جریمه ۸٫۶ میلیون یورویی Xandr؛ داده Grindr و مزایده تبلیغات
ناظر داده نروژ Xandr، شرکت تبلیغاتی وابسته به مایکروسافت، را ۸٫۶ میلیون یورو جریمه کرد؛ پردازش داده کاربران Grindr در مزایده آنی بدون رضایت معتبر؛ مسئولیت مشترک
تحریریه آرتیلا · ۱۴۰۵/۰۷/۲۵
این مقاله در حال بازبینی حقوقی است.
تعریف: Datatilsynet، مرجع حفاظت از داده نروژ، در تصمیم نهایی ۲ اکتبر ۲۰۲۶ شرکت فناوری تبلیغات Xandr Inc. (پیش‌تر AppNexus و اکنون بخشی از Microsoft) را به پرداخت ۸٬۶۰۰٬۰۰۰ یورو جریمه محکوم کرد. به گفته شورای مصرف‌کننده نروژ این رقم معادل ۹۲ میلیون کرون و بالاترین جریمه تاریخ این نهاد است. دلیل جریمه: پردازش داده کاربران نروژی اپلیکیشن دوست‌یابی Grindr در فرایند مزایده آنی تبلیغات (Real-Time Bidding) بدون مبنای قانونی و بدون رضایت معتبر برای داده‌های مربوط به گرایش جنسی.
بیان قابل نقل: در زنجیره تبلیغات آنلاین، هر حلقه‌ای که داده را می‌گیرد باید خودش اعتبار رضایت را ثابت کند.
این تصمیم را هیئت اروپایی حفاظت از داده (EDPB) در ۱۶ اکتبر ۲۰۲۶ منتشر کرد و پیام آن برای کل صنعت تبلیغات برنامه‌ای روشن است: پاسخ‌گویی برون‌سپاری‌شدنی نیست.
پرونده از کجا شروع شد؟
طبق EDPB، پرونده در ۲۰۲۰ با شکایت شورای مصرف‌کننده نروژ (Forbrukerrådet) آغاز شد. شورای مصرف‌کننده در بیانیه ۱۲ اکتبر ۲۰۲۶ توضیح می‌دهد که در ۲۰۲۰ با همکاری سازمان حریم خصوصی noyb علیه Grindr و پنج شرکت مرتبط، از جمله AppNexus/Xandr، شکایت کرد. سایر شرکت‌های مورد شکایت طبق همان بیانیه MoPub، OpenX، AdColony و Smaato بودند. بررسی فنی ۲۰۲۰ را شرکت امنیتی Mnemonic انجام داده بود.
Grindr پیش‌تر در پرونده‌ای مشابه ۶۵ میلیون کرون جریمه شده بود و طبق بیانیه شورای مصرف‌کننده، دادگاه تجدیدنظر (lagmannsretten) در ۲۰۲۵ تصمیم Datatilsynet را تأیید کرد.
مزایده آنی تبلیغات چگونه کار می‌کند؟
برای فهم تصمیم باید سازوکار فنی را شناخت. شورای مصرف‌کننده نروژ در بیانیه خود توضیح می‌دهد که شرکت‌های تبلیغات دیجیتال به کاربران «برچسب» می‌زنند تا آن‌ها را در میان وب‌سایت‌ها، اپ‌ها و پلتفرم‌ها ردیابی کنند. اطلاعات به‌تدریج کنار هم گذاشته میشود و تصویری از علایق، خریدها، سلامت جسمی و روانی، گرایش جنسی و دیدگاه سیاسی فرد می‌سازد؛ تصویری که شورا آن را «همزاد دیجیتال» کاربر می‌نامد. این اطلاعات در بورس‌های تبلیغاتی عرضه میشود و برنده مزایده حق نمایش تبلیغ هدفمند به کاربر را به دست می‌آورد.
در این زنجیره، پلتفرم سمت عرضه (SSP) از طرف ناشر اپ یا وب‌سایت فضای تبلیغ را عرضه می‌کند و پلتفرم سمت تقاضا (DSP) از طرف تبلیغ‌دهنده پیشنهاد قیمت می‌دهد. هر درخواست مزایده ممکن است همراه با شناسه‌ها و اطلاعات زمینه‌ای کاربر برای چندین شرکت ارسال شود. به همین دلیل، وقتی منبع درخواست اپی مانند Grindr باشد، خودِ درخواست می‌تواند گویای اطلاعات حساس باشد. شورای مصرف‌کننده هشدار می‌دهد این داده‌ها فقط برای تبلیغ استفاده نمی‌شود و ممکن است برای اثرگذاری سیاسی یا هدف‌گیری افراد آسیب‌پذیر به کار رود و در بدترین حالت، اطلاعات گرایش جنسی به تبعیض و آزار منجر شود.
