Microsoft Xandr Didenda Rp160 Miliar di Norwegia karena Bagikan Data Sensitif Pengguna Grindr Tanpa Izin
Otoritas Perlindungan Data Norwegia (Datatilsynet) menjatuhkan denda sebesar 92 juta kroner Norwegia atau sekitar US$9,6 juta kepada Xandr, perusahaan teknologi periklanan yang kini dimiliki Microsoft, karena memproses dan membagikan data pribadi sensitif pengguna aplikasi kencan Grindr tanpa dasar hukum yang sah.
Keputusan yang diumumkan pada 12 Oktober 2026 tersebut menjadi denda administratif terbesar yang pernah dijatuhkan Datatilsynet. Pelanggaran terjadi selama hampir dua tahun, yakni antara Juli 2018 hingga April 2020, ketika Xandr terlibat dalam sistem lelang iklan digital yang memungkinkan informasi pengguna Grindr dibagikan kepada ribuan perusahaan periklanan.
Data yang diproses mencakup informasi yang dapat mengungkap orientasi seksual pengguna, sehingga termasuk kategori informasi pribadi sensitif yang mendapatkan perlindungan khusus berdasarkan General Data Protection Regulation (GDPR).
Menurut Datatilsynet, ribuan pengguna Grindr di Norwegia berpotensi mengalami penyebaran informasi sensitif tanpa mengetahui bahwa data mereka digunakan dalam ekosistem periklanan digital.
Regulator menilai Xandr gagal memastikan bahwa pengguna telah memberikan persetujuan yang sah sebelum informasi mereka diproses dan dibagikan kepada perusahaan lain.
Xandr Bagikan Data Pengguna Grindr Melalui Sistem Iklan Digital
Kasus ini berawal dari praktik pengolahan data pengguna Grindr untuk mendukung penayangan iklan berbasis profil pengguna.
Grindr merupakan aplikasi kencan berbasis lokasi yang terutama digunakan oleh komunitas LGBTQ+.
Dalam menjalankan layanan periklanannya, Grindr menggunakan teknologi pihak ketiga untuk menghubungkan ruang iklan pada aplikasi dengan perusahaan yang ingin menampilkan promosi kepada pengguna tertentu.
Salah satu perusahaan yang terlibat adalah Xandr, yang pada periode pelanggaran masih beroperasi dengan nama AppNexus.
Xandr menyediakan teknologi periklanan yang memungkinkan pengiklan membeli ruang iklan melalui mekanisme otomatis.
Dalam proses tersebut, informasi mengenai pengguna aplikasi dapat diteruskan kepada sejumlah perusahaan yang tergabung dalam jaringan periklanan.
Menurut hasil investigasi Datatilsynet, Xandr bertindak sebagai perantara yang memungkinkan data pribadi pengguna Grindr disebarkan kepada ribuan entitas dalam ekosistem periklanan.
Proses tersebut berlangsung tanpa adanya dasar hukum yang memadai untuk memproses informasi sensitif.
Otoritas Norwegia menegaskan bahwa perusahaan teknologi periklanan tetap bertanggung jawab atas data pribadi yang mereka proses, meskipun informasi tersebut berasal dari aplikasi atau layanan pihak ketiga.
Sistem Real-Time Bidding Jadi Sorotan Regulator
Pelanggaran yang dilakukan Xandr berkaitan dengan mekanisme real-time bidding (RTB), sebuah teknologi yang banyak digunakan dalam industri periklanan digital.
RTB memungkinkan pengiklan bersaing secara otomatis untuk memperoleh kesempatan menampilkan iklan kepada pengguna tertentu.
Ketika seseorang membuka aplikasi atau website yang menyediakan ruang iklan, sistem dapat mengirimkan informasi mengenai pengguna kepada platform periklanan.
Informasi tersebut dapat mencakup identifikasi perangkat, lokasi, karakteristik pengguna, serta data lain yang digunakan untuk menentukan relevansi iklan.
