Xandr заплатит 8,6 млн евро за данные пользователей Grindr

Меня в этой истории зацепила не сумма, а отговорка. Рекламная площадка Xandr, бывший AppNexus, а теперь часть Microsoft, получила штраф 92 млн норвежских крон, около 8,6 млн евро. Это самый крупный штраф в истории норвежского надзора. Xandr объяснял, что согласие пользователей собирал Grindr, и надзор такое объяснение не принял.

Что сказало ведомство

Схема работала с июля 2018 по апрель 2020 года. Когда человек открывал Grindr, приложение для знакомств геев, бисексуалов и трансгендеров, Xandr передавал его рекламный идентификатор и IP-адрес на торги за показ. Сам факт, что человек пользуется Grindr, надзор посчитал данными о сексуальной ориентации. Их могли увидеть, по словам надзора, потенциально тысячи компаний рекламного рынка.

Для таких данных нужно явное согласие. Xandr своего не собирал и не проверял, годится ли согласие Grindr. Надзор признал обе компании совместными операторами. Сам Grindr ещё в 2021 году получил 65 млн крон, и апелляционный суд этот штраф оставил. Глава надзора Лине Колл сказала (перевод наш):

Ответственность за защиту данных нельзя переложить на других.

Штраф считали от оборота самой Xandr, без Microsoft. На обжалование у компании три недели.

Что это значит для бизнеса

Я бы на месте любого, кто покупает или продаёт рекламу через посредников, перечитал договоры. Логика «согласие собирал партнёр» больше не спасает. Каждый участник цепочки должен сам убедиться, что основание у него есть.

У нас это прямо касается 152-ФЗ. С сентября 2025 года согласие на обработку персональных данных оформляется отдельным документом. Если бы я передавал данные посетителей сайта рекламной сети или ретаргет-сервису, я бы проверил формулировку согласия на сайте и то, что в ней названы получатели.

Отдельно стоит подумать о чувствительных категориях. Приложение про здоровье, религию или знакомства выдаёт о человеке больше, чем кажется. Я бы такие сегменты в рекламу не отдавал вовсе.

Кто ещё об этом написал

Европейский совет по защите данных (EDPB) рассказал о решении 16 октября. Сам норвежский надзор Datatilsynet выпустил релиз 12 октября: https://www.datatilsynet.no/en/news/news-2026/microsoft-company-fined-nok-92-million-for-unlawfully-sharing-personal-data/. Других разборов в нашей ленте нет.