Na Uy phạt Xandr 8,6 triệu euro vì chuyển dữ liệu Grindr
"The Norwegian Data Protection Authority fined Xandr €8.6 million for unlawfully relaying Grindr users' sensitive data, including information revealing sexual orientation, to advertisers through real-time bidding. The regulator said Xandr was a joint controller that failed to obtain valid user consent; the company can appeal the decision within three weeks."
Rủi ro cao về xử lý dữ liệu nhạy cảm và thiếu cơ sở pháp lý; cho thấy sai sót trong consent và vai trò joint controller có thể dẫn tới chế tài lớn.
Ảnh hưởng đáng kể đến tuân thủ pháp lý, chi phí phạt và uy tín; các doanh nghiệp quảng cáo số cần rà soát quy trình chia sẻ dữ liệu và hợp đồng với đối tác.
Cơ quan bảo vệ dữ liệu Na Uy đã phạt Xandr số tiền 8,6 triệu euro vì chuyển trái phép dữ liệu nhạy cảm của người dùng Grindr cho các nhà quảng cáo thông qua cơ chế real-time bidding. Theo cơ quan quản lý, dữ liệu bị chia sẻ có thể tiết lộ xu hướng tính dục của người dùng, và hành vi vi phạm diễn ra trong giai đoạn 7/2018 đến 4/2020.
Cơ quan này cho rằng Xandr là joint controller cùng với Grindr, nên có trách nhiệm tự bảo đảm cơ sở pháp lý và thu thập sự đồng ý hợp lệ trước khi xử lý dữ liệu. Tuy nhiên, kết luận điều tra cho thấy công ty đã dựa vào giả định rằng Grindr đã có sự đồng ý cần thiết từ người dùng.
Đây là mức phạt hành chính lớn nhất mà cơ quan này từng áp dụng. Xandr có 3 tuần để kháng cáo quyết định. Về mặt tuân thủ, các tổ chức tham gia chuỗi quảng cáo số cần rà soát lại vai trò pháp lý, cơ chế chia sẻ dữ liệu và hồ sơ consent management để tránh rủi ro tương tự.
Sự việc cũng cho thấy các nền tảng quảng cáo và bên trung gian dữ liệu cần kiểm soát chặt việc truyền dữ liệu cá nhân trong hệ sinh thái đấu giá quảng cáo, đặc biệt với dữ liệu nhạy cảm.