Felles behandlingsansvar: kan virksomheten stole på samtykket partneren har innhentet?

Datatilsynet ila 2. oktober 2026 det amerikanske annonseteknologiselskapet Xandr Inc. (tidligere AppNexus, nå en del av Microsoft) et overtredelsesgebyr på 92 mill. kroner (ref. 20/03541-37). Vedtaket ble offentliggjort 12. oktober 2026, og tilsynet omtaler gebyret som det høyeste det noen gang har ilagt. Xandr behandlet opplysninger om norske Grindr-brukere i sanntidsauksjoner av annonseplass uten gyldig behandlingsgrunnlag, i strid med GDPR art. 6 nr. 1 og forbudet mot behandling av særlige kategorier i GDPR art. 9 nr. 1. Saken reiser et spørsmål som gjelder langt utenfor annonsebransjen, nemlig om en virksomhet som mottar personopplysninger fra en partner, kan bygge på samtykket partneren har innhentet. Nedenfor behandles hvordan felles behandlingsansvar oppstår, hva ansvarlighetsprinsippet krever av mottakeren, hvorfor kontraktsklausuler ikke var nok, og hva en datadelingsavtale bør regulere.

Hva gjaldt Xandr-saken?

Saken gjaldt Xandrs behandling av personopplysninger om Grindr-brukere i Norge i perioden 20. juli 2018 til 7. april 2020. Forbrukerrådet klaget i januar 2020 på vegne av en norsk bruker, etter at en teknisk undersøkelse hadde vist hvilke opplysninger Grindr-appen sendte til annonsepartnere. Datatilsynet fant det bevist med klar sannsynlighetsovervekt at Xandr behandlet i alle fall tre opplysninger, nemlig at personen brukte Grindr, personens annonse-ID og IP-adressen. Annonse-ID og IP-adresse er nettidentifikatorer som gjør personen identifiserbar etter GDPR art. 4 nr. 1.

Xandr hadde to roller i sanntidsauksjonene om annonseplassen i Grindr-appen. Som tilbudsplattform (SSP) hjalp selskapet Grindr med å selge annonseplass i appen, og som etterspørselsplattform (DSP) la selskapet inn bud på vegne av annonsører. Plattformen delte budforespørsler med et stort antall mottakere, og Xandrs liste over tredjepartsleverandører omfattet ifølge vedtaket over 4000 selskaper. Grindr ble selv ilagt et gebyr på 65 mill. kroner i vedtak 13. desember 2021, og vedtaket er senere opprettholdt av Personvernnemnda, Oslo tingrett og Borgarting lagmannsrett (dom 21. oktober 2025). Reglene om behandlingsgrunnlag og samtykke er samlet på pilarsiden om personvern.

Når oppstår felles behandlingsansvar?

Felles behandlingsansvar foreligger når to eller flere virksomheter sammen fastsetter formålene med og midlene for behandlingen, jf. GDPR art. 26 nr. 1. Samarbeidet kan bygge på en felles beslutning eller på beslutninger som utfyller hverandre og hver for seg har konkret betydning for formål og midler. Det sistnevnte følger av EU-domstolens dom 7. mars 2024 i C-604/22 IAB Europe (premiss 59). Domstolen presiserte samtidig at felles ansvar ikke innebærer likt ansvar, og at en felles behandlingsansvarlig ikke trenger å ha tilgang til opplysningene (premiss 58).

Xandr anførte at selskapet bare var databehandler for Grindr når det opptrådte som tilbudsplattform, og viste til en avtale som var bygget på denne rollefordelingen. Datatilsynet la til grunn at rollene er funksjonelle og ikke kan avtales bort, med henvisning til EDPB-retningslinjer 07/2020 avsnitt 12. Xandr utformet plattformen, bestemte standardinnstillingene og mottakerkretsen når Grindr ikke selv justerte dem, og brukte opplysningene til egne formål som frekvensbegrensning, svindelavdekking og forbedring av plattformen. Tilsynet viste også til EDPBs uttalelse om at den som bruker et verktøy en annen har utviklet, for egne formål, normalt treffer en felles beslutning om midlene (avsnitt 65–67). Konklusjonen var at Xandr var felles behandlingsansvarlig med Grindr i begge roller.

