IT-JUSS | Personvern
Datatilsynet gir rekordbot til adtech-aktør
Vi regner med det kommer enda flere saker og rettslige avklaringer om digitalmarkedsføring fra Datatilsynet fremover.
Datatilsynet kunngjorde i dag at Xandr (tidligere AppNexus) får rekordbot på hele 92 millioner kroner for ulovlig bruk og videredeling av sensitive personopplysninger, nemlig opplysninger om seksuell orientering, for markedsføringsformål.
Xander er an adtechaktør som sitter i midten i adtechsystemet på internett. Det vil si at de mottar data samlet inn om brukere fra svært mange nettesteder og apper, og gjør disse tilgjengelig for svært mange annonsører til bruk for utplassering av personaliserte annonser. Det inkluderer maskinell real time bidding (RTB) og maskinell utplassering av annonser basert på persondata.
«Trodde» hjelper ikke
Datatilsynet har foreløpig ikke publisert vedtaket i helhet, men vi ser at Datatilsynet, basert på dommen mot Grindr, uten videre kan legge til grunn at at Xandr mottok sensitive data fra Grindr og som Grindr er dømt for å ha samlet inn i strid med GDPR. Grindr ble dømt for at de skulle ha hatt gyldig samtykke. Når personopplysningene var ulovlig samlet inn, blir det også ulovlig for Xandr å motta og bruke dem. Ifølge Datatilsynet «trodde» Xandr at Grindr hadde et samtykke, men dette hjelper ikke.
GDPR er nådeløst her.
Enhver aktør som behandler persondata må selv dokumentere at aktøren selv har et gyldig behandlingsgrunnlag, som normalt må være samtykke når data brukes til markedsføringsformål. Juridisk sett er det riktig som Datatilsynet sier; det holder ikke å tro at «noen andre» har hentet et gyldig samtykke. Samtidig er det slik at mange aktører i adtech-kjeden i praksis opptrer nettopp slik. Annonsøren tror «noen» i midten av RTB-systemer har hentet samtykke, mens denne «noen» i midten baserer seg på at nettstedet eller appen har hentet et samtykke som dekker deling og bruk.
Passer neppe Schibsted
En av aktørene i Norge Xandr samarbeider med, er Schibsted. Schibsted har utfordret samtykkereglene ved å tvinge brukerne til å samtykke eller betale mer for å få tilgang til tjenestene. 92 millioner i GDPR bot til Xandr passer neppe Schibsted særlig godt midt oppe i den pågående GDPR-diskusjonen om deres «Pay or ok» er lovlig eller ikke.
Digitalmarkedsføring, inkludert samtykker, reiser en rekke juridiske problemstillinger. Vi gleder oss til å lese det fulle vedtaket - og vi regner med det kommer enda flere saker og rettslige avklaringer om digitalmarkedsføring fra Datatilsynet fremover.