Platform periklanan kemudian meneruskan permintaan penawaran kepada berbagai pengiklan atau pihak yang mewakili mereka.
Dalam waktu sangat singkat, sistem menentukan iklan yang akan ditampilkan berdasarkan penawaran dan parameter penargetan yang tersedia.
Proses tersebut umumnya berlangsung dalam hitungan milidetik, sehingga pengguna tidak melihat bagaimana data mereka berpindah di antara berbagai perusahaan.
Dalam kasus Grindr, Datatilsynet menemukan bahwa Xandr terlibat dalam mekanisme RTB baik dari sisi pembeli maupun penjual ruang iklan.
Akibatnya, informasi pribadi pengguna dapat diteruskan ke berbagai organisasi periklanan tanpa transparansi yang memadai.
Regulator menilai praktik tersebut bermasalah karena data yang diproses bukan hanya informasi teknis biasa, tetapi juga informasi yang dapat mengungkap aspek sensitif kehidupan pribadi pengguna.
Informasi Orientasi Seksual Mendapat Perlindungan Khusus GDPR
Salah satu aspek terpenting dalam keputusan Datatilsynet adalah sifat data yang dibagikan melalui sistem periklanan Xandr.
Regulator menegaskan bahwa penggunaan aplikasi Grindr dapat menjadi informasi yang mengindikasikan orientasi seksual seseorang.
Dalam GDPR, informasi yang mengungkap orientasi seksual termasuk kategori khusus data pribadi yang membutuhkan perlindungan lebih ketat.
Pengolahan data kategori tersebut pada prinsipnya dilarang, kecuali terdapat kondisi pengecualian yang diatur dalam GDPR.
Salah satu dasar yang dapat digunakan dalam konteks tertentu adalah persetujuan eksplisit dari individu yang datanya diproses.
Persetujuan tersebut harus diberikan secara bebas, spesifik, berdasarkan informasi yang jelas, dan menunjukkan tindakan afirmatif dari pengguna.
Dalam kasus ini, Datatilsynet menyimpulkan bahwa Xandr tidak memiliki dasar hukum yang sah untuk memproses informasi sensitif pengguna Grindr melalui sistem periklanan.
Regulator juga menyoroti risiko ketika informasi sensitif disebarkan kepada banyak perusahaan yang tidak diketahui oleh pemilik data.
Setelah informasi tersebut berpindah melalui berbagai pihak, pengguna dapat mengalami kesulitan mengetahui siapa saja yang menyimpan data mereka dan bagaimana informasi tersebut digunakan.
Data tersebut juga berpotensi dikombinasikan dengan informasi lain untuk membentuk profil yang lebih terperinci mengenai kehidupan seseorang.
Xandr Dianggap Gagal Memverifikasi Persetujuan Pengguna
Dalam proses investigasi, Xandr berpendapat bahwa perusahaan menganggap Grindr telah memperoleh persetujuan yang diperlukan dari para penggunanya.
Namun, Datatilsynet menolak argumentasi tersebut.
Regulator menemukan bahwa Xandr tidak melakukan verifikasi memadai terhadap keabsahan persetujuan yang diklaim telah diperoleh Grindr.
Perusahaan juga tidak mengambil langkah yang diperlukan untuk memastikan pengolahan data yang dilakukannya memiliki dasar hukum sendiri.
Datatilsynet menetapkan bahwa Xandr berstatus sebagai joint controller bersama Grindr dalam aktivitas pengolahan data terkait.
Dalam ketentuan GDPR, joint controller mengacu pada dua atau lebih pihak yang secara bersama-sama menentukan tujuan dan cara pengolahan data pribadi.
Status tersebut berarti setiap pihak memiliki kewajiban hukum dalam memastikan kegiatan pemrosesan data memenuhi persyaratan perlindungan privasi.
