Noruega multa subsidiária da Microsoft, Xandr, em US$ 9,6 milhões por uso indevido de dados do Grindr

A autoridade de proteção de dados da Noruega, Datatilsynet, impôs uma multa de 92 milhões de coroas (US$ 9,61 milhões) à unidade de tecnologia de publicidade da Microsoft, Xandr. A penalidade, anunciada na segunda-feira, marca a maior multa já emitida pelo regulador norueguês. A autoridade constatou que a Xandr repassou ilegalmente dados sensíveis de usuários do aplicativo de encontros Grindr a milhares de anunciantes entre julho de 2018 e abril de 2020.

Compartilhamento de Dados e Responsabilidade Legal

O caso centra-se no uso de leilão em tempo real, um processo em que o espaço publicitário é vendido em milissegundos quando um usuário abre um aplicativo. De acordo com a Datatilsynet, quando os usuários na Noruega lançaram o Grindr, seus dados pessoais foram enviados através da Xandr e potencialmente compartilhados com numerosas empresas do setor de publicidade. Como o Grindr atende a usuários gays, bissexuais, trans e queer, a reguladora determinou que o uso do aplicativo por si só poderia revelar a orientação sexual de uma pessoa. Sob as regras europeias de proteção de dados, isso constitui dados sensíveis que exigem consentimento explícito para processamento.

A Xandr argumentou que assumiu que o Grindr havia obtido consentimento válido de seus usuários e não verificou isso independentemente. A reguladora rejeitou essa defesa, determinando que a Xandr compartilhava responsabilidade legal com o Grindr pelas violações de dados. A diretora-geral da Datatilsynet, Line Coll, afirmou: "A responsabilidade pela proteção de dados não pode ser delegada a terceiros", enfatizando que cada empresa deve garantir independentemente que possui uma base legal para usar os dados que adquire.

Resposta da Microsoft e Contexto Histórico

A Microsoft afirmou que a privacidade dos usuários é uma prioridade máxima. Em um comunicado, a empresa observou: "Esta investigação e decisão concentraram-se em condutas que antecedem a aquisição da Xandr pela Microsoft, e nesse período a interpretação e aplicação de padrões legais e práticas continuaram a evoluir. Estamos analisando a decisão e avaliando nossas opções."

A multa foi calculada com base na receita da Xandr, e não da Microsoft, pois a Microsoft não era proprietária da unidade no momento das violações. A Xandr tem três semanas para recorrer da decisão. Esta decisão segue uma multa de 65 milhões de coroas aplicada ao Grindr em 2021 por violações semelhantes, que foi mantida pelos tribunais noruegueses em 2025.

Precedente para Intermediários de Adtech

O caso originou-se de uma queixa apresentada em 2020 pelo Conselho do Consumidor da Noruega e pela organização austríaca de privacidade noyb. Felix Mikolasch, advogado de proteção de dados no noyb, descreveu a decisão como um precedente importante que poderia forçar maior responsabilização das empresas de adtech. Finn Myrstad, diretor de política digital do Conselho do Consumidor da Noruega, disse que a decisão alerta as empresas que dependem do rastreamento de usuários.

A decisão alinha-se com uma decisão recente na França, onde o Conseil d’Etat manteve uma multa de €40 milhões contra a empresa de retargeting Criteo, também rejeitando a alegação de que os sites parceiros eram os únicos responsáveis por coletar o consentimento. Esses casos estabelecem coletivamente que os intermediários de adtech não podem transferir a culpa por violações de privacidade para os aplicativos dos quais adquirem dados.

Por que isso importa

Esta decisão reforça o princípio de que as responsabilidades de proteção de dados não podem ser terceirizadas ou delegadas dentro da cadeia de suprimentos publicitária. Ao responsabilizar a Xandr por dados que não coletou diretamente, os reguladores noruegueses estão sinalizando que os intermediários de adtech devem verificar ativamente o consentimento e as bases legais para o processamento de informações sensíveis dos usuários. Isso estabelece um precedente significativo para a forma como as empresas globais de adtech operam na Europa, potencialmente exigindo verificações de conformidade mais rigorosas para dados adquiridos de aplicativos de terceiros.

Fontes (em inglês)

• srnnews.com: Norway fines Microsoft's Xandr $9.6 million over Grindr data sharing - SRN News
• cryptopolitan.com: Norway fines Microsoft's Xandr $9.6 million over Grindr data sharing - Cryptopolitan

Tradução feita com IA do artigo original em inglês, revisada automaticamente para dizer o mesmo que o original. As fontes foram verificadas em inglês.