Cơ quan Bảo vệ Dữ liệu Na Uy (Datatilsynet) đã phạt Xandr – một công ty quảng cáo thuộc sở hữu của Microsoft – số tiền 9,6 triệu USD (92 triệu NOK) vì hành vi xử lý và chia sẻ trái phép dữ liệu nhạy cảm của người dùng Grindr tại quốc gia này. Cơ quan bảo vệ dữ liệu cho biết đây là mức phạt lớn nhất mà họ từng ban hành: "Chúng tôi đưa ra mức phạt cao như vậy trong vụ việc này vì những vi phạm được xác định là rất nghiêm trọng", bà Line Coll, Tổng giám đốc của Datatilsynet, phát biểu. "Hàng ngàn người dùng tại Na Uy đã bị chia sẻ trái phép dữ liệu nhạy cảm của họ".

Theo kết quả điều tra của cơ quan này, trong khoảng thời gian từ tháng 7 năm 2018 đến tháng 4 năm 2020, Xandr đã quản lý các phiên đấu giá quảng cáo theo thời gian thực trên ứng dụng Grindr; quy trình này có nguy cơ làm lộ dữ liệu người dùng – bao gồm cả thông tin nhạy cảm về xu hướng tính dục – cho hàng ngàn công ty khác nhau. Các phiên đấu giá này hoạt động theo cơ chế: nhà quảng cáo đặt giá thầu để giành quyền hiển thị quảng cáo cho người dùng Grindr sau khi nhận được thông tin hồ sơ người dùng từ Xandr (đóng vai trò là bên trung gian.  Vào thời điểm đó, Xandr đóng vai trò là bên đồng kiểm soát dữ liệu cùng với Grindr; điều này đồng nghĩa với việc công ty phải chịu trách nhiệm về cách thức sử dụng dữ liệu, cũng như có nghĩa vụ yêu cầu và nhận được sự đồng ý rõ ràng từ chính chủ thể dữ liệu đối với quy trình xử lý này.

Grindr là ứng dụng hẹn hò dựa trên vị trí, phục vụ chủ yếu cho cộng đồng LGBTQ+. Theo cơ quan bảo vệ quyền riêng tư dữ liệu của Na Uy, Xandr đã mặc định rằng Grindr đã có được sự đồng ý hợp lệ từ người dùng nhưng lại không thực hiện bất kỳ bước xác minh nào. "Xandr đã bỏ qua việc xác minh tính hợp lệ của các sự đồng ý do Grindr cung cấp, đồng thời không thực hiện biện pháp nào để đảm bảo rằng họ có cơ sở pháp lý cho hoạt động xử lý dữ liệu của chính mình", bà Coll khẳng định. Hậu quả là thông tin nhạy cảm của người dùng Grindr tại Na Uy và các quốc gia khác đã bị tiết lộ cho hàng ngàn nhà quảng cáo mà người dùng hoàn toàn không hay biết, cũng như chưa từng đưa ra sự đồng ý rõ ràng nào.

Xandr – hiện hoạt động dưới tên Microsoft Advertising – có thời hạn ba tuần để kháng cáo quyết định này. BleepingComputer đã liên hệ với Microsoft để xin bình luận về quyết định của cơ quan chức năng Na Uy; người phát ngôn của hãng nhấn mạnh rằng cuộc điều tra và kết quả của nó "tập trung vào các hành vi diễn ra trước khi Microsoft mua lại Xandr". Người phát ngôn cho biết kể từ thời điểm đó, các khuôn khổ pháp lý cũng như cách diễn giải và thực thi luật pháp đã thay đổi, đồng thời khẳng định Microsoft đang "xem xét quyết định này và đánh giá các phương án xử lý"...

Trích lược Bill Toulas https://www.bleepingcomputer.com/news/security/norway-fines-microsoft-ad-firm-96-million-over-grindr-data-sharing/