یافته‌های اصلی Datatilsynet
چه داده‌ای پردازش شد؟
طبق خلاصه EDPB، ناظر نروژی «با غلبه آشکار احتمال» اثبات‌شده دانست که Xandr داده‌های شخصی کاربران Grindr را در جریان مزایده آنی پردازش کرده است؛ دست‌کم:
- این واقعیت که فرد از Grindr استفاده می‌کند؛
- شناسه تبلیغاتی (advertising ID)؛
- نشانی IP.
این‌ها طبق ماده ۴(۱) GDPR داده شخصی و طبق ماده ۹(۱) داده مربوط به گرایش جنسی تلقی شدند؛ زیرا Grindr اپلیکیشنی است که برای همجنس‌گرایان، دوجنس‌گرایان، تراجنسیتی‌ها و کوئیرها طراحی شده است. نکته کلیدی حقوقی: صرف استفاده از یک اپ خاص می‌تواند داده حساس را آشکار کند.
Xandr کنترل‌کننده مشترک بود
Datatilsynet، Xandr را هم در نقش پلتفرم سمت عرضه (SSP) و هم پلتفرم سمت تقاضا (DSP) کنترل‌کننده مشترک دانست. یعنی Xandr فقط «پردازشگر» یا واسطه فنی نبود و مسئولیت مستقل داشت.
رضایت Grindr کافی نبود
از آنجا که داده‌ها از دسته‌های ویژه بودند، مبنای قانونی مرتبط رضایت صریح طبق ماده ۹(۲)(الف) بود. Xandr خودش رضایت نگرفته بود و به رضایت Grindr تکیه کرده بود؛ اما این رضایت طبق مواد ۴(۱۱) و ۷ GDPR نامعتبر بود. ناظر تصریح کرد: پاسخ‌گویی قابل برون‌سپاری نیست؛ هر کنترل‌کننده مشترک باید مستقلاً بررسی کند که رضایت معتبر است و پردازش خودش را پوشش می‌دهد.
بیان قابل نقل: تکیه بر رضایتی که دیگری گرفته، دفاع نیست؛ ریسک مشترک است.
شدت تخلف
ناظر تخلفات را دست‌کم ناشی از سهل‌انگاری دانست و چون به محوری‌ترین مقررات GDPR، از جمله داده حساس، مربوط بود، آن را «بسیار جدی» ارزیابی کرد.
تصمیم نهایی
طبق EDPB، جریمه اداری ۸٫۶ میلیون یورو به دو دلیل اعمال شد:
- پردازش داده کاربران Grindr در نروژ بدون مبنای قانونی و نقض ماده ۶(۱) GDPR؛
- پردازش داده‌های دسته ویژه مربوط به گرایش جنسی بدون استثنای معتبر و نقض ماده ۹(۱).
مدیر شورای مصرف‌کننده، مته فوسوم، در بیانیه ۱۲ اکتبر گفته است وقتی همه بازیگرانی که از طریق سامانه تبلیغات دیجیتال به داده دسترسی می‌یابند مسئول اعتبار رضایت باشند، «دشوار است ببینیم نظام فعلی بازاریابی مبتنی بر نظارت چگونه می‌تواند قانونی باشد». این نظر یک طرف شاکی است و نه یافته ناظر.
چرا این تصمیم برای صنعت تبلیغات مهم است؟
پایان استدلال «ما فقط لوله‌ایم»
بسیاری از شرکت‌های فناوری تبلیغات استدلال می‌کنند نقششان صرفاً فنی است و مسئولیت جمع‌آوری رضایت با ناشر اپ یا وب‌سایت است. تصمیم Xandr این استدلال را در فرض کنترل‌کننده مشترک رد می‌کند. تحلیل نگارنده: شرکت‌های SSP و DSP در اروپا احتمالاً باید سازوکار راستی‌آزمایی رضایت ناشران را تقویت کنند، هرچند جزئیات این تکلیف در تصمیم‌های بعدی و رویه دادگاه‌ها روشن‌تر خواهد شد.
