De Noorse Autoriteit Persoonsgegevens heeft Xandr boete Grindr-data opgelegd aan het advertentiebedrijf Xandr, een onderdeel van Microsoft. De toezichthouder stelde dat Xandr gevoelige gegevens van Grindr-gebruikers onrechtmatig doorspeelde aan adverteerders, zonder de juiste basis en toestemming te waarborgen. De opgelegde administratieve boete bedraagt €8,6 miljoen en geldt als een van de hoogste sancties die de instantie heeft uitgedeeld.
De kern van de zaak ligt bij de manier waarop gegevens worden uitgewisseld binnen het reclame-ecosysteem. Volgens de toezichthouder werd data van bezoekers van de datingapp in veel gevallen via Xandr doorgestuurd naar mogelijk duizenden andere partijen, met gerichte advertentieweergave als doel.
Waarom de toezichthouder Xandr beboet
De Noorse privacytoezichthouder beschrijft Xandr als een tussenpersoon die persoonsgegevens van Grindr-gebruikers doorleidde naar adverteerders. Het gaat volgens de uitspraak om informatie die ook seksuele oriëntatie kan onthullen. Die gevoeligheid maakt het incident extra zwaar, waardoor de toezichthouder sprak over een zeer ernstige overtreding.
De overtredingen zouden hebben plaatsgevonden tussen juli 2018 en april 2020. In die periode opereerde Xandr in een rol als deelnemer aan real-time processen voor advertentiedoeleinden.
Xandr en Grindr: wie is verantwoordelijk voor toestemming?
Een cruciale factor in de beslissing is de vraag wie verantwoordelijk was voor het verwerken van de data en vooral: of er een geldige juridische grondslag was. De toezichthouder stelde dat Xandr en Grindr samen zouden moeten worden gezien als gezamenlijke verwerkingsverantwoordelijken (joint controller).
Dat betekent dat Xandr volgens de instantie niet simpelweg kon afwachten wat Grindr regelde. De toezichthouder concludeerde dat Xandr had moeten borgen dat gebruikers toestemming gaven vóór verwerking. In plaats daarvan wees Xandr volgens de uitspraak naar Grindr met de redenering dat de app de benodigde toestemming al had verzameld.
Met andere woorden: de toezichthouder vond dat Xandr niet voldoende aantoonde dat er een correcte wettelijke basis was voor de eigen verwerking van de gegevens in het advertentieproces.
Real-time bidding als versneller van datadoorstroming
Volgens de uitspraak draait de procedure om zogenaamde real-time bidding. In dit mechanisme wordt bij het openen van een app of pagina in korte tijd informatie gedeeld binnen een netwerk van partijen die advertentieruimte inkopen en doorverkopen.
De toezichthouder stelt dat Xandr daarbij optrad aan beide kanten van het proces: als partij van de “koper” én als partij van de “verkoper”. Wanneer een gebruiker Grindr opende, werd persoonlijke data in veel gevallen doorgestuurd via Xandr naar mogelijk duizenden actoren in het reclame-ecosysteem. Daardoor konden adverteerders in concurrentie bieden op het tonen van gerichte advertenties, terwijl de individuele gebruiker het proces niet zag.
Juist die onzichtbaarheid en schaal—veel partijen, veel uitwisseling—maakt de impact volgens de toezichthouder groot.
Hoe de boete is bepaald en wat er nu kan gebeuren
De boete werd berekend mede op basis van de totale jaarlijkse omzet van Xandr over de tweejarige periode waarop de feiten betrekking hebben. De toezichthouder noemt expliciet dat daarbij de omzet is meegenomen van vóór de overname door Microsoft.
Xandr kreeg daarnaast drie weken om in beroep te gaan tegen de beslissing. Microsoft liet in een reactie weten dat het de uitspraak onderzoekt en opties beoordeelt.
Context: van AT&T via AppNexus naar Microsoft Ads
Xandr werd eerder opgericht door AT&T na de aankoop van AppNexus in juni 2018. De naam verwijst naar Alexander Graham Bell, de oprichter van AT&T in 1885. Later werd Xandr in december 2021 verkocht aan Microsoft; waarna de Xandr-brand werd uitgefaseerd en in juni 2023 werd samengevoegd onder de Microsoft Ads-umbrella.
