De Noorse privacytoezichthouder heeft Xandr, een advertentietechnologiebedrijf dat nu eigendom is van Microsoft, een recordboete van 92 miljoen Noorse kronen (9,6 miljoen dollar) opgelegd aan Xandr, een recordboete van 92 miljoen Noorse kronen ($9,6 miljoen) aan Xandr, een advertentietechnologiebedrijf dat nu eigendom is van Microsoft, wegens het onwettig omgaan met gevoelige persoonlijke informatie die via de datingapp Grindr is verzameld. De beslissing benadrukt de verantwoordelijkheden van reclamebedrijven die gebruikersinformatie verwerken zonder direct contact te hebben met de betrokken personen.
De Noorse Gegevensbeschermingsautoriteit, bekend als Datatilsynet, kondigde de boete aan op 12 oktober 2026, na een onderzoek naar reclamepraktijken tussen juli 2018 en april 2020. In die periode faciliteerde Xandr geautomatiseerde advertentieveilingen met Grindr-gebruikers, waardoor persoonlijke informatie mogelijk beschikbaar werd gesteld aan duizenden bedrijven.
Grindr bedient voornamelijk LGBTQ+-gebruikers, wat betekent dat informatie die iemand als app-gebruiker identificeert gevoelige details over hun seksuele geaardheid kan onthullen. Europese privacywetgeving legt extra beperkingen op aan het verwerken van dergelijke informatie, waaronder vereisten voor expliciete toestemming.
Volgens de toezichthouder nam Xandr deel aan een systeem dat real-time bidding heet, waarbij adverteerders concurreren om advertenties te tonen wanneer iemand een applicatie opent. Persoonlijke informatie wordt tijdens dit proces verspreid aan potentiële bieders, waardoor bedrijven kunnen beslissen of ze een specifieke gebruiker willen targeten.
Onderzoekers concludeerden dat Xandr geen geldige juridische basis had om de informatie te verwerken. Hoewel het bedrijf geloofde dat Grindr de benodigde toestemmingen al had verkregen, had het niet onafhankelijk geverifieerd of die toestemmingen voldeden aan de privacyvereisten.
Datatilsynet stelde vast dat Xandr de verantwoordelijkheid deelde met Grindr voor de verwerkingsactiviteiten. De uitspraak stelt vast dat reclameintermediairs hun gegevensbeschermingsverplichtingen niet kunnen omzeilen door simpelweg te vertrouwen op garanties van applicaties die persoonlijke informatie verstrekken.
Het onderzoek is ontstaan uit klachten die in 2020 werden ingediend door de Noorse Consumentenraad en de Europese privacyorganisatie noyb. Hun onderzoek toonde aan hoe mobiele applicaties persoonlijke informatie overbrachten aan reclamebedrijven, vaak zonder dat gebruikers beseften hoe uitgebreid hun gegevens werden verspreid.
Grindr kreeg eerder in 2021 een boete van 65 miljoen kronen vanwege gerelateerde overtredingen. Het Noorse Hof van Beroep bevestigde die boete in oktober 2025.
Microsoft nam Xandr over nadat de in het onderzoek onderzochte activiteiten al hadden plaatsgevonden. Als reactie op het laatste besluit benadrukte het bedrijf dat het gedrag ouder was dan het eigendom en zei het dat het de bevindingen van de toezichthouder beoordeelde en zijn opties overwog.
De boete, berekend met de inkomsten van Xandr in plaats van die van Microsoft, is de hoogste ooit opgelegd door de Noorse privacyautoriteit. Xandr heeft drie weken om in beroep te gaan.