Norges datatilsyn har gitt sin tyngste bot noensinne. Den 2. oktober 2026 slo Datatilsynet fast at det Microsoft-eide annonseteknologiselskapet Xandr må betale NOK 92 millioner for å ha behandlet og delt sensitive data fra Grindr-brukere uten gyldig rettslig grunnlag. Beløpet svarer til mellom 8,5 og 8,6 millioner euro, avhengig av om man leser selve vedtaket eller Datatilsynets egen pressemelding, og rundt 9,6 millioner dollar. Det gjør boten til den største personvernsanksjonen som er utstedt i Norge til nå.
Saken er langt mer enn et nytt tall i en lang rekke GDPR-bøter. Den markerer et skifte i hvordan norske myndigheter håndterer annonsebransjens datahandel. Xandr fikk ikke dataene direkte fra brukerne. Selskapet mottok dem fra Grindr gjennom automatiserte annonseauksjoner, og ble likevel holdt personlig ansvarlig for det som skjedde videre. For adtech-selskaper i Norden, og for enhver bedrift som kjøper eller selger annonseplasseringer via programmatiske auksjoner, er beskjeden tydelig: å motta data fra en tredjepart fritar ikke for eget ansvar.
Hva Datatilsynet faktisk fant i Xandr-saken
Vedtaket mot Xandr er på 54 sider og peker på to konkrete brudd. Det første gjelder GDPR artikkel 6(1), som fastsetter at all behandling av personopplysninger må ha et rettslig grunnlag. Det andre, og mer alvorlige, gjelder artikkel 9(1), som forbyr behandling av særlige kategorier personopplysninger uten at strenge unntak er oppfylt. I dette tilfellet handlet det om opplysninger som kan avsløre seksuell orientering, informasjon som i praksis fulgte brukernes aktivitet på Grindr videre inn i det kommersielle annonsemaskineriet.
Ifølge Datatilsynets gjennomgang ble disse opplysningene sendt gjennom automatiserte annonseauksjoner, kjent i bransjen som real-time bidding, og kunne i prinsippet nå tusenvis av selskaper som deltar i slike auksjoner hvert sekund. Xandr argumenterte med at selskapet handlet på oppdrag fra Grindr og derfor kunne lene seg på samtykket Grindr hadde samlet inn. Datatilsynet var ikke uenig i at det fantes et visst samtykke, men fant at Xandr aldri kontrollerte om samtykket faktisk var gyldig for den videre databehandlingen selskapet selv utførte.
Hva er real-time bidding, og hvorfor ble det et problem
Real-time bidding er systemet som avgjør hvilken annonse du ser når en nettside eller app lastes. I løpet av brøkdelen av et sekund sendes informasjon om brukeren, inkludert app, plassering og ofte interesser, til et stort antall budgivere som konkurrerer om å vise en annonse. Modellen er effektiv for annonsører, men den har en innebygd svakhet: når sensitive signaler, som bruk av en app rettet mot skeive brukere, flyter inn i et slikt system, blir de i praksis distribuert til mange flere mottakere enn den opprinnelige appen hadde kontroll over. Datatilsynets vedtak slår fast at Xandr satt i sentrum av nettopp denne distribusjonen, og at selskapet ikke gjorde nok for å stoppe sensitive data fra å gå videre.
2 453 dager: historien om en treg, men tung bot
Det som gjør saken spesiell er ikke bare beløpet, men tidslinjen. Datatilsynet brukte 2 453 dager, nesten 6,7 år, fra saken startet til vedtaket ble offentliggjort. Det er en saksbehandlingstid som i seg selv har vakt oppsikt i personvernmiljøet, og tilsynet valgte å redusere boten noe nettopp på grunn av den uvanlig lange ventetiden. Uten denne reduksjonen kunne beløpet ha blitt enda høyere, siden regelverket i utgangspunktet tillater bøter opp mot 20 millioner euro eller fire prosent av global omsetning, avhengig av hva som er høyest.
Underveis i etterforskningen skal Xandr ha slettet Grindr-relaterte data, ifølge gjennomgangen av vedtaket. Det endrer ikke selve ansvarsgrunnlaget, men det illustrerer hvor komplisert det er for et tilsyn å rekonstruere datastrømmer som i utgangspunktet er designet for å bevege seg raskt og usporbart gjennom et nettverk av annonseplattformer. Boten er foreløpig ikke rettslig bindende. Xandr kan anke innen tre uker etter at vedtaket er mottatt, og selskapet har ikke offentlig bekreftet hvilken vei det vil velge.
