Otoritas perlindungan data Norwegia telah mendenda Xandr milik Microsoft sekitar €8,5 juta atas penanganan data pribadi pengguna Grindr, termasuk informasi sensitif tentang orientasi seksual. Denda data Xandr Grindr ini patut diperhatikan karena menyasar perusahaan yang berada lebih jauh dalam rantai periklanan, bukan hanya aplikasi yang mengumpulkan data tersebut pada awalnya.

Ringkasan keputusan yang kami miliki singkat, jadi artikel ini berpegang pada apa yang telah dikonfirmasi dan menjelaskan konteks yang lebih luas bagi pembaca.

Apa yang Menjadi Dasar Norwegia Mendenda Xandr

Menurut laporan tersebut, denda sekitar €8,5 juta berkaitan dengan cara Xandr, bisnis periklanan milik Microsoft, menangani data pribadi milik pengguna Grindr. Data tersebut mencakup informasi sensitif tentang orientasi seksual.

Ini bukan pertama kalinya praktik data Grindr menarik perhatian Norwegia. Otoritas perlindungan data negara tersebut sebelumnya mendenda Grindr sendiri sebesar 65 juta krone Norwegia (sekitar €5,5 juta) karena melanggar Pasal 9 GDPR, yang membatasi pemrosesan kategori khusus data pribadi. Denda tersebut kemudian dikuatkan oleh Pengadilan Banding Borgarting. Tindakan baru terhadap Xandr ini memperluas fokus dari aplikasi ke perusahaan yang menangani data tersebut di hilir.

Bagaimana Data Aplikasi Sensitif Sampai ke Platform Iklan

Sebagian besar aplikasi gratis menghasilkan uang melalui periklanan. Untuk menampilkan iklan yang relevan, sebuah aplikasi dapat meneruskan informasi tentang pengguna, seperti pengenal perangkat, perkiraan lokasi, atau detail profil, kepada mitra periklanan. Mitra tersebut dapat mencakup bursa iklan dan platform yang mencocokkan iklan dengan audiens, sering kali dalam hitungan milidetik setelah aplikasi dibuka.

Masalah muncul ketika informasi yang terlibat bersifat sensitif. Di bawah GDPR, data yang mengungkapkan orientasi seksual termasuk dalam kategori yang dilindungi. Sekadar menjadi pengguna aplikasi tertentu saja sudah dapat mengungkap sesuatu yang sensitif. Begitu sinyal tersebut masuk ke pipeline ad-tech, sinyal itu dapat disalin, digabungkan dengan pengenal lain, dan diteruskan di antara beberapa perusahaan, yang membuat pengguna sulit mengetahui ke mana data itu berakhir atau menariknya kembali.

Itulah sebabnya regulator melihat seluruh rantai. Perusahaan yang menerima atau memproses data semacam itu memikul tanggung jawab hukumnya sendiri, bahkan jika bukan perusahaan yang pertama kali mengumpulkannya.

Apa Arti Penegakan GDPR bagi Pengguna

Denda ini adalah sinyal bahwa regulator Eropa bersedia mengejar perusahaan di seluruh ekosistem periklanan, termasuk mereka yang dimiliki oleh grup teknologi besar. Bagi pengguna, ada beberapa poin praktis yang perlu diambil.

  • Data kategori khusus memiliki aturan yang lebih ketat. Informasi tentang orientasi seksual, kesehatan, agama, dan topik serupa umumnya tidak dapat diproses tanpa dasar hukum yang sah di bawah GDPR.
  • Penegakan bisa lambat. Kasus Grindr sebelumnya melewati denda, banding, dan putusan pengadilan. Tindakan regulasi tidak membatalkan paparan yang sudah terjadi.
  • Denda tidak sama dengan pemulihan. Sanksi menghukum perusahaan, tetapi individu tetap perlu mengelola paparan mereka sendiri ke depannya.

Perusahaan sebesar ini juga menyimpan data dalam jumlah besar dalam konteks lain, dan insiden keamanan di tempat lain dalam ekosistem menjadi pengingat bahwa data yang disimpan secara terpusat adalah target. Misalnya, kami melaporkan tentang pemburu bug remaja yang dilaporkan memperoleh akses tingkat admin ke layanan analitik internal Microsoft, Titan, dan tentang klaim bahwa basis data karyawan dicuri dari infrastruktur Microsoft Azure. Ini adalah perkara yang terpisah dari keputusan Xandr, tetapi keduanya menggambarkan mengapa membatasi apa yang Anda bagikan sejak awal itu penting.

Apa Artinya Ini bagi Anda

Anda tidak dapat melihat mitra iklan mana yang menerima data dari suatu aplikasi, jadi pendekatan yang paling andal adalah mengurangi apa yang dapat dikirim oleh aplikasi. Berikut adalah titik awalnya:

  • Tinjau izin aplikasi. Periksa izin lokasi, kontak, foto, dan pelacakan di ponsel Anda. Cabut apa pun yang tidak jelas dibutuhkan oleh aplikasi.
  • Setel ulang atau nonaktifkan ID periklanan Anda. Baik Android maupun iOS memungkinkan Anda menghapus atau menyetel ulang pengenal periklanan, atau membatasi pelacakan iklan, yang membuat platform iklan lebih sulit menautkan aktivitas lintas aplikasi.
  • Periksa pengaturan privasi dalam aplikasi. Banyak aplikasi menyertakan tombol untuk iklan yang dipersonalisasi atau berbagi data dengan mitra. Matikan apa yang bisa dimatikan.
  • Bersikap selektif dengan detail profil yang sensitif. Jika aplikasi meminta informasi yang tidak ingin Anda bagikan, pertimbangkan untuk membiarkannya kosong.
  • Hapus akun yang tidak lagi Anda gunakan. Akun yang tidak aktif masih dapat menyimpan data.

Di mana VPN cocok

VPN dapat menyamarkan alamat IP Anda dan mengenkripsi lalu lintas antara perangkat Anda dan server VPN, yang berguna di Wi-Fi publik dan untuk membatasi apa yang dilihat penyedia internet Anda. Tetapi VPN tidak menghentikan aplikasi mengirimkan data yang telah Anda berikan, seperti detail profil atau ID periklanan, kepada mitranya. Perlakukan VPN sebagai satu lapisan parsial, bukan solusi untuk berbagi data dalam aplikasi.

Poin-Poin Penting

Denda data Xandr Grindr menunjukkan bahwa regulator melihat melampaui aplikasi yang mengumpulkan informasi sensitif hingga ke perusahaan ad-tech yang memprosesnya. Bagi pengguna sehari-hari, langkah-langkah yang paling efektif berada dalam kendali Anda: audit izin aplikasi, setel ulang atau nonaktifkan ID periklanan Anda, sesuaikan pengaturan privasi dalam aplikasi, dan gunakan VPN hanya untuk hal-hal yang memang bisa dilakukannya dengan baik. Luangkan sepuluh menit minggu ini untuk menelusuri aplikasi di ponsel Anda, mulai dari yang menyimpan informasi paling pribadi.