In 2020, heeft noyb (in samenwerking met de Noorse Consumentenraad) een klacht ingediend tegen het online advertentiebedrijf Xandr (nu onderdeel van Microsoft) ingediend wegens de verwerking van persoonsgegevens van de datingapp Grindr. Nu heeft de Noorse gegevensbeschermingsautoriteit haar besluit bekendgemaakt – en Xandr een boete van 8,5 miljoen euro (92 000 000 NOK) opgelegd wegens schendingen van de AVG. Deze uitspraak is een zware klap voor de online adtech-sector.
Online reclame. Veel smartphone-apps sturen zeer persoonlijke gegevens van hun gebruikers via online tracking-ID's naar duizenden advertentiepartners. Uit een rapport van de Noorse Consumentenraad (NCC) is gebleken dat telkens wanneer we apps op onze telefoons gebruiken, persoonlijke gegevens over onze interesses, gewoonten en gedrag worden verzonden naar een groot aantal „schimmige entiteiten”. Deze informatie wordt gebruikt om uitgebreide profielen op te stellen, die vervolgens kunnen worden ingezet voor gerichte reclame en andere doeleinden.
Drie klachten. In 2020 dienden de NCC en noyb drie AVG-klachten in tegen de datingapp Grindr en verschillende adtech-bedrijven die via de app persoonsgegevens ontvingen. Een van deze klachten betrof Xandr, een online advertentiebedrijf dat nu eigendom is van Microsoft.
Xandr heeft de wet overtreden. Nu heeft de Noorse gegevensbeschermingsautoriteit vastgesteld dat Xandr, onderdeel van Microsoft, de AVG heeft overtreden. Het bedrijf verwerkte persoonsgegevens, waaronder gevoelige informatie over seksuele geaardheid, zonder geldige rechtsgrondslag. Xandr werd veroordeeld tot het betalen van een boete van ongeveer 8,5 miljoen euro.
Felix Mikolasch, advocaat op het gebied van gegevensbescherming bij noyb: „We zijn erg blij met deze uitspraak. Online adtech-bedrijven zoals Xandr opereren vaak op de achtergrond en worden zelden ter verantwoording geroepen voor hun praktijken. Dit schept een waardevol precedent voor soortgelijke zaken.”
Klap voor online adtech. De uitspraak is een zware klap voor de online advertentie- en commerciële surveillancesector. Veel websites, apps, platforms, besturingssystemen en andere partijen sturen gebruikersgegevens door naar adtech-bedrijven. Deze bedrijven stellen profielen van gebruikers op en verzamelen enorme hoeveelheden persoonsgegevens, die tussen duizenden bedrijven worden gedeeld voor reclamedoeleinden en andere doeleinden. De huidige boete laat zien dat bedrijven zoals Xandr uiteindelijk ter verantwoording worden geroepen voor hun dubieuze praktijken. Voor het in kaart brengen van de interesses, gewoonten, locatie en het gedrag van mensen is geldige toestemming vereist – die adtech-bedrijven vrijwel nooit verkrijgen.
Finn Myrstad, directeur Digitaal Beleid bij de Noorse Consumentenraad: „Dit geeft een krachtig signaal af aan iedereen wiens bedrijfsmodel afhankelijk is van het volgen en profileren van consumenten. Als toestemming daadwerkelijk geïnformeerd en betekenisvol moet zijn, is het moeilijk voor te stellen hoe de huidige, op surveillance gebaseerde reclame überhaupt rechtmatig kan zijn.”
De grote techbedrijven lobbyen hard. Ondertussen wil de Europese Commissie de AVG willen wijzigen via de zogenaamde Digital Omnibus. De grote techbedrijven hebben hard gelobbyd om de wet zodanig te wijzigen dat online tracking-ID’s niet langer onder het toepassingsgebied van de AVG vallen – en de Europese Commissie is onder hun druk bezweken. Als gevolg daarvan kunnen dubieuze online advertentiebedrijven en hun zeer problematische massale profilering van gebruikers de vrije hand krijgen. Bedrijven zoals Xandr van Microsoft, Google, Meta, Apple, Amazon, Criteo, Grindr en anderen zouden dan niet langer aansprakelijk kunnen worden gesteld voor inbreuken met deze online tracking-ID's. Dit voorstel van de Europese Commissie wordt momenteel besproken door het Europees Parlement en de Raad.
