Det norske Datatilsyn har idømt Microsoft-ejede Xandr en bøde på 92 millioner norske kroner, svarende til omkring 8,6 millioner euro eller 9,6 millioner dollar. Sagen handler om, hvordan annonceselskabet i perioden fra juli 2018 til april 2020 videresendte følsomme oplysninger om Grindr-brugere, herunder data der kan afsløre seksuel orientering, ind i det automatiserede annoncesystem kendt som real-time bidding (RTB). Afgørelsen, som blev offentliggjort den 12. oktober 2026, er den højeste bøde, det norske tilsyn nogensinde har udstedt, og den sender et klart signal til hele adtech-branchen i Europa.
For danske og nordiske brugere er sagen relevant af flere grunde. Den viser, at datatilsyn i Norden er villige til at forfølge store amerikanske teknologikoncerner med rekordbøder. Den afslører samtidig, hvor dybt personlige oplysninger kan sprede sig gennem reklamebranchens auktionssystemer, uden at den enkelte bruger nogensinde ser det. Og den bygger videre på en sag, der startede for seks år siden med en klage fra Forbrugerrådet i Norge.
Hvad er der sket i Xandr-sagen
Xandr er det adtech-selskab, som Microsoft overtog i 2022, da techgiganten købte det tidligere AppNexus-netværk som en del af sin satsning på digital annoncering. Selskabet fungerer som en mellemmand i annoncebranchen, der kobler udgivere af apps og hjemmesider sammen med annoncører gennem automatiserede auktioner. Ifølge det norske Datatilsyns afgørelse fungerede Xandr i den aktuelle sag både som køber og sælger i auktionerne, hvilket gav selskabet adgang til data fra begge sider af transaktionen.
Når en Grindr-bruger åbnede appen, blev der genereret en budforespørgsel med oplysninger om brugeren. Den forespørgsel blev sendt videre gennem Xandrs systemer og ud til et stort antal potentielle annoncører, der kunne byde på at vise en annonce til netop den person. Ifølge Datatilsynet kunne oplysninger om norske Grindr-brugere på den måde nå ud til potentielt tusindvis af virksomheder i løbet af millisekunder, hver eneste gang appen blev åbnet.
Sådan fungerer real-time bidding teknisk
Real-time bidding er den teknologi, der ligger bag det meste af nutidens programmatiske reklame. Processen forløber i korte træk sådan: en bruger åbner en app eller en hjemmeside, og et annoncefelt bliver ledigt. Appen eller udgiveren sender straks en budforespørgsel, som typisk indeholder en række identifikatorer og målgruppeoplysninger om brugeren. En annoncebørs distribuerer forespørgslen til et netværk af annoncører og indkøbsplatforme. Disse systemer vurderer automatisk brugeren og afgiver et bud, hvorefter børsen vælger den vindende annonce, som vises på skærmen, ofte inden brugeren selv har nået at bemærke det.
Det problematiske i Xandr-sagen var ikke selve annoncen, som brugeren til sidst så. Det var indholdet af budforespørgslen, der blev sendt ud i systemet, før nogen annonce overhovedet blev valgt. Her lå oplysninger, der kunne afsløre, at personen brugte Grindr, sammen med GPS-position, IP-adresse, en mobil reklame-id, alder og køn. Fordi Grindr primært henvender sig til mænd, der søger mænd, kan selve det at dele oplysningen om app-brug i praksis afsløre en persons seksuelle orientering, som efter databeskyttelsesforordningens artikel 9 regnes som en særlig kategori af følsomme oplysninger.
Forbrugerrådets klage fra 2020 satte sagen i gang
Xandr-bøden er anden akt i en sag, der startede i januar 2020, da det norske Forbrugerråd indgav en formel klage til Datatilsynet. Klagen rettede sig mod Grindr selv, men nævnte også flere adtech-partnere ved navn, herunder MoPub, Xandr (dengang stadig AppNexus), OpenX, AdColony og Smaato. Forbrugerrådet hævdede, at Grindr delte GPS-position, profiloplysninger og det blotte faktum, at en person var Grindr-bruger, til brug for målrettet markedsføring, uden at brugerne havde givet et gyldigt samtykke.
Datatilsynet fulgte op med et varsel i januar 2021 om en bøde på 100 millioner norske kroner til Grindr selv. Den endelige afgørelse kom i december samme år og landede på 65 millioner kroner, efter at tilsynet konkluderede, at Grindr havde delt data til adfærdsbaseret annoncering uden et gyldigt retsgrundlag. Grindr ankede sagen, men i 2023 bekræftede Datatilsynet, at bøden stod ved magt, og kaldte den dengang for den højeste administrative bøde, tilsynet nogensinde havde udstedt.