Vurderingen har praktisk betydning for leverandører av plattformer, SDK-er og dataformidling. En leverandør som definerer datafelt, standardoppsett og mottakere, og som selv har nytte av opplysningene, må regne med at tilsynet ser bort fra en avtale som beskriver leverandøren som databehandler. Hvordan databehandlerrollen bør avgrenses i avtaleverket, er omtalt i artikkelen om databehandleravtale ved kjøp av SaaS.

Kan en felles behandlingsansvarlig bygge på partnerens samtykke?

En felles behandlingsansvarlig kan avtale at partneren innhenter samtykket, men begge er ansvarlige for at samtykket er gyldig og dekker deres egen behandling. Datatilsynet bygde dette på ansvarlighetsprinsippet i GDPR art. 5 nr. 2 og plikten til å treffe og kunne påvise egnede tiltak i GDPR art. 24. Etter GDPR art. 7 nr. 1 må den som bygger på samtykke, kunne dokumentere at den registrerte har samtykket. Grindrs samtykker oppfylte ikke kravene i GDPR art. 4 nr. 11 og GDPR art. 7, og Xandr hadde ikke truffet noen tiltak for å kontrollere dem.

«Hovedbudskapet vårt er at ansvaret for personvern ikke kan settes bort til andre.» (Datatilsynets direktør Line Coll, 12. oktober 2026)

Tilsynet la vekt på at Xandr sto lenger ned i kjeden og ikke hadde kontakt med de registrerte. Etter tilsynets syn ga dette mer grunn til å kontrollere lovligheten, ikke mindre. Xandrs anførsel om at det ikke var praktisk mulig å kontrollere kundens behandlingsgrunnlag, førte ikke fram, og tilsynet fant at overtredelsen var i alle fall uaktsom. Tilsynet viste også til at det på behandlingstidspunktet forelå veiledning fra Artikkel 29-gruppen om samtykkekravene, som ville ha gjort Xandr i stand til å se at Grindrs løsning ikke holdt.

Kravene til gyldig samtykke er de samme uansett hvem som innhenter det. Generaladvokatens forslag i Canal+-saken om samtykke på vegne av uidentifiserte «partnere» er omtalt i artikkelen om samtykke til markedsføring, og forholdet til informasjonskapsler i artikkelen om informasjonskapsler og samtykke.

Når avslører opplysningene særlige kategorier?

Opplysninger er særlige kategorier etter GDPR art. 9 nr. 1 også når de bare indirekte avslører for eksempel seksuell orientering eller helse. EU-domstolen har lagt til grunn en vid tolkning i C-184/20 OT og C-21/23 Lindenapotheke, og det er uten betydning om slutningen er riktig. At en identifiserbar person bruker Grindr, er derfor en opplysning om seksuell orientering. Det eneste aktuelle unntaket var uttrykkelig samtykke etter GDPR art. 9 nr. 2 bokstav a, og da var samtykke også det eneste aktuelle grunnlaget etter art. 6.

Xandr anførte at det var uklart før disse dommene at bruk av en app kunne være en sensitiv opplysning. Datatilsynet avviste anførselen og viste til at EU-domstolens tolkning virker tilbake i tid. For virksomheter som mottar data fra apper eller nettsteder, betyr dette at konteksten må vurderes. App-ID, nettstedsadresse eller produktkategori kan gjøre en ellers nøytral identifikator til en sensitiv opplysning. Det samme gjelder posisjonsdata som viser besøk ved klinikker eller trossamfunn, se artikkelen om lokasjonsdata.

Hvorfor fritok ikke kontraktsforbudet Xandr?

Xandrs standardavtale forbød Grindr å dele særlige kategorier av personopplysninger. Datatilsynet fant at et slikt kontraktsforbud mellom behandlingsansvarlige ikke fritar mottakeren når sensitive opplysninger faktisk blir behandlet. Tilsynet viste til at det etter EU-domstolens praksis er uten betydning om den behandlingsansvarlige har hatt til hensikt å behandle sensitive opplysninger. Klausulen slo dessuten tilbake på Xandr, fordi den viste at selskapet påvirket hvilke opplysningskategorier som ble delt, og dermed hadde innflytelse på de vesentlige midlene for behandlingen.

