Xandr recibe una multa récord de 8,6 millones de euros por difundir datos de Grindr que revelaban la orientación sexual.

La Autoridad Noruega de Protección de Datos (APD) ha multado a Xandr, una unidad publicitaria propiedad de Microsoft, con 8,6 millones de euros (9,62 millones de dólares) por transmitir ilegalmente datos sensibles de usuarios de Grindr a anunciantes.

Esta sanción administrativa es la mayor impuesta por el organismo de control de protección de datos, que argumentó que el caso justificaba una multa elevada debido a la gravedad de la infracción. Las infracciones se produjeron entre julio de 2018 y abril de 2020.

"Xandr actuó como intermediario, transmitiendo los datos personales de usuarios de Grindr en Noruega, incluidos datos que revelaban su orientación sexual, a miles de otras empresas", declaró la Autoridad de Protección de Datos en un comunicado.

La autoridad de protección de datos indicó que su investigación determinó que Xandr era corresponsable del tratamiento de datos junto con Grindr, lo que significa que era responsable de obtener el consentimiento de los usuarios antes de procesar sus datos.

En lugar de asegurarse de tener la base legal para su propio procesamiento de datos, Xandr culpó a Grindr, afirmando que asumía que la aplicación de citas en línea había obtenido el consentimiento de los usuarios para hacerlo", añadió.

Xandr fue creada por AT&T tras la adquisición de AppNexus en junio de 2018. El nombre hace referencia a Alexander Graham Bell, fundador de AT&T en 1885. Posteriormente, fue vendida a Microsoft a finales de diciembre de 2021, tras lo cual la marca fue retirada y consolidada bajo el paraguas de Microsoft Ads en junio de 2023.

El caso se remonta a 2020, cuando el consejo de consumidores del país, junto con la organización austriaca sin ánimo de lucro None of Your Business (noyb), presentó una denuncia contra Xandr, acusándola de compartir ilegalmente datos personales de los usuarios con fines comerciales sin obtener su consentimiento explícito. Se afirma que miles de usuarios en Noruega fueron objeto de la compartición ilegal de sus datos sensibles como resultado de esta práctica.

"La esencia de la infracción fue la participación de Xandr en La llamada subasta en tiempo real, en la que actuaban tanto como compradores como vendedores, explicó el organismo regulador. «Cuando una persona abría Grindr, sus datos personales se transmitían, en muchos casos, a través de Xandr a miles de actores del ecosistema publicitario».

«De este modo, los anunciantes podían competir entre sí para mostrar anuncios personalizados, completamente ocultos para el usuario».

La Autoridad de Protección de Datos (DPA) también indicó que la multa se calculó teniendo en cuenta la facturación anual total de Xandr durante el período de dos años anterior a la adquisición por parte de Microsoft. Xandr dispone de tres semanas para apelar la decisión.