La multa a Xandr i el risc dels dades sensibles en el RTB
- L'autoritat de protecció de dades de Noruega ha sancionat Xandr amb 8,6 milions d'euros.
- La multa deriva del tractament de dades d'usuaris de Grindr sense consentiment explícit.
- El regulador determina que Xandr actuava com a coresponsable del tractament de dades sensibles.
- Es fixa el precedent que la responsabilitat del consentiment no es pot externalitzar entre socis tecnològics.
El mercat de la publicitat programàtica acaba de rebre un sacseig regulatori que redefineix els límits de la responsabilitat en la cadena de subastes de dades. L'autoritat de protecció de dades de Noruega ha imposat una multa administrativa de 8,6 milions d'euros a Xandr, l'empresa de tecnologia publicitària actualment integrada a Microsoft, per el tractament il·legítim de dades personals d'usuaris de l'aplicació de cites Grindr.
Aquest cas no és una simple disputa sobre cookies o avisos de privacitat, sinó que toca el nucli del Real-Time Bidding (RTB), el procés automatitzat on els anuncis es venen i compren en milisegons. La investigació, que va començar el 2020 després d'una denúncia del Consell de Consumidors noruecs en col·laboració amb el grup noyb, ha revelat com la informació dels usuaris fluïa cap a milers d'empreses sense un marc legal sòlid.
El mecanisme de la subasta i l'exposició de la privacitat
El problema central resideix en com Xandr, operant tant com a plataforma de demanda (DSP) com a plataforma d'oferta (SSP), gestionava les dades quan un usuari obria Grindr. Durant el procés de subasta en temps real, Xandr transmetia dades personals, incloent-hi l'ad ID i les adreces IP, a potencials anunciants per decidir qui guanyava la impresió de l'anunci.
El regulador noruegès ha estat taxatiu: el fet que una persona utilitzi Grindr, una aplicació dirigida a persones gais, bisexuals, trans i queer, revela per definició l'orientació sexual de l'individu. Per tant, aquestes dades no són simples dades d'identificació, sinó que entren en la categoria de dades sensibles segons l'Article 9(1) del GDPR. Aquest tipus d'informació requereix una protecció especial i un nivell de consentiment molt més rigorós que el tractament de dades genèriques.
La fal·lida tesi de l'externalització del consentiment
Durant el procés, Xandr ha intentat defensar-se argumentant que confiaen que Grindr havia obtingut el consentiment necessari dels seus usuaris. Aquesta és una pràctica comuna en l'ecosistema AdTech, on les empreses de tecnologia assumeixen que el propietari de l'aplicació (el primer contacte amb l'usuari) ha fet la part legal correctament.
No obstant això, l'autoritat noruega ha desmuntat aquesta tesi amb una sentència contundent: la responsabilitat no es pot externalitzar. El regulador ha determinat que Xandr actuava com a coresponsable del tractament. Això implica que cada entitat implicada en el procés ha de verificar independentment que el consentiment sigui vàlid, explícit i que cobreixi específicament el tractament que ells mateixos realitzen.
L'autoritat ha conclòs que el consentiment obtingut per Grindr era invàlid segons els Articles 4(11) i 7 del GDPR, i que Xandr no va establir una base legal pròpia per processar dades tan sensibles.
Anàlisi de la sanció i la gravetat dels fets
La multa de 8,6 milions d'euros (aproximadament 92 milions de corones noruegues) és la més alta mai imposada per l'autoritat de protecció de dades de Noruega. La quantia reflecteix la gravetat de la infracció, que s'ha considerat, com a mínim, negligent. El regulador ha destacat que s'han vulnerat disposicions centrals del reglament europeu, especialment en el que respecta a la transparència i la protecció de categories especials de dades.
