Norges datatilsyn har givet Microsofts Xandr en bøde på cirka 8,5 mio. euro for håndteringen af Grindr-brugeres personoplysninger, herunder følsomme oplysninger om seksuel orientering. Bøden til Xandr i Grindr-sagen er bemærkelsesværdig, fordi den retter sig mod en virksomhed længere fremme i annonceskæden, ikke kun appen, der indsamlede oplysningerne i første omgang.

Det referat, vi har af afgørelsen, er kort, så dette indlæg holder sig til det bekræftede og forklarer den bredere kontekst for læserne.

Hvad Norges tilsyn gav Xandr en bøde for

Ifølge rapporteringen vedrører bøden på cirka 8,5 mio. euro, hvordan Xandr, en Microsoft-ejet annoncevirksomhed, håndterede personoplysninger tilhørende Grindr-brugere. Disse oplysninger omfattede følsomme oplysninger om seksuel orientering.

Det er ikke første gang, Grindrs datapraksis har tiltrukket sig opmærksomhed fra Norge. Landets datatilsyn gav tidligere Grindr selv en bøde på 65 millioner norske kroner (omkring 5,5 mio. euro) for at overtræde artikel 9 i GDPR, som begrænser behandlingen af særlige kategorier af personoplysninger. Den bøde blev senere opretholdt af Borgarting lagmannsrett. Den nye sag mod Xandr udvider fokus fra appen til en virksomhed, der håndterede oplysningerne nedstrøms.

Hvordan følsomme appdata når frem til annonceplatforme

De fleste gratisapps tjener penge gennem reklamer. For at vise relevante annoncer kan en app videregive oplysninger om en bruger, såsom en enhedsidentifikator, omtrentlig placering eller profildetaljer, til annoncepartnere. Disse partnere kan omfatte annoncebørser og platforme, der matcher annoncer med målgrupper, ofte inden for millisekunder efter, at en app åbnes.

Problemet opstår, når de involverede oplysninger er følsomme. I henhold til GDPR tilhører oplysninger, der afslører seksuel orientering, en beskyttet kategori. Alene det at være bruger af visse apps kan i sig selv afsløre noget følsomt. Når først dette signal kommer ind i en ad-tech-pipeline, kan det kopieres, kombineres med andre identifikatorer og sendes mellem flere virksomheder, hvilket gør det svært for brugerne at vide, hvor det endte, eller at trække det tilbage.

Det er derfor, tilsynsmyndigheder ser på hele kæden. En virksomhed, der modtager eller behandler sådanne oplysninger, påtager sig sit eget juridiske ansvar, selv om det ikke var den, der først indsamlede dem.

Hvad GDPR-håndhævelse betyder for brugerne

Bøden er et signal om, at europæiske tilsynsmyndigheder er villige til at forfølge virksomheder på tværs af annonceøkosystemet, herunder dem, der ejes af store teknologikoncerner. For brugerne er der et par praktiske pointer.

  • Data i særlige kategorier er underlagt strengere regler. Oplysninger om seksuel orientering, helbred, religion og lignende emner kan generelt ikke behandles uden et gyldigt retsgrundlag i henhold til GDPR.
  • Håndhævelse kan være langsom. Den tidligere Grindr-sag gennemgik en bøde, en klage og en domstolsafgørelse. Tilsynsmæssige handlinger ophæver ikke eksponering, der allerede er sket.
  • Bøder er ikke det samme som afhjælpning. En straf straffer en virksomhed, men enkeltpersoner skal stadig håndtere deres egen eksponering fremadrettet.

Virksomheder af denne størrelse besidder også store datamængder i andre sammenhænge, og sikkerhedshændelser andre steder i økosystemet er en påmindelse om, at data, der opbevares centralt, er et mål. For eksempel rapporterede vi om en teen bug hunter, der efter sigende fik admin-adgang til Microsofts interne Titan-analysetjeneste, og om påstande om, at medarbejderdatabaser blev stjålet fra Microsofts Azure-infrastruktur. Dette er separate sager fra Xandr-afgørelsen, men de illustrerer, hvorfor det i første omgang er vigtigt at begrænse, hvad du deler.

Hvad det betyder for dig

Du kan ikke se, hvilke annoncepartnere der modtager data fra en app, så den mest pålidelige tilgang er at reducere, hvad appen kan sende. Her er, hvor du kan starte:

  • Gennemgå apptilladelser. Tjek placering, kontakter, billeder og sporingstilladelser på din telefon. Tilbagekald alt, hvad en app ikke klart har brug for.
  • Nulstil eller deaktiver dit annonce-ID. Både Android og iOS lader dig slette eller nulstille din annonceidentifikator eller begrænse annoncesporing, hvilket gør det sværere for annonceplatforme at forbinde aktivitet på tværs af apps.
  • Se på privatlivsindstillinger i appen. Mange apps indeholder kontakter til personlige annoncer eller datadeling med partnere. Slå det fra, du kan.
  • Vær selektiv med følsomme profildetaljer. Hvis en app beder om oplysninger, du ikke vil have delt, så overvej at lade feltet stå tomt.
  • Slet konti, du ikke længere bruger. Inaktive konti kan stadig indeholde data.

Hvor en VPN passer ind

En VPN kan maskere din IP-adresse og kryptere din trafik mellem din enhed og VPN-serveren, hvilket er nyttigt på offentligt Wi-Fi og til at begrænse, hvad din internetudbyder ser. Men det forhindrer ikke en app i at sende de data, du har givet den, såsom profildetaljer eller et annonce-ID, til sine partnere. Betragt en VPN som et delvist lag, ikke en løsning på datadeling i apps.

Vigtige pointer

Bøden til Xandr i Grindr-sagen viser, at tilsynsmyndigheder kigger ud over de apps, der indsamler følsomme oplysninger, til de ad-tech-virksomheder, der behandler dem. For almindelige brugere ligger de mest effektive skridt inden for din kontrol: gennemgå apptilladelser, nulstil eller deaktiver dit annonce-ID, juster privatlivsindstillinger i apps, og brug kun en VPN til det, den er god til. Brug ti minutter i denne uge på at gennemgå appene på din telefon, start med dem, der indeholder de mest personlige oplysninger.