Norjan tietosuojaviranomainen Datatilsynet julkisti 12. lokakuuta 2026 päätöksen, joka ravisteli ohjelmallisen mainonnan alaa Pohjoismaissa ja koko Euroopassa. Viranomainen määräsi Microsoftin omistamalle mainosteknologiayhtiölle Xandrille 92 miljoonan Norjan kruunun sakon, joka vastaa noin 9,6 miljoonaa dollaria tai 8,6 miljoonaa euroa. Itse päätös on päivätty 2. lokakuuta 2026, mutta se tuli julkisuuteen vasta kymmenen päivää myöhemmin.
Taustalla on tapaus, joka ulottuu lähes seitsemän vuoden taakse. Datatilsynetin mukaan Xandr käsitteli ja välitti Grindr-sovelluksen käyttäjien tietoja heinäkuun 2018 ja huhtikuun 2020 välisenä aikana osana sovelluksen reaaliaikaista mainoshuutokauppaa. Tänään, 15. lokakuuta 2026, tapaus näyttäytyy yhtenä Pohjoismaiden suurimmista mainosteknologiaan kohdistuneista tietosuojasanktioista.
Sakko on suurempi kuin Grindrille vuonna 2021 määrätty 65 miljoonan kruunun sakko, vaikka Xandr toimi tapauksessa vain välikätenä eikä sovelluksen omistajana. Tämä yksityiskohta on koko päätöksen ydin. Datatilsynet katsoi, että mainosketjun jokainen osapuoli kantaa oman vastuunsa, eikä kukaan voi piiloutua toisen yrityksen suostumuslomakkeen taakse.
Mitä Datatilsynetin päätöksessä tapahtui
Päätöksen ydin on yksinkertainen mutta kauaskantoinen. Kun Grindr-käyttäjä avasi sovelluksen, sovellus lähetti mainoshuutokauppajärjestelmään pyynnön, joka sisälsi käyttäjään liittyviä tunnisteita ja kontekstitietoa. Nämä pyynnöt kulkivat Xandrin RTB-alustan läpi ennen kuin yksikään mainos ehti näkyä.
Datatilsynetin mukaan pelkkä tieto Grindrin käytöstä riitti paljastamaan käyttäjän seksuaalisen suuntautumisen, koska sovellus on suunnattu lähes yksinomaan homo-, bi- ja transmiehille. Viranomainen katsoi tämän kuuluvan erityisiin henkilötietoryhmiin, jolloin käsittelyyn olisi tarvittu GDPR:n 9 artiklan mukainen erillinen oikeusperuste.
Tutkinnan mukaan tieto saattoi kulkeutua mahdollisesti tuhansille eri yrityksille automatisoidun huutokauppaprosessin kautta. Datatilsynet piti rikkomusta vakavana juuri laajan levityksen ja tiedon arkaluonteisuuden takia. Viranomainen nosti myös esiin, että tutkinnan kuluessa Xandr oli poistanut osan Grindriin liittyvistä tietueista, mikä vaikeutti jälkikäteistä todentamista siitä, mitä tietoa oikeasti käsiteltiin.
Xandr, Microsoft ja ohjelmallisen mainonnan koneisto
Xandr on mainosteknologiayritys, joka toimii niin sanottuna kysyntäpuolen alustana, englanniksi demand-side platform. Microsoft hankki yhtiön AT&T:ltä ja yhdisti sen omaan mainosliiketoimintaansa. Microsoft on todennut, että sakon taustalla oleva toiminta ajoittui ennen yhtiön omistusaikaa, ja se tarkastelee päätöstä sekä harkitsee oikeudellisia vaihtoehtojaan.
Xandrin rooli ketjussa ei ole sovelluskehittäjä vaan välittäjä. Se vastaanottaa mainospyyntöjä sovelluksilta ja julkaisijoilta, jakaa tiedot eteenpäin mainostajille ja ajaa huutokaupan sekuntien murto-osissa. Datatilsynet katsoi, että juuri tämä välittäjärooli ei vapauta yhtiötä omasta vastuustaan, vaikka se ei itse omista sovellusta tai kerää käyttäjien suostumusta suoraan.
