De Noorse Autoriteit Persoonsgegevens (DPA) heeft een recordboete van €8,6 miljoen opgelegd aan Xandr, een advertentie-eenheid die eigendom is van Microsoft. De reden: Xandr zou Grindr-gebruikersdata illegaal hebben doorgestuurd naar adverteerders, inclusief gegevens die seksuele oriëntatie konden onthullen. De zaak speelde zich af tussen juli 2018 en april 2020.
Deze uitspraak is niet alleen een tik op de vingers voor één partij. Ze legt ook bloot hoe lastig het kan worden om privacyregels echt te verankeren in de praktijk van online advertenties, vooral wanneer systemen werken via realtime veilingen en meerdere partijen op één datapunt wachten.
Wat is er precies misgegaan bij Xandr?
Volgens de DPA handelde Xandr als tussenpersoon die persoonsgegevens van Grindr-gebruikers in Noorwegen doorgaf aan potentieel duizenden andere bedrijven. Daarbij ging het niet om “gewone” gegevens alleen: de toezichthouder stelt dat de doorgestuurde informatie ook informatie kon bevatten over iemands seksuele oriëntatie.
De kern van de overtreding draait om de vraag of Xandr over een geldige wettelijke basis beschikte om die data te verwerken. De toezichthouder concludeerde dat Xandr in deze context een gezamenlijke verwerkingsverantwoordelijke was.
Met andere woorden: Xandr kon zich niet verschuilen achter de veronderstelling dat de datingapp zelf wel toestemming had geregeld. In plaats daarvan moest Xandr aantonen dat de eigen verwerking ook rechtmatig was.
Toestemming als verplichting: geen “aanname”
De DPA stelt dat Xandr verantwoordelijk was voor het verwerken van data en dus ook voor het regelen van de benodigde toestemming vóór verwerking. Wat Xandr volgens de toezichthouder deed, was gebruikers impliciet “overlaten” aan de privacykeuzes van Grindr.
De toezichthouder wijst erop dat Xandr naar Grindr wees: Xandr ging ervan uit dat Grindr de gebruikers al toestemming had laten geven. Maar die redenatie werd niet geaccepteerd. Als je zelf meedoet in verwerking, dan moet je ook zélf zorgen dat je verwerking op een geldige grond rust.
Waarom deze nuance zo belangrijk is
In privacy- en adtech-ecosystemen is het vaak verleidelijk om naar elkaar te wijzen: de app “krijgt” toestemming, het advertentienetwerk “gebruikt” die toestemming. De DPA maakt duidelijk dat die verdeling niet automatisch betekent dat elke schakel ook juridisch veilig zit.
De boodschap is helder: wie persoonsgegevens verwerkt binnen een keten, moet kunnen onderbouwen dat de verwerking rechtmatig is — niet alleen dat ergens in de keten toestemming is verkregen.
Real-time bidding: data stroomt via veel partijen
Volgens de Noorse toezichthouder lag het probleem vooral in de deelname aan real-time bidding. In zo’n systeem treedt een partij zowel op voor de kant van de koper als de kant van de verkoper. Zodra een gebruiker een pagina opent, kan er in korte tijd data worden doorgestuurd om biedingen mogelijk te maken.
De DPA beschrijft dat, wanneer iemand Grindr opende, persoonsgegevens in veel gevallen via Xandr werden doorgestuurd naar een groot aantal actoren binnen het advertentie-ecosysteem. Daarmee konden adverteerders tegen elkaar opbieden om gericht advertenties te tonen — vaak zonder dat de gebruiker zelf inzicht had in wat er precies achter de schermen gebeurde.
Op papier gaat het dus om “optimalisatie” van advertentieplaatsing. In de praktijk kan het betekenen dat gevoelige gebruikersdata door een brede keten van partijen gaat, terwijl de privacyverantwoordelijkheid niet bij één partij ligt.
Waarom de boete zo hoog uitviel
De DPA gaf aan dat de overtreding “zeer ernstig” van aard was. De context maakte het extra zwaar: het ging om gevoelige data en om situaties waarin data via vele partijen werd uitgewisseld.
Daarnaast werd de boete berekend op basis van de totale jaarlijkse omzet van Xandr over de relevante periode van twee jaar, waarbij de periode zelfs dateerde van vóór de overname door Microsoft.
Xandr kreeg drie weken om tegen de beslissing in beroep te gaan.
