Dne 2. října 2026 vydal norský dozorový úřad pro ochranu osobních údajů (Datatilsynet) konečné rozhodnutí, kterým uložil reklamní technologické společnosti Xandr Inc. správní pokutu ve výši 8 600 000 EUR (přibližně 92 milionů NOK) za protiprávní zpracování osobních údajů (porušená ustanovení čl. 6 odst. 1 a čl. 9 odst. 1 GDPR). Případ se týká dražeb reklamního prostoru v reálném čase (real-time bidding) v seznamovací aplikaci Grindr. Z hlediska práva je klíčový především závěr, že odpovědnost správce za doložení vlastního právního základu zpracování nelze přenést na jiného účastníka řetězce, a to zejména tehdy, jde-li o údaje vypovídající o sexuální orientaci.
Jak případ vznikl
Řízení bylo zahájeno v roce 2020 na základě stížnosti, kterou u norského dozorového úřadu podala Norská rada spotřebitelů (Norwegian Consumer Council) proti reklamní technologické společnosti Xandr, tehdy působící pod názvem AppNexus. Stížnost se týkala real-time biddingu v aplikaci Grindr, což je geolokační seznamovací aplikace určená gayům, bisexuálům, transgender a queer osobám.
Při real-time biddingu je reklamní plocha v aplikaci dražena během zlomků sekundy a účastníkům dražby jsou předávány informace o uživateli, aby se mohli rozhodnout, zda a kolik nabídnout. Právě v tomto okamžiku opouštějí osobní údaje aplikaci a vstupují do složitého řetězce zprostředkovatelů.
Osobní údaje a zvláštní kategorie údajů
Norský úřad shledal za prokázané, s jasnou převahou pravděpodobnosti, že Xandr při real-time biddingu zpracovával nejméně tyto informace o uživatelích aplikace Grindr:
skutečnost, že daná osoba aplikaci Grindr používá,
reklamní identifikátor (advertising ID) a
IP adresu.
Tyto informace představují osobní údaje ve smyslu čl. 4 bodu 1 GDPR. Vzhledem k povaze aplikace je však úřad posoudil zároveň jako údaje týkající se sexuální orientace podle čl. 9 odst. 1 GDPR, tedy jako zvláštní kategorii osobních údajů, na kterou se vztahuje zásadní zákaz zpracování a jejíž zpracování je možné jen na základě některé z výjimek uvedených v čl. 9 odst. 2.
Xandr jako společný správce
Úřad dospěl k závěru, že Xandr je společným správcem tohoto zpracování, a to jak v roli platformy na straně nabídky (supply-side platform), tak v roli platformy na straně poptávky (demand-side platform). Xandr se tedy nemohl odvolávat na postavení pouhého technického zprostředkovatele: nesl spoluodpovědnost za zpracování, a tím i za jeho zákonnost.
Neplatný souhlas a nepřenositelná odpovědnost
Protože šlo o zvláštní kategorii osobních údajů, relevantním právním základem (výjimkou ze zákazu zpracování) byl výslovný souhlas podle čl. 9 odst. 2 písm. a) GDPR. Xandr žádný souhlas sám neshromažďoval a spoléhal na souhlas získaný společností Grindr.
Norský úřad shledal tento souhlas neplatným z hlediska definice souhlasu v čl. 4 bodu 11 a podmínek jeho udělení podle čl. 7 GDPR. Současně zdůraznil, že odpovědnost nelze outsourcovat: každý ze společných správců musí sám ověřit, že souhlas je platný a že pokrývá i jeho vlastní zpracování.
Nedbalost, závažnost a pokuta
Úřad konstatoval, že k porušení došlo přinejmenším z nedbalosti. Vzhledem k tomu, že se porušení týkala některých ze stěžejních ustanovení GDPR, včetně zpracování citlivých údajů, posoudil je jako porušení vysoké závažnosti.
Pokuta byla uložena za zpracování osobních údajů uživatelů aplikace Grindr v Norsku bez právního základu v rozporu s čl. 6 odst. 1 GDPR a za zpracování zvláštní kategorie osobních údajů týkajících se sexuální orientace bez platné výjimky v rozporu s čl. 9 odst. 1 GDPR.
Co z rozhodnutí plyne pro praxi
Jde o rozhodnutí vnitrostátního dozorového úřadu, které nezavazuje české úřady. Ukazuje však, jak lze vykládat ustanovení GDPR, jež jsou v celé EU stejná, a je relevantní pro každého, kdo se účastní digitální reklamy.
Souhlas partnera není automaticky vaším souhlasem. Smluvní ujištění, že „vydavatel shromažďuje platný souhlas“, nestačí. Jste-li (společným) správcem, musíte být schopni ověřit, že souhlas je platný a pokrývá vaše zpracování.
Správně určete svou roli v řetězci. Platformy na straně nabídky i poptávky, vydavatelé a další účastníci by měli posoudit, zda jednají jako správci, společní správci, nebo zpracovatelé, a své závěry zdokumentovat.
Kontext rozhoduje o citlivosti údajů. Reklamní ID nebo IP adresa mohou samy o sobě působit neutrálně. V kombinaci s informací, že osoba používá určitou aplikaci, však mohou odhalovat zvláštní kategorii údajů.
Uchovávejte důkazy o provedených kontrolách. Odpovědnost znamená umět prokázat, co, kdy a jak jste ověřili, nikoli pouze to, že jste si od partnera vyžádali záruku.
Přezkoumejte toky dat v real-time biddingu v citlivých kontextech. Pokud nabídkové požadavky mohou odhalovat zdraví, sexuální orientaci, náboženské vyznání či obdobné informace, je nutné splnit požadavek skutečně platného výslovného souhlasu podle čl. 9.
Závěr
Rozhodnutí ve věci Xandr ukazuje, že složitost reklamního ekosystému není omluvou. Putují-li osobní údaje řetězcem mnoha subjektů, každý správce si zachovává vlastní povinnost zajistit platný právní základ pro to, co s údaji dělá. Pro společnosti v oblasti ad tech i mimo ni se spoléhání na cizí souhlas bez samostatného ověření stává jasně identifikovaným a nákladným rizikem.
Článek vychází ze zprávy EDPB ze dne 16. října 2026
