Norges datatillsynsmyndighet har bötfällt Microsofts Xandr med cirka 8,5 miljoner euro för hanteringen av Grindr-användares personuppgifter, inklusive känsliga uppgifter om sexuell läggning. Xandr Grindr-dataavgiften är anmärkningsvärd eftersom den riktar sig mot ett företag längre fram i reklamkedjan, inte bara appen som samlade in uppgifterna från början.

Sammanfattningen vi har av beslutet är kortfattad, så det här inlägget håller sig till det som är bekräftat och förklarar den bredare kontexten för läsarna.

Vad Norges tillsynsmyndighet bötfällde Xandr för

Enligt rapporteringen avser straffavgiften på cirka 8,5 miljoner euro hur Xandr, ett Microsoft-ägt reklamföretag, hanterade personuppgifter som tillhörde Grindr-användare. Uppgifterna inkluderade känslig information om sexuell läggning.

Detta är inte första gången Grindrs datahantering har väckt granskning från Norge. Landets datatillsynsmyndighet bötfällde tidigare Grindr självt med 65 miljoner norska kronor (cirka 5,5 miljoner euro) för brott mot artikel 9 i GDPR, som begränsar behandlingen av särskilda kategorier av personuppgifter. Den bötfällen upprätthölls senare av Borgarting lagmannsrett. Den nya åtgärden mot Xandr utvidgar fokus från appen till ett företag som hanterade uppgifterna nedströms.

Hur känsliga appdata når reklamplattformar

De flesta gratisappar tjänar pengar genom reklam. För att visa relevant reklam kan en app föra vidare information om en användare, till exempel en enhetsidentifierare, ungefärlig plats eller profildetaljer, till reklampartners. Dessa partners kan inkludera annonsbörser och plattformar som matchar annonser med målgrupper, ofta inom millisekunder från att en app öppnas.

Problemet uppstår när informationen i fråga är känslig. Enligt GDPR tillhör uppgifter som avslöjar sexuell läggning en skyddad kategori. Att bara vara användare av vissa appar kan i sig avslöja något känsligt. När den signalen väl kommer in i en ad-tech-pipeline kan den kopieras, kombineras med andra identifierare och skickas mellan flera företag, vilket gör det svårt för användare att veta var den hamnade eller att återkalla den.

Det är därför tillsynsmyndigheter tittar på hela kedjan. Ett företag som tar emot eller behandlar sådana uppgifter tar på sig sitt eget juridiska ansvar, även om det inte var det som först samlade in dem.

Vad GDPR-tillämpning innebär för användare

Bötfällen är en signal om att europeiska tillsynsmyndigheter är villiga att förfölja företag i hela reklamekosystemet, inklusive de som ägs av stora teknikgrupper. För användare finns det några praktiska lärdomar.

  • Uppgifter i särskilda kategorier har strängare regler. Information om sexuell läggning, hälsa, religion och liknande ämnen kan i allmänhet inte behandlas utan en giltig rättslig grund enligt GDPR.
  • Tillämpningen kan vara långsam. Det tidigare Grindr-ärendet gick igenom en bötfälle, ett överklagande och en domstolsdom. Tillsynsåtgärder ogör inte exponering som redan har inträffat.
  • Bötfällen är inte samma sak som åtgärder. En straffavgift straffar ett företag, men individer måste fortfarande hantera sin egen exponering framåt.

Företag av denna storlek innehar också stora mängder data i andra sammanhang, och säkerhetsincidenter någon annanstans i ekosystemet är en påminnelse om att centralt lagrad data är ett mål. Till exempel rapporterade vi om en tonårig buggjägare som enligt uppgift fick administratörsbehörighet till Microsofts interna analys-tjänst Titan, och om påståenden att anställdas databaser stals från Microsofts Azure-infrastruktur. Dessa är separata ärenden från Xandr-beslutet, men de illustrerar varför det är viktigt att begränsa vad du delar från början.

Vad detta innebär för dig

Du kan inte se vilka reklampartners som tar emot data från en app, så det mest tillförlitliga tillvägagångssättet är att minska vad appen kan skicka. Här är var du kan börja:

  • Granska appbehörigheter. Kontrollera behörigheter för plats, kontakter, foton och spårning på din telefon. Återkalla allt en app inte tydligt behöver.
  • Återställ eller inaktivera ditt reklam-ID. Både Android och iOS låter dig ta bort eller återställa din reklamidentifierare, eller begränsa annonsspårning, vilket gör det svårare för reklamplattformar att länka aktivitet mellan appar.
  • Titta på sekretessinställningarna i appen. Många appar innehåller reglage för personliga annonser eller datadelning med partners. Stäng av vad du kan.
  • Var selektiv med känsliga profildetaljer. Om en app ber om information som du inte vill ska delas, överväg att lämna det tomt.
  • Radera konton du inte längre använder. Vilande konton kan fortfarande innehålla data.

Var en VPN passar in

En VPN kan maskera din IP-adress och kryptera din trafik mellan din enhet och VPN-servern, vilket är användbart på offentligt Wi-Fi och för att begränsa vad din internetleverantör ser. Men det stoppar inte en app från att skicka de uppgifter du har gett den, som profildetaljer eller ett reklam-ID, till sina partners. Betrakta en VPN som ett partiellt lager, inte som en lösning på datadelning i appar.

Viktiga lärdomar

Xandr Grindr-dataavgiften visar att tillsynsmyndigheter tittar bortom apparna som samlar in känslig information till ad-tech-företagen som behandlar den. För vanliga användare ligger de mest effektiva åtgärderna inom din kontroll: granska appbehörigheter, återställ eller inaktivera ditt reklam-ID, justera sekretessinställningarna i appar och använd en VPN endast för det den gör bra. Ta tio minuter den här veckan för att gå igenom apparna på din telefon, med början i de som innehåller mest personlig information.