Norský úřad uložil firmě Xandr kvůli datům z Grindru nejvyšší pokutu ve své historii

Norský úřad pro ochranu osobních údajů Datatilsynet uložil americké reklamní firmě Xandr pokutu 92 milionů norských korun. Rozhodnutí nese datum 2. října 2026 a úřad ho zveřejnil 12. října. Podle jeho tiskové zprávy jde o nejvyšší pokutu, jakou kdy udělil. Sám ji přepočítává na 8,6 milionu eur, kdežto text rozhodnutí podle kurzu z 15. září na zhruba 8,5 milionu eur. Americká média uvádějí 9,6 milionu dolarů.

Xandr podle úřadu zpracovával a dál posílal data norských uživatelů Grindru, seznamky pro gaye, bisexuály, trans a queer lidi, bez právního základu. Šlo o období od 20. července 2018 do 7. dubna 2020. Většinu té doby patřila firma AT&T, do července 2019 se jmenovala AppNexus a Microsoft ji koupil až v červnu 2022.

Stačilo vědět, že člověk Grindr používá

Úřad považuje za prokázané, že Xandr zpracovával přinejmenším tři údaje: že dotyčný používá Grindr, reklamní identifikátor jeho telefonu a IP adresu. Už první z nich podle rozhodnutí vypovídá o sexuální orientaci, a tím spadá mezi zvlášť chráněné údaje podle článku 9 obecného nařízení o ochraně osobních údajů (GDPR). Stejně to loni potvrdil odvolací soud v kauze samotného Grindru.

Data proudila přes takzvané aukce v reálném čase. Když uživatel otevřel aplikaci, odešel požadavek na zobrazení reklamy a inzerenti o místo v ní soutěžili nabídkami během zlomku vteřiny. Xandr v tom systému stál na obou stranách, u prodeje reklamního prostoru i u nákupu. Jeho seznam partnerů měl v době šetření přes 4 000 firem a uživatel podle úřadu neměl jak zjistit, ke kterým z nich se jeho údaje dostaly.

Spolehnout se na cizí souhlas nestačí

Xandr se bránil tím, že souhlas uživatelů měl zajistit Grindr. Ve smlouvě mu navíc výslovně zakázal posílat zvlášť chráněné údaje. Úřad to odmítl. Firmu označil za společného správce s Grindrem, takže si platnost souhlasu musela ověřit sama, a to neudělala. Souhlasy, které Grindr tehdy sbíral, navíc platné nebyly. Za to dostal Grindr od téhož úřadu už 13. prosince 2021 pokutu 65 milionů korun, kterou loni potvrdil odvolací soud; tu větev kauzy popisuje náš článek o britském urovnání Grindru.

„Odpovědnost za ochranu osobních údajů nejde přenést na druhé,“ řekla ke sporu ředitelka úřadu Line Coll. „Když se firmy nechopí odpovědnosti a svalují vinu jedna na druhou, práva uživatelů jsou v praxi bezcenná,“ dodala (obě citace přeloženy z anglické verze tiskové zprávy).

Proč se pokuta nepočítala z obratu Microsoftu

U dceřiné firmy by se pokuta podle pokynů Evropského sboru pro ochranu osobních údajů obvykle odvíjela od obratu celé skupiny, tedy Microsoftu. Ten ale Xandr v době porušení nevlastnil a úřad se opřel o rozsudek Soudního dvora EU ve věci YKK (C-408/12 P), kde se postupovalo stejně. Počítal proto jen s obratem Xandru za finanční rok od července 2024 do června 2025. Ve zveřejněné verzi rozhodnutí je to číslo začerněné.

Čtyři procenta toho obratu vycházejí pod 20 milionů eur, takže zákonný strop tvoří pevná částka 20 milionů eur, podle rozhodnutí asi 215,8 milionu korun. Pokuta 92 milionů z něj vyčerpává necelých 43 %. Úřad ji zvyšoval za dobu trvání porušení, za to, že se týkalo hlavní činnosti firmy, a za to, že na něm Xandr vydělal. Snížil ji naopak kvůli délce řízení: stížnost přišla v lednu 2020 a rozhodnutí o víc než šest let později. Xandr chtěl kvůli průtahům pokutu zrušit nebo snížit víc, jenže tvrzení, že mu zdržení ztížilo obranu, úřad nepřijal.

Kolik lidí bylo dotčeno, se nezjistilo. Xandr uvedl, že data z obchodu s Grindrem podle svých pravidel o uchovávání smazal a že požadavky na reklamu pro norské uživatele nedostával každý měsíc. Úřad proto počtu dotčených žádnou váhu nepřikládal, tisková zpráva přesto mluví o tisících uživatelů v Norsku.

Odvolání a reakce

Xandr se může odvolat do tří týdnů od doručení. Pokud úřad rozhodnutí nezmění, půjde spor k norské odvolací komisi pro ochranu soukromí. Mluvčí Microsoftu serveru BleepingComputer řekl, že šetření se týkalo jednání z doby před převzetím Xandru, a firma podle něj rozhodnutí zkoumá a zvažuje další kroky.

Stížnost podala 14. ledna 2020 norská spotřebitelská rada Forbrukerrådet ve spolupráci s rakouskou organizací noyb. Opírala se o zprávu Out of Control a o technické testy bezpečnostní firmy mnemonic, které od 8. července do 31. prosince 2019 sledovaly, kam data z Grindru odcházejí. Podle přehledu stížností na webu Forbrukerrådet mířila tatáž první stížnost i na Twitter MoPub a OpenX, další dvě na firmy AdColony a Smaato.

Organizace noyb mluví o precedentu pro podobné případy. Upozorňuje přitom na návrh Evropské komise zvaný Digital Omnibus, o kterém jednají Evropský parlament a Rada EU: podle noyb by po jeho přijetí reklamní identifikátory přestaly spadat pod GDPR a firmy jako Xandr by za podobné jednání odpovídat nemusely.

Zdroje

• Datatilsynet: Microsoft company fined NOK 92 million, 12. října 2026.
• Datatilsynet: veřejná verze rozhodnutí o pokutě (PDF), 2. října 2026.
• noyb: vyjádření stěžovatelů k rozhodnutí, 12. října 2026.
• Forbrukerrådet: Out of control: Complaints and follow up, 14. ledna 2020.
• heise online: Data protection: Microsoft subsidiary must pay 8.6 million euro fine, 12. října 2026.
• BleepingComputer: vyjádření Microsoftu k rozhodnutí, říjen 2026.