Tanggung jawab tersebut tidak dapat dihindari hanya dengan menganggap perusahaan lain telah memenuhi seluruh kewajiban yang berlaku.
Menurut Datatilsynet, perusahaan periklanan harus mampu memastikan dan mendokumentasikan bahwa data pribadi yang mereka gunakan diproses secara sah.
Kegagalan melakukan pemeriksaan terhadap persetujuan pengguna menjadi salah satu dasar utama penjatuhan denda terhadap Xandr.
Denda NOK 92 Juta Jadi yang Terbesar dalam Sejarah Datatilsynet
Datatilsynet menjatuhkan denda administratif sebesar NOK 92 juta, setara sekitar €8,6 juta atau US$9,6 juta.
Nilai tersebut juga setara sekitar Rp160 miliar, bergantung pada nilai tukar yang digunakan.
Direktur Jenderal Datatilsynet, Line Coll, menjelaskan bahwa besarnya denda mencerminkan tingkat keseriusan pelanggaran yang ditemukan.
Menurut regulator, ribuan pengguna di Norwegia telah mengalami pemrosesan dan penyebaran data sensitif tanpa persetujuan yang memenuhi persyaratan hukum.
Datatilsynet mempertimbangkan sejumlah faktor ketika menentukan besarnya sanksi.
Salah satunya adalah durasi pelanggaran yang berlangsung selama hampir dua tahun, dari Juli 2018 sampai April 2020.
Regulator juga memperhitungkan skala aktivitas Xandr sebagai perusahaan besar dalam industri advertising technology atau adtech.
Aspek lain yang menjadi pertimbangan adalah manfaat finansial yang diperoleh perusahaan dari aktivitas pemrosesan dan pembagian data pengguna.
Dalam industri periklanan digital, kemampuan mengolah informasi pengguna menjadi komponen penting untuk meningkatkan nilai penargetan iklan.
Karena itu, Datatilsynet menilai pelanggaran terhadap kewajiban perlindungan data dalam aktivitas bisnis tersebut merupakan masalah serius.
Denda ditetapkan dengan mempertimbangkan pendapatan tahunan Xandr sendiri, bukan pendapatan keseluruhan Microsoft.
Hal ini karena Xandr belum menjadi bagian dari Microsoft ketika pelanggaran berlangsung.
Kasus Berawal dari Pengaduan Organisasi Perlindungan Privasi
Penyelidikan terhadap Xandr bermula dari pengaduan yang diajukan pada Januari 2020 oleh Norwegian Consumer Council atau Forbrukerrådet bersama organisasi perlindungan privasi asal Austria, noyb.
Pengaduan tersebut merupakan bagian dari upaya mengungkap praktik pelacakan dan pembagian data pribadi dalam ekosistem aplikasi mobile.
Pada periode tersebut, Norwegian Consumer Council menerbitkan penelitian yang membahas bagaimana berbagai aplikasi mengirimkan informasi penggunanya kepada perusahaan periklanan.
Penelitian menemukan bahwa sejumlah aplikasi membagikan data mengenai kebiasaan, minat, lokasi, dan aktivitas pengguna melalui identifikasi pelacakan digital.
Informasi tersebut kemudian digunakan untuk membangun profil pengguna yang mendukung penargetan iklan.
Dalam pengaduannya, organisasi perlindungan konsumen menyoroti Grindr serta sejumlah perusahaan teknologi periklanan yang menerima informasi melalui aplikasi tersebut.
Xandr menjadi salah satu pihak yang diperiksa karena keterlibatannya dalam distribusi informasi pengguna melalui sistem RTB.
Setelah melalui proses investigasi dan penilaian hukum, Datatilsynet akhirnya menyimpulkan bahwa pemrosesan data yang dilakukan Xandr melanggar ketentuan GDPR.
Keputusan tersebut diumumkan lebih dari enam tahun setelah pengaduan awal diajukan.
