Sanzione Xandr: il caso Grindr e il rischio AdTech per le imprese
- Xandr (ex AppNexus, ora Microsoft) multata per 8,6 milioni di euro dal Garante norvegese.
- Il caso riguarda il trattamento illecito di dati sensibili (orientamento sessuale) di utenti Grindr.
- La sanzione stabilisce che il consenso non può essere delegato: ogni Joint Controller deve verificarlo autonomamente.
- L'infrazione riguarda il sistema di Real-Time Bidding (RTB), dove i dati venivano condivisi con migliaia di aziende in frazioni di secondo.
Uno smartphone a Oslo
Un utente apre l'app Grindr sul proprio smartphone a Oslo. In una frazione di secondo, mentre l'interfaccia carica i profili circostanti, avviene un'operazione invisibile. L'identificativo pubblicitario (Advertising ID) e l'indirizzo IP dell'utente vengono trasmessi a una piattaforma tecnologica. In quel momento, l'informazione non riguarda solo un codice tecnico, ma rivela l'appartenenza dell'individuo a una categoria specifica: persone gay, bisessuali, transgender o queer.
Questo flusso di dati, avvenuto tra luglio 2018 e aprile 2020, è al centro di una delle sanzioni più pesanti mai inflitte dall'autorità norvegese per la protezione dei dati. La società coinvolta è Xandr Inc., all'epoca nota come AppNexus e oggi parte di Microsoft. Il caso è nato da un reclamo depositato nel 2020 dal Norwegian Consumer Council, supportato dal gruppo di advocacy per la privacy noyb, che ha analizzato come i dati fluissero dalle app agli advertising partner.
L'asta invisibile dei dati
Il cuore tecnico della violazione risiede nel Real-Time Bidding (RTB), un processo automatizzato in cui gli inserzionisti competono per visualizzare annunci mirati. Xandr operava su entrambi i fronti, agendo sia come supply-side platform (SSP) che come demand-side platform (DSP). Quando l'utente apriva Grindr, Xandr relayava le informazioni personali a potenzialmente migliaia di aziende nell'ecosistema pubblicitario.
Queste aste avvengono in millisecondi. Gli inserzionisti ricevono i dati per decidere su quale impression fare un'offerta. Per l'autorità norvegese, questa attività è avvenuta lontano dalla vista degli utenti, i quali non avevano alcuna visibilità su dove finissero le proprie informazioni o su come sarebbero state utilizzate successivamente.
L'aspetto critico non è solo la condivisione di IP o ID pubblicitari. Il Garante norvegese ha stabilito che il semplice fatto di essere identificati come utenti di Grindr indica l'orientamento sessuale della persona. Tale dato rientra nelle categorie particolari di dati personali ai sensi dell'Articolo 9(1) del GDPR, richiedendo quindi una protezione speciale e una base giuridica molto più rigorosa rispetto ai dati comuni.
Perché il consenso non si delega
La difesa di Xandr si è basata su un presupposto comune in molte architetture AdTech: la fiducia nel partner. L'azienda ha sostenuto di credere che Grindr avesse ottenuto il consenso necessario dagli utenti. Tuttavia, l'autorità ha respinto questa tesi, definendo l'infrazione come almeno negligente.
Il punto nodale è la qualifica di Joint Controller (contitolare del trattamento). Xandr è stata considerata tale per il processing dei dati degli utenti. Secondo il GDPR, quando più soggetti determinano insieme le finalità e i mezzi del trattamento, ognuno di essi condivide la responsabilità.
Analisi strategica: Questo passaggio è fondamentale per ogni imprenditore che utilizzi servizi di terze parti per il marketing o l'analisi dati. La decisione chiarisce che l'accountability non può essere esternalizzata. Non basta che il fornitore del servizio (o l'app che raccoglie il dato) dichiari di avere il consenso; ogni contitolare deve verificare indipendentemente che tale consenso sia valido e che copra specificamente il proprio trattamento.
