Xandr не е събирал съгласие сам. Разчитал е на съгласието на Grindr. Норвежкият регулатор казва, че то е било невалидно, а чуждото съгласие не се наследява.
Факт
Фактите: норвежкият орган за защита на данните Datatilsynet обяви глоба от 92 млн. норвежки крони, което е 8 600 000 евро по обобщението на EDPB, за Xandr Inc., рекламна компания, по-рано AppNexus, а сега част от Microsoft. Окончателното решение е от 2 октомври 2026 г. Делото започва през 2020 г., когато Норвежкият съвет на потребителите подава жалба. То е за наддаването в реално време (real-time bidding) в Grindr, приложение за запознанства по местоположение за гейове, бисексуални, транс и куиър хора. Органът смята за доказано, че Xandr е обработвал поне факта, че хората ползват Grindr, рекламния им идентификатор и IP адресите им. Това са лични данни и данни за сексуалната ориентация по чл. 9(1) на GDPR. Xandr е съвместен администратор, и като платформа от страната на предлагането, и като платформа от страната на търсенето. Глобата е за обработка на данни на потребители на Grindr в Норвегия без правно основание по чл. 6(1) и за обработка на специална категория данни без валидно изключение по чл. 9(1). Органът смята нарушенията за поне небрежни и с висока тежест.
Данните са прости: че човек ползва Grindr, рекламният му идентификатор и IP адресът му. Но самият факт, че си в такова приложение, е информация за сексуалната ориентация, а тя е специална категория. За нея законът иска изрично съгласие.
Отговорността не се прехвърля.
Ключовото е в обобщението на решението: „accountability cannot be outsourced“. Всеки съвместен администратор трябва сам да провери, че съгласието е валидно и покрива неговата собствена обработка. Така го чете норвежкият орган, за данни на потребители в Норвегия.
Срещу самия Grindr има отделна глоба от същия орган, 65 млн. крони. Апелативният съд Borgarting я потвърди на 21 октомври 2025 г. Как реагират Microsoft и Xandr и дали ще обжалват, в източниците не пише.
Който е в средата на рекламната верига и получава чужди данни, трябва да може да покаже самото съгласие. Договорна клауза не стига.
Източници
EDPB - Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of personal data, 16.10.2026Datatilsynet - News: Microsoft company fined NOK 92 million, 12.10.2026Визуалът към статията е генериран код-арт, без чужди изображения.