Rekordgebyr på 92 millioner: Samtykke kan ikke settes bort

Nyhetsblink: Datatilsynet har ilagt annonseteknologiselskapet Xandr et overtredelsesgebyr på 92 millioner kroner. Det er det høyeste gebyret tilsynet noensinne har gitt.

Saken gjelder behandling av opplysninger om norske Grindr-brukere fra juli 2018 til april 2020. Xandr deltok i automatiserte annonseauksjoner og videresendte personopplysninger til potensielt tusenvis av aktører. Datatilsynet mener opplysningen om at en person brukte Grindr i seg selv indikerte seksuell orientering og derfor hadde et særskilt vern.

Hvert ledd har eget ansvar

Xandr viste til at selskapet la til grunn at Grindr hadde innhentet samtykke. Tilsynet avviser dette og konkluderer med at Xandr var felles behandlingsansvarlig. Hvert selskap må selv sikre og kunne bevise at behandlingen har et gyldig grunnlag.

Vedtaket er særlig relevant for bedrifter som bruker annonseplattformer, analyseverktøy eller andre leverandører som mottar personopplysninger. En avtale med leverandøren er ikke alene dokumentasjon på at samtykke, informasjonsplikt og datadeling er lovlig.

Dette bør bedriften gjøre

• Kartlegg hvilke data som sendes til annonse- og analysepartnere.
• Be om konkret dokumentasjon på behandlingsgrunnlag og gyldig samtykke.
• Kontroller om leverandører bruker data til egne formål og dermed kan ha et selvstendig ansvar.

Kort fortalt

Gebyret er beregnet ut fra Xandrs egen omsetning, ikke Microsofts. Microsoft kjøpte Xandr i 2022, etter perioden vedtaket gjelder. Xandr har tre ukers klagefrist fra vedtaket ble mottatt. Saken er en veiviser til originalkildene, ikke juridisk rådgivning.

Kilder

Hovedkilde: Datatilsynet – vedtak og omtale, publisert 12. oktober 2026.

Tilleggskilder: Forbrukerrådet – klagen og bakgrunnen, Reuters – Xandrs og Microsofts kommentar og Forbrukerrådet – original illustrasjon.