داده حساس استنباطی
مسئله «داده‌ای که به‌خودی‌خود حساس نیست اما از زمینه، حساس میشود» در پرونده‌های دیگر نیز مطرح است. ما در مقاله جریمه IQVIA و داده پزشکی کدگذاری‌شده و جریمه گوگل برای داده موقعیت مکانی نشان دادیم ناظران اروپایی مرز داده شخصی و حساس را گسترده تفسیر می‌کنند.
پیوند با بازنگری GDPR
شورای مصرف‌کننده در بیانیه خود هشدار داده که در بازنگری جاری مقررات اتحادیه اروپا، حریم خصوصی مصرف‌کننده نباید فدای ساده‌سازی برای کسب‌وکارها شود. این موضع سیاستی است و وضعیت بازنگری باید از منابع رسمی پیگیری شود.
چک‌لیست انطباق برای شرکت‌های داده‌محور
- نقش خود را در هر جریان داده (کنترل‌کننده، کنترل‌کننده مشترک یا پردازشگر) مستند کنید؛
- اگر به رضایت شخص ثالث تکیه می‌کنید، روش راستی‌آزمایی اعتبار و دامنه آن را مکتوب کنید؛
- اپ‌ها و وب‌سایت‌هایی را که صرف استفاده از آن‌ها داده حساس آشکار می‌کند شناسایی و از جریان مزایده خارج کنید؛
- قراردادهای تبلیغاتی را از نظر تخصیص مسئولیت و غرامت بازبینی کنید؛
- برای ارزیابی ریسک با کارشناسان آرتیلا مشورت کنید.
نگاه تطبیقی: ایران
تحلیل نگارنده: ایران قانون جامع حفاظت از داده شخصی مشابه GDPR ندارد و مفهوم «کنترل‌کننده مشترک» در قوانین فعلی تعریف نشده است. با این حال، اپلیکیشن‌ها و شبکه‌های تبلیغاتی ایرانی که از SDKهای تبلیغاتی خارجی استفاده می‌کنند یا کاربر اروپایی دارند، ممکن است در دامنه GDPR قرار گیرند. برای مرور مبانی، مقاله حریم خصوصی بیومتریک و حقوق فناوری‌های نوظهور را ببینید.
پرسش‌های متداول
مبلغ جریمه Xandr چقدر است؟
۸٬۶۰۰٬۰۰۰ یورو طبق EDPB؛ شورای مصرف‌کننده نروژ آن را ۹۲ میلیون کرون و بالاترین جریمه تاریخ Datatilsynet اعلام کرده است.
تاریخ تصمیم چیست؟
تصمیم نهایی در ۲ اکتبر ۲۰۲۶ صادر و خبر آن در ۱۶ اکتبر ۲۰۲۶ در وب‌سایت EDPB منتشر شد.
کدام مواد GDPR نقض شد؟
ماده ۶(۱) به‌دلیل نبود مبنای قانونی و ماده ۹(۱) به‌دلیل پردازش داده گرایش جنسی بدون استثنای معتبر.
چرا رضایت Grindr کافی نبود؟
چون آن رضایت طبق مواد ۴(۱۱) و ۷ نامعتبر بود و Xandr به‌عنوان کنترل‌کننده مشترک باید مستقلاً اعتبار رضایت را بررسی می‌کرد.
آیا Xandr می‌تواند اعتراض کند؟
منابع منتشرشده درباره اعتراض یا مهلت آن اطلاعاتی نمی‌دهند؛ وضعیت اعتراض باید از منابع رسمی پیگیری شود.
جمع‌بندی
پرونده Xandr نشان می‌دهد ناظران اروپایی زنجیره تبلیغات آنلاین را حلقه‌به‌حلقه مسئول می‌دانند. برای هر شرکتی که داده کاربران را در مزایده‌های تبلیغاتی دریافت می‌کند، «اعتماد به رضایت دیگران» دیگر کافی نیست و داده حساس استنباطی خطری جدی است.
منابع
- https://www.edpb.europa.eu/news/norwegian-dpa-fines-xandr-eur-8-600-000-for-unlawful-processing-of-personal-data_en
- https://www.forbrukerradet.no/siste-nytt/microsoft-selskap-ilagt-bot-pa-92-millioner-etter-klage-fra-forbrukerradet/