Noyb: Microsofts adplatform Xandr overtreedt AVG met weigering dataverzoeken

De Oostenrijkse privacystichting noyb heeft een AVG-klacht ingediend tegen advertentieverkoopplatform Xandr, een dochterbedrijf van Microsoft. Volgens de stichting weigerde het bedrijf in 2022 ten onrechte alle verzoeken van individuele Europeanen om inzage.

Volgens de privacystichting weigerde het advertentieplatform in 2022 alle individuele verzoeken van Europeanen om inzage in hun gegevens. Dat waren er net geen 1300, blijkt ook uit een eigen rapportpagina van Xandr. Naar eigen zeggen wist het advertentieplatform gemiddeld binnen twee werkdagen te reageren op dergelijke verzoeken van Europeanen. Het bedrijf kreeg in dezelfde periode ook 660 verzoeken tot verwijdering van gegevens van Europeanen. Opnieuw werden alle verzoeken gemiddeld binnen twee werkdagen afgewezen.

Volgens Xandr worden inzage- en verwijderverzoeken geweigerd als het bedrijf niet kan vaststellen wie de aanvrager daarvan is. Hiervoor beroept het bedrijf zich op de manier waarop persoonseigenschappen worden opgeslagen, namelijk onder 'pseudoniemen', waardoor de identiteit van een aanvrager kennelijk in heel 2022 niet gekoppeld kon worden aan de profielen in het systeem.

Bedrijven moeten in de Europese Unie onder de Algemene Verordening Gegevensbescherming op verzoek van Europeanen inzage geven in de gegevens die van hen zijn verzameld en opgeslagen. Burgers in de EU moeten daarnaast kunnen verzoeken om verzamelde gegevens te verwijderen. Volgens noyb handelt Xandr in strijd met de AVG. Daarom heeft de stichting namens een burger uit Italië een klacht ingediend bij de Italiaanse privacytoezichthouder GPDP. De stichting eist een administratieve boete voor Xandr ter hoogte van vier procent van de jaaromzet van het bedrijf.

Naast het weigeren van alle dataverzoeken zou Xandr de AVG overtreden door zeer tegenstrijdige informatie over Europeanen op te slaan en deze gegevens te gebruiken om gerichte advertenties aan bedrijven te verkopen. Onder de AVG moet opgeslagen informatie 'accuraat' zijn volgens noyb, dat schrijft: "Xandr lijkt een aanfluiting te maken van het concept gericht adverteren." Het advertentieplatform zou de persoon die centraal staat in de aanklacht, beschrijven als zowel mannelijk als vrouwelijk, zowel werkloos als werkend en met uiteenlopende salarissen, en categoriseren in zes verschillende leeftijdscategorieën. Dit baseert de stichting op gegevens die ze opvroeg bij databroker emetriq, die gegevens doorverkoopt aan Xandr.

Xandr is een advertentieverkoopplatform dat geautomatiseerd advertentieslots verkoopt aan bedrijven die gerichte advertenties willen plaatsen. Daarvoor verzamelt het bedrijf eigenschappen van individuele gebruikers, waaronder volgens noyb geslacht, gezondheid, seksuele geaardheid, meningen over politiek en levensbeschouwing, religie en financiële status. Onder meer DPG Media en sinds kort Tweakers gebruiken Xandr in combinatie met eigen tooling van DPG Media.

Reacties (25)

[Mosterd]

Hebben wij een Nederlandse tegenhanger van Noyb?

[ronaldvr]

Bedoel je https://noyb.eu/nl ? Maar alle gekheid op een stokje, NOYB is het europees brede vehikel van Max Schrems degene die tot nu toe ik meen al 3x van de Europese Commissie heeft gewonnen in rechtszaken voor het EU hof...
Dus specifiek Nederlands is niet per se nodig denk ik.

[TheVivaldi]

Dus Bits of Freedom is geen Nederlandse tegenhanger, ondanks dat veel mensen vinden van wel?

[sworpie]

Dat zegt Ronald toch niet? Enkel dat Noyb internationaal opereert.

[TheVivaldi]

Hij zegt dat er geen specifieke Nederlandse organisatie nodig is.

[bigbadbull]

hij bedoelt dat je je niet hoeft te beperken tot een Nederlandse organisatie maar ook gebruik kan/mag maken van ander internationale organisaties.

of dat dan ook in het Nederlands kan is een andere zaak.

[Tijder]

Bits of Freedom lijkt me de tegenhanger.

[wildhagen]

Jazeker, zie Wikipedia: Bits of Freedom

Die houden zich ook met dit soort zaken bezig en behartigen de belangen van burgers op gebied van privacy.

Internationaal heb je dan ook nog Wikipedia: Electronic Frontier Foundation die op dit gebied actief is.

[Reactie gewijzigd door wildhagen op 22 juli 2024 13:37]

[tw-backdoorbug]

Stomme vraag:

Als dit niet mag, waarom Google Ads Platform wel? Of werkt deze op een zodanig andere manier (inclusief het respecteren van verwijderverzoeken) dat dit wél door de beugel kan?

Als er dan gehandhaaft wordt, dan moet dat dan toch everredig gebeuren bij elke partij in het speelveld?

