Норвежский регулятор Datatilsynet назначил Microsoft-owned рекламной платформе Xandr штраф в 92 млн норвежских крон — около $9,6 млн — за незаконную обработку и передачу чувствительных данных пользователей Grindr. Штраф Xandr стал крупнейшим в истории ведомства: для IT-компаний это очередное напоминание, что согласие пользователя нельзя подменять предположением о том, что его уже собрал партнёр.
Как сообщает BleepingComputer, претензии касаются периода с июля 2018 года по апрель 2020-го. Тогда Xandr управляла рекламными аукционами в реальном времени внутри Grindr и передавала участникам торгов профильные данные, по которым можно было судить в том числе о сексуальной ориентации пользователей. По оценке Datatilsynet, доступ к этим сведениям потенциально получили тысячи компаний.
Рекламный аукцион как канал утечки
Механика programmatic-рекламы выглядит привычно: когда пользователь открывает приложение, рекламодатели получают набор параметров аудитории и за доли секунды предлагают цену за показ. Проблема в том, что в такой цепочке данные успевают увидеть не только победитель торгов. Если в сигнале содержатся признаки, относящиеся к специальным категориям персональных данных, масштаб риска быстро перестаёт быть теоретическим.
Grindr — геосоциальное приложение для знакомств, ориентированное прежде всего на ЛГБТК+-аудиторию. Норвежское ведомство сочло, что сам факт использования сервиса в рекламном контексте мог раскрывать чувствительную информацию о человеке. Поэтому для обработки таких данных требовалось явное и действительное согласие, а не формальная галочка, спрятанная в пользовательском сценарии.
В рассматриваемый период Xandr и Grindr были совместными операторами обработки данных. Это означает, что рекламная платформа отвечала не только за техническое проведение торгов, но и за законность собственной части обработки. Datatilsynet установил, что Xandr полагалась на заверения Grindr о наличии согласий, однако не проверила их действительность и не обеспечила отдельное правовое основание для передачи данных рекламной экосистеме.
Ответственность не исчезает в цепочке подрядчиков
Регулятор подчёркивает: нарушение затронуло тысячи пользователей в Норвегии. Но практический вывод шире одной страны и одного сервиса. В adtech-цепочке часто участвуют владелец приложения, DSP, SSP, биржа, аналитические сервисы и десятки покупателей инвентаря. Чем длиннее список участников, тем слабее работает логика «за согласие отвечает кто-то до нас» — особенно когда данные позволяют делать выводы о здоровье, религиозных взглядах, местоположении или сексуальной ориентации.
Жалобу ещё в январе 2020 года подали австрийская правозащитная организация Noyb и Норвежский потребительский совет Forbrukerrådet. Noyb назвала решение серьёзным ударом по практикам индустрии онлайн-рекламы и коммерческого наблюдения. Организация указывает, что профилирование интересов, привычек, поведения и локации требует действительного согласия, которого участники рекламного рынка нередко не получают.
Для разработчиков и продактов это не повод срочно отключать всю таргетированную рекламу, а повод разобрать собственный поток данных без самоуспокоения. Нужно понимать, какие атрибуты уходят в запрос на аукцион, кто получает их до завершения торгов, какие данные можно вывести из комбинации технических сигналов и где именно хранится доказательство согласия. Если юридическое основание существует только в презентации подрядчика, для регулятора его может не существовать вовсе.
Microsoft заявила, что расследование и решение относятся к действиям до приобретения Xandr компанией. Представитель корпорации также отметил, что с тех пор менялись правовые рамки и практика их применения, а компания изучает решение и оценивает дальнейшие варианты. На обжалование Xandr дали три недели.
Штраф Xandr важен не только размером. Он показывает, что реальное время рекламных торгов не освобождает бизнес от обязанности объяснить каждый переход чувствительных данных между системами. Следующим предметом споров станет не вопрос, способен ли рынок технически раздать профиль тысячам получателей, а вопрос, может ли он доказать, что пользователь действительно разрешил именно это.