Det nye er, at Datatilsynet nu har vendt blikket mod selve adtech-leddet i kæden. Xandr-afgørelsen handler ikke om, hvorvidt Grindr indhentede samtykke korrekt, men om hvorvidt Xandr som selvstændig dataansvarlig part havde ret til at behandle og videresende oplysningerne, uanset hvad Grindr måtte have lovet sine brugere.
Bøden i tal: Grindr 2021 mod Xandr 2026
De to afgørelser hænger sammen, men adskiller sig på centrale punkter. Tabellen herunder stiller de to sager op mod hinanden.
| Selskab | Bøde (NOK) | Bøde (ca. EUR) | Overtrædelse | Status i dag |
|---|---|---|---|---|
| Grindr | 65 mio. (varslet 100 mio.) | ca. 5,7 mio. € | Manglende gyldigt retsgrundlag for deling af brugerdata til annoncering | Stadfæstet efter anke i 2023 |
| Xandr (Microsoft) | 92 mio. | ca. 8,6 mio. € | Videreformidling af følsomme data via real-time bidding uden eget retsgrundlag | Ny rekordbøde, kan ankes |
| Periode for overtrædelse | Juli 2018 til april 2020 (Xandr), tilsvarende periode for Grindr | |||
| Udløst af | Forbrugerrådets klage, januar 2020 | |||
| Involverede datatyper | Seksuel orientering (afledt), GPS-position, IP-adresse, reklame-id, alder, køn | |||
Til sammenligning svarer 92 millioner norske kroner til omkring 71 millioner danske kroner og cirka 7,3 millioner britiske pund efter de valutakurser, der gjaldt ved offentliggørelsen. Beløbet er fastsat i norske kroner i selve afgørelsen, mens omregningerne til euro, dollar og pund varierer med valutakursen og derfor bør læses som omtrentlige, ikke som juridisk bindende tal.
Datatilsynets begrundelse og reaktionerne fra Xandr
Datatilsynet beskriver selv overtrædelserne som svært alvorlige. Ifølge tilsynets egen gennemgang af sagen forklarer myndigheden mekanismen sådan: “Xandr acted as an intermediary that relayed the personal data of Grindr users in Norway, including data revealing sexual orientation, to potentially thousands of other companies” (The Hacker News, oktober 2026). Oversat betyder det, at Xandr fungerede som mellemled, der sendte Grindr-brugeres personoplysninger, inklusive data der afslører seksuel orientering, videre til potentielt tusindvis af andre virksomheder.
Datatilsynet uddyber selve kernen i overtrædelsen: “The essence of the infringement was Xandr’s participation in so-called real-time bidding, where they acted both on the buyer and seller side.” Her understreger tilsynet altså, at Xandr sad på begge sider af bordet i auktionen, hvilket ifølge myndigheden gjorde selskabets ansvar større, ikke mindre.
Tilsynet beskriver desuden selve informationsstrømmen: “When a person opened Grindr, their personal data was in many cases relayed through Xandr to potentially thousands of actors in the advertising ecosystem.” Og om det uigennemsigtige i processen: “Advertisers could thereby bid against each other to present targeted adverts, completely hidden from the individual user.” Med andre ord kunne annoncører byde mod hinanden om at vise målrettede annoncer, fuldstændig skjult for den enkelte bruger, som aldrig fik indblik i, hvor mange virksomheder der havde set hans data.
Direktør Line Coll fra Datatilsynet har forklaret, hvorfor Xandr ikke kunne skubbe ansvaret videre til Grindr: “Xandr omitted to verify that the consents from Grindr were valid, and did not do anything to ensure they had a legal basis for their own processing” (BleepingComputer, oktober 2026). Oversat til dansk betyder det, at Xandr undlod at tjekke, om Grindrs samtykker overhovedet var gyldige, og selskabet gjorde heller ikke noget for at sikre sit eget lovlige grundlag for at behandle oplysningerne. Ifølge rapporteringen har Xandr selv hævdet, at selskabet gik ud fra, at Grindr havde indhentet det nødvendige samtykke, men Datatilsynet afviste, at et annonceselskab kan lægge hele ansvaret over på en anden part i kæden.