Tapauksen laajuus tekee siitä poikkeuksellisen. Kyse ei ole yhdestä tietovuodosta tai yksittäisestä virheestä, vaan toimintatavasta, joka oli osa koko mainosjärjestelmän normaalia arkipäivää lähes kahden vuoden ajan. Juuri tämä systemaattisuus nosti sakon suuruutta Datatilsynetin perusteluissa.
Xandrin liiketoimintamalli perustuu siihen, että se yhdistää tuhansia julkaisijoita ja mainostajia yhdelle alustalle. Malli on taloudellisesti tehokas, koska se säästää kummankin osapuolen aikaa ja mahdollistaa mainostilan myynnin reaaliajassa parhaalle tarjoajalle. Samalla malli kuitenkin hajauttaa vastuun niin moneen osapuoleen, että yksikään yksittäinen yritys ei ole aiemmin joutunut kantamaan siitä täyttä seurausta, ennen kuin Datatilsynet päätti toisin.
GDPR:n 6 ja 9 artikla: miksi käsittely oli laitonta
Datatilsynet nojasi päätöksessään kahteen GDPR:n artiklaan. Ensimmäinen, 6 artiklan 1 kohta, edellyttää, että kaikelle henkilötietojen käsittelylle on oltava laillinen peruste, kuten suostumus tai oikeutettu etu. Viranomaisen mukaan Xandrilla ei ollut tällaista perustetta omalle osuudelleen käsittelyketjussa.
Toinen, 9 artiklan 1 kohta, koskee erityisiin henkilötietoryhmiin kuuluvaa tietoa, kuten terveystietoa, poliittisia mielipiteitä tai seksuaalista suuntautumista. Tällaisen tiedon käsittely on lähtökohtaisesti kielletty, ellei jokin laissa luetelluista poikkeuksista täyty. Datatilsynet ei löytänyt Xandrin toiminnalle mitään tällaista poikkeusta.
Keskeinen oikeudellinen kysymys oli, voiko mainosvälittäjä nojata siihen, että sovellus itse on kerännyt käyttäjän suostumuksen. Datatilsynetin vastaus oli selkeä kielto. Jokainen käsittelijä vastaa omasta osuudestaan erikseen, eikä suostumusta voi automaattisesti periä seuraavalle ketjun lenkille. Tämä tulkinta laajentaa käytännössä GDPR:n vastuuketjua huomattavasti pidemmälle kuin moni mainosalan yritys on toistaiseksi olettanut.
Miten reaaliaikainen huutokauppa RTB toimii
Ohjelmallinen mainonta perustuu reaaliaikaiseen huutokauppaan, englanniksi real-time bidding. Järjestelmä mahdollistaa sen, että mainostila myydään automaattisesti sillä hetkellä, kun käyttäjä avaa sovelluksen tai sivun. Koko prosessi kestää yleensä alle sata millisekuntia, mutta siihen osallistuu silti kymmeniä tai satoja yrityksiä samanaikaisesti.
Huutokaupan neljä vaihetta millisekunneissa
Prosessi etenee karkeasti neljässä vaiheessa. Ensin käyttäjä avaa sovelluksen tai sivun, jolloin julkaisija lähettää mainospyynnön eteenpäin. Pyyntö sisältää laitetietoja, tunnisteita, sijaintitietoa ja kontekstia sovelluksesta. Toiseksi pyyntö jaetaan kysyntäpuolen alustoille, kuten Xandrille, jotka välittävät sen edelleen mainostajille. Kolmanneksi mainostajien automaatiojärjestelmät laskevat sekunnin murto-osassa, kuinka paljon kyseinen näyttö kannattaa maksaa. Neljänneksi voittanut tarjous näyttää mainoksensa käyttäjälle.
Juuri tässä piilee riski. Tieto leviää lukuisille osapuolille jo ennen kuin yhtäkään mainosta näytetään. Kun pyyntöön yhdistetään sovelluksen nimi, sijainti ja aikaleima, yksittäinen tietopala voi muuttua paljastavaksi profiiliksi, vaikka mikään yksittäinen kenttä ei olisi suoraan merkitty arkaluonteiseksi.
