Datatilsynet beboet Xandr met 92 miljoen Noorse kronen

De Noorse privacywaakhond beboet Microsoft-dochter Xandr met 92 miljoen kroon voor het verwerken van Grindr-data in advertentieveilingen zonder geldige rechtsgrond, blijkt uit het besluit van Datatilsynet.

Voor bedrijven die advertentietags of advertentiesoftware van derden op hun site of in hun app gebruiken, maakt de uitspraak de bewijsopgave concreet. Xandr kon de controle op toestemming niet afschuiven op Grindr: het moest zelf nagaan of de toestemming geldig was voor de verwerking die Xandr uitvoerde.

De veiling gaf Xandr toegang tot gevoelige data

Real-time bidding is een automatische veiling om advertentieruimte te verkopen. Zodra iemand een app opent, kan een advertentieverzoek informatie over die gebruiker meesturen. In de zaak rond Grindr liep die stroom in veel gevallen via Xandr. Het bedrijf zat zowel aan de verkoopkant van advertentieruimte als aan de inkoopkant. Adverteerders konden binnen fracties van een seconde bieden om hun advertentie te tonen.

Datatilsynet stelt vast dat Xandr onder meer verwerkte dát iemand Grindr gebruikte, plus het advertentie-ID en IP-adres. Het gebruik van de app kan iets zeggen over seksuele gerichtheid. Daarom gaat het om bijzondere persoonsgegevens. De toezichthouder schrijft dat gegevens van Noorse Grindr-gebruikers via Xandr bij potentieel duizenden bedrijven in de advertentieketen terecht konden komen.

Een infographic bij de eigen verklaring van Forbrukerrådet noemt 19 partijen die Grindr-data ontvingen, 170 partners met wie MoPub mocht delen en 4.259 partners die in Xandrs voorwaarden als mogelijke ontvangers stonden. De partneraantallen beschrijven wat de voorwaarden volgens de Consumentenraad toestonden. Ze bewijzen niet dat iedere gebruikersrecord daadwerkelijk bij al die partijen belandde.

Xandr moest zelf toestemming controleren

De Noorse Consumentenraad diende in 2020 samen met privacyorganisatie noyb klachten in over Grindr en meerdere advertentietechnologiebedrijven. Datatilsynet onderzocht vervolgens de rol van Xandr. Het concludeert dat Xandr samen met Grindr verwerkingsverantwoordelijke was, zowel als platform dat advertentieruimte aanbood als platform dat advertenties inkocht.

Omdat de gegevens informatie over seksuele gerichtheid konden onthullen, was uitdrukkelijke toestemming nodig. Xandr had die niet zelf verzameld, maar vertrouwde op de toestemming die Grindr had gevraagd. De toezichthouder vond die toestemming ongeldig. Xandr had zelf geen controle uitgevoerd naar een rechtsgrond voor de eigen verwerking. Een contractuele afspraak waarin Grindr daarvoor verantwoordelijk werd gemaakt, veranderde die conclusie niet. De beslissing noemt schending van artikel 6 lid 1 AVG, over de rechtsgrond, en artikel 9, dat bijzondere persoonsgegevens zonder geldige uitzondering beschermt.

Datatilsynet legde Grindr zelf 65 miljoen kroon op. In oktober 2025 hield het Noorse hof van beroep die boete in stand. De rechter stelde vast dat Grindr geen geldige toestemming had voor doorgifte aan advertentiepartners en dat appgebruik bijzondere persoonsgegevens kon onthullen. De nieuwe boete richt zich op de advertentietechnologieschakel. In het Verenigd Koninkrijk schikte Grindr daarnaast een claim van circa 12.000 gebruikers over gedeelde hiv-gegevens voor 26 miljoen pond, zonder aansprakelijkheid te erkennen. Dat is een aparte civiele zaak, niet de Noorse toezichthandhaving.

Advertentiecode bepaalt mee wie data ontvangt

De technische route is niet beperkt tot datingapps. Vier Android-advertentie-SDK’s stuurden locatiegegevens standaard door zodra de app zelf toestemming had. Daar ging het om precieze locatie, niet om Grindr-gebruik of seksuele gerichtheid. In beide gevallen zitten derden in de softwareketen, waardoor de eigenaar van de app niet alleen bepaalt wat er technisch gebeurt.

Een verwante grens werd in België getrokken rond het Transparency & Consent Framework (TCF), een mechanisme om voorkeuren voor online advertenties vast te leggen en door te geven. In mei 2025 bevestigde het Marktenhof dat IAB Europe gezamenlijk verwerkingsverantwoordelijke was voor TCF-voorkeuren, maar niet voor verwerkingen die volledig binnen het OpenRTB-protocol plaatsvonden. Het Marktenhof annuleerde het besluit uit 2022 om procedurele redenen, maar bevestigde de boete van 250.000 euro en de kernbevindingen. De vergelijking laat zien dat verantwoordelijkheid in een advertentieketen per technische rol wordt vastgesteld.

Ook buiten advertenties leggen toezichthouders verantwoordelijkheid bij organisaties die software inzetten. De Autoriteit Persoonsgegevens beboette Uber met 824,99 miljoen euro voor het automatisch blokkeren van chauffeursaccounts. Die zaak draait om geautomatiseerde besluiten, niet om toestemming of advertentieveilingen. De parallel is beperkt, maar in beide zaken tellen de concrete verwerking en de rol van een partij mee bij AVG-handhaving.

De boete ziet op een afgebakende periode

De formele beslissing bestrijkt 20 juli 2018 tot en met 7 april 2020, toen Grindr een eerdere versie van zijn toestemmingsplatform gebruikte. Xandr bevestigde dat het biedverzoeken voor Noorse Grindr-gebruikers verwerkte, maar zei ook dat zulke verzoeken niet iedere maand binnenkwamen. Het besluit stelt dus niet dat elke gebruiker of iedere veiling dezelfde gegevens bij dezelfde ontvangers bracht.

De boete van 92 miljoen kroon is volgens Datatilsynet de hoogste die het tot nu toe heeft opgelegd. De toezichthouder baseerde het bedrag op de eigen wereldwijde omzet van Xandr. Microsofts omzet bleef buiten beschouwing, omdat Microsoft Xandr pas in 2022 overnam, na de onderzochte periode. De toezichthouder licht ook toe dat Xandr de beslissing binnen drie weken na ontvangst kan aanvechten.

Noyb noemt de uitkomst een grote klap voor de advertentie-industrie. Dat is de duiding van een organisatie die samen met de Consumentenraad de klacht indiende. De formele beslissing is preciezer: zij gaat over Xandrs rol in deze specifieke Grindr-verwerking, niet over iedere advertentiedienst of de huidige datastroom van elk platform. De juridische grens ligt bij wat iedere gezamenlijke verantwoordelijke zelf verwerkt en of de toestemming die verwerking werkelijk dekt.