سازمان حفاظت از داده نروژ (Datatilsynet) شرکت تبلیغاتی Xandr، از زیرمجموعه‌های مایکروسافت، را به پرداخت ۹۲ میلیون کرون نروژ (حدود ۹.۶ میلیون دلار) جریمه محکوم کرد. این جریمه به دلیل پردازش و اشتراک غیرقانونی داده‌های حساس کاربران Grindr در نروژ صادر شده است. به گفته این نهاد، این بزرگ‌ترین جریمه‌ای است که تاکنون اعمال کرده است. Xandr که اکنون با نام Microsoft Advertising فعالیت می‌کند، سه هفته فرصت دارد تا به این تصمیم اعتراض کند.
واکنش مقام نروژی و دلیل سنگینی جریمه
«لینه کول»، مدیرکل Datatilsynet، در این باره گفت: «ما در این پرونده جریمه‌ای چنین سنگین صادر کردیم زیرا تخلفاتی که شناسایی کردیم بسیار جدی بودند. هزاران کاربر در نروژ قربانی اشتراک غیرقانونی داده‌های حساس خود شده‌اند.»
جزئیات حراج‌های تبلیغاتی و داده‌های افشاشده
بر اساس یافته‌های این نهاد، Xandr بین ژوئیه ۲۰۱۸ تا آوریل ۲۰۲۰ حراج‌های تبلیغاتی لحظه‌ای (Real-Time Advertising Auctions) را درون اپلیکیشن دوستیابی Grindr اجرا می‌کرد. تبلیغ‌دهندگان پس از دریافت اطلاعات پروفایل‌سازی (Profiling) از Xandr که نقش واسطه را داشت، برای نمایش تبلیغ به کاربر Grindr پیشنهاد قیمت می‌دادند. داده‌های افشاشده در این حراج‌ها می‌توانست شامل گرایش جنسی کاربر باشد و به هزاران شرکت رسیده است.
Datatilsynet تشخیص داد که Xandr در آن زمان کنترل‌کننده مشترک (Joint Controller) با Grindr بوده است. این نقش، Xandr را در قبال نحوه استفاده از داده‌ها مسئول می‌کرد و این شرکت باید رضایت صریح (Explicit Consent) افراد را درخواست و دریافت می‌کرد. اما Xandr فرض کرده بود Grindr رضایت معتبر جمع‌آوری کرده و هیچ اقدامی برای بررسی آن انجام نداده بود.
کول در این زمینه گفت: «Xandr از راستی‌آزمایی معتبر بودن رضایت‌های Grindr غفلت کرد و هیچ کاری برای اطمینان از وجود مبنای قانونی برای پردازش خود انجام نداد.» اطلاعات حساس کاربران Grindr در نروژ و سایر کشورها بدون اطلاع آن‌ها یا دریافت رضایت صریح به تبلیغ‌دهندگان رسیده است.
واکنش مایکروسافت و پیشینه شکایت
سخنگوی مایکروسافت گفت که تحقیق و نتیجه آن «بر رفتارهایی متمرکز بوده که به پیش از خریداری Xandr توسط مایکروسافت مربوط می‌شود.» به گفته این سخنگو، چارچوب‌های قانونی و نحوه تفسیر و اجرای آن‌ها توسط نهادهای نظارتی از آن زمان تغییر کرده است. مایکروسافت اعلام کرده که «در حال بررسی این تصمیم و ارزیابی گزینه‌های خود است.»
این پرونده به شکایتی بازمی‌گردد که در ژانویه ۲۰۲۰ توسط گروه اتریشی حریم خصوصی noyb همراه با شورای مصرف‌کنندگان نروژ (Forbrukerrådet) ثبت شده بود. noyb این تصمیم را «ضربه‌ای بزرگ به صنعت فناوری تبلیغات آنلاین (Adtech)» خواند و گفت پروفایل‌سازی علایق، عادات، موقعیت مکانی و رفتار افراد نیازمند رضایت معتبر است؛ امری که به باور این گروه، شرکت‌های Adtech به‌ندرت آن را به دست می‌آورند.
پیامد برای کاربران Grindr
برای کاربران Grindr، این رأی صرفاً پردازش‌های گذشته را پوشش می‌دهد، نه یک تنظیم جدید یا تغییر درون اپلیکیشن. این تصمیم به حراج‌های برگزارشده بین ژوئیه ۲۰۱۸ تا آوریل ۲۰۲۰ مربوط می‌شود و یافته‌های نهاد نظارتی درباره ناکامی Xandr در راستی‌آزمایی رضایت در آن دوره است. مایکروسافت هنوز اعلام نکرده که آیا پیش از پایان مهلت سه‌هفته‌ای به این تصمیم اعتراض خواهد کرد یا خیر.