации человека. Согласно европейскому законодательству о защите данных, это делает информацию чувствительной, требующей явного согласия на обработку.

Норвежский регулятор выявил, что Xandr не получил необходимое согласие. Также было решено, что компания разделяет ответственность за обработку данных с Grindr, а не просто выступает в роли посредника. Прямая финансовая выгода Xandr от обмена данными стала ещё одним ключевым фактором при оценке размера возможных штрафов.

Обвинения в адрес приложения не подтвердились

Xandr утверждал, что полагался на то, что Grindr уже получила действительное согласие от своих пользователей; однако регулятор отклонил этот аргумент.

«Ответственность за защиту данных не может быть делегирована другим», — заявила генеральный директор Datatilsynet Лайн Колл в заявлении ведомства, как сообщает Tech Xplore. По её словам, каждая компания должна самостоятельно обеспечивать и иметь возможность продемонстрировать наличие законного основания для использования полученных ею данных.

Колл заявил, что нарушения были особенно серьёзными, отметив, что конфиденциальные персональные данные тысяч норвежских пользователей были незаконно переданы третьим лицам. Передача данных происходила с июля 2018 года по апрель 2020 года, до того как Microsoft приобрела бизнес, тогда известный как AppNexus, сообщает PPC Land. Теперь у Xandr есть три недели, чтобы обжаловать это решение.

Решение Норвегии следует за аналогичным делом во Франции в начале 2026 года, когда Conseil d’Etat оставил в силе штраф в размере 40 млн евро в адрес компании ретаргетинга Criteo, отклонив её утверждение о том, что ответственность за сбор согласия несут сайты-партнёры. Оба решения ясно показывают, что компании остаются ответственными за защиту данных и не могут полагаться на партнёров для получения согласия пользователей.

Жалоба, поданная ещё с 2020 в Норвегии

Жалоба была подана в 2020 году Норвежским советом по защите прав потребителей и группой noyb из-за практики Grindr по обмену данными. Это было одно из трёх жалоб, поданных в том году, которые касались как обработки пользовательских данных приложением, так и компаний adtech, получавших эти данные.

Феликс Миколаш, юрист по защите данных из noyb, заявил, что это решение может обязать компании adtech-сектора, такие как Xandr, проявлять большую подотчётность; их деятельность часто остаётся незамеченной широкой публикой. Он охарактеризовал это решение как важный прецедент для аналогичных дел в заявлении организации.

Финн Мирстад, директор по цифровой политике Норвежского совета потребителей, заявил, что это решение предупреждает компании, полагающиеся на отслеживание пользователей. Последнее решение вынесено после того, как Grindr уже получила аналогичный штраф в Норвегии. В 2025 году суды страны подтвердили штраф в размере 65 миллионов крон против приложения за незаконную передачу конфиденциальной личной информации пользователей.

Штраф направлен в адрес компании, стоимость которой оценивается примерно в 3,97 трлн долларов США, согласно данным GuruFocus. Однако noyb также предупредил, что этот прецедент может утратить предполагаемый эффект, если предложенная Европейской комиссией директива «Цифровой омнибус» ослабит подход GDPR к обработке идентификаторов отслеживания в интернете. Данное предложение в настоящее время рассматривается Европарламентом и Советом ЕС.