Per i dati sensibili, come l'orientamento sessuale, l'Articolo 9(2)(a) richiede un consenso esplicito. Il Garante ha concluso che i consensi di Grindr erano invalidi ai sensi degli Articoli 4(11) e 7 del GDPR, rendendo il trattamento di Xandr privo di base legale.
8,6 milioni di euro
La sanzione amministrativa di 8.600.000 euro (circa 92 milioni di corone norvegesi) rappresenta la multa più alta mai emessa dall'autorità norvegese fino ad oggi. La cifra non è casuale, ma riflette la gravità delle violazioni che toccano i pilastri centrali del GDPR.
Il calcolo della sanzione tiene conto di diversi fattori aggregati:
- La natura dei dati: informazioni sull'orientamento sessuale (special category data).
- La scala del trattamento: migliaia di aziende potenzialmente coinvolte nelle aste RTB.
- La mancanza di verifica: l'affidamento acritico al consenso di terzi.
- Il periodo di violazione: un arco temporale di quasi due anni (2018-2020).
È interessante notare che l'autorità ha citato una sentenza della Corte d'Appello di Borgarting, relativa a una precedente multa di 65 milioni di corone inflitta a Grindr nel 2021, per confermare che l'uso dell'app stessa riveli dati sensibili.
Per approfondire i dettagli legali della decisione, è possibile consultare il comunicato ufficiale dell' EDPB o l'analisi tecnica di Licentium.
La responsabilità dei partner AdTech nel mercato UE
Il caso Xandr invia un segnale preciso a tutto il mercato dell'advertising tecnologico. La zona grigia in cui le piattaforme di intermediazione (SSP e DSP) si consideravano semplici "tubature" per i dati è ufficialmente chiusa. Se una piattaforma partecipa alla determinazione di come i dati vengono usati per il targeting, è un controller e ne risponde legalmente.
Implicazioni per le imprese italiane ed europee:
Le aziende che implementano strategie di programmatic advertising devono rivedere i propri accordi di contitolarità. Non è più sufficiente una clausola contrattuale in cui il partner dichiara di essere compliant; serve una verifica documentale del flusso del consenso. Con l'avvento dell'AI Act e l'irrigidimento della NIS2, la governance del dato diventa un asset di risk management aziendale.
Il rischio per un'impresa italiana non è solo la multa, ma l'invalidazione di intere campagne di marketing basate su dati raccolti senza un consenso verificabile lungo tutta la filiera. Se il partner AdTech viene sanzionato, l'azienda che ha commissionato l'attività potrebbe trovarsi coinvolta in indagini per negligenza nella scelta del fornitore.
Per monitorare l'evoluzione di questo trend, gli imprenditori dovrebbero osservare due indicatori verificabili: 1. L'eventuale aggiornamento delle linee guida dell'EDPB sul Real-Time Bidding entro i prossimi 12 mesi. 2. L'aumento di clausole di manleva specifiche per il 'consenso verificato' nei contratti tra agenzie media e inserzionisti.
Ulteriori dettagli sull'esposizione dei dati sono disponibili su Cyberinsider.
Domande frequenti
Perché Xandr è stata multata se i dati erano raccolti da Grindr?
Perché Xandr è stata considerata Joint Controller. Nel GDPR, chi determina le finalità del trattamento è responsabile; Xandr non poteva delegare la verifica della validità del consenso a Grindr.
Cosa si intende per dati di categoria speciale in questo caso?
L'autorità ha stabilito che l'uso di un'app dedicata a persone gay, bi, trans e queer riveli l'orientamento sessuale dell'utente, dato protetto dall'Articolo 9 del GDPR.
Qual è l'errore principale commesso da Xandr?
L'aver processato dati sensibili senza un consenso esplicito e valido, basandosi erroneamente sulla presunta conformità del partner (Grindr) senza effettuarne la verifica indipendente.
Fonti: Edpb, Cyberinsider, Licentium ·
glacom · IA per studi legali: i fascicoli non escono dallo studio →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