Line Coll: “Ansvaret kan ikke overføres til andre”
Datatilsynets direktør Line Coll har kommentert saken direkte, og budskapet hennes er lite overraskende skarpt. Hun sier at tilsynet ga en så høy bot fordi bruddene de identifiserte var svært alvorlige, og legger til: “Vi ga en så høy bot i denne saken fordi bruddene vi fant, var svært alvorlige” (BleepingComputer).
Coll er like klar på hvorfor Xandr ikke kan skylde på Grindr. Hun forklarer at “Xandr unnlot å verifisere at samtykkene fra Grindr var gyldige, og gjorde ingenting for å sikre at de selv hadde et rettslig grunnlag for sin egen behandling” (BleepingComputer). Det er kjernen i vedtaket: Xandr var ikke en passiv mottaker av data, men en selvstendig databehandlingsansvarlig med egne forpliktelser etter GDPR, uavhengig av hva avtalen med Grindr sa.
I en oppsummering av saken formulerer Coll det norske tilsynets overordnede linje enda bredere. “Vårt viktigste budskap er at ansvaret for databeskyttelse ikke kan overføres til andre,” sier hun (PPC Land). Det er en linje som trolig vil prege Datatilsynets videre arbeid mot hele adtech-kjeden, ikke bare mot appene som samler inn data først.
Xandr og Microsoft: annonseteknologi under lupen
Hvem er Xandr
Xandr er i dag en del av Microsoft Advertising, og driver blant annet infrastruktur for programmatisk annonsekjøp og -salg, inkludert de auksjonssystemene som sto sentralt i denne saken. At et selskap under et av verdens største teknologikonsern blir ilagt Norges største personvernbot, gir saken en ekstra tyngde i offentligheten, og sender et signal til resten av bransjen om at størrelse og ressurser ikke gir immunitet mot nasjonale tilsyn. Microsoft har ikke offentlig kommentert vedtaket i detalj utover å ta det til etterretning, og saken er fremdeles ikke rettskraftig så lenge ankefristen løper.
For bedrifter som kjøper annonseplass gjennom slike plattformer, aktualiserer saken et spørsmål som lett glemmes i praksis: hvem bærer ansvaret når data flyter gjennom flere selskaper på vei fra bruker til annonsør? Svaret fra Datatilsynet er at hvert ledd i kjeden har selvstendig ansvar, noe som øker kompleksiteten og kostnaden ved å drive adtech-virksomhet i Norge og resten av Norden.
Ikke en enslig sak: Elkjøp og Lab Pharma viser et mønster
Xandr-boten kommer bare måneder etter at Datatilsynet rettet skytset mot en helt annen type virksomhet. Den 4. juni 2026 kunngjorde tilsynet en bot på NOK 20 millioner mot Elkjøp Nordic AS og Elkjøp AS, med vedtaksdato 1. juni. Saken gjaldt behandlingen av personopplysninger i kundeklubben til elektronikkjeden, og rammet mer enn seks millioner medlemmer i Norden.
Hva Elkjøp ble bøtelagt for
Datatilsynet fant fire separate brudd i Elkjøp-saken. Samtykket til kundeklubben var for uspesifikt, for lite informert, og i praksis tvunget frem. Videre pekte tilsynet på mangler i bruken av Customer Match og Offline Conversions, altså verktøy som matcher kundelister mot annonseplattformer, samt problemer med å dokumentere at databehandlingen var forenlig med det opprinnelige formålet. Elkjøp hadde dessuten brukt for lang tid på å besvare henvendelser fra kunder som ba om innsyn i egne data, et krav GDPR er tydelig på (DataGuidance).
I august samme år fulgte en tredje sak, langt mindre i kronebeløp, men prinsipielt interessant. Lab Pharma AS ble bøtelagt NOK 205 000 den 17. august 2026, ikke for selve databehandlingen, men for å ikke ha samarbeidet med Datatilsynet under en undersøkelse. Saken viser at tilsynet også er villig til å straffe manglende åpenhet overfor myndighetene i seg selv, uavhengig av hva den underliggende databehandlingen faktisk innebar.
Satt sammen tegner de tre sakene et bilde av et tilsyn som har trappet opp aktiviteten gjennom hele 2026, og som angriper personvernbrudd fra flere vinkler samtidig: forbrukersamtykke hos Elkjøp, samarbeidsplikt hos Lab Pharma, og nå dataansvar langt nede i en kompleks adtech-kjede hos Xandr.
