Noruega multa a Xandr, da Microsoft, em € 8,6 milhões recorde por repassar dados do Grindr

A Autoridade Norueguesa de Proteção de Dados multou a Xandr — a unidade de adtech criada pela AT&T a partir da AppNexus e posteriormente pertencente à Microsoft — em € 8,6 milhões (US$ 9,62 milhões) por repassar ilegalmente dados sensíveis de usuários do Grindr a anunciantes. As infrações ocorreram entre julho de 2018 e abril de 2020, e a autoridade classificou a violação como "muito grave", o suficiente para justificar a maior multa administrativa que já aplicou, calculada sobre o faturamento anual total da Xandr nesse período de dois anos, anterior à aquisição pela Microsoft. A Xandr tem três semanas para recorrer; a Microsoft afirmou que está analisando a decisão.

O mecanismo era o leilão em tempo real. Quando uma pessoa abria o Grindr, seus dados pessoais eram, em muitos casos, repassados por meio da Xandr a potencialmente milhares de agentes, com anunciantes dando lances para exibir anúncios direcionados — sem o conhecimento do usuário. Os dados incluíam sinais que revelavam orientação sexual, informação de categoria especial sob a legislação europeia de privacidade. A autoridade concluiu que a Xandr era controladora conjunta com o Grindr, o que a tornava responsável por obter o consentimento dos usuários; em vez de garantir que tinha base legal para seu próprio tratamento, a Xandr apontou para o Grindr, dizendo presumir que o aplicativo de relacionamento havia coletado o consentimento.

O caso começou com uma denúncia de 2020 do conselho de consumidores da Noruega, em conjunto com a organização austríaca sem fins lucrativos de privacidade noyb, alegando que a Xandr compartilhou ilegalmente dados pessoais de usuários noruegueses sem consentimento explícito. A vida corporativa da Xandr desde então se dissolveu — a AT&T a formou após adquirir a AppNexus em junho de 2018, vendeu-a à Microsoft no final de dezembro de 2021, e a marca foi incorporada ao Microsoft Ads em junho de 2023 —, mas a responsabilidade ficou vinculada à entidade que realizou o tratamento. A decisão sai um mês depois de o Grindr pagar £ 26 milhões para encerrar uma ação no Reino Unido sobre o compartilhamento de dados de usuários, incluindo status de HIV.

€ 8,6 milhões (US$ 9,62 milhões), a maior multa já aplicada pela autoridade norueguesa de proteção de dados, dimensionada com base no faturamento da Xandr em 2018-2020; três semanas para recorrer.

Como controladora conjunta, a Xandr precisava de sua própria base legal para o tratamento e não podia simplesmente presumir que o Grindr havia obtido o consentimento dos usuários.

O leilão em tempo real repassava cada abertura do aplicativo Grindr a potencialmente milhares de licitantes — de forma invisível ao usuário e incontrolável depois de enviado.

Os dados revelavam orientação sexual, informação de categoria especial sob o GDPR, razão pela qual a autoridade aplicou uma multa recorde em vez de uma multa de rotina.

A multa foi dimensionada com base no faturamento da Xandr durante o período das infrações, antes da propriedade da Microsoft, de modo que a penalidade acompanhou a conduta, não o atual proprietário.

Ser intermediário não é uma proteção: quem se qualifica como controlador conjunto é responsável pela questão do consentimento, mesmo em relação a dados coletados por outra pessoa.

A Xandr tem três semanas para recorrer da decisão, e a Microsoft afirma que está analisando-a e avaliando suas opções. A noyb classificou a multa como um "golpe importante para a indústria de publicidade online e vigilância comercial". A decisão fecha um ciclo que começou quando as próprias práticas de dados do Grindr renderam à Noruega sua maior multa de privacidade em 2021: o intermediário de adtech que comprou e revendeu o acesso agora também foi multado.