Hvorfor sagen rammer hele adtech-branchen
Det, der gør Xandr-sagen vigtigere end blot endnu en bøde til Microsoft, er den juridiske konstruktion bag afgørelsen. Hidtil har mange annoncebørser og indkøbsplatforme i praksis lænet sig på, at udgiveren, altså appen eller hjemmesiden, havde ansvaret for at indhente samtykke fra brugeren. Hvis udgiveren sagde god for samtykket, antog resten af kæden typisk, at alt var i orden.
Datatilsynets afgørelse slår fast, at den antagelse ikke holder juridisk vand. En annoncebørs eller et mellemled, der selv behandler og videresender personoplysninger, har sit eget selvstændige ansvar for at sikre et gyldigt retsgrundlag. Det gælder især, når oplysningerne kan afsløre følsomme forhold som seksuel orientering, helbred eller religiøs overbevisning. For adtech-branchen i hele EU og EØS-området betyder det en skærpet risiko, fordi tusindvis af selskaber i dag opererer efter nøjagtig samme model som Xandr gjorde i den periode, sagen dækker.
Flere analytikere peger på, at konsekvensen kan blive strengere kontrol med, hvilke data der overhovedet lægges ind i en budforespørgsel. Nogle børser kan vælge at fjerne præcise lokationsdata eller detaljerede app-identifikatorer fra forespørgslerne, mens andre kan kræve uafhængig dokumentation for samtykke i stedet for blot at stole på en afkrydsning fra udgiveren.
Nordisk kontekst: Danmark og Sverige skærper også kontrollen
Xandr-bøden kommer, mens flere nordiske datatilsyn allerede har strammet grebet om virksomheder, der håndterer personoplysninger uforsvarligt. I Sverige idømte IMY tidligere i oktober 2026 en bøde til Miljödata i Karlskrona for utilstrækkelig teknisk sikkerhed omkring 2,2 millioner svenskeres data. I Norge har Datatilsynet også tidligere på året bødet elektronikkæden Elkjøp med 20 millioner norske kroner, mens en separat sag mod træningskæden SATS endte med en norsk bøde på 10 millioner kroner, selvom det danske Datatilsyn afviste at gå videre med samme sag.
Mønsteret er tydeligt. Norge har de seneste år etableret sig som det nordiske land med de skarpeste tænder i håndhævelsen, og Xandr-sagen cementerer den position yderligere. Til sammenligning har Danmark og Sverige i flere konkrete sager valgt lavere bødeniveauer eller slet ikke fulgt op på klager, som norske myndigheder til gengæld har forfulgt til en afgørelse. Det norske tilsyn har samtidig varslet skærpede krav til cookie-samtykke generelt, som også rammer hjemmesider, der bruger lignende annonceteknologi som den, Xandr stillede til rådighed.
Sådan placerer sagen sig blandt 2026’s store GDPR-bøder
2026 har allerede budt på flere markante databeskyttelsesbøder i Europa. Tabellen herunder sætter Xandr-sagen i perspektiv i forhold til andre store afgørelser fra samme år.
| Sag | Myndighed | Bøde | Kerneproblem |
|---|---|---|---|
| Xandr / Grindr (RTB) | Datatilsynet, Norge | 92 mio. NOK | Videredeling af følsomme data uden eget retsgrundlag |
| EU-tilsyn | 403 mio. € | Behandling af lokationsdata | |
| Uber | EU-tilsyn | 825 mio. € | Overførsel af chaufførdata uden for EU |
| Miljödata | IMY, Sverige | 1,8 mio. SEK | Mangelfuld teknisk sikkerhed |
| Elkjøp | Datatilsynet, Norge | 20 mio. NOK | Overvågning og databehandling |
| SATS | Datatilsynet, Norge | 10 mio. NOK | Overtrædelse af one-stop-shop-princippet |
Sammenligningen viser, at Xandr-bøden i absolutte kroner ligger et godt stykke under de største EU-sager mod Google og Uber, men den er markant højere end flere af de øvrige nordiske afgørelser. Det, der adskiller sagen fra de andre, er ikke kun beløbets størrelse, men hvor direkte den rammer selve den infrastruktur, som store dele af den digitale reklamebranche bygger på.
Kan Xandr anke bøden
Som ved tidligere afgørelser fra det norske Datatilsyn kan Xandr anke bøden til Personvernnemnda, det norske klageorgan for databeskyttelsessager, og eventuelt gå videre til domstolene efter det. Grindr-sagen fra 2021 viste, at en anke kan trække ud i flere år, før den endelige afgørelse står fast. Det tog Datatilsynet til 2023 at bekræfte, at Grindr-bøden fortsat gjaldt, efter at selskabet havde anket den oprindelige afgørelse fra 2021.
