Norvegia, multa da 92 milioni di NOK a Xandr (Microsoft) per i dati degli utenti Grindr

• Datatilsynet multa Xandr (Microsoft) per 92 milioni di NOK, circa 9,6 milioni di dollari: record per l'autorità
• Tra il 2018 e il 2020 dati sensibili degli utenti Grindr, anche sull'orientamento sessuale, esposti a migliaia di aziende
• Xandr non ha verificato la validità dei consensi raccolti da Grindr
• Ricorso possibile entro tre settimane; Microsoft valuta le opzioni

L’autorità norvegese per la protezione dei dati, Datatilsynet, ha sanzionato Xandr, società pubblicitaria di proprietà di Microsoft, con una multa di 92 milioni di NOK, pari a circa 9,6 milioni di dollari. Il motivo è il trattamento e la condivisione illeciti di dati sensibili degli utenti norvegesi di Grindr. Secondo l’autorità si tratta della sanzione più alta mai comminata.

Che cosa è stato accertato

Tra luglio 2018 e aprile 2020 Xandr ha gestito all’interno di Grindr aste pubblicitarie in tempo reale. In queste aste gli inserzionisti fanno offerte per mostrare un annuncio a un utente, dopo aver ricevuto da Xandr, che faceva da intermediario, informazioni di profilazione. I dati potenzialmente esposti a migliaia di aziende comprendevano anche l’orientamento sessuale.

Grindr è un’app di incontri basata sulla geolocalizzazione, rivolta soprattutto alla comunità LGBTQ+. All’epoca Xandr era contitolare del trattamento insieme a Grindr. Doveva quindi richiedere e ottenere il consenso esplicito degli interessati.

Secondo Datatilsynet, Xandr ha dato per scontato che il consenso raccolto da Grindr fosse valido, senza verificarlo. La direttrice generale Line Coll ha spiegato che la società non ha controllato la validità dei consensi e non ha fatto nulla per assicurarsi una base giuridica propria per il trattamento. Le informazioni degli utenti, norvegesi e di altri Paesi, sono state così esposte a migliaia di inserzionisti senza che le persone lo sapessero o avessero mai dato un consenso esplicito.

Coll ha motivato l’entità della multa con la gravità delle violazioni: «migliaia di utenti in Norvegia» hanno subito una condivisione illecita dei propri dati sensibili.

Le reazioni

La denuncia originaria era stata presentata a gennaio 2020 dall’organizzazione austriaca per i diritti sulla privacy Noyb, insieme al Consiglio norvegese dei consumatori (Forbrukerrådet). Noyb ha accolto la decisione come «un duro colpo» per l’industria dell’adtech. A suo giudizio, la sanzione frena lo scambio incontrollato e occulto di dati sensibili tra siti, app, piattaforme e sistemi operativi. Secondo l’organizzazione, profilare interessi, abitudini, posizione e comportamenti richiede un consenso valido, che le società di adtech raramente ottengono.

Xandr oggi opera come Microsoft Advertising e ha tre settimane per presentare ricorso. Un portavoce di Microsoft ha dichiarato che l’indagine e l’esito riguardano condotte precedenti all’acquisizione di Xandr. Ha aggiunto che da allora il quadro normativo e la sua interpretazione e applicazione sono cambiati. L’azienda sta «esaminando la decisione» e valutando le opzioni a disposizione.

Fonte: BleepingComputer · Foto: BleepingComputer