De Noorse gegevensbeschermingsautoriteit heeft Microsoft's Xandr een boete van ongeveer € 8,5 miljoen opgelegd vanwege de verwerking van persoonsgegevens van Grindr-gebruikers, waaronder gevoelige informatie over seksuele geaardheid. De Xandr Grindr-databoete is opmerkelijk omdat deze gericht is op een bedrijf verderop in de advertentieketen, niet alleen op de app die de gegevens in eerste instantie verzamelde.

De samenvatting die we van de beslissing hebben is beknopt, dus dit artikel blijft bij wat bevestigd is en legt de bredere context voor lezers uit.

Waarvoor de Noorse toezichthouder Xandr beboet heeft

Volgens de berichtgeving heeft de boete van ongeveer € 8,5 miljoen betrekking op de manier waarop Xandr, een advertentiebedrijf in eigendom van Microsoft, persoonsgegevens van Grindr-gebruikers verwerkte. Die gegevens omvatten gevoelige informatie over seksuele geaardheid.

Dit is niet de eerste keer dat Grindr's gegevenspraktijken onder vuur liggen in Noorwegen. De gegevensbeschermingsautoriteit van het land beboette Grindr eerder met 65 miljoen Noorse kroon (ongeveer € 5,5 miljoen) wegens schending van Artikel 9 van de AVG, dat de verwerking van bijzondere categorieën van persoonsgegevens beperkt. Die boete werd later bevestigd door het Borgarting Hof van Beroep. De nieuwe actie tegen Xandr verlegt de focus van de app naar een bedrijf dat de gegevens stroomafwaarts verwerkte.

Hoe gevoelige app-gegevens advertentieplatforms bereiken

De meeste gratis apps verdienen geld via advertenties. Om relevante advertenties te tonen, kan een app informatie over een gebruiker doorgeven aan advertentiepartners, zoals een apparaat-ID, globale locatie of profieldetails. Die partners kunnen advertentie-uitwisselingen en platforms omvatten die advertenties aan doelgroepen koppelen, vaak binnen milliseconden nadat een app wordt geopend.

Het probleem ontstaat wanneer de betrokken informatie gevoelig is. Onder de AVG behoort gegevens die seksuele geaardheid onthullen tot een beschermde categorie. Alleen al gebruiker zijn van bepaalde apps kan iets gevoeligs onthullen. Zodra dat signaal in een ad-tech-pijplijn terechtkomt, kan het worden gekopieerd, gecombineerd met andere identificatoren en door verschillende bedrijven worden doorgegeven, waardoor het voor gebruikers moeilijk is om te weten waar het terechtkwam of om het in te trekken.

Daarom kijken toezichthouders naar de hele keten. Een bedrijf dat dergelijke gegevens ontvangt of verwerkt, neemt zijn eigen juridische verantwoordelijkheden op zich, zelfs als het niet degene was die ze het eerst verzamelde.

Wat AVG-handhaving betekent voor gebruikers

De boete is een signaal dat Europese toezichthouders bereid zijn bedrijven in het hele advertentie-ecosysteem aan te pakken, inclusief die in eigendom van grote technologiegroepen. Voor gebruikers zijn er een paar praktische conclusies.

  • Bijzondere categorieën gegevens kennen strengere regels. Informatie over seksuele geaardheid, gezondheid, religie en vergelijkbare onderwerpen mag over het algemeen niet worden verwerkt zonder een geldige rechtsgrond onder de AVG.
  • Handhaving kan traag zijn. De eerdere Grindr-zaak doorliep een boete, een beroep en een rechterlijke uitspraak. Regelgevende actie maakt blootstelling die al heeft plaatsgevonden niet ongedaan.
  • Boetes zijn niet hetzelfde als remedies. Een straf bestraft een bedrijf, maar individuen moeten hun eigen blootstelling in de toekomst nog steeds beheren.

Bedrijven van deze omvang houden ook grote hoeveelheden gegevens bij in andere contexten, en beveiligingsincidenten elders in het ecosysteem zijn een herinnering dat centraal opgeslagen gegevens een doelwit zijn. We berichtten bijvoorbeeld over een tiener-bugjager die naar verluidt beheerderstoegang kreeg tot Microsoft's interne Titan-analysedienst, en over claims dat werknemersdatabases werden gestolen uit Microsoft Azure-infrastructuur. Dit zijn aparte zaken van de Xandr-beslissing, maar ze illustreren waarom het beperken van wat je in eerste instantie deelt belangrijk is.

Wat dit voor jou betekent

Je kunt niet zien welke advertentiepartners gegevens van een app ontvangen, dus de meest betrouwbare aanpak is beperken wat de app kan versturen. Hier is waar je kunt beginnen:

  • Controleer app-machtigingen. Controleer locatie-, contacten-, foto- en trackingmachtigingen op je telefoon. Trek alles in wat een app niet duidelijk nodig heeft.
  • Reset of schakel je advertentie-ID uit. Zowel Android als iOS laten je je advertentie-identificator verwijderen of resetten, of advertentietracking beperken, waardoor het moeilijker wordt voor advertentieplatforms om activiteit tussen apps te koppelen.
  • Bekijk de privacy-instellingen in de app. Veel apps bevatten schakelaars voor gepersonaliseerde advertenties of gegevensdeling met partners. Schakel uit wat je kunt.
  • Wees selectief met gevoelige profieldetails. Als een app vraagt om informatie die je niet wilt delen, laat het dan leeg.
  • Verwijder accounts die je niet meer gebruikt. Sluimerende accounts kunnen nog steeds gegevens bevatten.

Waar een VPN past

Een VPN kan je IP-adres maskeren en je verkeer tussen je apparaat en de VPN-server versleutelen, wat nuttig is op openbare wifi en om te beperken wat je internetprovider ziet. Maar het weerhoudt een app er niet van om de gegevens die je hebt gegeven, zoals profieldetails of een advertentie-ID, naar zijn partners te sturen. Beschouw een VPN als één gedeeltelijke laag, niet als een oplossing voor gegevensdeling in apps.

Belangrijkste punten

De Xandr Grindr-databoete toont aan dat toezichthouders verder kijken dan de apps die gevoelige informatie verzamelen, naar de ad-techbedrijven die deze verwerken. Voor alledaagse gebruikers liggen de meest effectieve stappen binnen je controle: controleer app-machtigingen, reset of schakel je advertentie-ID uit, pas privacy-instellingen in apps aan en gebruik een VPN alleen voor wat het goed doet. Neem deze week tien minuten om de apps op je telefoon door te nemen, te beginnen met de apps die de meeste persoonlijke informatie bevatten.