Grindr en Xandr: Noorse recordboete voor privacyschendingen

De Noorse gegevensbeschermingsautoriteit legde het advertentiebedrijf Xandr, eigendom van Microsoft, een boete op van 92 miljoen Noorse kronen voor het doorgeven van gegevens van Grindr-gebruikers, waaronder gegevens die hun seksuele gerichtheid onthullen, aan mogelijk duizenden bedrijven.

Wat er gebeurde

Wanneer mensen in Noorwegen Grindr openden, werden hun persoonsgegevens in veel gevallen via het advertentiebedrijf Xandr (destijds AppNexus, nu onderdeel van Microsoft) doorgegeven aan mogelijk duizenden partijen op de advertentiemarkt, waar adverteerders in realtime bieden om hun advertenties te tonen. Grindr-gebruiker zijn duidt op zichzelf al op seksuele gerichtheid, en dat zijn bijzonder beschermde gegevens. Xandr voerde aan dat het dacht dat Grindr toestemming had verkregen. De Noorse gegevensbeschermingsautoriteit wees dit af: elk bedrijf moet zelf een rechtsgrond waarborgen en documenteren, en Xandr had niets gedaan om te controleren of de toestemming geldig was. De autoriteit oordeelde dat Xandr samen met Grindr gezamenlijk verwerkingsverantwoordelijke was en legde haar hoogste boete ooit op: 92 miljoen Noorse kronen (ongeveer 8,6 miljoen euro). De zaak begon met een klacht van de Noorse consumentenraad in 2020. Grindr zelf kreeg in 2021 een boete van 65 miljoen Noorse kronen voor vergelijkbare overtredingen, die door het gerechtshof werd bevestigd.

Wat is gedocumenteerd

• De Noorse gegevensbeschermingsautoriteit legde Xandr een boete op van 92 miljoen Noorse kronen, bekendgemaakt op 12 oktober 2026.
• De overtredingen duurden van juli 2018 tot april 2020 en troffen volgens de autoriteit duizenden gebruikers in Noorwegen.
• De autoriteit stelde vast dat er geen geldige uitdrukkelijke toestemming was en dat Xandr samen met Grindr gezamenlijk verwerkingsverantwoordelijke was.
• Grindrs eigen boete van 65 miljoen Noorse kronen (2021) werd bevestigd door het gerechtshof Borgarting.

Wat is niet vastgesteld

• Het besluit was bij de bekendmaking niet definitief: Xandr had drie weken om beroep aan te tekenen.
• Welke specifieke bedrijven de gegevens ontvingen en hoe die werden gebruikt.

Wat dit voor jou betekent

1. Alleen al het gebruik van een datingapp kan gevoelige informatie over je onthullen.
2. Weiger advertentietracking en gepersonaliseerde advertenties in de app en in de instellingen van je telefoon.
3. Je kunt een dienst vragen met welke bedrijven die je gegevens deelt.