Multa millonaria a Xandr por filtrar datos sensibles de Grindr
- Noruega impone una multa de 8,6 millones de euros a Xandr por el tratamiento ilegal de datos de usuarios de Grindr.
- La sanción se centra en la difusión de datos sensibles (orientación sexual) a través de subastas de publicidad en tiempo real.
- El regulador establece que la responsabilidad del consentimiento no puede delegarse en terceros ni externalizarse.
- Los hechos ocurrieron entre 2018 y 2020, antes de que Xandr fuera adquirida por Microsoft.
El ecosistema de la publicidad digital acaba de recibir un golpe regulatorio de primer orden. La Autoridad de Protección de Datos de Noruega ha impuesto una sanción administrativa de 8,6 millones de euros a Xandr Inc., la unidad de tecnología publicitaria que actualmente pertenece a Microsoft. Esta cifra, que equivale a 92 millones de coronas noruegas, representa la multa más elevada jamás emitida por el organismo regulador noruego, marcando un precedente crítico sobre cómo se gestionan los datos sensibles en las subastas automatizadas de anuncios.
El mecanismo de las subastas en tiempo real y la exposición de datos
El núcleo del conflicto reside en el funcionamiento del real-time bidding (RTB), un proceso automatizado donde los anunciantes compiten en fracciones de segundo para mostrar un anuncio específico a un usuario. En este caso, cuando los usuarios abrían la aplicación de citas Grindr, diseñada para personas gay, bisexuales, trans y queer, Xandr actuaba como intermediario facilitando el flujo de información.
Según las investigaciones, Xandr transmitió datos personales, incluyendo direcciones IP e identificadores publicitarios, a miles de empresas del ecosistema publicitario. El regulador noruego ha sido tajante: el simple hecho de ser identificado como usuario de Grindr revela la orientación sexual de la persona. Por lo tanto, estos datos no son simples identificadores técnicos, sino que entran en la categoría de datos sensibles bajo el Reglamento General de Protección de Datos (RGPD), específicamente bajo el Artículo 9(1).
La falacia de la responsabilidad delegada
Uno de los puntos más relevantes de la sentencia es la defensa presentada por Xandr. La empresa argumentó que había asumido que Grindr ya había obtenido el consentimiento necesario de sus usuarios para el tratamiento de dichos datos. Sin embargo, la autoridad noruega rechazó este argumento, estableciendo que la responsabilidad legal es compartida y no transferible.
El regulador determinó que Xandr actuó como corresponsable del tratamiento, operando tanto como plataforma de oferta (supply-side) como de demanda (demand-side). La conclusión es clara: cada corresponsable debe verificar de manera independiente que el consentimiento sea válido y que cubra específicamente su propio procesamiento de datos. En términos jurídicos, la autoridad ha sentenciado que la rendición de cuentas no puede externalizarse.
La autoridad de protección de datos determinó que las empresas que comerciaban con datos personales no podían trasladar la responsabilidad a otros.
Cronología de una sanción acumulativa
Este caso no nace de forma aislada, sino que es la culminación de un proceso iniciado en 2020. La denuncia fue impulsada por el Consejo Noruego de Consumidores en colaboración con la organización austriaca de defensa de la privacidad noyb. Ambas entidades analizaron minuciosamente el flujo de información desde las aplicaciones móviles hacia los socios publicitarios, exponiendo la opacidad de estos procesos que ocurren fuera de la vista del usuario.
Es importante notar que este proceso es complementario a otro ya resuelto. En 2021, la propia aplicación Grindr ya había sido multada con 65 millones de coronas noruegas por infracciones similares. La sanción actual a Xandr cierra el círculo, castigando no solo a la aplicación que recolecta el dato, sino al intermediario tecnológico que lo distribuye en el mercado publicitario.
El papel de Microsoft y la temporalidad de los hechos
La entrada de Microsoft en la ecuación añade una capa de complejidad corporativa. Las infracciones detectadas ocurrieron entre julio de 2018 y abril de 2020, periodo en el cual Xandr operaba bajo el nombre de AppNexus y aún no formaba parte del grupo estadounidense. Por esta razón, la multa se ha calculado basándose en los ingresos de Xandr y no en la valoración global de Microsoft.