Grindr-dominoen: fra 2021-boten til dagens oppgjør
For å forstå hvorfor Xandr-saken traff akkurat nå, må man tilbake til Datatilsynets opprinnelige sak mot Grindr selv. Appen ble ilagt en bot på NOK 65 millioner for å ha delt brukerdata, inkludert opplysninger som kunne avsløre seksuell orientering, med annonsepartnere uten gyldig samtykke. Grindr anket vedtaket, men Borgarting lagmannsrett avviste anken etter en behandling i august 2025, og boten ble dermed stående fast.
Xandr var en av partnerne som mottok data fra Grindr i den opprinnelige saken. Når Datatilsynet nå går videre og bøtelegger selve mottakeren, fullføres et mønster: først ble kilden til dataene straffet, og deretter ble en av mottakerne i annonsekjeden straffet for hvordan de behandlet de samme dataene videre. Det er denne logikken, at ansvar følger dataene gjennom hele kjeden i stedet for å stoppe ved første selskap, som gjør Xandr-saken til noe mer enn en isolert hendelse. Den er et apropos til hvordan norske og europeiske tilsyn nå tenker om adtech-økosystemet som en helhet, ikke som en samling frittstående aktører.
Norges største GDPR-bøter i sammenligning
Når man setter Xandr-boten opp mot andre vedtak fra Datatilsynet de siste årene, blir størrelsesforholdet tydelig. Tabellen under samler de fire mest omtalte sakene fra 2025 og 2026.
| Selskap | Bot (NOK) | Bot (EUR/USD) | Dato | Grunnlag |
|---|---|---|---|---|
| Xandr (Microsoft) | 92 millioner | ca. 8,5-8,6 mill. EUR / ca. 9,6 mill. USD | 2. oktober 2026 | Behandling og deling av sensitive Grindr-data uten rettslig grunnlag (GDPR art. 6 og 9) |
| Grindr (opprinnelig sak) | 65 millioner | Ikke angitt i oppsummering | Stadfestet august 2025 (Borgarting lagmannsrett) | Ugyldig samtykke til deling av brukerdata med annonsepartnere |
| Elkjøp Nordic / Elkjøp | 20 millioner | ca. 1,83 mill. EUR / ca. 2,14 mill. USD | 4. juni 2026 (kunngjort) | Ugyldig samtykke i kundeklubb, mangler i Customer Match og Offline Conversions |
| Lab Pharma | 0,205 millioner (205 000 kr) | ca. 19 300 USD | 17. august 2026 | Manglende samarbeid med Datatilsynet under undersøkelse |
Tallene viser at Xandr-boten er mer enn fire ganger så høy som Elkjøp-saken, og over 440 ganger høyere enn Lab Pharma-boten. Det underbygger at Datatilsynet nå behandler brudd på artikkel 9, altså behandling av særlige kategorier personopplysninger, som vesentlig mer alvorlig enn rene samtykkefeil eller samarbeidsproblemer.
Nøkkeltallene i Xandr-saken
For å gi et samlet bilde av saken før man går videre til konsekvensene, oppsummerer tabellen under de viktigste tallene fra selve vedtaket.
| Nøkkeltall | Verdi |
|---|---|
| Bot | NOK 92 millioner |
| Bot i euro | ca. 8,5-8,6 millioner euro |
| Bot i dollar | ca. 9,6 millioner USD |
| Vedtaksdato | 2. oktober 2026 |
| Saksbehandlingstid | 2 453 dager (ca. 6,7 år) |
| Vedtakets lengde | 54 sider |
| Ankefrist | 3 uker fra mottak av vedtaket |
| Berørte GDPR-artikler | Artikkel 6(1) og artikkel 9(1) |
| Datakategori | Opplysninger som kan avsløre seksuell orientering |
Hva betyr dette for annonsebransjen i Norden
Markedsmessig er effekten av vedtaket allerede merkbar i hvordan bransjeaktører diskuterer risiko. Programmatisk annonsering bygger på at data kan deles raskt mellom mange parter, men Xandr-saken viser at denne hastigheten har en pris når dataene er sensitive. Selskaper som driver realtidsauksjoner i Norden må nå regne med at norske myndigheter er villige til å følge dataflyten helt ut til siste mottaker, og ikke bare straffe appen eller nettstedet som samlet inn informasjonen først.
