فرضت هيئة حماية البيانات النرويجية غرامة قدرها 8.6 مليون يورو (9.62 مليون دولار) على شركة Xandr، الوحدة الإعلانية المملوكة لمايكروسوفت، بسبب نقلها بشكل غير قانوني بيانات حساسة لمستخدمي تطبيق Grindr إلى المعلنين.
وتعد هذه الغرامة الإدارية الأكبر التي تصدرها هيئة حماية البيانات، إذ رأت أن القضية تستحق غرامة مرتفعة بسبب الطبيعة “الخطيرة جداً” للانتهاك. وقد وقعت الانتهاكات بين يوليو 2018 وأبريل 2020.
وقالت هيئة حماية البيانات في بيان: “عملت Xandr كوسيط نقل البيانات الشخصية لمستخدمي Grindr في النرويج، بما في ذلك بيانات تكشف التوجه الجنسي، إلى آلاف الشركات الأخرى المحتملة”. وأضافت الهيئة أن تحقيقها وجد أن Xandr كانت متحكماً مشتركاً مع Grindr، مما يعني أنها كانت مسؤولة عن الحصول على موافقة المستخدمين قبل معالجة بياناتهم.
وأوضحت: “بدلاً من ضمان امتلاكها الأساس القانوني لمعالجة البيانات بنفسها، أشارت Xandr بأصابع الاتهام إلى Grindr، قائلة إنها افترضت أن تطبيق المواعدة عبر الإنترنت قد جمع موافقة المستخدمين على ذلك”.
خلفية الشركة وتاريخ القضية
تشكلت Xandr من شركة AT&T بعد استحواذها على AppNexus في يونيو 2018، والاسم إشارة إلى ألكسندر غراهام بيل الذي أسس AT&T في عام 1885. ثم بيعت الشركة لاحقاً لمايكروسوفت في أواخر ديسمبر 2021، وبعد ذلك تقاعدت العلامة التجارية ودمجت تحت مظلة Microsoft Ads في يونيو 2023.
وتعود القضية إلى عام 2020 عندما قدم مجلس المستهلكين في البلاد، إلى جانب المنظمة النمساوية غير الربحية للخصوصية None of Your Business، شكوى ضد Xandr متهمة إياها بمشاركة البيانات الشخصية للمستخدمين بشكل غير قانوني لأغراض تجارية دون الحصول على موافقتهم الصريحة. ويُقال إن آلاف المستخدمين في النرويج تعرضوا لمشاركة غير قانونية لبياناتهم الحساسة نتيجة لهذه الممارسة.
آلية الانتهاك والمزادات الفورية
وقالت الهيئة الرقابية: “جوهر الانتهاك كان مشاركة Xandr في ما يسمى المزاد الفوري، حيث عملت على جانبي المشتري والبائع. عندما كان شخص ما يفتح Grindr، كانت بياناته الشخصية في كثير من الحالات تُنقل عبر Xandr إلى آلاف الفاعلين المحتملين في المنظومة الإعلانية”. وأضافت: “وبذلك كان بإمكان المعلنين المزايدة ضد بعضهم البعض لتقديم إعلانات موجهة، مخفية تماماً عن المستخدم الفردي”.
وذكرت الهيئة أيضاً أن الغرامة حُسبت مع الأخذ في الاعتبار إجمالي حجم الأعمال السنوي لـ Xandr خلال الفترة الزمنية الممتدة لعامين، وهي فترة تسبق استحواذ مايكروسوفت عليها. ولدى Xandr ثلاثة أسابيع للطعن في القرار.
ووصفت منظمة noyb الغرامة بأنها “ضربة كبيرة لصناعة الإعلان عبر الإنترنت والمراقبة التجارية”، وقالت إن “شركات مثل Xandr تُحاسَب في النهاية على ممارساتها المشبوهة”. وفي بيان شاركته مع رويترز، قالت مايكروسوفت إنها تراجع القرار وتقيّم خياراتها.
تطورات مرتبطة
اختارت Grindr الشهر الماضي دفع 26 مليون جنيه إسترليني (35.1 مليون دولار) لتسوية دعوى قضائية في المملكة المتحدة بشأن مزاعم مشاركتها المعلومات الشخصية للمستخدمين، بما في ذلك حالة فيروس نقص المناعة البشرية، مع أطراف ثالثة.
ويأتي ذلك في وقت منح فيه قاضٍ فيدرالي في تكساس الموافقة النهائية على تسوية بقيمة 177 مليون دولار لصالح مجموعات من عملاء AT&T الذين تعرضت معلوماتهم الشخصية في اختراقين منفصلين للبيانات وقعا في مارس ويوليو 2024. وقد تمت تسوية الدعوى الجماعية في نوفمبر 2025.
وتضمنت حادثة مارس 2024 نشر مجموعة بيانات على الشبكة المظلمة تحتوي على أرقام الضمان الاجتماعي، وأثرت على حوالي 7.6 مليون من حاملي حسابات AT&T الحاليين ونحو 65.4 مليون من حاملي الحسابات السابقين. أما الاختراق الثاني فقد دار حول قيام جهات تهديد بتنزيل بيانات عملاء AT&T بشكل غير قانوني من منصة سحابية تابعة لطرف ثالث تديرها Snowflake. وقالت الشركة الأمريكية إن سجلات المكالمات والرسائل النصية التي حدثت بين 1 مايو و31 أكتوبر 2022 قد تعرضت للاختراق لـ”جميع” العملاء تقريباً من مستخدمي الهاتف الخلوي.
