Grindr-fallet: Microsoft-företag får böta 95 miljoner

Microsoftägda företaget Xandr har brutit mot lagen när man behandlat personlig data från dejtingappen Grindrs användare. Nu måste företaget böta 95 miljoner, enligt en dom från norska dataskyddsmyndigheten.
Det är resultatet av anmälningar från en lång rad konsumenterorganisationer.

2020 avslöjade norska konsumentorganisationen Forbrukerrådet och noyb (European center for digital rights) hur otaliga företag samlar enorma mängder personlig data genom appar. Datan sammanställs sedan och säljs vidare för övervakningsbaserad annonsering.

Organisationerna anmälde appen dejtingappen Grindr och fem adtech-företag – däribland Xandr – till den norska tillsynsmyndigheten, samtidigt som Sveriges Konsumenter och andra konsumentorganisationer i Europa och USA uppmanade sina myndigheter att granska den digitala annonsindustrin.

För ett år sedan dömdes Grindr till storböter. Nu har alltså även Xandr dömts till motsvarande 95 miljoner kronor i böter av den norska dataskyddsmyndigheten i samma ärende.

Personlig data säljs vidare

Myndigheten konstaterar att Xandr för reklamsyften behandlat känsliga personuppgifter om Grindr-användare på ett sätt som bryter mot GDPR. Man menar också att såväl Xandr som Grindr är ansvariga för att säkerställa att deras databehandling för reklamsyften baseras på giltiga samtycken.

– Många underskattar nog hur mycket data som samlas in om oss. Och den som använder Grindr har sannolikt varken hört talas om Xandr eller fått insyn i hur känsliga uppgifter behandlas och delas, säger Yasemin Bayramoglu, kommunikationschef på Sveriges Konsumenter och fortsätter:

– Det här visar också hur viktigt det är med starka dataskyddsregler och tillsyn. EU diskuterar förändringar av datalagstiftningen i detta nu, då är det viktigt att skyddet av personliga uppgifter väger tyngre än att förenkla för företagen.

Spred uppgifter om hiv-status

Frågan om insamling och delning av personlig data är högaktuell. För bara ett par veckor sedan dömdes Google att böta 4,5 miljarder kronor för att de spårar användare på ett olagligt sätt. Och i en rättslig uppgörelse i Storbritannien så sent som i september i år beslöts att Grindr ska betala över 335 miljoner kronor för att ha delat känslig data med annonsörer, i vissa fall uppgifter om hiv-status.

Finn Lützow-Holm Myrstad, chef för digital policy på Forbrukerrådet menar att dataskyddsmyndighetens beslut skickar en stark signal till företag med affärsmodeller som bygger på att spåra och profilera konsumenter online.

– När de hämtar personuppgifter via adtech-systemet blir de gemensamt personuppgiftansvariga – och ansvariga för att säkerställa att samtycke inhämtats på ett riktigt sätt från första början. Så länge det är omöjligt för konsumenter att ge ett gilitigt samtycke till att företag samlar in deras uppgifter är det svårt att se hur dagens övervakningsbaserade reklamsystem kan vara lagligt, säger han.

Insamlingen av data sker överallt

Digitala annonsföretag (så kallade adtech-företag) samlar in stora mängder data om oss på appar, webbsidor och plattformar. Genom att sammanställa data om vad vi köper, vår fysiska och psykiska hälsa, politiska åsikter och sexuell läggning skapar man digitala tvillingar av oss som användare, som sedan säljs.

– Informationen kan sedan användas för marknadsföring – men även för att påverka oss politiskt och i värsta fall för diskriminering och förföljelse, säger Myrstad.

Läs Forbrukerrådets rapport Out of control här.