// Havainnollistava esimerkki RTB-pyynnön rakenteesta (yleinen, ei Xandr-kohtainen)
{
"app": "com.example.datingapp",
"device_id": "anonymisoitu-tunniste",
"geo": { "lat": 60.17, "lon": 24.94 },
"timestamp": "2026-10-02T14:32:07Z",
"bidfloor": 0.42
}Esimerkki kuvaa yleistä RTB-pyynnön muotoa, ei Xandrin todellista tietorakennetta. Se havainnollistaa silti, kuinka sovelluksen nimi ja sijainti yhdistettynä voivat riittää profiilin muodostamiseen, vaikka käyttäjän nimeä ei koskaan välitettäisi.
Datatilsynetin tutkintaprosessi ja todisteet
Tutkinta Xandria kohtaan ei ollut nopea toimenpide. Datatilsynet rakensi päätöksensä vuosien aikana kerätyn aineiston varaan, ja osa tästä aineistosta periytyi suoraan alkuperäisestä Grindr-tutkinnasta. Viranomainen pystyi jäljittämään, mitkä tahot vastaanottivat Grindrin lähettämiä mainospyyntöjä, ja Xandr nousi esiin yhtenä keskeisenä solmukohtana tietovirrassa.
Prosessin aikana ilmeni myös, että Xandr oli poistanut osan tutkinnan kohteena olleista tietueista ennen päätöksen valmistumista. Datatilsynet piti tätä merkittävänä yksityiskohtana, koska poistetun datan vuoksi oli vaikeampaa todentaa tarkkaa vastaanottajien määrää tai tietovirran täyttä laajuutta. Tämä ei kuitenkaan estänyt viranomaista tekemästä päätöstä olemassa olevan näytön pohjalta.
Tutkinnan pituus, lähes seitsemän vuotta alkuperäisestä valituksesta, kertoo omaa tarinaansa siitä, kuinka monimutkaista on selvittää vastuunjakoa mainosteknologian toimitusketjussa. Yksittäinen sovellusyritys on helppo tunnistaa ja tutkia, mutta sen taustalla toimivat kymmenet alustat, vaihdot ja välittäjät vaativat erillisen, usein pitkän selvityksen ennen kuin vastuu voidaan osoittaa konkreettisesti.
Grindr-tapaus vuodelta 2021 ja sen yhteys uuteen päätökseen
Xandr-päätös ei synny tyhjästä. Se kytkeytyy suoraan Norjan kuluttajaneuvoston alkuperäiseen valitukseen, joka johti Datatilsynetin sakkoon Grindria itseään vastaan. Norjalaiset tuomioistuimet vahvistivat tuon 65 miljoonan kruunun sakon vuonna 2025 sen jälkeen, kun Grindr valitti päätöksestä.
Alkuperäinen tapaus keskittyi siihen, oliko Grindrin käyttäjiltä keräämä suostumus mainostarkoituksiin pätevä. Uusi Xandr-päätös siirtää katseen seuraavaan lenkkiin ketjussa: mainosvälittäjään, joka vastaanotti ja jakoi samat tiedot eteenpäin. Datatilsynet halusi osoittaa, että koko toimitusketju on tutkinnan kohteena, ei vain alkupiste.
Näiden kahden tapauksen yhdessä muodostama kokonaisuus kertoo, että norjalainen valvoja on valmis seuraamaan tietovirtaa sovelluksesta aina mainosverkon syvyyksiin asti ja rankaisemaan jokaista osapuolta erikseen sen oman roolin perusteella. Seitsemän vuotta alkuperäisestä valituksesta kuluneen ajan pituus kertoo samalla, kuinka hitaasti ad-tech-ketjujen täysi purkaminen etenee, vaikka lopputulos olisikin merkittävä.
Datatilsynetin Line Coll kommentoi päätöstä
Datatilsynetin pääjohtaja Line Coll tiivisti päätöksen logiikan yksinkertaiseen lauseeseen. Hän totesi: “Keskeinen viestimme on, että tietosuojavastuuta ei voi siirtää muille”, kerrotaan ppc.landin uutisoinnissa.
Coll avasi myös sitä, missä kohdassa Xandrin toiminta epäonnistui. Hänen mukaansa yhtiö ei tehnyt riittäviä tarkistuksia: “Xandr jätti varmistamatta, olivatko Grindrin keräämät suostumukset pätevät, eikä tehnyt mitään varmistaakseen, että sillä oli laillinen perusta omalle käsittelylleen”, hän totesi Bleeping Computerille.