És rellevant notar que els fets sancionats van tenir lloc entre juliol de 2018 i abril de 2020, un període anterior a que Xandr passés a formar part de Microsoft. Tot i així, la responsabilitat recau sobre l'entitat que executava el tractament en aquell moment. Aquest cas s'empara també en una sentència prèvia del Tribunal d'Apel·lacions de Borgarting, que ja havia validat la multa imposada a Grindr el 2021, reforçant la tesi que l'ús de l'app implica la revelació de l'orientació sexual.
Implicacions tècniques per al sector AdTech
El cas Xandr posa en dubte la viabilitat del model de RTB tal com s'ha implementat durant l'última dècada. La transmissió massiva de dades a milers de tercers en fractions de segon fa que sigui pràcticament impossible garantir que cada receptor tracti la informació segons el GDPR. Per a les empreses de tecnologia, això significa que el model de confiar cegament en el consentiment del partner ja no és sostenible davant els reguladors europeus.
Les empreses que operen en aquest sector hauran de repensar la seva arquitectura de dades, movent-se cap a models més tancats o basats en el first-party data, on el control del consentiment sigui directe i verificable. La EDPB ha publicat els detalls d'aquesta decisió, alertant sobre la necessitat de que els coresponsables assumeixin el seu rol actiu en la vigilància de la privacitat.
Impacte a Catalunya i Espanya: el repte per a l'ecosistema local
Per a les empreses tecnològiques de Barcelona i el mercat espanyol, aquesta notícia és un senyal d'alerta crític. Catalunya s'ha consolidat com un hub d'IA i AdTech, on moltes startups desenvolupen solucions de segmentació de públics i optimització de conversió. La sentència noruega deixa clar que, en el marc del mercat únic digital, el compliment del GDPR no és una formalitat, sinó un pilar operatiu.
Amb l'arribada de l'AI Act, la pressió sobre el tractament de dades sensibles augmentarà. Les empreses catalanes que utilitzen sistemes d'IA per a la publicitat programàtica o l'anàlisi de comportaments hauran de revisar els seus contractes de coresponsabilitat. No bastarà amb una clàusula que digui que el proveïdor de dades ha obtingut el consentiment; caldrà implementar mecanismes tècnics de verificació.
En el context espanyol, on l'Agència Espanyola de Protecció de Dades (AEPD) ha mostrat una tendència a ser rigorosa amb el consentiment en el sector del màrqueting, aquest precedent europeu facilita que les autoritats locals actuin amb més fermesa. Les empreses locals han de comprendre que el risc financer i reputacional de tractar dades sensibles sense un consentiment explícit i verificat és ara molt més elevat. La clau per a l'emprenedoria tech a Barcelona serà integrar la privacy by design no com un cost, sinó com una avantatge competitiu davant els gegants tecnològics que, com hem vist amb Xandr, estan sota el microscopi dels reguladors.
Preguntes freqüents
Per què s'ha multat Xandr si el consentiment el recollia Grindr?
Perquè segons el GDPR, Xandr actuava com a coresponsable del tractament. L'autoritat noruega ha determinat que la responsabilitat de verificar que el consentiment sigui vàlid no es pot delegar ni externalitzar al soci comercial.
Quines dades s'han considerat sensibles en aquest cas?
S'han considerat dades sensibles l'ad ID i l'adreça IP dels usuaris, ja que el fet de fer servir l'aplicació Grindr revela indirectament l'orientació sexual de la persona.
Què és el Real-Time Bidding (RTB) esmentat a l'article?
És un procés automatitzat de subasta en temps real on els anunciants competeixen per mostrar anuncis segmentats a un usuari, intercanviant dades personals en milisegons per decidir la millor oferta.
Quin impacte té aquesta multa per a les empreses de tecnologia a Espanya?
Estableix que les empreses que processen dades de tercers han de verificar activament el consentiment i no poden confiar només en les declaracions dels seus socis, especialment quan es tracta de dades sensibles.
Fonts: Edpb, Cyberinsider, Licentium ·
glacom · IA per a despatxos d’advocats: els expedients no surten del despatx →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