Det skaper et konkret press på selskaper som jobber med helsedata, dating, eller annen informasjon som kan klassifiseres som særlige kategorier etter GDPR. Mange adtech-plattformer har historisk basert seg på at kontraktene med datakilden skal fjerne eget ansvar. Vedtaket mot Xandr fjerner den antagelsen. Det betyr i praksis at compliance-avdelinger må bygge egne kontrollmekanismer for å verifisere samtykke, i stedet for å lene seg på det samtykket datakilden hevder å ha innhentet.
For forbrukere forsterker saken et argument som allerede var kjent fra tidligere saker om datalekkasjer: at mobilapper med sensitiv bruksprofil, enten det er dating, helse, eller økonomi, krever ekstra vaktsomhet fra brukeren selv. Verktøy som VPN kan redusere noe av eksponeringen mot nettverksbaserte sporingsteknikker, men løser ikke problemet med data som allerede deles av appen selv gjennom kommersielle annonsesystemer, et tema som også er dekket i vår gjennomgang av Mullvad mot ProtonVPN.
Anke og neste skritt: hva skjer nå
Vedtaket er foreløpig ikke rettslig bindende. Xandr har tre uker fra mottak av vedtaket til å varsle en anke, og selskapet har ikke offentlig avklart hvilken retning det vil velge. Datatilsynet har lagt inn en viktig begrensning i vedtaket: boten er, som normalt i slike saker, begrenset oppad til 20 millioner euro eller fire prosent av Xandrs globale omsetning, og tilsynet har i praksis lagt seg godt under det øvre taket.
Gitt presedensen fra Grindr-saken, der en anke endte med at boten ble stående etter over fire år i rettssystemet, er det grunn til å tro at en eventuell anke fra Xandr kan bli en langtrukken affære. Samtidig har den lange saksbehandlingstiden i selve Datatilsynets etterforskning allerede vist at norske myndigheter er villige til å bruke mange år på denne typen saker når dataflyten er komplisert nok.
Regelverket rundt saken: NIS2 og det bredere bildet
Xandr-saken føres etter GDPR, men den kommer i en periode der norske virksomheter samtidig må forholde seg til nytt sikkerhetsregelverk gjennom digitalsikkerhetsloven og NIS2. De to regelverkene har forskjellig formål, det ene dekker personopplysninger og det andre dekker driftssikkerhet i kritisk infrastruktur, men de forsterker samme overordnede trend: norske og europeiske myndigheter krever nå dokumenterbar kontroll over hvor data befinner seg og hvem som har tilgang til dem, i stedet for å akseptere generelle forsikringer fra leverandører og partnere.
For virksomheter som opererer i skjæringspunktet mellom annonsedata, kundedata og sikkerhetskrav, betyr dette doble rapporteringslinjer: en mot Datatilsynet for personopplysninger, og en mot sektortilsyn for digital sikkerhet. Det er en kombinasjon som krever mer ressurser internt enn det mange mellomstore nordiske selskaper har vært innstilt på å sette av til compliance.
Hva venter personvernbransjen i 2026 og 2027
- Flere bøter mot mottakere, ikke bare datakilder. Xandr-modellen, der tilsynet går etter alle ledd i en datakjede, kan bli en standard fremgangsmåte for Datatilsynet og søsterorganisasjoner i andre europeiske land.
- Strengere kontraktskrav i adtech-bransjen. Selskaper som kjøper data fra tredjeparter vil trolig kreve skriftlig dokumentasjon på samtykke, ikke bare en generell forsikring, for å beskytte seg mot ansvar.
- Lengre saksbehandlingstid som forhandlingskort. Siden Datatilsynet reduserte Xandr-boten på grunn av egen saksbehandlingstid, kan selskaper under etterforskning begynne å bruke tidsbruken aktivt i sin forsvarsstrategi.
- Mer oppmerksomhet om særlige kategorier data i apper. Dating-, helse- og livsstilsapper vil trolig oppleve økt gransking av hvordan brukerdata flyter videre til annonsepartnere.
- Microsoft og andre storselskaper under tettere oppfølging. At et konsern av Microsofts størrelse ble truffet med Norges høyeste bot, gjør det sannsynlig at Datatilsynet vil prioritere saker mot store internasjonale aktører fremover, snarere enn bare mindre nasjonale selskaper.
Disse punktene er analyse og vurdering basert på mønsteret i årets vedtak, ikke bekreftede planer fra Datatilsynet selv. Men sett i sammenheng med Elkjøp- og Lab Pharma-sakene, og med personvernfeltet i Norge generelt, peker utviklingen klart i én retning: tilsynet har gått fra enkeltsaker mot norske forbrukerselskaper til systematisk gransking av hele datakjeder som strekker seg langt utenfor landets grenser.