Datatilsynetin virallisessa tiedotteessa viranomainen kuvasi tiedon leviämisen laajuutta suoraan: “Kun käyttäjä avasi Grindr-sovelluksen, hänen henkilötietonsa välittyivät monissa tapauksissa Xandrin kautta mahdollisesti tuhansille toimijoille mainosekosysteemissä”, kerrotaan Yahoo Financen välittämässä uutisessa.
Viranomainen tiivisti koko tapauksen periaatteen lyhyesti: “Tietosuojavastuuta ei voi ulkoistaa”, todettiin saksalaisen Heisen uutisoinnissa siteeratussa lausunnossa. Neljä lausuntoa muodostavat yhdessä selkeän viestin: valvoja haluaa, että vastuu seuraa tietoa, ei organisaatiokaaviota.
Microsoftin vastaus ja valitusmahdollisuus
Microsoft on todennut julkisesti, että sakon taustalla oleva käsittely tapahtui ennen kuin yhtiö hankki Xandrin omistukseensa. Yhtiö kertoi tarkastelevansa päätöstä ja harkitsevansa oikeudellisia jatkotoimia, mutta ei ole vielä vahvistanut, valittaako se päätöksestä.
Norjan hallintomenettelyn mukaan Xandrilla on kolme viikkoa aikaa valittaa päätöksestä sen tiedoksiannosta lukien. Jos yhtiö ei valita määräajassa, sakko muuttuu lainvoimaiseksi. Toistaiseksi julkisesti saatavilla ei ole tietoa siitä, onko valitus jätetty.
Mikäli Xandr valittaa, asia etenee todennäköisesti Norjan hallinto-oikeuden käsittelyyn, samaan tapaan kuin Grindrin oma valitusprosessi aikanaan. Tämä tarkoittaisi, että lopullinen ratkaisu voi venyä vielä vuosien päähän, kuten alkuperäisessä Grindr-tapauksessa kävi ennen vuoden 2025 tuomiota.
Xandr vs. Grindr: sakkojen ja vastuun vertailu
| Osa-alue | Grindr-tapaus | Xandr-tapaus |
|---|---|---|
| Vastaaja | Grindr (sovelluskehittäjä) | Xandr (Microsoftin omistama mainosvälittäjä) |
| Sakko | 65 milj. NOK | 92 milj. NOK (n. 9,6 milj. USD / 8,6 milj. EUR) |
| Rooli ketjussa | Alkuperäinen tiedon kerääjä | RTB-huutokaupan mainosvälittäjä |
| Keskeinen kysymys | Oliko käyttäjän suostumus pätevä | Olisiko Xandrin pitänyt itse varmistaa laillinen peruste |
| Arkaluonteinen tieto | Seksuaalinen suuntautuminen sovelluksen käytön perusteella | Sama tieto, välitettynä mainosverkkoon RTB:n kautta |
| Lopputulos | Norjan tuomioistuimet vahvistivat sakon 2025 | Päätös 2.10.2026, valitusmahdollisuus auki |
Taulukko havainnollistaa, kuinka kaksi samaan tietovirtaan liittyvää tapausta eroavat toisistaan roolin ja vastuun osalta, vaikka kyse on pohjimmiltaan samasta käyttäjädatasta. Isoin ero on sakkojen suuruudessa suhteessa rooliin: Grindr keräsi tiedon suoraan käyttäjiltä, mutta Xandr sai suuremman sakon vain siitä, että se käsitteli ja jakoi samaa tietoa ilman omaa tarkistusta. Tämä viestii, että valvoja pitää koko ketjua yhtä vastuullisena riippumatta siitä, kuka keräsi tiedon alun perin.
Markkinavaikutus ohjelmallisen mainonnan toimialalle
Päätös osuu toimialaan, joka pyörittää satoja miljardeja dollareita mainosbudjetteja vuosittain ohjelmallisten huutokauppojen kautta. Kun yksi Euroopan maa osoittaa, että välittäjä voidaan sakottaa suoraan sen omasta roolista, koko ketjun riskilaskelma muuttuu kaikille osapuolille yhtä aikaa.
Ensimmäinen seuraus on ilmeinen. Kysyntäpuolen alustat ja mainosvaihdot joutuvat nyt arvioimaan uudelleen, riittääkö julkaisijan antama suostumusmerkintä, vai täytyykö jokaisen ketjun jäsenen tehdä oma due diligence -tarkistuksensa. Tämä nostaa vaatimustenmukaisuuden kustannuksia koko toimialalla, ja kustannukset valuvat todennäköisesti lopulta mainostajille ja julkaisijoille itselleen.
