Noruega multa con 8,6 millones de euros a Xandr, de Microsoft, por compartir datos de usuarios de Grindr

La autoridad de protección de datos de Noruega, Datatilsynet, multó a Xandr con 92 millones de coronas noruegas, unos 8,6 millones de euros, por procesar y compartir sin base legalFundamento previsto en una ley de protección de datos que autoriza a una organización a tratar datos personales, como el consentimiento del titular o la ejecución de un contrato. datos de usuarios noruegos de Grindr, la app de citas para personas gays, bisexuales, trans y queer. La decisión, anunciada el 12 de octubre, es la sanción más alta que ha impuesto el organismo. Xandr, la plataforma de publicidad digital que hoy es parte de Microsoft, tiene tres semanas para apelar.

Cómo viajaban los datos

Según Datatilsynet, entre julio de 2018 y abril de 2020 Xandr participó en las subastas de publicidad en tiempo real de Grindr, un sistema automático en el que los anunciantes pujan, en una fracción de segundo, por mostrar un aviso a quien abre la app. Cuando un usuario entraba a Grindr, sus datos personales se pasaban en muchos casos a "potencialmente miles de actores" del ecosistema publicitario, sin que la persona lo supiera. Xandr actuaba en las dos puntas de la subasta, como comprador y como vendedor.

Para la autoridad, ser usuario de Grindr ya indica la orientación sexual, así que esos datos exigen una protección especial y requerían consentimiento explícito. Xandr, que entonces operaba como una empresa independiente (AppNexus fue su nombre anterior), sostuvo que creía que Grindr había obtenido ese consentimiento. El regulador rechazó el argumento: la consideró corresponsable del tratamiento junto con Grindr, y dijo que no verificó que los consentimientos fueran válidos ni tuvo una base legal propia.

"La responsabilidad de proteger los datos no se puede traspasar a otros", dijo Line Coll, directora general de Datatilsynet. "Si las empresas no asumen su responsabilidad y se echan la culpa unas a otras, los derechos de los usuarios quedan, en la práctica, sin valor."

Cómo se fijó el monto

La autoridad tuvo en cuenta el peso de Xandr en el sector, el beneficio económico directo que obtuvo del intercambio y la duración de la infracción, casi dos años. Calculó la multa sobre la facturación anual de Xandr y no sobre la de Microsoft, porque la compañía no era parte de Microsoft en el período investigado. Microsoft completó la compra en 2022.

Un vocero de Microsoft dijo a BleepingComputer que la investigación se centró en conductas anteriores a la adquisición, que desde entonces cambiaron los marcos legales y su interpretación, y que la empresa revisa la decisión y evalúa sus opciones.

Un caso que viene de 2020

El expediente arranca con la denuncia que el Consejo Noruego del Consumidor presentó en enero de 2020, junto con la organización austriaca de privacidad noyb, contra Grindr y varias empresas de publicidad. A Grindr, Datatilsynet le impuso en 2021 una multa de 65 millones de coronas por compartir los mismos datos con anunciantes. Esa sanción fue confirmada en octubre de 2025 por el Tribunal de Apelaciones de Borgarting, que consideró ilegal compartir datos sensibles con socios publicitarios sin consentimiento válido. La multa a Xandr es unos 27 millones de coronas mayor.

Las cifras en otras monedas varían según el cambio: Datatilsynet habla de 8,6 millones de euros, noyb de 8,5 millones y BleepingComputer de 9,6 millones de dólares. La multa se impuso en coronas, y ese es el monto que vale.

Noyb y el Consejo del Consumidor celebraron la decisión. Finn Myrstad, del Consejo, dijo que envía "una señal poderosa" a quienes basan su negocio en rastrear y perfilar a los consumidores. Falta ver si Xandr apela dentro del plazo de tres semanas.