Περίληψη της Απόφασης
Προέλευση της υπόθεσης
Η υπόθεση ξεκίνησε το 2020, όταν το Νορβηγικό Συμβούλιο Καταναλωτών υπέβαλε καταγγελία κατά της εταιρείας διαφημιστικής τεχνολογίας Xandr (τότε AppNexus, τώρα μέρος της Microsoft) στην Νορβηγική Αρχή Προστασίας Δεδομένων (DPA). Η υπόθεση αφορά την υποβολή προσφορών σε πραγματικό χρόνο στο Grindr, μια εφαρμογή γνωριμιών που βασίζεται στην τοποθεσία και απευθύνεται σε ομοφυλόφιλους, αμφιφυλόφιλους, τρανς και κουήρ ανθρώπους.
Βασικά ευρήματα
Η Νορβηγική Αρχή Προστασίας Δεδομένων (DPA) έκρινε ότι αποδεικνύεται με σαφή υπεροχή πιθανότητας ότι η Xandr επεξεργάστηκε τα προσωπικά δεδομένα των χρηστών του Grindr, τουλάχιστον το γεγονός ότι τα άτομα χρησιμοποιούσαν το Grindr, το διαφημιστικό τους αναγνωριστικό και τις διευθύνσεις IP τους, κατά τη διάρκεια υποβολής προσφορών σε πραγματικό χρόνο. Πρόκειται για προσωπικά δεδομένα βάσει του άρθρου 4(1) του ΓΚΠΔ και δεδομένα που αφορούν τον σεξουαλικό προσανατολισμό βάσει του άρθρου 9(1) του ΓΚΠΔ. Η Xandr θεωρείται συνυπεύθυνος επεξεργασίας για την επεξεργασία, τόσο ως πλατφόρμα προσφοράς όσο και ως πλατφόρμα ζήτησης. Δεδομένου ότι τα δεδομένα ήταν δεδομένα προσωπικού χαρακτήρα ειδικής κατηγορίας, η ρητή συγκατάθεση βάσει του άρθρου 9(2)(α) ήταν η σχετική νομική βάση για την επεξεργασία. Η Xandr δεν έλαβε η ίδια τη συγκατάθεση, αλλά βασίστηκε στη συγκατάθεση της Grindr, η οποία ήταν άκυρη βάσει των άρθρων 4(11) και 7 του ΓΚΠΔ. Η DPA θεωρεί ότι η λογοδοσία δεν μπορεί να ανατεθεί σε τρίτους. κάθε συνυπεύθυνος επεξεργασίας πρέπει να επαληθεύει ανεξάρτητα ότι η συγκατάθεση είναι έγκυρη και καλύπτει τη δική του επεξεργασία. Οι παραβάσεις ήταν τουλάχιστον αμέλειας. Δεδομένου ότι οι παραβάσεις αφορούν ορισμένες από τις πιο κεντρικές διατάξεις του ΓΚΠΔ, συμπεριλαμβανομένων των ευαίσθητων δεδομένων, η Νορβηγική Αρχή Προστασίας Δεδομένων θεωρεί τις παραβάσεις ως ιδιαίτερα σοβαρές.
Απόφαση
Η νορβηγική αρχή προστασίας δεδομένων (DPA) επέβαλε διοικητικό πρόστιμο ύψους 8.600.000 ευρώ στην Xandr Inc. για επεξεργασία προσωπικών δεδομένων χρηστών του Grindr στη Νορβηγία χωρίς νομική βάση, κατά παράβαση του άρθρου 6(1) του ΓΚΠΔ, και για επεξεργασία προσωπικών δεδομένων ειδικής κατηγορίας που αφορούν τον σεξουαλικό προσανατολισμό χωρίς έγκυρη εξαίρεση, κατά παράβαση του άρθρου 9(1) του ΓΚΠΔ.
Για περισσότερες πληροφορίες:
- Νορβηγικό Δελτίο Τύπου: Datatilsynet gir Microsoft-selskap 92 εκατομμύρια και gebyr | Datatilsynet
- Αγγλικό Δελτίο Τύπου: Η εταιρεία Microsoft επιβλήθηκε πρόστιμο 92 εκατομμυρίων NOK | Datatilsynet