Toinen seuraus koskee sovelluksia, jotka toimivat herkillä aihealueilla. Deitti-, terveys- ja uskontosovellukset joutuvat tarkastelemaan uudelleen, kannattaako mainostuloja ylipäätään hakea kolmansien osapuolten RTB-verkoista, kun yksittäinen tietovuoto voi johtaa kymmenien miljoonien kruunujen sakkoon vuosia tapahtuman jälkeen. Osa yrityksistä siirtyy todennäköisesti omiin suoramyyntikanaviin tai tiukasti rajattuihin mainoskumppanuuksiin, joissa tiedonkulku voidaan dokumentoida tarkasti alusta loppuun.
Kolmas seuraus liittyy sijoittajiin ja omistajavaihdoksiin. Microsoftin tapauksessa sakko koskee toimintaa, joka tapahtui ennen yhtiön hankintaa, mutta vastuu seurasi silti mukana kaupassa. Tämä opettaa koko ad-tech-alalle, että yritysostoissa on jatkossa arvioitava tarkemmin ostettavan yhtiön historiallisia tietosuojariskejä, ei vain nykyistä liiketoimintaa.
Mitä tämä tarkoittaa suomalaisille yrityksille
Suomalaiset sovelluskehittäjät ja verkkokaupat käyttävät usein samoja kansainvälisiä mainosvaihtoja ja DSP-alustoja kuin Grindrin tapaukseen liittyi. Jos sovellus käsittelee arkaluonteisia aiheita, kuten terveyttä, seksuaalisuutta tai uskontoa, ja liittää siihen kolmannen osapuolen mainosseurannan, riski kasvaa samalla kaavalla kuin norjalaisessa tapauksessa.
Suomen tietosuojavaltuutetun toimisto ei ole toistaiseksi kommentoinut Xandr-päätöstä erikseen, mutta samat GDPR-artiklat pätevät Suomessa yhtä lailla kuin Norjassa. EU:n sisällä valvojat seuraavat tiiviisti toistensa linjauksia, ja vastaavia tapauksia voi nousta esiin myös muissa jäsenvaltioissa lähivuosina.
Pohjoismaisten valvojien yhteistyö on tiivistynyt viime vuosina, ja Norjan, Suomen, Ruotsin ja Tanskan tietosuojaviranomaiset vaihtavat säännöllisesti tietoa rajat ylittävistä tapauksista. Kun yksi maa osoittaa, että mainosvälittäjä voidaan sakottaa suoraan, muut alueen valvojat saavat samalla valmiin oikeudellisen mallin, jota ne voivat soveltaa omiin tutkintoihinsa ilman, että niiden täytyy rakentaa tulkintaa alusta asti itse.
Historiallinen konteksti: ad-tech-valvonta Euroopassa
Ohjelmallisen mainonnan valvonta ei ole uusi ilmiö, mutta sen painopiste on siirtynyt vuosi vuodelta syvemmälle mainosketjuun. Alkuvaiheessa valvojat keskittyivät evästeisiin ja suostumusbannereihin verkkosivuilla. Grindrin tapaus vuonna 2021 siirsi huomion sovelluksiin, jotka jakavat arkaluonteista tietoa mainostarkoituksiin kolmansille osapuolille.
| Ajankohta | Tapahtuma |
|---|---|
| 2021 | Datatilsynet sakottaa Grindria 65 milj. NOK käyttäjätietojen jakamisesta mainoskumppaneille |
| 2025 | Norjan tuomioistuimet vahvistavat Grindrin sakon valitusprosessin jälkeen |
| Heinäkuu 2018 – huhtikuu 2020 | Xandr-tapauksen käsittelyjakso, jolloin tiedot kulkivat RTB-järjestelmän läpi |
| 2.10.2026 | Datatilsynet tekee päätöksen Xandria vastaan, sakko 92 milj. NOK |
| 12.10.2026 | Päätös julkistetaan, Microsoft kommentoi tarkastelevansa sitä |
Nyt painopiste on siirtynyt yhä syvemmälle toimitusketjuun, aina yksittäisiin mainosvälittäjiin asti. Tämä kehitys heijastaa laajempaa eurooppalaista linjaa, jossa GDPR:n vastuuketjua ei katsota päättyväksi ensimmäiseen käsittelijään vaan ulottuvan kaikkiin, jotka koskettavat tietoa matkan varrella.