De bredere impact op privacy en adtech
Deze zaak sluit aan bij een ontwikkeling die toezichthouders wereldwijd zichtbaar maken: reclame- en trackingketens mogen niet automatisch worden beschouwd als “technisch noodzakelijk” zonder stevige juridische onderbouwing.
Volgens de privacyorganisatie noyb werd de boete gezien als een grote klap voor de sector van online advertising en commerciële surveillance. Dat standpunt sluit aan bij het idee dat gebruikersinformatie vaak verder wordt gedeeld dan mensen verwachten, zeker wanneer die data het mogelijk maakt om iemands identiteit of gevoelige kenmerken af te leiden.
Microsoft gaf in reactie aan dat het de beslissing bekijkt en onderzoekt welke opties beschikbaar zijn.
Vergelijkbare privacyzaken: van datingdata tot telecomincidenten
Het Xandr-dossier staat niet op zichzelf. De bron meldt dat Grindr in het Verenigd Koninkrijk £26 miljoen betaalde om een geschil te schikken over aantijgingen dat het gebruikersinformatie deelde met derden, waaronder ook informatie over HIV-status.
Ook in de telecomhoek speelt vergelijkbare spanning rondom persoonsgegevens. De bron beschrijft dat een Texas federale rechter definitieve goedkeuring gaf aan een schikking van $177 miljoen voor klassen van AT&T-consumenten wiens gegevens blootgesteld waren door twee verschillende incidenten in 2024. Daarbij ging het onder meer om een dataset die op een dark web zou zijn beland met Social Security numbers, en om het onrechtmatig downloaden van klantgegevens uit een third-party cloudplatform.
Los van de sectoren laat dit zien dat toezichthouders en rechtbanken streng kunnen zijn wanneer persoonsgegevens worden blootgesteld of gedeeld zonder de juiste juridische basis.
Wat betekent dit voor organisaties vandaag?
Hoewel deze uitspraak specifiek over Xandr gaat, kunnen organisaties in advertenties, platforms en data-uitwisseling hiervan praktische lessen trekken. Denk daarbij vooral aan de combinatie van ketenverantwoordelijkheid en toestemming die daadwerkelijk klopt.
- Breng rollen en verantwoordelijkheid in kaart. Als je data verwerkt binnen een keten, kijk dan of je ook als (gezamenlijk) verwerkingsverantwoordelijke wordt gezien.
- Bewijs dat je toestemming/grondslag echt rond krijgt. Ga niet alleen af op wat “anderen” zouden hebben geregeld; onderbouw je eigen verwerking.
- Beperk en controleer datastromen. Hoe meer partijen data ontvangen, hoe groter het risico dat iets buiten de juridische kaders valt.
- Maak real-time systemen toetsbaar. Bij realtime bidding is snelheid de norm, maar juridisch moet het proces net zo goed aantoonbaar zijn.
Wie hierop anticipeert, verkleint niet alleen juridische risico’s, maar verbetert ook het vertrouwen van gebruikers — en dat is uiteindelijk cruciaal voor elk platform dat persoonsgegevens nodig heeft om te functioneren.
Relevante verdieping: identiteit en toestemming in dataprocessen
Als je kijkt naar hoe toestemming en identiteit in geautomatiseerde processen kunnen worden gecontroleerd, sluit dit aan op eerder verschenen inzichten over het voorkomen van misbruik in AI- en identity-gedreven ketens. Mogelijk relevant: Bring Your Own Agent: controle via identiteit en AI-gedreven privilege escalatie stoppen met runtime identity.
Dat zijn andere domeinen dan online adtech, maar de rode draad is vergelijkbaar: zonder goede borging van wie wat mag doen en op basis waarvan, ontstaan er gaten die later lastig te dichten zijn.
Conclusie
De Xandr boete toestemming laat zien dat privacyregels in data-ecosystemen niet “overgedragen” kunnen worden alsof ze automatisch gelden voor elke schakel. De Noorse toezichthouder oordeelde dat Xandr als (gezamenlijke) verwerkingsverantwoordelijke verantwoordelijk was voor het verwerken van Grindr-data, inclusief gevoelige informatie over seksuele oriëntatie, zonder de juiste juridische onderbouwing.
Of je nu een advertentieplatform runt, een dataketen bouwt of real-time bidding integreert: deze uitspraak benadrukt dat geldige toestemming en aantoonbare rechtmatigheid niet optioneel zijn. Ze moeten vanaf het begin onderdeel zijn van je ontwerp — en blijven dat ook wanneer systemen op snelheid en schaal draaien.
Bron: https://thehackernews.com/2026/10/xandr-fined-record-86-million-for.html
