Кратко

  • Решение Datatilsynet от 2 октября 2026 года назначило Xandr штраф в размере 92 млн норвежских крон (8,6 млн евро) за обработку данных пользователей Grindr в период с июля 2018-го по апрель 2020-го.
  • Регулятор признал Xandr совместным оператором на стороне предложения и спроса и указал, что компания должна была сама проверить действительность согласия и его применимость к своей обработке.

Посредник тоже отвечает за движение данных

Норвежский орган по защите данных Datatilsynet назначил Xandr Inc. крупнейший штраф за всю историю ведомства. Решение датировано 2 октября 2026 года; сумма составляет 92 млн норвежских крон, или около 8,6 млн евро. Дело касается данных пользователей Grindr в Норвегии, которые обрабатывались в рамках рекламных аукционов в реальном времени. 16 октября Европейский совет по защите данных включил его в раздел национальных новостей.

Разбирательство началось после жалобы Норвежского совета потребителей в 2020 году. Регулятор исследовал период с 20 июля 2018 года по 7 апреля 2020-го, поэтому решение не является проверкой нынешних процессов Xandr. По выводам ведомства, заявки на торги могли содержать факт использования Grindr, рекламный идентификатор и IP-адрес. Использование приложения, по оценке Datatilsynet, раскрывало сексуальную ориентацию и относилось к особым категориям данных по статье 9 GDPR.

Аукцион в реальном времени обычно описывают как автоматический обмен: приложение открывает рекламное место, платформа передаёт заявку, покупатели конкурируют за показ. Но эта техническая последовательность одновременно распределяет обработку и влияние на данные. То, что пользователь не видит передачи, не означает, что за неё никто не отвечает.

Согласие одного участника не заменяет проверку другого

Datatilsynet установил, что Xandr работала и на стороне предложения, и на стороне спроса, а потому была совместным оператором вместе с Grindr. Регулятор счёл, что обработка не имела правового основания по статье 6(1) и допустимого исключения из запрета статьи 9. Для чувствительных данных требовалось явное согласие. Xandr полагалась на согласие Grindr, но самостоятельно не выяснила, было ли оно действительным и распространялось ли на операции самой Xandr.

Решение не запрещает все рекламные аукционы. Оно отвергает более узкое допущение: согласие, полученное другим участником, не становится автоматическим разрешением на собственную обработку. Совместный оператор обязан проверить правовое основание для своей части процесса. Договор может распределить обязанности по сбору информации, но не отменяет необходимости понимать, что именно делает каждая компания.

Datatilsynet сообщает, что данные могли пересылаться тысячам других компаний. Слово «могли» важно: публичное решение подтверждает обработку данных в заявках на торги, но не устанавливает, что каждый возможный адресат фактически получил или сохранил их. Потенциальный масштаб показывает непрозрачность рынка, однако не даёт проверенного подсчёта получателей.

Один эпизод — разные ответственные лица

В 2021 году Datatilsynet отдельно оштрафовал Grindr на 65 млн крон за обработку и передачу данных самим приложением. Решение 2026 года касается роли Xandr в той же исторической рекламной системе. Это не увеличение единого штрафа против одного ответчика и не повторное взыскание с той же компании: регулятор отдельно оценил, должна ли платформа-посредник обосновать собственную обработку.

Для корпоративного контроля это различие существенно. Приложение не может считать, что рекламная платформа принимает на себя все обязанности, а платформа — что экран согласия приложения охватывает любое дальнейшее использование. Операционные задачи можно распределить, но каждой компании всё равно нужны данные о собственной роли, цели и основаниях обработки.

Штраф привязан к компании и периоду

Microsoft приобрела Xandr в 2022 году, уже после исследованного периода. Datatilsynet указывает, что рассчитал штраф исходя из годового оборота Xandr и не учитывал оборот Microsoft, поскольку в период нарушений Xandr ещё не входила в группу. Так санкция привязана к компании и времени, относящимся к делу, а не к масштабу будущей материнской структуры.

Xandr может обжаловать решение в течение трёх недель после его получения. В публичном сообщении не указана дата получения, поэтому срок нельзя отсчитать только от 2 октября; также ведомство не сообщает, была ли жалоба подана. Доступная запись подтверждает итоговое решение надзорного органа и объявленную возможность его оспорить.

Применение GDPR к конкретным фактам

Регулятор применил действующие обязанности GDPR к доказательствам из исторического рекламного потока. Решение не утверждает, что любая платформа автоматически является совместным оператором, что все аукционы незаконны или что Microsoft несёт ответственность за период до приобретения Xandr. Значение имеют фактическая роль каждого участника и конкретная обработка, которую он выполняет.

Daniel Kade предлагает вести проверяемую запись о согласии для каждого участника и каждой цели: какие данные используются, какова роль получателя, какая версия согласия показывалась, какой объём передавался, на какое основание ссылается получатель и чем подтверждается его самостоятельная проверка. Это редакционное предложение, а не предписание Datatilsynet. Оно позволило бы проверять передачу до начала торгов, а не восстанавливать её цепочку лишь после жалобы.

Публичные материалы не показывают, как сейчас работает Xandr или Microsoft: исследованный период завершился в апреле 2020 года. В них нет списка всех потенциальных получателей и ответа о возможном обжаловании. Но они показывают, что невидимая пользователю заявка на рекламу остаётся вопросом управления: ответственность следует за ролью в обработке, а не за тем, кому принадлежит экран согласия.

Источники