Tilsynet behandlet avtalen om de registrertes rettigheter på samme måte. Avtalen forutsatte at Grindr var behandlingsansvarlig og Xandr databehandler, mens Grindr på sin side mente at det ikke forelå et slikt forhold. Når ingen av partene påtok seg rollen som behandlingsansvarlig, kunne de registrerte i praksis ikke utøve rettighetene sine overfor noen av dem. Etter GDPR art. 26 nr. 3 kan den registrerte uansett gjøre rettighetene gjeldende overfor hver av de behandlingsansvarlige.

Hva betyr bevissletting og ettstedsmekanismen?

Xandr slettet dokumentasjon i perioden 16. juli 2020 til 6. februar 2023, selv om selskapet hadde kjent til undersøkelsen siden 21. februar 2020. Datatilsynet la til grunn at slettingen ikke kunne komme selskapet til gode, fordi bevisbyrden for etterlevelse etter GDPR art. 5 nr. 2 ligger hos den behandlingsansvarlige. Tilsynet anså det derfor som mer sannsynlig enn ikke at opplysningene ble behandlet slik det var vanlig i bransjen, og avviste at den lange saksbehandlingstiden hadde svekket Xandrs mulighet til å forsvare seg. Virksomheter som mottar en henvendelse fra et tilsyn, bør følgelig stanse ordinær sletting av relevant dokumentasjon.

Ettstedsmekanismen i GDPR art. 56 kom ikke til anvendelse, fordi Xandr ikke hadde noen hovedvirksomhet i EØS i behandlingsperioden. Selskapets europeiske kontorer var salgskontorer uten myndighet over formål og midler, og Microsofts senere oppkjøp endret ikke dette. Datatilsynet var dermed kompetent etter GDPR art. 55 nr. 1 for så vidt gjaldt brukere i Norge. Et selskap utenfor EØS uten hovedvirksomhet her kan følgelig møte tilsyn fra flere nasjonale tilsynsmyndigheter for samme behandling.

Hvordan ble gebyret beregnet?

Gebyret er beregnet ut fra Xandrs egen omsetning og ikke Microsofts, fordi Microsoft ikke eide Xandr i behandlingsperioden. Datatilsynet støttet seg her på EU-domstolens konkurranserettslige praksis i C-408/12 P YKK. Fire prosent av Xandrs omsetning var lavere enn 20 mill. euro, slik at maksimum etter GDPR art. 83 nr. 5 var 20 mill. euro. EDPB har i sin omtale av vedtaket oppgitt gebyret til 8,6 mill. euro.

Skjerpende vekt fikk overtredelsens art og varighet, mangelen på tiltak, opplysningenes sensitive karakter og den økonomiske fordelen Xandr hadde av behandlingen. Den lange saksbehandlingstiden og Xandrs frivillige deltakelse i et møte med tilsynet ble regnet som formildende. Vedtaket kan påklages innen tre uker fra mottak. Opprettholder Datatilsynet vedtaket, sendes saken til Personvernnemnda etter personopplysningsloven § 22. Det var ikke kjent per 16. oktober 2026 om Xandr har klaget.

Er annonsøren felles behandlingsansvarlig ved målrettet annonsering?

En annonsør som velger målgruppekriterier på en annonseplattform, vil normalt være felles behandlingsansvarlig med plattformen for den behandlingen målrettingen forutsetter, jf. GDPR art. 26 nr. 1. EU-domstolen la i C-210/16 Wirtschaftsakademie til grunn at administratoren av en Facebook-side deltar i fastsettelsen av formål og midler gjennom de parametrene administratoren definerer, blant annet ut fra målgruppen. Domstolen la samtidig vekt på at bruk av en plattform på leverandørens vilkår ikke fritar brukeren for egne plikter. I C-40/17 Fashion ID presiserte domstolen at det felles ansvaret er avgrenset til de behandlingsoperasjonene partene faktisk bestemmer sammen, og at det ikke omfatter plattformens senere behandling for egne formål.

Berlins datatilsyn (Berliner Beauftragte für Datenschutz und Informationsfreiheit) har anvendt disse prinsippene på politiske partiers annonser på Facebook ved forbundsdagsvalget i Tyskland i 2021. I årsberetningen for 2024 (kapittel XIII.3) la tilsynet til grunn at Meta og det annonserende partiet fastsatte formål og midler i fellesskap, og at de derfor skulle ha inngått en åpen avtale etter art. 26 og gjort den tilgjengelig for de registrerte. Målretting etter antatt politisk oppfatning innebar behandling av særlige kategorier etter GDPR art. 9 nr. 1. Tilsynet fant verken uttrykkelig samtykke eller vesentlig allmenn interesse som kunne gi unntak, og viste til at målrettet politisk reklame snarere motvirker allmennhetens interesse i frie valg.