Det er endnu uklart, om Microsoft og Xandr vil vælge samme strategi. Hvis selskabet anker, vil sagen sandsynligvis trække ud et godt stykke ind i 2027 eller længere, før det står klart, om bøden skal betales fuldt ud, nedsættes eller omstødes. Datatilsynet har ikke offentliggjort en præcis betalingsfrist i den tilgængelige rapportering om sagen, og den vil i givet fald fremgå af selve den formelle afgørelse. Det norske nyhedssite Nettavisen citerede Datatilsynet for at kalde bruddene “svært alvorlige”, hvilket understreger, hvor hårdt tilsynet vurderer, at Xandr har handlet mod reglerne.
Hvad det betyder for danske og nordiske forbrugere
For den almindelige bruger i Danmark og resten af Norden rejser sagen et konkret spørgsmål: hvor meget af ens egen adfærd i apps bliver i virkeligheden sendt videre til tusindvis af ukendte virksomheder, uden at man nogensinde bliver spurgt direkte? Real-time bidding foregår i baggrunden af stort set alle gratis apps, der finansieres af reklamer, og det gælder langt flere kategorier end datingapps. Fitnessapps, nyhedsapps og spil bruger ofte de samme annoncenetværk og den samme grundlæggende teknologi.
Sagen illustrerer samtidig, hvorfor det kan være svært for en bruger at gennemskue, hvor data egentlig ender. Selv hvis man aktivt afviser sporing i én app, kan data fra andre kilder stadig samles og kobles sammen af de samme adtech-selskaber, der håndterer tusindvis af andre apps samtidig. Det er en af grundene til, at flere nordiske forbrugerorganisationer, herunder det norske Forbrugerråd, har presset på for strengere regler for netop denne del af reklamebranchen gennem flere år.
Markedets reaktion og konsekvenser for Microsoft
For Microsoft er beløbet i sig selv beskedent set i forhold til koncernens samlede omsætning. Den reelle risiko ligger et andet sted: i det juridiske præcedens, sagen skaber for resten af koncernens annonceforretning i Europa. Microsoft har de seneste år bygget sin annonceplatform op omkring netop Xandr-teknologien, og hvis andre europæiske tilsyn følger det norske Datatilsyns linje, kan det tvinge selskabet til at ændre, hvordan data flyder gennem hele auktionssystemet. Ikke kun i Norge, men i hele EØS-området, fordi GDPR-reglerne gælder på tværs af landegrænser.
Branchen venter nu på at se, om andre datatilsyn i EU, for eksempel i Irland, Frankrig eller Tyskland, vil rejse lignende sager mod andre store annoncebørser. Flere af de samme teknologiske mønstre, som Datatilsynet kritiserer hos Xandr, genfindes hos andre store aktører på markedet for programmatisk reklame, og en enkelt norsk afgørelse kan derfor sagtens blive brugt som skabelon andre steder i Europa. Det juridiske fagmedie ICLG beskriver sagen som et markant eksempel på, hvordan nationale tilsyn nu går direkte efter adtech-mellemled i stedet for kun at forfølge de apps, der indsamler data fra brugerne.
Sådan kan du selv begrænse data i real-time bidding
Selvom den enkelte bruger ikke kan stoppe hele RTB-økosystemet, findes der konkrete skridt, der reducerer, hvor meget data der sendes ud i auktionerne. At slå reklame-id’et fra i telefonens indstillinger, både på iPhone og Android, fjerner en af de vigtigste identifikatorer, som annoncenetværk bruger til at genkende en bruger på tværs af apps. At afvise ikke-nødvendige cookies og sporing, hver gang man bliver spurgt, reducerer ligeledes mængden af data, der havner i budforespørgsler fra browseren.
Nogle apps tilbyder desuden en betalt version uden reklamer, hvilket typisk betyder, at RTB-sporingen helt fjernes. For apps, hvor følsomme oplysninger som sundhed, seksualitet eller religion er indbygget i selve formålet, er det ofte den sikreste løsning, hvis man vil undgå, at netop den type oplysninger havner i et annoncenetværk som det, Xandr drev.
Forudsigelser: hvad sker der nu
- Flere europæiske datatilsyn vil sandsynligvis åbne egne undersøgelser af adtech-mellemled i løbet af 2027, inspireret af den norske sags juridiske linje om selvstændigt ansvar i RTB-kæden.