IAB Europen TCF-kehys ja muu RTB-valvonta
Suuri osa ohjelmallisesta mainonnasta Euroopassa nojaa IAB Europen Transparency and Consent Framework -kehykseen, joka standardoi suostumustietojen välittämisen mainosketjussa. Kehys on ollut vuosia eurooppalaisten valvojien ja tuomioistuinten tarkastelussa, koska kriitikot katsovat, että yksittäinen suostumusmerkki ei riitä kattamaan tuhansia alavirran vastaanottajia.
Xandr-päätös tukee tätä kritiikkiä käytännön tasolla. Jos mainosvälittäjä ei voi luottaa sokeasti toisen osapuolen keräämään suostumukseen, koko TCF-mallin looginen perusta joutuu paineen alle. Tarkkaa tietoa siitä, kuinka moni muu DSP- tai SSP-yhtiö on tutkinnan kohteena Euroopassa juuri nyt, ei ole julkisesti vahvistettu, mutta toimiala seuraa tilannetta tiiviisti ja monet yhtiöt ovat jo päivittäneet omia suostumuksenvarmistusprosessejaan ennakoivasti.
Käytännössä tämä tarkoittaa sitä, että yksittäinen suostumusmerkki, joka kulkee mainospyynnön mukana, ei enää riitä todisteeksi laillisesta käsittelystä. Jokaisen vastaanottajan on pystyttävä itse osoittamaan, miksi sillä on oikeus käsitellä kyseistä tietoa. Tämä muuttaa koko ad-tech-ekosysteemin vastuullisuuskulttuuria hitaasti mutta varmasti, ja Xandr-päätös toimii siinä yhtenä konkreettisena esimerkkitapauksena, johon muut valvojat voivat viitata omissa ratkaisuissaan.
Ennusteet: mitä seuraavaksi tapahtuu
- Useampi mainosvälittäjä päätyy todennäköisesti suoraan valvojien tutkintaan, ei vain sovelluskehittäjät.
- IAB Europen TCF-kehyksen oikeudellinen kestävyys joutuu uuteen testiin, kun Xandr-tapaus näyttää esimerkin, jota muut valvojat voivat seurata.
- Arkaluonteisia aiheita käsittelevät sovellukset, kuten deitti- ja terveyssovellukset, alkavat karsia kolmannen osapuolen mainosintegraatioita riskien pienentämiseksi.
- Yritykset, jotka ostavat mainostilaa kansainvälisten DSP-alustojen kautta, joutuvat lisäämään toimittaja-auditointeja osana omaa GDPR-vastuutaan.
- Myös muut Pohjoismaiden valvojat, kuten Suomen ja Ruotsin tietosuojaviranomaiset, arvioivat todennäköisesti uudelleen omia ad-tech-valvontaprioriteettejaan tämän päätöksen valossa.
Yhteistä näille suuntaviivoille on se, että vastuu ei enää pysähdy ensimmäiseen tietoa keräävään yritykseen. Koko toimitusketju joutuu tottumaan ajatukseen, että jokainen lenkki voi joutua maksamaan omasta osuudestaan erikseen, vuosiakin tapahtuman jälkeen.
On myös todennäköistä, että osa näistä ennusteista toteutuu hitaammin kuin toimiala pelkää. Norjan tapauksessa kului lähes seitsemän vuotta alkuperäisestä valituksesta lopulliseen Xandr-päätökseen, ja vastaavat prosessit muissa maissa voivat edetä yhtä hitaasti. Nopeampi muutos tulee todennäköisemmin yritysten omasta varautumisesta kuin uusista sakkopäätöksistä, koska kukaan ei halua odottaa seitsemää vuotta saadakseen tietää, oliko oma mainosintegraatio laillinen.
Näin yritykset voivat varautua
Yrityksille käytännön ohje on selvä: mainosketjun jokaisen osapuolen on dokumentoitava oma oikeusperustansa, ei vain luotettava ylävirran suostumukseen. Tämä koskee erityisesti yrityksiä, jotka toimivat alustoina tai välittäjinä eivätkä suoraan kerää tietoa käyttäjiltä.
