Grindr оштрафуют на 10 млн евро за незаконное распространение персональных данных
Норвежское агентство по защите данных посчитало, что мобильное приложение для знакомств Grindr нарушило условия GDPR и компания должна заплатить штраф в размере 10 миллионов евро.
Агентство по защите данных уведомило компанию Grindr о возможном штрафе из-за нарушений условий Общего регламента по защите данных (General Data Protection Regulation), который устанавливает жёсткие ограничения на обработку персональных данных пользователей.
По условиям GDPR, размер штрафа составляет до 4% годового оборота компании или до 20 миллионов евро, в зависимости от того, какая сумма выше. Однако, норвежское агентство угрожает санкциями в размере 10 миллионов евро, что составляет 10% годового дохода Grindr.
Решение о штрафе ещё не принято окончательно. Компания может обжаловать его до 15 февраля, прежде чем агентство вынесет окончательный вердикт.
Генеральный директор норвежского агентства по защите данных Эрик Бьёрн заявил, что сейчас его компания отправила предупреждение для Grindr, так как приложением активно пользуются 13,7 миллионов людей, из которых тысячи проживают в Норвегии. Он обвинил Grindr в незаконном распространении персональных данных пользователей.
Главной претензией стал подход Grindr “принимай или уходи” к условиям пользовательского соглашения. Норвежский совет потребителей (NCC) в прошлом году сделал доклад об обмене данными в популярных приложениях, в том числе и в приложениях для знакомств. В своём докладе совет рассказал, что большинство проверенных приложений передают информацию о пользователях третьим лицам, при этом пользователи не знают, как именно и какие их данные передаются.
GDPR регламентируют передачу данным третьим лицам – передача данных возможна при условии согласия пользователя, но согласие должно отвечать нескольким требованиям, а именно должно быть осознанным, конкретным и добровольным. Grindr не соответствует этим требованиям, так как пользователи должны либо принять политику конфиденциальности в полном объёме, либо отказаться от использования приложения полностью. Кроме того, сам факт наличия аккаунта в приложении может свидетельствовать о сексуальной ориентации пользователя. В GDPR таким данным присвоена отдельная категория конфиденциальности.
Агентство по защите информации считает, что Grindr недобросовестно выполнял требования GDPR и тем самым нарушил приватность и конфиденциальность пользователей.
Grindr изменила способ получения согласия пользователей в апреле 2020 года, но агентство требует штраф за период с момента вступления в силу GDRP с мая 2018 года. Изменённое пользовательское соглашение норвежское агентство ещё не изучило.
Норвежский совет потребителей также подал жалобы на приложения, которые используют данные от Grindr Среди них – MoPub, которым владеет Twitter, Xandr, OpenX Software, AdColony и Smaato.
После публикации отчёта Twitter приостановила интеграцию MoPub с Grindr до окончания исследования юридических аспектов на соответствие требованиям GDPR.