- Store annoncebørser vil formentlig stramme kravene til dokumentation af samtykke fra udgivere, i stedet for blot at acceptere et standardiseret samtykke-signal uden kontrol.
- Apps med følsomt indhold, som dating, sundhed og religion, vil opleve stigende pres for at fjerne eller begrænse brugen af tredjeparts-annoncenetværk helt.
- Xandr og Microsoft vil med stor sandsynlighed anke bøden, hvilket kan trække en endelig afgørelse flere år ud i fremtiden, ligesom det skete i Grindr-sagen.
- Flere nordiske forbrugerorganisationer vil bruge sagen som løftestang til at presse på for strengere nationale regler for programmatisk reklame, selv uden en ny EU-forordning.
Historisk perspektiv: fra statslig overvågning til real-time bidding
Bekymringen for, hvordan personlige oplysninger spredes gennem digitale systemer uden brugerens viden, er langt fra ny, men fokus har flyttet sig markant gennem årene. Hvor debatten for ti år siden primært handlede om statslig overvågning, har de seneste GDPR-sager i stigende grad rettet sig mod den kommercielle del af dataøkonomien. Altså de tusindvis af reklame- og analyseselskaber, der tjener penge på at flytte data rundt mellem hinanden.
Xandr-sagen føjer sig ind i den udvikling som et af de mest konkrete eksempler på, hvordan GDPR-reglerne nu bruges aktivt til at underkende en forretningsmodel, der har eksisteret stort set uændret siden programmatisk reklame for alvor tog fart for over et årti siden. Det norske Datatilsyn har med denne sag demonstreret, at håndhævelsen ikke kun rammer de virksomheder, der direkte indsamler data fra brugeren, men også de led i kæden, som de fleste brugere aldrig har hørt om.
Ofte stillede spørgsmål
Hvem er Xandr, og hvorfor er selskabet relevant for danske brugere
Xandr er et adtech-selskab, der blev opkøbt af Microsoft i 2022, og som driver infrastruktur til real-time bidding. Mange apps og hjemmesider, som også bruges i Danmark, benytter samme type annoncenetværk, hvilket gør sagen relevant langt ud over Norges grænser.
Hvor stor er bøden i danske kroner
Bøden på 92 millioner norske kroner svarer til omkring 71 millioner danske kroner efter de valutakurser, der gjaldt ved offentliggørelsen i oktober 2026. Det præcise beløb i andre valutaer afhænger af valutakursen på betalingstidspunktet.
Har Grindr selv også fået en bøde for det samme forhold
Ja. Grindr blev idømt en bøde på 65 millioner norske kroner i december 2021 for at dele brugerdata med adtech-partnere uden et gyldigt retsgrundlag. Den afgørelse blev stadfæstet efter en anke i 2023. Xandr-sagen er en selvstændig, senere afgørelse rettet mod annoncemellemleddet selv.
Kan man se, om ens egne data har været en del af sagen
Den tilgængelige rapportering om sagen beskriver ikke en konkret procedure for, at individuelle brugere kan tjekke, om netop deres data indgik i de pågældende auktioner. Den slags indsigt vil typisk kræve en formel anmodning om indsigt rettet direkte til Xandr eller Grindr under GDPR-reglerne.
Gælder sagen kun i Norge, eller har den betydning for resten af EU
Afgørelsen er truffet af det norske Datatilsyn, men GDPR-reglerne gælder på tværs af EU og EØS-området, som Norge er en del af. Det betyder, at den juridiske linje i sagen, om at adtech-mellemled har et selvstændigt ansvar, i praksis kan påvirke, hvordan tilsyn i andre europæiske lande vurderer lignende sager.
Hvad kan jeg selv gøre for at undgå lignende datadeling
Du kan slå reklame-id’et fra i telefonens indstillinger, afvise ikke-nødvendig sporing i apps og browsere, og vælge betalte, reklamefrie versioner af apps, hvor følsomme oplysninger er en del af brugen, som i dette tilfælde med en datingapp.
Hvornår skal bøden betales, og kan den ændres
Xandr kan anke bøden til det norske klageorgan Personvernnemnda og eventuelt videre til domstolene. Erfaringen fra Grindr-sagen viser, at en anke kan tage flere år, før den endelige afgørelse står fast, og en præcis betalingsfrist er ikke offentliggjort i den tilgængelige rapportering.
