Reklamní prostředník nemohl pouze předpokládat, že souhlas zajistila seznamovací aplikace. Norský dozor mu za nezákonné zpracování v reklamních aukcích uložil 92 milionů norských korun.

Norský Datatilsynet v rozhodnutí 20/03541-37 ze 2. října 2026 uložil společnosti Xandr Inc., dříve AppNexus, pokutu 92 milionů norských korun. Případ se týká údajů uživatelů Grindru v Norsku a období od července 2018 do dubna 2020. Úřad výsledek oznámil 12. října. Ve zveřejněném rozhodnutí odpovídá sankce přibližně 8,5 milionu eur; tiskové oznámení používá přepočet 8,6 milionu eur. Rozhodující částkou sankce je 92 milionů NOK.

Řízení vycházelo ze stížností norské spotřebitelské organizace z roku 2020. Xandr se účastnil aukcí reklamního prostoru v reálném čase, známých jako real-time bidding. Při otevření aplikace se údaje o uživateli předávaly prostředníkům a zájemcům o zobrazení reklamy. Společnost zde poskytovala technologie jak na straně nabídky prostoru, tak na straně poptávky inzerentů. Podle úřadu mohly údaje přes její infrastrukturu získat potenciálně tisíce dalších účastníků reklamního ekosystému.

Dozor shledal prokázané zpracování nejméně informace o používání Grindru, reklamního identifikátoru a IP adresy. Jejich kombinace umožňuje vztáhnout informaci ke konkrétnímu uživateli. Současně samotné používání aplikace zaměřené na sexuální menšiny může vypovídat o sexuální orientaci. Taková data požívají ochrany podle článku 9 GDPR; neplatí, že údaj musí mít podobu výslovného prohlášení člověka o vlastní orientaci.

Xandr se opíral o souhlasy získané Grindrem. Úřad však zjistil, že tyto souhlasy nesplňovaly požadavky GDPR a společnost jejich platnost pro vlastní zpracování neověřila. Odpovědnost nelze přesunout na jiného účastníka řetězce. Každý společný správce musí zajistit a doložit, že souhlas platně pokrývá i jeho vlastní činnosti. Datatilsynet posoudil Xandr jako společného správce při jeho působení na obou stranách aukčního procesu, nikoli jako pouhý technický přenašeč bez vlastního rozhodování.