Regulator perlindungan data Norwegia menjatuhkan denda sebesar 92 juta kroner (US$9,6 juta) kepada Xandr, unit periklanan Microsoft, karena membagikan data sensitif pengguna Grindr kepada pengiklan tanpa dasar hukum. Denda ini akan menjadi yang terbesar yang pernah dijatuhkan lembaga tersebut kepada sebuah perusahaan.

Datatilsynet, otoritas Norwegia yang mengeluarkan putusan tersebut, menyatakan bahwa data yang terlibat mencakup informasi yang dapat mengungkapkan orientasi seksual pengguna. Keputusan final ini menutup perkara yang telah berlangsung di Norwegia selama lebih dari enam tahun.

Bagaimana data Grindr berakhir di tangan ribuan penawar

Kasus ini melibatkan real-time bidding, sebuah proses yang menjual ruang iklan dalam hitungan milidetik saat pengguna membuka aplikasi. Ketika seseorang membuka aplikasi Grindr di Norwegia, data pribadinya dikirim melalui Xandr dan berpotensi dibagikan dengan ribuan perusahaan dan firma di industri periklanan, menurut Datatilsynet. Perusahaan-perusahaan ini kemudian bersaing untuk menayangkan iklan yang ditargetkan kepada pengguna.

Karena Grindr melayani pengguna gay, biseksual, trans, dan queer, regulator menganggap penggunaan aplikasi saja sudah cukup untuk mengungkap orientasi seksual seseorang. Berdasarkan aturan perlindungan data Eropa, hal itu menjadikan informasi tersebut sebagai data sensitif yang memerlukan persetujuan eksplisit untuk diproses.

Otoritas Norwegia menemukan bahwa Xandr gagal memperoleh persetujuan yang diperlukan. Otoritas itu juga memutuskan bahwa perusahaan berbagi tanggung jawab atas penanganan data dengan Grindr, alih-alih hanya bertindak sebagai perantara. Keuntungan finansial langsung Xandr dari berbagi data juga menjadi faktor penting lain dalam menilai besarnya denda apa pun.

Menyalahkan aplikasi tidak terbukti

Xandr berargumen bahwa mereka mengasumsikan Grindr sudah memperoleh persetujuan yang sah dari para penggunanya, sebuah argumen yang ditolak oleh regulator.

“Tanggung jawab atas perlindungan data tidak dapat didelegasikan kepada pihak lain,” kata Direktur Jenderal Datatilsynet Line Coll dalam pernyataan otoritas tersebut, sebagaimana dikutip oleh Tech Xplore. Direktur itu menyatakan setiap perusahaan harus secara mandiri memastikan dan mampu menunjukkan bahwa mereka memiliki dasar hukum untuk menggunakan data yang mereka peroleh.

Coll mengatakan pelanggaran tersebut sangat serius, dengan catatan bahwa data pribadi sensitif milik ribuan pengguna Norwegia telah dibagikan secara ilegal. Pembagian data itu berlangsung antara Juli 2018 dan April 2020, sebelum Microsoft mengakuisisi bisnis tersebut, yang saat itu dikenal sebagai AppNexus, lapor PPC Land. Xandr kini memiliki waktu tiga minggu untuk menggugat putusan tersebut dalam sebuah banding.

Keputusan Norwegia menyusul kasus serupa di Prancis pada awal 2026, ketika Conseil d’Etat menguatkan denda €40 juta terhadap perusahaan retargeting Criteo, sambil menolak klaimnya bahwa situs web mitra bertanggung jawab untuk mengumpulkan persetujuan. Kedua keputusan ini memperjelas bahwa perusahaan tetap bertanggung jawab atas perlindungan data, dan tidak dapat bergantung pada mitra untuk mengumpulkan persetujuan pengguna.

Sebuah pengaduan yang dimulai sejak 2020 di Norwegia

Pengaduan tersebut diajukan pada 2020 oleh Dewan Konsumen Norwegia dan kelompok privasi noyb terkait praktik berbagi data Grindr. Itu adalah salah satu dari tiga pengaduan yang diajukan pada tahun itu, yang menargetkan baik penanganan data pengguna oleh aplikasi maupun perusahaan adtech yang menerimanya.

Felix Mikolasch, pengacara perlindungan data di noyb, mengatakan putusan ini dapat memaksa akuntabilitas yang lebih besar dari perusahaan adtech seperti Xandr, yang operasinya sering kali sebagian besar tidak terlihat dan tidak disadari oleh publik, sambil menggambarkan keputusan itu sebagai preseden penting untuk kasus serupa dalam pernyataan dari kelompok tersebut.

Finn Myrstad, direktur kebijakan digital di Dewan Konsumen Norwegia, mengatakan keputusan ini memberi peringatan kepada perusahaan yang mengandalkan pelacakan pengguna. Putusan terbaru ini muncul setelah Grindr menghadapi hukuman serupa di Norwegia. Pada 2025, pengadilan negara itu menguatkan denda 65 juta kroner terhadap aplikasi tersebut karena secara ilegal membagikan informasi pribadi sensitif pengguna.

Denda ini menargetkan sebuah perusahaan yang menurut GuruFocus bernilai sekitar $3,97 triliun. Namun, noyb juga telah memperingatkan bahwa preseden ini dapat kehilangan efek yang diinginkan jika Digital Omnibus yang diusulkan Komisi Eropa melemahkan cara GDPR memperlakukan ID pelacakan online. Usulan ini saat ini sedang dipertimbangkan oleh Parlemen dan Dewan Eropa.

Pikiran-pikiran kripto paling cerdas sudah membaca buletin kami. Tertarik? Bergabunglah dengan mereka.