Norveç Veri Koruma Kurumu, Microsoft'a ait reklam birimi Xandr'a Grindr kullanıcılarının hassas verilerini yasa dışı şekilde reklamverenlere aktarması nedeniyle 8,6 milyon euro (9,62 milyon dolar) para cezası verdi.
İdari para cezası, veri koruma gözetmeninin verdiği en büyük idari para cezası oldu. Kurum, ihlalin çok ciddi niteliği nedeniyle yüksek bir cezanın hak edildiğini savundu. İhlaller temmuz 2018 ile nisan 2020 arasında gerçekleşti.
Veri Koruma Kurumu açıklamasında Xandr, Norveç'teki Grindr kullanıcılarının kişisel verilerini, cinsel yönelimi de ortaya çıkaran veriler dahil, potansiyel olarak binlerce başka şirkete aktaran bir aracı olarak hareket etti dedi.
Kurum, soruşturmasında Xandr'ın Grindr ile birlikte ortak denetleyici olduğunu ve bu nedenle verileri işlemeden önce kullanıcıların onayını almaktan sorumlu olduğunu tespit ettiğini bildirdi.
Kuruma göre Xandr, verilerin kendi işleme faaliyetleri için hukuki dayanağa sahip olduklarını temin etmek yerine Grindr'a parmak salladı ve çevrimiçi buluşma uygulamasının kullanıcı onayını topladığını varsaydığını belirtti.
Xandr, AT&T'nin haziran 2018'de AppNexus'u satın almasının ardından kuruldu. Adı, 1885'te AT&T'yi kuran Alexander Graham Bell'e gönderme yapıyor. Birim aralık 2021 sonunda Microsoft'a satıldı, ardından marka kaldırıldı ve haziran 2023'te Microsoft Ads çatısı altında toplandı.
Olay 2020'ye dayanıyor. Ülkenin tüketici konseyi, Avusturya merkezli gizlilik kuruluşu None of Your Business (noyb) ile birlikte Xandr hakkında kullanıcıların açık onayını almadan kişisel verilerini ticari amaçla yasa dışı paylaştığı iddiasıyla şikayette bulundu. Bu uygulama sonucunda Norveç'te binlerce kullanıcının hassas verilerinin yasa dışı paylaşımına maruz kaldığı belirtildi.
Gözetmen İhlalin özü, Xandr'ın alıcı ve satıcı tarafında da hareket ettiği sözde gerçek zamanlı açık artırma katılımına dayanıyordu dedi. Bir kişi Grindr'ı açtığında kişisel verileri birçok durumda Xandr aracılığıyla reklam ekosistemindeki potansiyel olarak binlerce aktöre iletildi.
Reklamverenler böylece bireysel kullanıcıdan tamamen gizli kalarak hedefli reklamlar sunmak için birbirleriyle teklif verebildi.
DPA, cezanın hesaplanmasında Microsoft'un satın almasından önceki iki yıllık döneme ait Xandr'ın toplam yıllık cirosunun dikkate alındığını da söyledi. Xandr'ın karara itiraz etmek için üç haftası var.
Karara yanıt veren noyb, cezayı çevrimiçi reklamcılık ve ticari gözetim sektörü için büyük bir darbe olarak tanımladı ve Xandr gibi şirketlerin sonunda şüpheli uygulamalarından dolayı hesap vermeye zorlandığını söyledi.
Reuters ile paylaşılan açıklamada Microsoft, kararı gözden geçirdiğini ve seçeneklerini değerlendirdiğini bildirdi.
Geçen ay Grindr, kullanıcıların kişisel bilgilerini, HIV durumları dahil, üçüncü taraflarla paylaştığı iddiasıyla İngiltere'de açılan davayı 26 milyon sterlin (35,1 milyon dolar) ödeyerek çözmeyi seçti.
Gelişme, Teksas'ta bir federal yargıcın mart ve temmuz 2024'te meydana gelen iki ayrı veri ihlalinde kişisel bilgileri açığa çıkan AT&T tüketicileri sınıfları için 177 milyon dolarlık AT&T uzlaşmasını nihai onayladığı sırada geldi. Toplu dava kasım 2025'te karara bağlandı.
Mart 2024 olayı, karanlık ağda Sosyal Güvenlik numaralarını içeren bir veri kümesinin yayınlanmasını içeriyordu. Telekom sağlayıcısının o dönem belirttiğine göre bu durum yaklaşık 7,6 milyon mevcut AT&T hesap sahibini ve yaklaşık 65,4 milyon eski hesap sahibini etkiledi.
İkinci saldırı, tehdit aktörlerinin Snowflake tarafından barındırılan üçüncü taraf bir bulut platformundan AT&T müşteri verilerini yasa dışı şekilde indirmesiyle ilgiliydi. Amerikan şirketi, 1 mayıs - 31 ekim 2022 arasında gerçekleşen arama ve mesaj kayıtlarının neredeyse tüm hücresel müşteriler için tehlikeye girdiğini söyledi.
