La investigación ha determinado que Xandr, anteriormente conocida como AppNexus, transmitió información que podía revelar la orientación sexual de los usuarios de la aplicación de citas a un sistema de subastas publicitarias en tiempo real. Estos datos pudieron quedar a disposición de miles de empresas que participan en la compraventa de espacios publicitarios para mostrar anuncios personalizados.
Las infracciones se produjeron entre julio de 2018 y abril de 2020, antes de que Microsoft adquiriera la compañía, y afectó a miles de usuarios noruegos. La sanción es la mayor impuesta hasta la fecha por el regulador de protección de datos del país.
El caso pone el foco en el funcionamiento del sistema Real Time Bidding (RTB), una tecnología que permite a los anunciantes participar en subastas automatizadas para comprar espacios publicitarios en aplicaciones y páginas web. Para determinar qué anuncios mostrar, estos sistemas utilizan información sobre los usuarios, que puede circular entre numerosos intermediarios publicitarios. En el caso de Grindr, los datos transmitidos incluían información especialmente sensible, como la orientación sexual y la ubicación de las personas.
Según Datatilsynet, Xandr procesó y distribuyó estos datos sin contar con el consentimiento explícito de los afectados, una exigencia especialmente relevante por tratarse de información incluida en las categorías especiales de datos personales protegidas por el Reglamento General de Protección de Datos (RGPD).
La investigación también ha puesto de manifiesto las dificultades para controlar el destino de la información una vez que entra en el ecosistema de publicidad programática. “Esto demuestra lo vulnerable que es nuestra privacidad”, ha señalado Line Coll, directora general de Datatilsynet, quien ha advertido que “una vez que los datos personales están ahí fuera, es difícil saber dónde terminan o cómo se utilizan”.
Uno de los elementos centrales de la resolución es la responsabilidad de los intermediarios tecnológicos que participan en el tratamiento de datos personales. Durante el procedimiento, Xandr argumentó que había dado por hecho que Grindr había obtenido previamente el consentimiento necesario de sus usuarios. Sin embargo, la compañía no verificó que esa autorización existiera.
El regulador noruego ha rechazado esta justificación y considera que Xandr compartía la responsabilidad legal con Grindr por el tratamiento de los datos. “Las infracciones en este caso son muy graves”, ha afirmado Coll. Asimismo, ha recordado que “la responsabilidad de la protección de datos no puede delegarse en otros. Cada empresa debe asegurarse y poder demostrar que está autorizada para utilizar esos datos”.
La resolución establece así un precedente relevante para las empresas de tecnología publicitaria, al extender la exigencia de cumplimiento del RGPD a los intermediarios que gestionan información procedente de aplicaciones de terceros.
El procedimiento tiene su origen en una denuncia presentada en 2020 por el Consejo de Consumidores de Noruega, a partir de una investigación sobre el intercambio de datos personales entre aplicaciones y empresas publicitarias en la que también participó la organización austriaca de privacidad noyb.
El caso ya había provocado una sanción contra Grindr de 100 millones de coronas noruegas, unos 10 millones de euros (por el cambio de la época), impuesta en 2021 y ratificada por los tribunales noruegos en 2025.
En esta ocasión, el importe de la multa se ha calculado a partir de la facturación de Xandr, y no de la de Microsoft, puesto que las infracciones son anteriores a su adquisición.
Microsoft ha señalado que la privacidad de los usuarios constituye una prioridad y ha recordado que las prácticas y los criterios regulatorios han evolucionado desde el periodo investigado. “Estamos revisando la decisión y evaluando nuestras opciones”, ha explicado la compañía. Xandr dispone ahora de la posibilidad de presentar un recurso contra la resolución.