Norveç’in gizlilik düzenleyicisi, şu anda Microsoft’a ait olan reklam teknolojisi şirketi Xandr’a, Grindr flört uygulaması aracılığıyla toplanan hassas kişisel bilgileri yasa dışı şekilde işlediği için rekor 92 milyon Norveç kronu (9,6 milyon dolar) para cezası uyguladı. Karar, ilgili kişilerle doğrudan etkileşime girmeden kullanıcı bilgilerini işleyen reklam şirketlerinin sorumluluklarını vurguluyor.
Norveç Veri Koruma Otoritesi, Datatilsynet olarak bilinen kurum, Temmuz 2018 ile Nisan 2020 arasındaki reklam uygulamalarına ilişkin bir soruşturmanın ardından 12 Ekim 2026’da cezayı açıkladı. Bu süre zarfında Xandr, Grindr kullanıcılarını içeren otomatik reklam açık artırmalarını kolaylaştırdı ve kişisel bilgileri binlerce şirkete potansiyel olarak sundu.
Grindr öncelikle LGBTQ+ kullanıcılarına hizmet veriyor; yani birini uygulama kullanıcısı olarak tanımlayan bilgiler, cinsel yönelimiyle ilgili hassas detayları ortaya çıkarabilir. Avrupa gizlilik yasaları, bu tür bilgilerin işlenmesine ek kısıtlamalar getiriyor; açık onay gereklilikleri de dahil.
Düzenleyiciye göre, Xandr, reklamverenlerin bir uygulama açıldığında reklam göstermek için rekabet ettiği gerçek zamanlı teklif sistemi (real-time ihale) kapsamında yer aldı. Bu süreçte potansiyel teklif verenlere kişisel bilgiler dağıtılıyor ve şirketler belirli bir kullanıcıyı hedef alıp hedeflememeye karar veriyor.
Soruşturmacılar, Xandr’ın bilgileri işlemek için geçerli bir yasal gerekçeye sahip olmadığı sonucuna vardı. Şirket, Grindr’ın gerekli izinleri zaten aldığına inansa da, bu izinlerin gizlilik şartlarını karşılayıp karşılamadığını bağımsız olarak doğrulamadı.
Datatilsynet, Xandr’ın işleme faaliyetlerinden sorumluluğu Grindr ile paylaştığını belirledi. Karar, reklam aracılarının kişisel bilgi sağlayan uygulamaların güvencelerine güvenerek veri koruma yükümlülüklerinden kaçamayacağını belirliyor.
Soruşturma, 2020 yılında Norveç Tüketici Konseyi ve Avrupa gizlilik örgütü noyb tarafından sunulan şikayetlerden kaynaklandı. Araştırmaları, mobil uygulamaların kişisel bilgileri reklam şirketlerine nasıl ilettiğini, çoğu zaman kullanıcıların verilerinin ne kadar yaygın şekilde dağıtıldığını anlamadan nasıl ilettiğini ortaya koydu.
Grindr, daha önce 2021’de ilgili ihlaller nedeniyle 65 milyon kron para cezası almıştı. Norveç Temyiz Mahkemesi bu cezayı Ekim 2025’te onayladı.
Microsoft, soruşturmada incelenen faaliyetlerin zaten gerçekleşmesinin ardından Xandr’ı satın aldı. Son karara yanıt olarak, şirket bu davranışın sahipliğinden önce olduğunu vurguladı ve düzenleyicinin bulgularını gözden geçirip seçeneklerini değerlendirdiğini belirtti.
Ceza, Microsoft’un geliri yerine Xandr’ın geliri kullanılarak hesaplanıyor ve Norveç’in gizlilik otoritesi tarafından şimdiye kadar verilen en büyük cezadır. Xandr’ın itiraz etmek için üç haftası var.