Autoritatea norvegiană de protecție a datelor, Datatilsynet, a anunțat pe 12 octombrie 2026 că a amendat Xandr, o companie de publicitate online deținută de Microsoft, cu 92 de milioane de coroane norvegiene (aproximativ 8,6 milioane de euro; conversiile diferă între publicații). Este cea mai mare amendă dată vreodată de autoritatea norvegiană. Se referă la perioada iulie 2018 – aprilie 2020, când Xandr a participat la licitații publicitare în timp real în aplicația Grindr.
Ce este confirmat, ce este relatat, ce nu se știe
- Confirmat de autoritate: lista de știri a Datatilsynet conține o intrare din 12 octombrie, „Microsoft company fined NOK 92 million”, care spune că serviciul de publicitate Xandr a prelucrat și partajat date personale sensibile cu încălcarea legii. Nu am deschis textul complet al intrării; restul provine din relatările BleepingComputer și The Hacker News.
- Relatat, prin presă: autoritatea a considerat că Xandr era operator asociat cu Grindr și răspundea pentru prelucrare și pentru obținerea consimțământului explicit. Xandr ar fi presupus că Grindr obținuse consimțământul valid și nu l-a verificat; autoritatea a respins argumentul.
- Relatat, prin presă: potrivit autorității, când cineva deschidea Grindr, datele lui personale erau, în multe cazuri, transmise prin Xandr către potențial mii de actori din ecosistemul publicitar, inclusiv date care puteau dezvălui orientarea sexuală. Director General, Line Coll, a spus, potrivit BleepingComputer: „mii de utilizatori din Norvegia au fost supuși partajării ilegale a datelor lor sensibile”.
- Relatat de The Hacker News: amenda a fost calculată pe baza cifrei de afaceri a Xandr pe cei doi ani ai încălcării, perioadă anterioară achiziției de către Microsoft.
- Declarat de Microsoft, relatat de presă: investigația a vizat fapte anterioare achiziției Xandr; compania analizează decizia și opțiunile. Xandr ar avea trei săptămâni să facă apel; nu știm dacă l-a făcut.
- Context relatat: plângerea a fost depusă în ianuarie 2020 de Consiliul norvegian al consumatorilor și de grupul noyb. Lista de știri a autorității arată și că o instanță de apel a menținut, pe 21 octombrie 2025, amenda de 65 de milioane de coroane a Grindr însuși.
- Necunoscut: câți utilizatori sunt afectați dincolo de „mii în Norvegia”, câte companii au primit datele, ce practici are acum Xandr și dacă decizia va fi contestată cu succes. Nicio sursă citită nu leagă cazul de organizații din România.
Decizia aparține unei autorități norvegiene și nu leagă autoritatea română. O citim aici ca exemplu de raționament: cum privește o autoritate de protecție a datelor un lanț în care mai multe firme își trec datele una alteia. Nu este un sfat juridic.
Decizia umană din centrul cazului
„Partenerul are consimțământul” este o frază care circulă în contracte, prezentări și conversații de vânzări. Cazul ne arată cât de ușor devine o presupunere. Întrebările utile sunt concrete: cine din firmă a cerut dovada consimțământului, în ce formă, cât de des o reverifică și ce se întâmplă cu fluxul de date dacă dovada lipsește?
Comportamentul pe care îl antrenezi, pe roluri
- Marketing, publicitate și analiză: nu accepta „avem consimțământul” ca răspuns final. Cere să vezi textul prezentat utilizatorului și momentul în care apare, nu doar o clauză din contract.
- Produs și dezvoltare: știu ce date pleacă din aplicație către parteneri, în ce moment și pe ce bază. Orice flux nou trece printr-o revizuire cu cei din protecția datelor.
- Juridic și responsabilul cu protecția datelor: stabilesc dinainte cine este operator, cine este împuternicit și cine este operator asociat, apoi verifică dacă rolurile din practică se potrivesc cu cele din contract.
- Achiziții și vânzări: cer partenerilor dovezi periodice, nu doar la semnarea contractului, și prevăd în contract dreptul de a opri fluxul de date dacă dovada lipsește.
- Date sensibile (sănătate, orientare sexuală, convingeri, apartenență): se tratează separat; întrebarea „ce se poate deduce din simpla prezență a cuiva într-o aplicație?” se pune înainte de orice partajare.
- Conducere: cere o hartă simplă a partenerilor care primesc date și a bazei pe care le primesc.
Exercițiul: 40 de minute, „partenerul spune că are consimțământul”
Participă marketing, produs, juridic sau responsabilul cu protecția datelor, achiziții și un reprezentant al conducerii. Scenariu fictiv: un partener vă propune să primiți un flux de date despre utilizatorii unei aplicații și afirmă că are consimțământul lor.
- Pasul 1 (10 minute) — ce dovadă cereți? Notați trei lucruri pe care le vreți vizibile: textul arătat utilizatorilor, momentul, cum se retrage consimțământul.
- Pasul 2 (10 minute) — ce date ar fi sensibile prin ceea ce dezvăluie, chiar dacă nu sunt numite „sensibile”? Cine decide?
- Pasul 3 (10 minute) — cine reverifică dovada peste șase luni și ce faceți dacă partenerul nu mai poate să o arate?
- Pasul 4 (10 minute) — scrieți în contract trei clauze: dreptul de a cere dovezi, dreptul de a opri fluxul și cine răspunde dacă dovada lipsește. Spuneți ce nu puteți garanta.
Ce măsori
- Procentul partenerilor care primesc date și au dovada consimțământului sau a bazei legale în dosar.
- Data ultimei reverificări pentru fiecare partener cu date sensibile.
- Numărul de fluxuri de date către terți fără proprietar numit.
- Timpul necesar pentru a opri un flux către un partener.
- Câți dintre cei din marketing și produs pot explica cine este operator și cine împuternicit într-un flux dat.
- Câte contracte au dreptul de a cere dovezi și de a opri fluxul.
Cazul poate fi contestat, iar în sursele citite nu există încă un răspuns al Xandr. Concluzia utilă nu depinde de asta: o presupunere despre ce a făcut un partener este o decizie, iar în lanțul de date cineva trebuie să-i poată arăta dovada.