Desde la compañía de Redmond han emitido un comunicado asegurando que la privacidad es una de sus máximas prioridades. Han subrayado que la investigación se centra en conductas previas a la adquisición y que están evaluando sus opciones legales, dado que la interpretación de las normas jurídicas ha evolucionado desde entonces. No obstante, la sanción ya es efectiva y Xandr dispone de un plazo de tres semanas para presentar un recurso.
Análisis de las infracciones normativas
La resolución técnica de la Autoridad Noruega se apoya en dos pilares fundamentales del marco legal europeo que todo empresario tecnológico debe monitorizar:
Primero, la violación del Artículo 6(1) del RGPD, relativo a la licitud del tratamiento. Xandr procesó datos personales sin una base legal válida. Segundo, la infracción del Artículo 9(1), que prohíbe el tratamiento de categorías especiales de datos personales (como la orientación sexual) a menos que exista una excepción clara, como el consentimiento explícito del interesado, el cual no fue obtenido ni verificado en este caso.
La gravedad de la sanción se justifica, según el regulador, por la naturaleza extremadamente sensible de la información y el hecho de que las infracciones afectan a disposiciones centrales del RGPD. Para más detalles sobre la base legal, se puede consultar el análisis de Licentium.
Implicaciones para el tejido empresarial en España
Para los emprendedores y directivos españoles, este caso noruego no es una anécdota extranjera, sino una advertencia directa sobre la gobernanza de datos en la era de la IA y el Big Data. España, con un tejido empresarial compuesto mayoritariamente por PYMES que integran herramientas de marketing digital y análisis de datos, debe prestar atención a tres ejes fundamentales.
En primer lugar, la llegada del AI Act europeo refuerza la necesidad de una transparencia total en el entrenamiento de modelos y el uso de datos. Si una empresa española utiliza herramientas de segmentación automatizada o IA para el marketing, no puede confiar ciegamente en que el proveedor del software cumple con la ley; la responsabilidad es solidaria.
En segundo lugar, la Agenda Digital Española impulsa la digitalización acelerada, pero este crecimiento debe ir acompañado de una auditoría de privacidad rigurosa. El caso Xandr demuestra que el uso de identificadores publicitarios e IPs, que a menudo se consideran datos anónimos o técnicos, pueden convertirse en datos sensibles según el contexto (como el uso de una app específica), elevando drásticamente el riesgo sancionador.
Finalmente, las empresas locales deben revisar sus contratos de corresponsabilidad. Ya no basta con una cláusula genérica donde el proveedor asegura cumplir el RGPD. Es imperativo implementar mecanismos de verificación activa. En un mercado donde la personalización es la clave del negocio, la línea entre la eficiencia publicitaria y la vulneración de derechos fundamentales es muy delgada, y las autoridades europeas están demostrando que no dudarán en imponer multas millonarias para corregir el rumbo.
Preguntas frecuentes
¿Por qué se multa a Xandr y no solo a Grindr?
Porque Xandr actuó como corresponsable del tratamiento de datos al operar la plataforma de subastas donde se distribuía la información. El regulador determinó que la responsabilidad de verificar el consentimiento no puede delegarse.
¿Qué datos exactos fueron procesados ilegalmente?
Se procesaron direcciones IP e identificadores publicitarios de los usuarios. Aunque parecen datos técnicos, el hecho de que provinieran de Grindr revelaba la orientación sexual de los usuarios, convirtiéndolos en datos sensibles.
¿Tiene Microsoft responsabilidad directa en estos hechos?
Los hechos ocurrieron entre 2018 y 2020, antes de que Microsoft adquiriera Xandr. Sin embargo, al ser la propietaria actual, la empresa gestiona la respuesta legal y la revisión de la decisión.
¿Cuál es la lección principal para las empresas de AdTech?
Que el consentimiento obtenido por una aplicación tercera no exime al intermediario publicitario de su obligación de verificar la legalidad del tratamiento de los datos que procesa.
Fuentes: Edpb, Cyberinsider, Licentium ·
glacom · IA para despachos de abogados: los expedientes no salen del despacho →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
