Norwegia ukarała spółkę Microsoftu za udostępnianie danych użytkowników Grindr

Norwegia nałożyła na Xandr 92 mln koron kary za udostępnianie danych użytkowników Grindr. Naruszenia poprzedzały przejęcie spółki przez Microsoft.

Dane trafiały na aukcje reklamowe

.Norweski urząd ochrony danych Datatilsynet poinformował o karze 12 października 2026 r. Jej wysokość wynosi 92 mln koron norweskich, co w komunikacie regulatora przeliczono na około 8,6 mln euro.

Xandr działał jako pośrednik w systemie aukcji reklamowych w czasie rzeczywistym. Informacje o norweskich użytkownikach aplikacji randkowej Grindr przekazywano do potencjalnie tysięcy firm, aby mogły licytować możliwość wyświetlenia im spersonalizowanych reklam. Proces odbywał się automatycznie, w ułamku sekundy.

Regulator uznał, że już informacja o korzystaniu z Grindr może ujawniać orientację seksualną i podlega szczególnej ochronie. Sprawa dotyczy więc prywatności użytkowników aplikacji, obejmującej dane o intymnym charakterze. Datatilsynet stwierdził, że ich przetwarzanie wymagało wyraźnej zgody, której Xandr nie zapewnił.

Zgody nie wystarczyło założyć

.Spółka tłumaczyła, że zakładała uzyskanie przez Grindr zgód użytkowników na przetwarzanie danych. Urząd stwierdził jednak, że Xandr nie zweryfikował ich ważności ani tego, czy obejmowały jego własne działania.

Szefowa Datatilsynet Line Coll oceniła naruszenia jako bardzo poważne. Podkreśliła, że każda firma musi samodzielnie sprawdzić i udokumentować, czy ma prawo wykorzystywać otrzymane informacje. Odpowiedzialności za ochronę danych nie można przerzucać na innych uczestników rynku.

W tej sprawie regulator uznał Xandr i Grindr za współadministratorów przetwarzanych danych. Xandr nie mógł więc ograniczyć się do przekonania, że obowiązki dotyczące zgody zostały spełnione przez dostawcę aplikacji.

Naruszenia sprzed przejęcia przez Microsoft

.Nieprawidłowości obejmowały okres od lipca 2018 r. do kwietnia 2020 r. Microsoft przejął Xandr 6 czerwca 2022 r. Przy ustalaniu wysokości kary regulator posłużył się obrotami Xandr, a nie całej grupy Microsoft.

Xandr ma trzy tygodnie od otrzymania decyzji na złożenie odwołania. Wcześniej, w 2021 r., Datatilsynet nałożył na Grindr karę 65 mln koron za nielegalne udostępnianie wrażliwych danych. W 2025 r. sąd apelacyjny Borgarting utrzymał tę karę w mocy.

Szymon Ślubowski