الخلاصة

  • فرض قرار Datatilsynet المؤرخ 2 أكتوبر 2026 غرامة قدرها 92 مليون كرونة نرويجية (8.6 ملايين يورو) على Xandr بشأن معالجة بيانات مستخدمي Grindr بين يوليو 2018 وأبريل 2020.
  • اعتبرت الهيئة Xandr متحكماً مشتركاً على جانبي المزاد، وقالت إن عليها التحقق من صلاحية الموافقة ومدى شمولها لمعالجتها، لا افتراض أن Grindr قد تكفل بذلك.

مسؤولية الوسيط لا تختفي داخل المزاد

فرضت هيئة حماية البيانات النرويجية Datatilsynet على Xandr Inc. أعلى غرامة في تاريخها حتى الآن. ويتعلق القرار، الصادر في 2 أكتوبر 2026، ببيانات مستخدمي Grindr في النرويج التي عولجت ضمن مزادات إعلانية آنية. بلغت الغرامة 92 مليون كرونة نرويجية، أي نحو 8.6 ملايين يورو. وأدرج المجلس الأوروبي لحماية البيانات القضية ضمن الأخبار الوطنية في 16 أكتوبر.

بدأ التحقيق بشكوى قدمها مجلس المستهلك النرويجي في عام 2020. وحددت الهيئة الفترة محل الفحص بين 20 يوليو 2018 و7 أبريل 2020، ولذلك لا يمثل القرار تدقيقاً في عمليات Xandr الحالية. وخلصت إلى أن طلبات المزايدة ربما تضمنت حقيقة استخدام الشخص لتطبيق Grindr، ومعرّفاً إعلانياً، وعنوان بروتوكول الإنترنت. ورأت أن استخدام التطبيق يكشف عن التوجه الجنسي، ما يضع المعلومات ضمن الفئات الخاصة المحمية بالمادة 9 من اللائحة العامة لحماية البيانات.

تبدو المزايدة الآنية كسلسلة تقنية: يفتح التطبيق فرصة إعلانية، وينقل الطلب عبر منصات العرض والطلب، ثم يتنافس المشترون على إظهار إعلان. لكن كل انتقال يحدد أيضاً من يعالج البيانات وما الغرض من ذلك. وغياب هذه الخطوات عن شاشة المستخدم لا يجعلها معالجة بلا مسؤول.

الموافقة لا تنتقل تلقائياً من طرف إلى آخر

قررت Datatilsynet أن Xandr شاركت بوصفها منصة من جهة العرض ومن جهة الطلب، وأنها كانت متحكماً مشتركاً مع Grindr. ورأت الهيئة عدم وجود أساس قانوني بموجب المادة 6(1)، أو استثناء صالح من حظر المادة 9 فيما يخص البيانات المتعلقة بالتوجه الجنسي. وكان المسار القانوني ذي الصلة هو الموافقة الصريحة، لكن Xandr اعتمدت على موافقة Grindr من دون أن تتحقق بنفسها من صلاحيتها ومن أنها تشمل المعالجة التي تنفذها.

لا يساوي هذا الحكم حظراً عاماً على مزادات الإعلانات. بل يرفض التعامل مع موافقة طرف آخر كأنها ضمان جاهز ينتقل مع طلب المزايدة. فالمتحكم المشترك مطالب بفحص الأساس القانوني لمعالجته. ويمكن للعقد أن يوزع المهام، لكنه لا يغني عن معرفة كل شركة بما تعالجه ولماذا.

تقول الهيئة إن المعلومات ربما وصلت إلى آلاف الشركات الأخرى. وتبقى كلمة «ربما» مهمة: فالقرار يثبت معالجة البيانات في طلبات المزايدة، لكنه لا يثبت أن كل جهة محتملة تسلمتها أو احتفظت بها. تكشف الاحتمالات عن مدى تعقيد السوق، ولا تبرر تحويل عدد محتمل إلى حصيلة مؤكدة.

الواقعة نفسها، ومسؤوليتان منفصلتان

كانت Datatilsynet قد فرضت في عام 2021 غرامة منفصلة قدرها 65 مليون كرونة على Grindr بشأن معالجة التطبيق وإفصاحه عن البيانات. أما قرار 2026 فيتناول الدور الذي أدته Xandr في البيئة الإعلانية التاريخية نفسها. ليست هذه غرامة واحدة جرى توسيعها، ولا إعادة لملاحقة الشركة نفسها؛ إنها مساءلة للوسيط عن الأساس القانوني لمعالجته هو.

ويهم هذا الفصل تصميم الضوابط. فلا يفترض التطبيق أن منصة الإعلان تحملت جميع الواجبات، ولا تفترض المنصة أن الموافقة التي ظهرت داخل التطبيق تشمل كل استخدام لاحق. يستطيع الطرفان توزيع العمل، لكن على كل منهما تحديد البيانات التي يتعامل معها، ودوره، والدليل الذي يبرر عمليته.

تحديد الغرامة وفق الشركة والفترة محل التحقيق

استحوذت Microsoft على Xandr في عام 2022، بعد الفترة التي تناولها التحقيق. وتقول Datatilsynet إنها احتسبت الغرامة على أساس الإيرادات السنوية لشركة Xandr، لا إيرادات Microsoft، لأن Xandr لم تكن تابعة لها وقت السلوك محل القرار. وهكذا ربطت الهيئة الجزاء بالشركة والفترة اللتين خضعتا للفحص بدلاً من إسقاط حجم المالك اللاحق على الماضي.

يمكن لـ Xandr الطعن في القرار خلال ثلاثة أسابيع من استلامه. ولا يحدد البيان تاريخ الاستلام، لذلك لا يمكن احتساب الموعد النهائي انطلاقاً من تاريخ القرار وحده، كما لا يؤكد البيان تقديم طعن. والسجل المتاح يثبت صدور قرار نهائي من الهيئة مع بقاء مسار الاعتراض الذي أعلنته.

تطبيق لقواعد قائمة، لا حظر جديد

طبقت الهيئة واجبات قائمة في اللائحة العامة على أدلة مرتبطة بمسار إعلاني تاريخي. ولم تقل إن كل منصة مزايدة متحكم مشترك تلقائياً، أو إن كل مزاد آني مخالف، أو إن Microsoft مسؤولة عن معالجة سبقت استحواذها على Xandr. يتوقف التقييم على دور كل شركة في تدفق البيانات وعلى معالجتها الفعلية.

يقترح Daniel Kade حفظ إيصال قابل للتدقيق للموافقة لكل مشارك وغرض: البيانات المعالجة، ودور المتلقي، ونسخة الإشعار، والنطاق الذي نُقل إليه، والأساس القانوني، ودليل التحقق المستقل. هذا اقتراح تحريري وليس متطلباً أعلنت عنه Datatilsynet. وفكرته أن يمكن التحقق من انتقال البيانات قبل بدء المزاد، لا إعادة بناء السلسلة فقط بعد تدخل الجهة الرقابية.

وتبقى الحدود واضحة: انتهى السلوك محل التحقيق في أبريل 2020، ولا يثبت القرار ممارسات Xandr أو Microsoft الحالية. كما لا يحصر جميع المتلقين المحتملين ولا يحسم نتيجة أي طعن. لكنه يبين أن طلب المزايدة غير المرئي للمستخدم يظل جزءاً من الحوكمة؛ فالمسؤولية تتبع دور معالجة البيانات، لا ملكية شاشة الموافقة.

المصادر