Norges datatilsyn har ilagt Microsofts Xandr en bot på omtrent 8,5 millioner euro for håndteringen av Grindr-brukeres personopplysninger, inkludert sensitiv informasjon om seksuell orientering. Boten til Xandr i Grindr-saken er bemerkelsesverdig fordi den retter seg mot et selskap lenger ut i annonsekjeden, ikke bare appen som samlet inn opplysningene i utgangspunktet.

Sammendraget vi har av avgjørelsen er kort, så dette innlegget holder seg til det som er bekreftet og forklarer den bredere konteksten for leserne.

Hva Norges tilsyn ila Xandr bot for

Ifølge rapporteringen gjelder boten på omtrent 8,5 millioner euro hvordan Xandr, en Microsoft-eid annonsevirksomhet, håndterte personopplysninger som tilhørte Grindr-brukere. Disse opplysningene inkluderte sensitiv informasjon om seksuell orientering.

Dette er ikke første gang Grindrs datapraksis har blitt gransket av Norge. Landets datatilsyn ila tidligere Grindr selv en bot på 65 millioner norske kroner (rundt 5,5 millioner euro) for brudd på artikkel 9 i GDPR, som begrenser behandlingen av særlige kategorier av personopplysninger. Den boten ble senere opprettholdt av Borgarting lagmannsrett. Den nye saken mot Xandr utvider fokuset fra appen til et selskap som håndterte opplysningene lenger nedstrøms.

Hvordan sensitive appdata når annonseplattformer

De fleste gratisapper tjener penger gjennom annonsering. For å vise relevante annonser kan en app sende informasjon om en bruker, for eksempel en enhetsidentifikator, omtrentlig posisjon eller profildetaljer, til annonsepartnere. Disse partnerne kan inkludere annonsebørser og plattformer som kobler annonser til målgrupper, ofte i løpet av millisekunder etter at en app åpnes.

Problemet oppstår når informasjonen som er involvert, er sensitiv. Under GDPR tilhører opplysninger som avslører seksuell orientering en beskyttet kategori. Bare det å være bruker av visse apper kan i seg selv avsløre noe sensitivt. Når dette signalet først kommer inn i en ad-tech-pipeline, kan det kopieres, kombineres med andre identifikatorer og sendes mellom flere selskaper, noe som gjør det vanskelig for brukere å vite hvor det endte opp eller å trekke det tilbake.

Det er derfor regulatorer ser på hele kjeden. Et selskap som mottar eller behandler slike opplysninger, påtar seg sitt eget juridiske ansvar, selv om det ikke var det som først samlet dem inn.

Hva GDPR-håndheving betyr for brukere

Boten er et signal om at europeiske regulatorer er villige til å forfølge selskaper på tvers av annonseøkosystemet, inkludert de som eies av store teknologigrupper. For brukere er det noen praktiske ting å ta med seg.

  • Særlige kategorier av data har strengere regler. Informasjon om seksuell orientering, helse, religion og lignende temaer kan generelt ikke behandles uten et gyldig rettslig grunnlag under GDPR.
  • Håndheving kan være treg. Den tidligere Grindr-saken gikk gjennom en bot, en klage og en domstolsavgjørelse. Regulatoriske tiltak reverserer ikke eksponering som allerede har skjedd.
  • Boter er ikke det samme som rettsmidler. En straff straffer et selskap, men enkeltpersoner må fortsatt håndtere sin egen eksponering fremover.

Selskaper av denne størrelsen har også store datamengder i andre sammenhenger, og sikkerhetshendelser andre steder i økosystemet er en påminnelse om at sentralt lagrede data er et mål. For eksempel skrev vi om en tenåringsbugjeger som angivelig fikk tilgang på adminnivå til Microsofts interne Titan-analyseverktøy, og om påstander om at ansattdatabaser ble stjålet fra Microsofts Azure-infrastruktur. Dette er separate saker fra Xandr-avgjørelsen, men de illustrerer hvorfor det å begrense hva du deler i utgangspunktet, er viktig.

Hva dette betyr for deg

Du kan ikke se hvilke annonsepartnere som mottar data fra en app, så den mest pålitelige tilnærmingen er å redusere det appen kan sende. Her er hvor du bør begynne:

  • Gå gjennom apptillatelser. Sjekk posisjon, kontakter, bilder og sporingstillatelser på telefonen. Trekk tilbake alt en app ikke tydelig trenger.
  • Tilbakestill eller deaktiver annonse-ID-en din. Både Android og iOS lar deg slette eller tilbakestille annonseidentifikatoren din, eller begrense annonsesporing, noe som gjør det vanskeligere for annonseplattformer å koble aktivitet på tvers av apper.
  • Se på personverninnstillingene i appen. Mange apper har brytere for personlige annonser eller datadeling med partnere. Slå av det du kan.
  • Vær selektiv med sensitive profildetaljer. Hvis en app ber om informasjon du ikke vil dele, bør du vurdere å la det stå tomt.
  • Slett kontoer du ikke lenger bruker. Inaktive kontoer kan fortsatt inneholde data.

Hvor en VPN passer inn

En VPN kan maskere IP-adressen din og kryptere trafikken mellom enheten din og VPN-serveren, noe som er nyttig på offentlig Wi-Fi og for å begrense hva internettleverandøren din ser. Men den stopper ikke en app fra å sende dataene du har gitt den, som profildetaljer eller en annonse-ID, til partnerne sine. Behandle en VPN som ett delvis lag, ikke som en løsning på datadeling i apper.

Viktige punkter

Xandr-boten i Grindr-saken viser at regulatorer ser forbi appene som samler inn sensitiv informasjon, og mot ad-tech-selskapene som behandler den. For vanlige brukere er de mest effektive tiltakene innenfor din kontroll: gå gjennom apptillatelser, tilbakestill eller deaktiver annonse-ID-en din, juster personverninnstillinger i apper, og bruk en VPN bare til det den er god på. Bruk ti minutter denne uken på å gå gjennom appene på telefonen din, og start med de som inneholder mest personlig informasjon.