Käytännössä tämä tarkoittaa kolmea asiaa. Ensin kannattaa kartoittaa, mitä tietoa oma sovellus tai palvelu lähettää mainosverkkoihin ja missä muodossa. Toiseksi on syytä arvioida, voiko mikä tahansa yksittäinen tietopala, kuten sovelluksen nimi, paljastaa arkaluonteisen ominaisuuden käyttäjästä. Kolmanneksi kannattaa vaatia sopimuksissa, että mainoskumppanit todistavat oman oikeusperustansa, sillä pelkkä suostumuslomake ei enää riitä.
Pienemmille suomalaisille yrityksille tämä voi tarkoittaa mainosvaihtoehtojen karsimista tai siirtymistä kontekstuaaliseen mainontaan, joka ei edellytä henkilötietojen jakamista lainkaan. Se on hidas ja kallis muutos, mutta Xandr-päätöksen jälkeen siitä on tullut yhä vaikeampi perustelu ohittaa.
Tietosuojavastaavien kannattaa myös päivittää omat käsittelyrekisterinsä vastaamaan sitä, mitä tietoa todella virtaa ulos sovelluksesta kolmansille osapuolille. Monessa yrityksessä rekisteri on laadittu kerran käyttöönoton yhteydessä, mutta mainosteknologian kumppanit ja tietovirrat muuttuvat jatkuvasti. Xandr-tapaus näyttää, kuinka vanha ja päivittämättä jätetty dokumentaatio voi muuttua vuosien päästä kalliiksi todisteeksi laiminlyönnistä.
Usein kysytyt kysymykset
Mikä Xandr on ja miksi Microsoft omistaa sen?
Xandr on mainosteknologiayritys, joka tarjoaa kysyntäpuolen alustan ohjelmalliseen mainontaan. Microsoft hankki yhtiön AT&T:ltä ja yhdisti sen omaan mainosliiketoimintaansa.
Kuinka paljon Xandr joutui maksamaan ja miksi?
Datatilsynet määräsi Xandrille 92 miljoonan Norjan kruunun sakon, koska yhtiö käsitteli ja jakoi Grindr-käyttäjien tietoja ilman laillista perustetta ja ilman erillistä poikkeusta erityisten henkilötietoryhmien käsittelyyn.
Onko tämä sama tapaus kuin aiempi Grindr-sakko?
Ei. Grindrille määrättiin oma 65 miljoonan kruunun sakko vuonna 2021, ja Norjan tuomioistuimet vahvistivat sen vuonna 2025. Xandr-päätös koskee eri vastaajaa, mainosvälittäjää, joka vastaanotti samaa tietoa.
Mitä GDPR-artikloita Xandr rikkoi?
Päätös perustuu 6 artiklan 1 kohtaan, joka edellyttää laillista käsittelyperustetta, ja 9 artiklan 1 kohtaan, joka koskee erityisiin henkilötietoryhmiin kuuluvaa tietoa.
Voiko Xandr valittaa päätöksestä?
Kyllä. Yhtiöllä on kolme viikkoa aikaa valittaa päätöksen tiedoksiannosta lukien. Julkisesti ei ole vahvistettu, onko valitus jätetty.
Koskeeko tämä suomalaisia yrityksiä?
Samat GDPR-säännöt pätevät kaikissa EU- ja ETA-maissa. Suomalaiset yritykset, jotka käyttävät samoja kansainvälisiä mainosvaihtoja, voivat kohdata vastaavia riskejä, jos ne käsittelevät arkaluonteisia aiheita.
Mitä reaaliaikainen huutokauppa RTB tarkoittaa käytännössä?
RTB on automaattinen järjestelmä, joka myy mainostilan huutokaupalla sillä hetkellä, kun käyttäjä avaa sovelluksen tai sivun. Prosessi kestää tyypillisesti alle sata millisekuntia, ja siihen osallistuu useita yrityksiä samanaikaisesti.
Mitä tälle tapaukselle tapahtuu seuraavaksi?
Jos Xandr ei valita, sakko muuttuu lainvoimaiseksi. Jos valitus jätetään, asia voi edetä norjalaiseen hallinto-oikeuteen, ja ratkaisu voi viedä vuosia, kuten alkuperäisessä Grindr-tapauksessa kävi.