År 2020, har noyb (i samarbete med det norska konsumentrådet) lämnade in ett klagomål mot onlineannonsföretaget Xandr (numera en del av Microsoft) för behandling av personuppgifter från dejtingappen Grindr. Nu har den norska dataskyddsmyndigheten meddelat sitt beslut – och bötfällt Xandr med 8,5 miljoner euro (92 000 000 NOK) för överträdelser av GDPR. Detta beslut är ett hårt slag mot onlineannonsbranschen.
Onlineannonsering. Många smartphone-appar skickar mycket personliga uppgifter om sina användare till tusentals annonspartners via spårnings-ID:n online. En rapport från det norska konsumentrådet (NCC) avslöjade hur personuppgifter om våra intressen, vanor och beteenden skickas till ett stort antal ”skumma aktörer” varje gång vi använder appar på våra telefoner. Denna information används för att skapa omfattande profiler, som sedan kan användas för riktad reklam och andra ändamål.
Tre klagomål. År 2020 lämnade NCC och noyb in tre GDPR-klagomål mot dejtingappen Grindr och flera adtech-företag som mottog personuppgifter via appen. Ett av dessa klagomål gällde Xandr, ett onlineannonseringsföretag som numera tillhör Microsoft.
Xandr bröt mot lagen. Nu har den norska dataskyddsmyndigheten beslutat att Microsofts Xandr har brutit mot GDPR. Företaget behandlade personuppgifter, inklusive känslig information om sexuell läggning, utan giltig rättslig grund. Xandr ålades att betala böter på cirka 8,5 miljoner euro.
Felix Mikolasch, dataskyddsjurist vid noyb: ”Vi välkomnar detta beslut varmt. Online-adtech-företag som Xandr verkar ofta i bakgrunden och ställs sällan till svars för sina metoder. Detta skapar ett värdefullt prejudikat för liknande fall.”
Ett hårt slag mot online-adtech. Beslutet är ett hårt slag mot branschen för onlineannonsering och kommersiell övervakning. Många webbplatser, appar, plattformar, operativsystem och andra aktörer skickar användardata till annonsteknikföretag. Dessa företag profilerar användare och samlar in enorma mängder personuppgifter, som delas mellan tusentals företag för reklam och andra ändamål. Det aktuella bötesbeloppet visar att företag som Xandr så småningom ställs till svars för sina tvivelaktiga metoder. Att profilera människors intressen, vanor, plats och beteende kräver giltigt samtycke – vilket annonsteknikföretag nästan aldrig inhämtar.
Finn Myrstad, chef för digital politik vid Norges konsumentråd: ”Detta sänder en kraftfull signal till alla vars affärsmodell bygger på spårning och profilering av konsumenter. Om samtycket ska vara verkligt informerat och meningsfullt är det svårt att se hur dagens övervakningsbaserade reklam överhuvudtaget kan vara laglig.”
De stora teknikföretagen bedriver intensiv lobbying. Samtidigt vill vill Europeiska kommissionen ändra GDPR genom det så kallade Digital Omnibus-förslaget. De stora teknikföretagen har bedrivit intensiv lobbyverksamhet för att få lagen ändrad så att spårnings-ID:n online inte längre omfattas av GDPR – och EU-kommissionen har gett efter för deras påtryckningar. Följaktligen har skumma onlineannonsföretag och deras mycket problematiska massprofilering av användare får fritt spelrum. Företag som Microsofts Xandr, Google, Meta, Apple, Amazon, Criteo, Grindr och andra skulle då inte längre kunna hållas ansvariga för dataintrång med dessa spårnings-ID:n online. Detta förslag från EU-kommissionen diskuteras för närvarande av Europaparlamentet och rådet.
