رگولاتور حریم خصوصی نروژ (Datatilsynet)، شرکت فناوری تبلیغاتی Xandr را به دلیل پردازش و اشتراک‌گذاری غیرقانونی اطلاعات حساس کاربران اپلیکیشن Grindr به مبلغ ۹۲ میلیون کرون نروژ (تقریباً ۹.۶ میلیون دلار) جریمه کرد.
مکانیسم افشای داده‌ها در حراج‌های تبلیغاتی
این تخلف مربوط به بازه زمانی جولای ۲۰۱۸ تا آوریل ۲۰۲۰ است. در این مدت، Xandr حراج‌های تبلیغاتی در زمان واقعی (Real-Time Bidding یا RTB) را مدیریت می‌کرد. در این سیستم‌های خودکار، تبلیغ‌کنندگان برای نمایش آگهی به کاربران رقابت می‌کنند، اما در جریان این فرآیند، اطلاعاتی درباره کاربر هدف نیز به گردش در می‌آید.
طبق گزارش رگولاتور، اطلاعاتی که نشان‌دهنده گرایش‌های جنسی کاربران بود، از طریق این سیستم به هزاران شرکت منتقل می‌شد. نکته حائز اهمیت این است که کاربران لزوماً این اطلاعات را در پروفایل خود درج نکرده بودند، اما صرفِ شناسایی یک فرد به عنوان کاربر Grindr، توسط رگولاتور به عنوان دلیلی کافی برای استنباط گرایش جنسی و در نتیجه «داده حساس» تلقی شد.
چالش‌های Consent و مسئولیت مشترک
بررسی‌ها نشان داد که Xandr برای دریافت رضایت کاربر (Consent)، صرفاً به Grindr تکیه کرده بود و اعتبار این رضایت را بررسی نکرد. رگولاتور تأکید کرد که Xandr به عنوان یکی از مسئولان مشترک پردازش داده‌ها، تعهدات قانونی مستقل خود را داشته و نمی‌توانست بدون بررسی صحت رضایت صریح کاربران، فرض کند که اپلیکیشن مورد نظر تمامی مراحل قانونی را طی کرده است.
دامنه تأثیر و وضعیت فعلی
اگرچه این جریمه توسط سازمان نروژی صادر شده، اما شواهد نشان می‌دهد که این رویه اشتراک‌گذاری داده‌ها محدود به کاربران نروژی نبوده و کاربران سایر نقاط جهان، از جمله ایالات متحده، نیز تحت تأثیر قرار گرفته‌اند. لازم به ذکر است که شرکت Xandr اکنون متعلق به Microsoft است، اما این تخلفات مربوط به دوران پیش از تصاحب این شرکت توسط مایکروسافت (در ژوئن ۲۰۲۲) است.
توصیه‌های امنیتی برای کاربران
- محدود کردن اطلاعات پروفایل: فیلدهای اختیاری را خالی بگذارید و از درج جزئیاتی مانند محل کار یا آدرس منزل خودداری کنید.
- مدیریت دسترسی‌ها: مجوزهای Location و تنظیمات تبلیغاتی را در سطح سیستم‌عامل بررسی و محدود کنید.
- جداسازی دستگاه‌ها: از نصب اپلیکیشن‌های شخصی و Dating بر روی دستگاه‌های سازمانی (Company-issued devices) خودداری کنید.