Konsekvenser for norske og nordiske bedrifter som kjøper annonser
Mange norske og nordiske bedrifter bruker programmatiske annonseplattformer uten å vite nøyaktig hvilke underleverandører som behandler dataene deres kunder genererer. Xandr-saken bør fungere som et varsel om at ansvaret ikke stopper ved den plattformen man har direkte avtale med. Dersom data fra egne kunder, for eksempel gjennom pikselsporing eller app-SDK-er, ender opp i et realtidsauksjonssystem, kan virksomheten i prinsippet også bli vurdert som dataansvarlig for hvordan de dataene behandles videre.
Praktisk betyr dette at mange markedsavdelinger nå bør gå gjennom hvilke tredjepartspiksler og SDK-er som er integrert i egne nettsider og apper, og dokumentere hvilket rettslig grunnlag som faktisk gjelder for hver enkelt datadeling. Det er en jobb som tidligere ofte ble nedprioritert, men som Xandr-boten gjør vesentlig dyrere å utsette, både i form av direkte sanksjonsrisiko og i form av tapt tillit dersom saken blir offentlig kjent, noe den økende bølgen av datadrevne angrep i Norden også har vist gjentatte ganger det siste året.
Ofte stilte spørsmål
Hvor stor er boten Datatilsynet har gitt Xandr?
Boten er på NOK 92 millioner, noe som svarer til mellom 8,5 og 8,6 millioner euro og omtrent 9,6 millioner dollar. Det gjør den til den største personvernboten som er utstedt i Norge til nå.
Hvorfor ble Xandr bøtelagt når det var Grindr som samlet inn dataene?
Datatilsynet fant at Xandr, som mottok dataene fra Grindr gjennom annonseauksjoner, selv har en selvstendig plikt til å sikre rettslig grunnlag for sin behandling. Selskapet unnlot å verifisere om samtykket fra Grindr faktisk var gyldig for Xandrs eget bruk av dataene.
Hva var det juridiske grunnlaget for boten?
Vedtaket bygger på brudd på GDPR artikkel 6(1), som regulerer rettslig grunnlag for all databehandling, og artikkel 9(1), som forbyr behandling av særlige kategorier personopplysninger, i dette tilfellet data som kunne avsløre seksuell orientering.
Hvorfor tok saken nesten syv år?
Datatilsynet brukte 2 453 dager på etterforskningen før vedtaket ble offentliggjort 2. oktober 2026. Den lange saksbehandlingstiden var en medvirkende årsak til at tilsynet reduserte boten noe i forhold til det regelverket i utgangspunktet åpner for.
Er boten rettslig bindende nå?
Ikke nødvendigvis. Xandr har tre uker fra mottak av vedtaket til å varsle en eventuell anke. Dersom selskapet anker, kan saken ende i det norske rettssystemet, som allerede har behandlet den tilknyttede Grindr-saken i flere år.
Hvordan skiller Xandr-saken seg fra Elkjøp-boten tidligere i 2026?
Elkjøp ble bøtelagt NOK 20 millioner for ugyldig samtykke i egen kundeklubb, en sak som rammet selskapets egne kunder direkte. Xandr-saken gjelder derimot data som opprinnelig ble samlet inn av en tredjepart, Grindr, og deretter behandlet videre av en annonseplattform. Det gjør Xandr-saken mer prinsipiell, siden den etablerer at også mottakere langt nede i en datakjede har selvstendig ansvar.
Hva bør norske bedrifter gjøre etter denne saken?
Bedrifter som bruker tredjeparts annonseteknologi bør kartlegge hvilke piksler, SDK-er og auksjonssystemer som behandler data fra egne brukere, og dokumentere det rettslige grunnlaget for hver enkelt datadeling. Å stole på at datakilden har innhentet gyldig samtykke er ikke tilstrekkelig for å unngå eget ansvar, slik Xandr-saken viser.
Hva skjedde med den opprinnelige Grindr-boten?
Grindr ble opprinnelig bøtelagt NOK 65 millioner for å ha delt brukerdata med annonsepartnere uten gyldig samtykke. Selskapet anket, men Borgarting lagmannsrett avviste anken etter en behandling i august 2025, og boten ble stående. Xandr var en av partnerne som mottok data i den saken.