Норвежский орган по защите данных оштрафовал Xandr, рекламное подразделение Microsoft, на €8,6 млн (US$9,62 млн). По данным регулятора, компания незаконно передавала рекламодателям сведения пользователей Grindr, в том числе данные, раскрывающие сексуальную ориентацию. Нарушения происходили с июля 2018-го по апрель 2020 года. Штраф стал крупнейшим в истории норвежского надзорного ведомства, которое назвало нарушение «очень серьёзным».
Xandr выступала посредником и передавала персональные данные пользователей Grindr в Норвегии потенциально тысячам компаний. Расследование показало, что Xandr и Grindr совместно контролировали обработку данных. Поэтому, по мнению регулятора, Xandr сама должна была убедиться, что у неё есть согласие пользователей. Компания исходила из того, что согласие получила Grindr, но не проверила наличие собственного законного основания для обработки.
Центральную роль в деле сыграла система торгов рекламой в реальном времени. Xandr участвовала в ней и со стороны продавца рекламных показов, и со стороны покупателя. Когда человек открывал Grindr, его личные данные во многих случаях проходили через Xandr и могли попасть к потенциально тысячам участников рекламной экосистемы. Рекламодатели конкурировали за возможность показать этому человеку объявление, а пользователь не видел ни торгов, ни передачи сведений. По оценке норвежского ведомства, незаконному обмену чувствительными данными подверглись тысячи жителей страны.
Дело началось в 2020 году: жалобу на Xandr подали Норвежский совет потребителей и австрийская некоммерческая организация по защите приватности None of Your Business (noyb). Они утверждали, что компания использовала персональные данные в коммерческих целях и передавала их без явного согласия пользователей. Название Xandr отсылает к Александру Грэму Беллу, основавшему AT&T в 1885 году.
При расчёте штрафа регулятор учитывал общий годовой оборот Xandr за двухлетний период нарушений. Он закончился до того, как Microsoft приобрела компанию. У Xandr есть три недели, чтобы обжаловать решение.
В noyb назвали штраф «серьёзным ударом по индустрии интернет-рекламы и коммерческой слежки». Организация добавила, что такие компании, как Xandr, наконец отвечают за то, что она охарактеризовала как «сомнительные практики».
Месяцем ранее Grindr согласилась выплатить £26 млн (US$35,1 млн), чтобы урегулировать иск в Великобритании. В нём утверждалось, что сервис передавал третьим сторонам личные сведения пользователей, включая информацию о ВИЧ-статусе.
Отдельно федеральный судья в Техасе окончательно утвердил соглашение на US$177 млн для групп клиентов AT&T, чьи данные оказались раскрыты в результате двух утечек в марте и июле 2024 года. Коллективный иск урегулировали в ноябре 2025-го. В марте на тёмной сети опубликовали набор данных, содержащий номера Social Security: согласно AT&T, утечка затронула около 7,6 млн действующих и примерно 65,4 млн бывших владельцев аккаунтов.
Во втором инциденте злоумышленники незаконно скачали данные клиентов AT&T со сторонней облачной платформы Snowflake. Компания сообщила, что были скомпрометированы записи звонков и текстовых сообщений почти всех её абонентов сотовой связи за период с 1 мая по 31 октября 2022 года.
Изображение носит иллюстративный характер
Xandr выступала посредником и передавала персональные данные пользователей Grindr в Норвегии потенциально тысячам компаний. Расследование показало, что Xandr и Grindr совместно контролировали обработку данных. Поэтому, по мнению регулятора, Xandr сама должна была убедиться, что у неё есть согласие пользователей. Компания исходила из того, что согласие получила Grindr, но не проверила наличие собственного законного основания для обработки.
Центральную роль в деле сыграла система торгов рекламой в реальном времени. Xandr участвовала в ней и со стороны продавца рекламных показов, и со стороны покупателя. Когда человек открывал Grindr, его личные данные во многих случаях проходили через Xandr и могли попасть к потенциально тысячам участников рекламной экосистемы. Рекламодатели конкурировали за возможность показать этому человеку объявление, а пользователь не видел ни торгов, ни передачи сведений. По оценке норвежского ведомства, незаконному обмену чувствительными данными подверглись тысячи жителей страны.
Дело началось в 2020 году: жалобу на Xandr подали Норвежский совет потребителей и австрийская некоммерческая организация по защите приватности None of Your Business (noyb). Они утверждали, что компания использовала персональные данные в коммерческих целях и передавала их без явного согласия пользователей. Название Xandr отсылает к Александру Грэму Беллу, основавшему AT&T в 1885 году.
При расчёте штрафа регулятор учитывал общий годовой оборот Xandr за двухлетний период нарушений. Он закончился до того, как Microsoft приобрела компанию. У Xandr есть три недели, чтобы обжаловать решение.
В noyb назвали штраф «серьёзным ударом по индустрии интернет-рекламы и коммерческой слежки». Организация добавила, что такие компании, как Xandr, наконец отвечают за то, что она охарактеризовала как «сомнительные практики».
Месяцем ранее Grindr согласилась выплатить £26 млн (US$35,1 млн), чтобы урегулировать иск в Великобритании. В нём утверждалось, что сервис передавал третьим сторонам личные сведения пользователей, включая информацию о ВИЧ-статусе.
Отдельно федеральный судья в Техасе окончательно утвердил соглашение на US$177 млн для групп клиентов AT&T, чьи данные оказались раскрыты в результате двух утечек в марте и июле 2024 года. Коллективный иск урегулировали в ноябре 2025-го. В марте на тёмной сети опубликовали набор данных, содержащий номера Social Security: согласно AT&T, утечка затронула около 7,6 млн действующих и примерно 65,4 млн бывших владельцев аккаунтов.
Во втором инциденте злоумышленники незаконно скачали данные клиентов AT&T со сторонней облачной платформы Snowflake. Компания сообщила, что были скомпрометированы записи звонков и текстовых сообщений почти всех её абонентов сотовой связи за период с 1 мая по 31 октября 2022 года.