Grindr Sebelumnya Juga Dijatuhi Denda di Norwegia
Kasus Xandr tidak terlepas dari tindakan regulator Norwegia terhadap Grindr sendiri.
Pada 2021, Datatilsynet menjatuhkan denda sebesar NOK 65 juta kepada Grindr karena pelanggaran terkait pembagian data pribadi pengguna kepada perusahaan periklanan.
Regulator ketika itu menilai Grindr membagikan informasi sensitif tanpa memperoleh persetujuan yang sah.
Kasus tersebut kemudian menjadi bagian penting dalam perkembangan penegakan GDPR terhadap praktik advertising technology.
Pengadilan Banding Borgarting di Norwegia juga menegaskan bahwa informasi mengenai penggunaan Grindr dapat mengungkap orientasi seksual seseorang.
Karena itu, data tersebut memerlukan perlindungan khusus berdasarkan ketentuan privasi Eropa.
Keputusan terhadap Xandr memperluas tanggung jawab hukum dari penyedia aplikasi kepada perusahaan periklanan yang menerima dan memproses informasi pengguna.
Dengan demikian, kepatuhan terhadap GDPR tidak hanya menjadi kewajiban pemilik aplikasi, tetapi juga seluruh pihak yang berperan dalam menentukan tujuan dan metode pengolahan data.
noyb Sambut Keputusan sebagai Langkah Penting bagi Privasi Digital
Organisasi perlindungan privasi noyb menyambut keputusan Datatilsynet sebagai perkembangan penting dalam penegakan aturan perlindungan data.
Organisasi tersebut menilai perusahaan adtech selama ini sering beroperasi di balik layanan digital yang digunakan masyarakat tanpa diketahui secara langsung oleh pengguna.
Dalam banyak kasus, pengguna hanya berinteraksi dengan aplikasi atau website, sementara informasi mereka dapat diproses oleh berbagai perusahaan lain yang tidak terlihat.
Menurut noyb, keputusan terhadap Xandr menunjukkan bahwa perusahaan periklanan dapat dimintai pertanggungjawaban ketika memproses data pribadi tanpa dasar hukum yang sah.
Organisasi tersebut juga menyoroti penggunaan teknologi pelacakan untuk membangun profil berdasarkan minat, kebiasaan, lokasi, dan perilaku pengguna.
Informasi seperti itu memiliki nilai ekonomi tinggi karena memungkinkan pengiklan menargetkan kelompok pengguna tertentu.
Namun, kegiatan profiling tersebut tetap harus mengikuti ketentuan perlindungan data yang berlaku.
noyb menilai mekanisme persetujuan dalam industri periklanan digital sering kali tidak cukup transparan untuk memastikan pengguna benar-benar memahami bagaimana informasi mereka digunakan.
Keputusan Datatilsynet dipandang sebagai salah satu bentuk penegakan hukum terhadap praktik pembagian data yang tidak memenuhi persyaratan privasi.
Microsoft Tegaskan Pelanggaran Terjadi Sebelum Akuisisi Xandr
Xandr kini merupakan bagian dari bisnis periklanan Microsoft setelah perusahaan teknologi tersebut mengakuisisi Xandr dari AT&T.
Akuisisi diumumkan pada Desember 2021 dan diselesaikan pada Juni 2022.
Setelah bergabung dengan Microsoft, teknologi Xandr diintegrasikan ke dalam ekosistem Microsoft Advertising.
Namun, pelanggaran yang menjadi dasar denda di Norwegia terjadi antara Juli 2018 dan April 2020.
Dengan demikian, aktivitas yang dipermasalahkan berlangsung sebelum Microsoft mengambil alih perusahaan tersebut.
Menanggapi keputusan regulator, juru bicara Microsoft menegaskan bahwa investigasi dan hasilnya berfokus pada aktivitas yang terjadi sebelum akuisisi Xandr.
