Šta se desilo?

Norveški organ za zaštitu podataka Datatilsynet objavio je 12. oktobra 2026. da je kompaniji Xandr izrekao administrativnu kaznu od 92 miliona norveških kruna, približno 8,6 miliona evra prema obračunu regulatora. To je najveća kazna koju je taj organ do tada izrekao. Utvrđena je nezakonita obrada i deljenje osetljivih ličnih podataka korisnika aplikacije Grindr u Norveškoj.

Xandr je danas deo Microsofta, ali mu nije pripadao tokom obuhvaćenog perioda, od jula 2018. do aprila 2020. Kazna je obračunata prema prometu Xandra, ne Microsofta. Kompanija ima tri nedelje od prijema odluke za podnošenje žalbe, pa vest ne predstavlja odluku kao pravnosnažno okončan postupak.

Koga pogađa?

Prema regulatoru, nezakonito deljenje obuhvatilo je hiljade korisnika Grindra u Norveškoj; precizan broj nije naveden u saopštenju. Podaci su uključivali informacije koje otkrivaju seksualnu orijentaciju. Ovaj zaključak ne znači da je utvrđena ista povreda za svakog korisnika bilo koje aplikacije koja koristi Xandr.

Kako se zaštititi?

  • Pregledajte podešavanja privatnosti i dozvole aplikacija, naročito pristup preciznoj lokaciji, i ograničite ono što nije potrebno.
  • Odbijte opciono praćenje i personalizaciju oglasa kada su te mogućnosti dostupne.
  • Proverite kome aplikacija navodi da prosleđuje podatke i koje izbore pruža za njihovu obradu.
  • Za pitanja o obradi obratite se kompaniji, a za sumnju na povredu privatnosti nadležnom organu za zaštitu podataka.

Tehnički detalji

Predmet se odnosi na oglašavanje putem aukcija u realnom vremenu, odnosno real-time bidding. Xandr je posredovao na kupovnoj i prodajnoj strani, prosleđujući podatke potencijalno hiljadama učesnika u oglašivačkom sistemu. Datatilsynet je utvrdio da je Xandr bio zajednički rukovalac podacima sa Grindrom i da nije proverio postojanje valjanog izričitog pristanka, već je pretpostavio da je to Grindrova odgovornost.

Ovo nije prijava softverske ranjivosti ili potvrđenog hakerskog upada. CVE, CVSS i bezbednosna zakrpa nisu primenljivi na opisanu odluku. VPN sam po sebi ne sprečava aplikaciju da šalje podatke koje već poseduje, pa nije rešenje za ovakav način deljenja.

Zašto je važno?

Slučaj pokazuje da rizik po privatnost može nastati i kroz poslovne tokove podataka, bez iskorišćavanja tehničke ranjivosti. Regulator naglašava da kompanija ne može jednostavno preneti odgovornost za zakonitu obradu na drugog učesnika u lancu. Korisnik pritom često nema jasan uvid u sve primaoce.

Preporuka Sajber Radara

Korisnici treba da smanje nepotrebne dozvole i opciono praćenje. Organizacije koje koriste oglašivačke platforme treba da provere tokove podataka, uloge učesnika i dokumentaciju o odgovarajućem osnovu obrade, umesto da se oslone samo na pretpostavke o saglasnosti koju je pribavio partner.