Ifølge tyske nyhetsmedier og personvernorganisasjonen noyb, som klaget i saken, har tilsynet nå avsluttet sakene mot CDU, SPD, Bündnis 90/Die Grünen og Die Linke ved vedtak datert 24. september 2026. Partiene skal ha fått irettesettelser, men ikke overtredelsesgebyr, og saken mot AfD er fortsatt åpen. Tilsynet hadde per 21. oktober 2026 ikke publisert egen melding om vedtakene, og opplysningene om vedtaksdato og reaksjonsform bygger derfor på sekundærkilder.

Xandr-vedtaket og Berlin-sakene viser det samme ansvarsmønsteret fra hver sin side av annonsekjeden. Annonsørens valg av målgruppekriterier er en beslutning om behandlingen som annonsøren selv må ha grunnlag for og kunne dokumentere etter GDPR art. 5 nr. 2. Kriterier som direkte eller indirekte avslører politisk oppfatning, helse, religion eller seksuell orientering, krever uttrykkelig samtykke etter GDPR art. 9 nr. 2 bokstav a, og et slikt samtykke vil annonsøren sjelden kunne påvise når det er plattformen som har kontakten med brukeren. Annonsøren bør derfor unngå slike kriterier og kontrollere at plattformens vilkår inneholder en avtale etter art. 26 som dekker annonsørens del av behandlingen. Datatilsynet gjentok i en artikkel om sanntidsauksjoner 16. oktober 2026 at tilsynet lenge har tatt til orde for et fullt forbud mot adferdsbasert markedsføring.

Hva bør en datadelingsavtale ved felles behandlingsansvar inneholde?

En avtale etter GDPR art. 26 skal på en åpen måte fastsette hvem som gjør hva, og hovedinnholdet skal gjøres tilgjengelig for de registrerte. Etter vår vurdering bør avtalen i tillegg gi mottakeren et reelt grunnlag for å kontrollere at behandlingen er lovlig, fordi Xandr-vedtaket viser at en ren henvisning til partnerens forpliktelser ikke er et tilstrekkelig tiltak etter art. 24. Avtalen bør derfor regulere minst følgende forhold mellom partene.

1. Beskriv rollene per behandlingsaktivitet ut fra faktisk påvirkning på formål og midler, og ikke ut fra hva som er kommersielt ønskelig.
2. Angi hvilken samtykketekst som brukes, hvilke formål den dekker, og at mottakeren er navngitt eller identifiserbar for den registrerte.
3. Gi mottakeren rett til å få samtykkedokumentasjon for enkeltpersoner eller utvalg, slik at kravet i art. 7 nr. 1 kan oppfylles.
4. Reguler hvordan tilbaketrekking av samtykke og protester formidles mellom partene, og innen hvilken frist.
5. Kartlegg om konteksten kan avsløre særlige kategorier, og avtal tekniske filtre i tillegg til forbudsklausuler.
6. Ta inn revisjonsrett og bruk den, for eksempel gjennom stikkprøver av samtykkeflyten før oppstart og ved endringer.
7. Fastsett ansvar og regress mellom partene i lys av GDPR art. 82 nr. 4 og 5, og rett til å stanse datadelingen ved mangler.
8. Pålegg begge parter å bevare dokumentasjon når et tilsyn eller en registrert har reist en sak.

Avtalen fritar ikke for eget ansvar overfor tilsynet. Om en avtalt skadesløsholdelse kan omfatte et overtredelsesgebyr, er ikke avklart i norsk rett og bør vurderes særskilt. Den praktiske verdien av avtalen ligger derfor i kontrolltiltakene. Før datadelingen starter, bør mottakeren selv gå gjennom partnerens samtykkeløsning og dokumentere vurderingen, slik at virksomheten kan påvise etter GDPR art. 5 nr. 2 at den har kontrollert grunnlaget for sin egen behandling.

Spørsmål og svar

Neste faglige kontroll: 30. november 2026