Microsoft juga menyampaikan bahwa kerangka hukum serta cara peraturan privasi ditafsirkan dan ditegakkan telah berkembang sejak periode tersebut.
Perusahaan saat ini sedang meninjau keputusan Datatilsynet dan mempertimbangkan langkah yang tersedia.
Xandr diberikan waktu tiga minggu sejak menerima keputusan untuk mengajukan banding.
Hingga pengumuman tersebut, belum ada kepastian apakah perusahaan akan menggunakan hak bandingnya.
Industri Adtech Menghadapi Pengawasan Lebih Ketat
Keputusan terhadap Xandr menambah tekanan regulasi terhadap industri periklanan digital yang bergantung pada pemrosesan data pengguna.
Dalam beberapa tahun terakhir, regulator privasi Eropa semakin menyoroti praktik pelacakan lintas aplikasi, profiling, dan penggunaan identifikasi perangkat untuk kebutuhan iklan.
Sistem real-time bidding menjadi salah satu area yang mendapatkan perhatian karena melibatkan pertukaran data dalam skala besar antara berbagai pihak.
Meskipun teknologi tersebut memungkinkan penyajian iklan yang lebih relevan, proses pembagian informasi harus memenuhi persyaratan transparansi dan persetujuan yang berlaku.
Dalam kasus data sensitif, kewajiban hukum menjadi semakin ketat.
Perusahaan tidak dapat mengandalkan asumsi bahwa pengguna telah memberikan persetujuan hanya karena mereka menggunakan aplikasi tertentu.
Penyedia teknologi periklanan juga perlu memahami jenis informasi yang diterima, tujuan pemrosesannya, serta dasar hukum yang digunakan untuk mengolah data tersebut.
Selain itu, perusahaan harus memastikan bahwa kontrak dengan mitra bisnis tidak digunakan sebagai pengganti kewajiban hukum dalam melindungi informasi pribadi.
Bagi regulator, keputusan Xandr menunjukkan pentingnya penerapan tanggung jawab pada seluruh pihak yang terlibat dalam rantai pemrosesan data.
Kasus Xandr Jadi Peringatan bagi Perusahaan Pengelola Data Pengguna
Denda sebesar NOK 92 juta terhadap Xandr menegaskan bahwa perusahaan teknologi periklanan dapat menghadapi konsekuensi hukum serius apabila gagal memastikan pemrosesan informasi pengguna dilakukan secara sah.
Kasus ini juga memperlihatkan bahwa praktik pembagian data yang berlangsung bertahun-tahun sebelumnya masih dapat menjadi objek investigasi dan penegakan hukum.
Bagi perusahaan pengembang aplikasi dan penyedia layanan digital, keputusan tersebut menyoroti pentingnya mekanisme persetujuan pengguna yang jelas, transparan, dan dapat diverifikasi.
Sementara itu, bagi perusahaan adtech, kepatuhan terhadap GDPR harus mencakup pemeriksaan terhadap jenis data yang diperoleh dari mitra serta dasar hukum pemrosesan yang digunakan.
Informasi sensitif seperti orientasi seksual memerlukan perlindungan lebih tinggi karena penyebarannya tanpa izin dapat menimbulkan risiko privasi yang serius.
Hingga 13 Oktober 2026, Xandr masih memiliki kesempatan untuk mengajukan banding atas keputusan Datatilsynet.
Namun, keputusan regulator Norwegia telah menjadi salah satu contoh penting dalam penegakan aturan perlindungan data terhadap industri periklanan digital.
Kasus ini sekaligus memperlihatkan bahwa tanggung jawab menjaga privasi pengguna tidak berhenti pada aplikasi yang mengumpulkan informasi, tetapi juga berlaku terhadap perusahaan lain yang memanfaatkan data tersebut untuk kepentingan komersial.
Sumber: Norwegian Data Protection Authority (Datatilsynet), noyb, Norwegian Consumer Council
