Vuonna 2020 noyb (yhteistyössä Norjan kuluttajaneuvoston kanssa) teki valituksen verkkomainontayritys Xandrista (joka kuuluu nykyään Microsoftiin) treffisovelluksen Grindrin henkilötietojen käsittelystä. Nyt Norjan tietosuojaviranomainen on antanut päätöksensä – ja määrännyt Xandrille 8,5 miljoonan euron (92 000 000 NOK) sakon GDPR-rikkomuksista. Tämä päätös on merkittävä isku verkkomainonnan teknologia-alalle.
Verkkomainonta. Monet älypuhelinsovellukset lähettävät käyttäjiensä erittäin henkilökohtaisia tietoja tuhansille mainontakumppaneille verkkojäljitystunnisteiden kautta. Norjan kuluttajaneuvoston (NCC) raportti paljasti, kuinka joka kerta, kun käytämme sovelluksia puhelimillamme, henkilökohtaisia tietoja kiinnostuksen kohteistamme, tottumuksistamme ja käyttäytymisestämme lähetetään suurelle joukolle ”varjoisia tahoja”. Näitä tietoja käytetään kattavien profiilien luomiseen, joita voidaan sitten hyödyntää kohdennetussa mainonnassa ja muihin tarkoituksiin.
Kolme valitusta. Vuonna 2020 NCC ja noyb jättivät kolme GDPR-valitusta treffisovellusta Grindriä ja useita mainosteknologiayrityksiä vastaan, jotka olivat saaneet henkilötietoja sovelluksen kautta. Yksi näistä valituksista koski Xandria, verkkomainontayritystä, joka kuuluu nykyään Microsoftille.
Xandr rikkoi lakia. Nyt Norjan tietosuojaviranomainen on päättänyt, että Microsoftin omistama Xandr rikkoi GDPR-asetusta. Se käsitteli henkilötietoja, mukaan lukien seksuaalista suuntautumista koskevia arkaluonteisia tietoja, ilman pätevää oikeusperustaa. Xandr määrättiin maksamaan noin 8,5 miljoonan euron sakko.
Felix Mikolasch, tietosuojalakimies noyb: ”Olemme erittäin tyytyväisiä tähän päätökseen. Xandrin kaltaiset verkkomainontateknologiayritykset toimivat usein taustalla, eikä niitä juurikaan saateta vastuuseen toimintatavoistaan. Tämä luo arvokkaan ennakkotapauksen vastaaville tapauksille.”
Isku verkkomainosteknologialle. Päätös on merkittävä isku verkkomainonnan ja kaupallisen seurannan alalle. Monet verkkosivustot, sovellukset, alustat, käyttöjärjestelmät ja muut tahot lähettävät käyttäjätietoja mainosteknologiayrityksille. Nämä yritykset luovat käyttäjäprofiileja ja keräävät valtavia määriä henkilötietoja, joita jaetaan tuhansien yritysten kesken mainonta- ja muihin tarkoituksiin. Nyt määrätty sakko osoittaa, että Xandrin kaltaiset yritykset joutuvat lopulta vastuuseen epäilyttävistä käytännöistään. Ihmisten kiinnostuksen kohteiden, tottumusten, sijainnin ja käyttäytymisen profiloiminen edellyttää pätevää suostumusta – jota mainosteknologiayritykset eivät juuri koskaan hanki.
Finn Myrstad, Norjan kuluttajaneuvoston digitaalipolitiikan johtaja: ”Tämä lähettää voimakkaan viestin kaikille, joiden liiketoimintamalli perustuu kuluttajien seurantaan ja profilointiin. Jos suostumuksen on oltava aidosti tietoinen ja merkityksellinen, on vaikea nähdä, miten nykyinen valvontaan perustuva mainonta voisi olla lainkaan laillista.”
Suuret teknologiayritykset lobbaavat ahkerasti. Samaan aikaan Euroopan komissio haluaa muuttaa GDPR-asetusta ns. Digital Omnibus -paketin avulla. Suuret teknologiayritykset ovat lobanneet voimakkaasti lain muuttamiseksi siten, että verkkojäljitystunnukset eivät enää kuuluisi GDPR:n soveltamisalaan – ja EU:n komissio on taipunut niiden painostukseen. Tämän seurauksena epäilyttävät verkkomainontayritykset ja niiden erittäin ongelmallinen käyttäjien massaprofilointi voisivat saada vapaat kädet. Yritykset kuten Microsoftin Xandr, Google, Meta, Apple, Amazon, Criteo, Grindr ja muut eivät enää voisi joutua vastuuseen näiden verkkoseurantatunnisteiden käytöstä aiheutuvista tietoturvaloukkauksista. Euroopan parlamentti ja neuvosto käsittelevät parhaillaan tätä EU:n komission ehdotusta.