De feiten uit deze zaak lopen dus deels over periodes heen waarin de merknaam en organisatorische inrichting veranderden. Toch kijkt de toezichthouder primair naar wat er gebeurde in de periode waarin de datadoorstroming plaatsvond.
Vergelijkbare privacydruk op advertentie-ecosystemen
Dit soort besluiten laat zien dat privacytoezichthouders steeds vaker kijken naar de volledige keten rond online advertenties: niet alleen de app die de gebruiker ziet, maar ook de technologie en partners die achter de schermen meedoen. In de praktijk zijn er vaak meerdere partijen die data verwerken of doorgeven, waardoor de vraag “wie is waarvoor verantwoordelijk?” centraal komt te staan.
Ook buiten dit specifieke dossier gaat het in cybersecurity- en privacycases geregeld om het beschermen van data tegen ongewenste verspreiding. Zo zie je in andere zaken dat grote platformen en partijen onder druk komen te staan wanneer informatie buiten de verwachtingen van gebruikers wordt gebruikt. Denk bijvoorbeeld aan berichtgeving over hoe organisaties phishing of misleidende ketens verstoren; ook daar speelt de beveiliging en verwerking van data een rol, al ligt de focus in die gevallen op misbruikpreventie in plaats van toestemming bij advertenties.
Meer achtergrond over de manier waarop leveranciers en platformen hun verantwoordelijkheden moeten nemen, kun je meenemen uit eerdere berichtgeving op InfraAlert, zoals over Microsoft die de phishingmarkt probeert te verstoren. Hoewel de onderwerpen verschillen, komt in beide discussies terug dat toezichthouders en organisaties direct worden aangesproken op hoe systemen in de praktijk werken.
Wat betekent dit voor organisaties die adtech gebruiken?
Deze zaak is vooral relevant voor organisaties die betrokken zijn bij adtech, data-uitwisseling en targeting. De belangrijkste les is dat “een andere partij regelt wel toestemming” niet automatisch voldoende is. Wanneer een partij onderdeel is van de keten—en dus bijdraagt aan verwerking of doorzending—kan ook die partij worden gezien als (mede)verantwoordelijke.
Concreet betekent dit dat organisaties moeten nadenken over:
- Juridische grondslagen: klopt de toestemming of andere basis voor elke stap in de keten?
- Rolverdeling: welke partij is joint controller of medeverantwoordelijk bij real-time verwerking?
- Dataminimalisatie: kan er minder of minder gevoelig worden gedeeld?
- Transparantie: begrijpen gebruikers wat er met hun data gebeurt, ook in onzichtbare advertentieprocessen?
De bredere privacy- en compliance-impact
Naast de directe geldboete benadrukt de uitspraak vooral dat gevoelige categorieën van persoonsgegevens extra bescherming vereisen. Als data die iemands seksuele oriëntatie kan onthullen wordt doorgegeven binnen een commercieel ecosysteem, dan wil een toezichthouder bewijs zien dat de verwerking rechtmatig en zorgvuldig is ingericht.
Daarbij komt dat consumentenorganisaties en privacybelangen vaker samenwerken om klachten in te dienen wanneer zij zien dat gegevens stelselmatig worden gedeeld voor commerciële doeleinden. In deze zaak werd de klacht mede ingediend door de Noorse consumentenraad en een Oostenrijkse privacyorganisatie.
Voor bedrijven betekent dit dat compliance niet stopt bij het contract of de technische integratie. Het gaat uiteindelijk om de vraag of de verwerking—van begin tot eind—past bij de wettelijke vereisten én bij de verwachtingen die gebruikers mogen hebben.
Conclusie
De Xandr boete Grindr-data laat zien hoe hoog de gevolgen kunnen zijn wanneer gevoelige persoonsgegevens onrechtmatig worden doorgestuurd in het online advertentielandschap. De Noorse toezichthouder oordeelde dat Xandr mede verantwoordelijk was als joint controller en dat er onvoldoende was geborgd dat gebruikers een geldige basis hadden gegeven voor verwerking. Met een boete van €8,6 miljoen en een beroepsmogelijkheid is dit dossier bovendien nog niet definitief afgerond.
Bron: https://thehackernews.com/2026/10/xandr-fined-record-86-million-for.html