[raro007]

denk je dat ze het op microsoft gemunt hebben en een google fanboy zijn?
nee bij google kan je al jaren gegevens opvragen en verwijderen.
Is het niet juist dat google als eerst aan de beurt was met klachten en andere jaren mee weg konden komen?

[JustFogMaxi]

Je eigen data ja, fotos videos etc, niet jou profiel hoe Google jou ziet.

[JBVisual]

Je kan bij Google dit gewoon opvragen.
Wel zal je eventueel moeten accepteren dat het verwijderen van alle gegevens ook inhoud dat je geen gebruik kan maken van Google services. Bij de algemene voorwaarden staat namelijk gewoon dat Google gekoppelde gegevens mag gebruiken voor doelgerichte advertenties.
Je dient dan dus te accepteren dat je Gmail, docs, YouTube etc… niet mee via een persoonlijk account te benaderen is. Dit is dan weer voor veel mensen een stap te ver.

Mocht je geen eigen Google account hebben, dan kan je je tracking-id opvragen en laten verwijderen. Het kost alleen iets meer moeite.

[theduke1989]

Dat is niet waar.

Wij proberen al langere tijd een link (cached) te laten verwijderen op google.

Maar omdat het niet aan naam verbonden is doen ze er niks aan. Maar iedereen op het internet kan ons huis van binnen zien.

"Thanks for reaching out to us.

Consistent with European data protection law, when we approve a removal request, we remove URLs from our search results for queries related to the name supplied in the request. Please note we do not remove for certain types of queries, including: - queries that are not for your specific name - queries for the name of a corporation. At this time, we will not remove for the query you have listed in your complaint."

Iedereen kan een moord plannen..
Je zoekt op het adres waar we wonen en dat is de eerste hit.

Dus zoveel doen ze ook niet. En wil dit ook tegengaan.

[edwinjm]

Dan moet je zijn bij degene die die informatie online zet.

[theduke1989]

Link (bedrijf) bestaat niet meer. Dat domein is gecached. En dat weigert google te verwijderen.

[edwinjm]

Ah, ik begrijp het, je hebt gelijk.

Heb je dit al geprobeerd?

Refresh Outdated Content tool

[watercoolertje]

Stomme vraag

Helemaal mee eens

waarom Google Ads Platform wel?

Mogen ze dat dan? Waar lees je dat?

Of werkt deze op een zodanig andere manier (inclusief het respecteren van verwijderverzoeken) dat dit wél door de beugel kan?

Blijkbaar, anders stond er niet (alleen) MS maar (ook) Google in het artikel...

[Verwijderd]

Beetje raar commentaar; het staat je natuurlijk vrij om ook een aanklacht in te dienen indien je de zelfde (vermeende) overtredingen ziet bij google.

[david-v]

Klinkt als een kip en ei probleem. Een individue kan niet getraceerd worden omdat die data niet opgeslagen wordt, maar de EU eist wel dat die koppeling er moet komen omdat gebruikers dat moeten kunnen opvragen.

[willieverhoef]

inderdaad eigenlijk dus iets goed gedaan, de gegevens zijn geanonimiseerd, je dan kun je ze niet meer vinden om te wissen, maar het is wel jouw set aan data. Jij was die Man, 40-50 jaar, Groene ogen, en een stropdas. maar ja. Ik vind dit wel een lastige.

[david-v]

Ergens is er wel een koppeling, een "pseudoniem" die in een cookie oid lokaal opgeslagen is en dan ook gebruikt wordt om je de advertenties van man, 40-50 jaar, groene ogen en stropdas te sturen. Maar blijkbaar is dat niet aan een persoon gebonden maar een een pseudoniem. Tja, lastig zoeken zo. Maar werken de meeste ad bedrijven niet al op deze manier? bijvoorbeeld mijn LG TV heeft een Ad Id die ik kan resetten. Dat wekt de indruk dat er geen koppeling is tussen mijn LG account en ad id maar tussen toestel en ad id.

Hiervoor beroept het bedrijf zich op de manier waarop persoonseigenschappen worden opgeslagen, namelijk onder 'pseudoniemen', waardoor de identiteit van een aanvrager kennelijk in heel 2022 niet gekoppeld kon worden aan de profielen in het systeem.

[dasiro]

In nederland geloof ik is/was er ook een bulletproof hostingbedrijf dat een soortgelijke manier van werken heeft maar dan nog wat verder gaat: alles realtime en geen logs

[n4m3l355]

Google has bought up and connected almost half of the intermediaries, further reducing advertiser and publisher control and insight. It's embarrassing, so we are taking a step back in our cooperation with Google. Our new partner for ad tech, Xandr, works transparently and is careful with data.

DPG linkje

Leuke quote van de DPG website zeker gezien dit nieuws. Tegelijkertijd mag je wederom afvragen hoeveel informatie DPG verzameld van ons via hun eigen websites maar dan ook nog eens verder aanvult met Xandr. Xandr verzameld data via cookies, maar ook net zoals Facebook via pixels, device identifiers en "First-Party-Data". Dat laatste highlight Xandr zelf dat dit gebeurd via data van hun partners, met andere woorden, verleend DPG nou toch data aan derde? En mag dat zomaar?

[Reactie gewijzigd door n4m3l355 op 22 juli 2024 13:37]

[Thc_Nbl]

precies de reden waarom ik alles ad-servers blokkeer en dus geen reclame zie. Brave met ublock werkt erg goed.