Norway multa a la filial de Microsoft Xandr con 9,6 millones de dólares por mal uso de datos de Grindr

La autoridad de protección de datos de Noruega, Datatilsynet, ha impuesto una multa de 92 millones de coronas (9,61 millones de dólares) a la unidad de tecnología publicitaria de Microsoft, Xandr. La sanción, anunciada el lunes, marca la multa más grande que el regulador noruego haya emitido jamás. La autoridad determinó que Xandr transmitió ilegalmente datos sensibles de usuarios de la aplicación de citas Grindr a miles de anunciantes entre julio de 2018 y abril de 2020.

Compartición de datos y responsabilidad legal

El caso gira en torno al uso de la puja en tiempo real, un proceso mediante el cual se vende espacio publicitario en milisegundos cuando un usuario abre una aplicación. Según Datatilsynet, cuando los usuarios en Noruega lanzaban Grindr, sus datos personales se enviaban a través de Xandr y potencialmente se compartían con numerosas empresas de la industria publicitaria. Dado que Grindr sirve a usuarios gays, bisexuales, trans y queer, el regulador determinó que el solo uso de la aplicación podía revelar la orientación sexual de una persona. Según las normas europeas de protección de datos, esto constituye datos sensibles que requieren un consentimiento explícito para su procesamiento.

Xandr argumentó que asumía que Grindr había obtenido un consentimiento válido de sus usuarios y no verificó esto de forma independiente. El regulador rechazó esta defensa, determinando que Xandr compartía la responsabilidad legal con Grindr por las violaciones de datos. La directora general de Datatilsynet, Line Coll, declaró: "La responsabilidad por la protección de datos no puede delegarse en otros", enfatizando que cada empresa debe garantizar de forma independiente que tiene una base legal para utilizar los datos que adquiere.

Respuesta de Microsoft y contexto histórico

Microsoft declaró que la privacidad de los usuarios es una prioridad máxima. En un comunicado, la empresa señaló: "Esta investigación y decisión se centraron en conductas que preceden a la adquisición de Xandr por parte de Microsoft, y en ese período la interpretación y aplicación de los estándares legales y las prácticas han seguido evolucionando. Estamos revisando la decisión y evaluando nuestras opciones".

La multa se calculó en función de los ingresos de Xandr en lugar de los de Microsoft, ya que Microsoft no era propietaria de la unidad en el momento de las infracciones. Xandr tiene tres semanas para apelar la decisión. Esta resolución sigue a una multa de 65 millones de coronas impuesta a Grindr en 2021 por infracciones similares, la cual fue confirmada por los tribunales noruegos en 2025.

Precedente para intermediarios de tecnología publicitaria

El caso se originó a partir de una denuncia presentada en 2020 por el Consejo Noruego del Consumidor y la organización austriaca de privacidad noyb. Felix Mikolasch, abogado de protección de datos en noyb, describió la resolución como un precedente importante que podría obligar a una mayor rendición de cuentas por parte de las empresas de tecnología publicitaria. Finn Myrstad, director de política digital en el Consejo Noruego del Consumidor, dijo que la decisión pone en aviso a las empresas que dependen del seguimiento de usuarios.

La decisión se alinea con una resolución reciente en Francia, donde el Conseil d’Etat confirmó una multa de 40 millones de euros contra la empresa de retargeting Criteo, rechazando también la afirmación de que los sitios web socios eran los únicos responsables de recopilar el consentimiento. Estos casos establecen colectivamente que los intermediarios de tecnología publicitaria no pueden transferir la culpa por violaciones de privacidad a las aplicaciones de las que adquieren datos.

Por qué importa

Esta resolución refuerza el principio de que las responsabilidades de protección de datos no pueden externalizarse ni delegarse dentro de la cadena de suministro publicitaria. Al hacer que Xandr rinda cuentas por datos que no recopiló directamente, los reguladores noruegos están señalando que los intermediarios de tecnología publicitaria deben verificar activamente el consentimiento y las bases legales para el procesamiento de información sensible de usuarios. Esto establece un precedente significativo para cómo operan las empresas globales de tecnología publicitaria en Europa, potencialmente requiriendo controles de cumplimiento más rigurosos para los datos adquiridos de aplicaciones de terceros.

Fuentes (en inglés)

• srnnews.com: Norway fines Microsoft's Xandr $9.6 million over Grindr data sharing - SRN News
• cryptopolitan.com: Norway fines Microsoft's Xandr $9.6 million over Grindr data sharing - Cryptopolitan

Traducción con IA del artículo original en inglés, revisada automáticamente para que diga lo mismo que el original. Las fuentes fueron verificadas en inglés.