Noruega multa a Xandr, de Microsoft, con un récord de 8,6 millones de euros por retransmitir datos de Grindr

La Autoridad Noruega de Protección de Datos multó a Xandr —la unidad de tecnología publicitaria creada por AT&T a partir de AppNexus y posteriormente propiedad de Microsoft— con 8,6 millones de euros (9,62 millones de dólares) por retransmitir ilegalmente datos sensibles de usuarios de Grindr a anunciantes. Las infracciones se produjeron entre julio de 2018 y abril de 2020, y la autoridad calificó la violación de «muy grave», suficiente para merecer la mayor multa administrativa que ha impuesto nunca, calculada sobre la facturación anual total de Xandr durante ese periodo de dos años, anterior a la adquisición por Microsoft. Xandr tiene tres semanas para recurrir; Microsoft dijo que está revisando la decisión.

El mecanismo eran las subastas en tiempo real. Cuando una persona abría Grindr, sus datos personales se retransmitían en muchos casos a través de Xandr a potencialmente miles de actores, y los anunciantes pujaban por mostrar anuncios dirigidos, de forma oculta para el usuario. Los datos incluían señales que revelaban la orientación sexual, información de categoría especial según la legislación europea de privacidad. La autoridad determinó que Xandr era corresponsable del tratamiento junto con Grindr, lo que le hacía responsable de obtener el consentimiento de los usuarios; en lugar de asegurarse de tener una base jurídica para su propio tratamiento, Xandr señaló a Grindr, alegando que daba por hecho que la aplicación de citas había recabado el consentimiento.

El caso comenzó con una denuncia de 2020 del consejo de consumidores de Noruega junto con la organización austriaca sin ánimo de lucro de privacidad noyb, que alegaba que Xandr compartió ilícitamente datos personales de usuarios noruegos sin consentimiento explícito. La vida corporativa de Xandr se ha disuelto desde entonces —AT&T la creó tras adquirir AppNexus en junio de 2018, la vendió a Microsoft a finales de diciembre de 2021, y la marca se integró en Microsoft Ads en junio de 2023—, pero la responsabilidad recayó sobre la entidad que realizó el tratamiento. La decisión llega un mes después de que Grindr pagara 26 millones de libras para resolver una demanda en el Reino Unido por compartir datos de usuarios, incluido el estado serológico respecto al VIH.

8,6 millones de euros (9,62 millones de dólares), la mayor multa de la autoridad noruega de protección de datos, calculada sobre la facturación de Xandr de 2018-2020; tres semanas para recurrir.

Como corresponsable del tratamiento, Xandr necesitaba su propia base jurídica para el tratamiento y no podía simplemente dar por hecho que Grindr había obtenido el consentimiento de los usuarios.

Las subastas en tiempo real retransmitían cada apertura de la aplicación Grindr a potencialmente miles de pujadores, de forma invisible para el usuario e incontrolable una vez enviada.

Los datos revelaban la orientación sexual, información de categoría especial según el RGPD, y por eso la autoridad impuso una multa récord en lugar de una ordinaria.

La multa se calculó sobre la facturación de Xandr durante el periodo de las infracciones, antes de la propiedad de Microsoft, de modo que la sanción siguió a la conducta, no al propietario actual.

Ser un intermediario no es un escudo: quien califica como corresponsable del tratamiento asume la cuestión del consentimiento, incluso respecto de datos que otro recopiló.

Xandr tiene tres semanas para recurrir la decisión, y Microsoft dice que la está revisando y evaluando sus opciones. Noyb calificó la multa de «duro golpe para la industria de la publicidad en línea y la vigilancia comercial». La decisión cierra un círculo que comenzó cuando las propias prácticas de datos de Grindr atrajeron la mayor multa de privacidad de Noruega en 2021: ahora también ha sido multado el intermediario de tecnología publicitaria que compró y revendió el acceso.