Xandr nhận án phạt kỷ lục 8,6 triệu Euro vì làm lộ dữ liệu nhạy cảm của người dùng Grindr

Cơ quan Bảo vệ Dữ liệu Na Uy (DPA) vừa đưa ra quyết định xử phạt hành chính đối với Xandr, một đơn vị quảng cáo thuộc sở hữu của Microsoft, với số tiền lên tới 8,6 triệu Euro (tương đương 9,62 triệu USD). Đây là mức phạt cao nhất từ trước đến nay mà cơ quan này từng ban hành, phản ánh tính chất nghiêm trọng của các vi phạm xảy ra trong giai đoạn từ tháng 7/2018 đến tháng 4/2020.

Theo kết quả điều tra, Xandr đóng vai trò là trung gian chuyển tiếp dữ liệu cá nhân của người dùng ứng dụng hẹn hò Grindr tại Na Uy, bao gồm cả các thông tin nhạy cảm tiết lộ xu hướng tính dục, đến hàng ngàn công ty quảng cáo khác. DPA khẳng định Xandr phải chịu trách nhiệm với tư cách là bên kiểm soát dữ liệu chung (joint controller) cùng với Grindr, đồng nghĩa với việc họ có nghĩa vụ pháp lý trong việc đảm bảo đã có sự đồng ý của người dùng trước khi xử lý dữ liệu.

Tuy nhiên, thay vì xác minh cơ sở pháp lý cho việc xử lý dữ liệu, Xandr đã đổ lỗi cho Grindr và cho rằng ứng dụng này đã thu thập sự đồng ý từ người dùng. Cơ quan chức năng nhấn mạnh rằng bản chất của vi phạm nằm ở việc Xandr tham gia vào quy trình đấu thầu thời gian thực (real-time bidding), nơi họ đóng vai trò cả bên mua và bên bán. Khi người dùng mở ứng dụng Grindr, dữ liệu cá nhân của họ thường xuyên bị chuyển tiếp qua Xandr đến hàng ngàn thực thể trong hệ sinh thái quảng cáo mà người dùng hoàn toàn không hay biết.

Vụ việc bắt nguồn từ đơn khiếu nại năm 2020 của Hội đồng Người tiêu dùng Na Uy cùng tổ chức phi lợi nhuận về quyền riêng tư ‘None of Your Business’ (noyb). Tổ chức noyb đánh giá đây là một đòn giáng mạnh vào ngành công nghiệp quảng cáo trực tuyến và giám sát thương mại, đồng thời là lời cảnh báo rằng các công ty sẽ phải chịu trách nhiệm cho những hành vi thiếu minh bạch.

Phía Microsoft cho biết họ đang xem xét quyết định này và đánh giá các phương án xử lý tiếp theo. Xandr hiện có thời hạn ba tuần để kháng cáo. Đáng chú ý, vụ việc này diễn ra trong bối cảnh Grindr cũng vừa phải chi trả 26 triệu bảng Anh (35,1 triệu USD) tại Anh để dàn xếp các cáo buộc liên quan đến việc chia sẻ thông tin cá nhân của người dùng, bao gồm cả tình trạng nhiễm HIV, cho bên thứ ba.

Nguồn tham khảo: The Hacker News