Noruega multa a Xandr €8,6 millones por datos sensibles de Grindr compartidos en RTB sin base legal

La Autoridad de Protección de Datos de Noruega (Datatilsynet) ha impuesto una multa administrativa de €8,6 millones a Xandr —la unidad de publicidad vinculada a Microsoft— por haber transmitido datos sensibles de usuarios de Grindr a terceros sin una base legal adecuada. El órgano regulador califica la infracción como “muy grave”: los hechos investigados ocurrieron entre julio de 2018 y abril de 2020 y, según la decisión, Xandr funcionó como intermediario en procesos de puja en tiempo real (real-time bidding, RTB) que difundieron datos que podían revelar la orientación sexual de los usuarios a potencialmente miles de actores del ecosistema publicitario.

Hechos confirmados: Datatilsynet concluyó que Xandr actuó como controlador conjunto con Grindr y, por tanto, debía haber verificado y asegurado el consentimiento explícito de los afectados antes de procesar y relatar esos datos; en cambio, Xandr asumió que Grindr había recogido ese consentimiento. La multa de €8,6 millones es la mayor impuesta hasta ahora por la autoridad noruega, y Xandr dispone de tres semanas para presentar recurso. Grupos de defensa de la privacidad, como None Of Your Business (noyb), habían llevado la demanda ante los reguladores junto con el consejo de consumidores noruego.

Cómo funcionó técnicamente la fuga de datos: el núcleo del problema es RTB, el sistema mediante el cual espacios publicitarios se subastan en milisegundos cuando un usuario carga una página o una app. En una subasta RTB, la plataforma que intermedia (en este caso Xandr) transmite un paquete de señales a múltiples compradores —identificadores publicitarios, metadatos de la sesión, y en este caso información derivada del perfil del usuario— para que los anunciantes hagan ofertas. Esa transmisión masiva implica compartir datos con muchos proveedores y demanda un control estricto de qué atributos se incluyen y bajo qué base legal se procesan. Según la resolución, entre julio de 2018 y abril de 2020, datos de Grindr que podían implicar orientación sexual fueron difundidos a numerosos compradores a través de Xandr, sin que Xandr hubiere comprobado el consentimiento legalmente requerido.

Quiénes resultan afectados y por qué importa: los afectados directos son usuarios de Grindr en Noruega cuyas señales o atributos fueron transmitidos en RTB. Sin embargo, el alcance práctico es mayor: cuando datos sensibles salen de una app hacia cientos o miles de actores publicitarios, el riesgo no es sólo recibir anuncios dirigidos; existe la posibilidad de reidentificación cruzando estas señales con otros conjuntos de datos, lo que puede conducir a salidas del armario involuntarias, discriminación, chantaje o estigmatización. Además, desde una perspectiva sistémica, la decisión apunta a toda la cadena de intermediarios publicitarios: si una plataforma que actúa simultáneamente para compradores y vendedores no verifica la base legal, puede ser declarada responsable.

La sanción también forma parte de una tendencia regulatoria que no sólo persigue daños individuales, sino que intenta corregir fallos estructurales del modelo de negocio publicitario basado en la vigilancia masiva. El caso llega en un momento en que otras empresas del sector y actores vinculados (por ejemplo, Grindr en un proceso en Reino Unido) han enfrentado acciones y acuerdos por prácticas similares.

Consecuencias reales y previsibles: en lo inmediato, Xandr puede apelar y la multa podría ser reducida o confirmada; Microsoft ha declarado que revisa la decisión. En términos prácticos, la resolución crea un precedente legal en la UE/EEE: intermediarios que participen en RTB y que controlen partes significativas del proceso podrían ser responsables de garantizar el consentimiento y transparentar el tratamiento. Para usuarios y anunciantes, esto puede conllevar cambios técnicos (menor transmisión de atributos identificadores en las subastas) y contractuales (cláusulas más estrictas en contratos entre plataformas y editores).

Qué está confirmado y qué permanece incierto: confirmado: la multa, el periodo investigado, la calificación de Xandr como controlador conjunto durante ese periodo y la responsabilidad por transmisión de datos sensibles. Menos claro/pendiente de resolución: el número exacto de usuarios afectados en Noruega, la extensión de la responsabilidad hacia Microsoft por hechos anteriores a su adquisición de Xandr, y el alcance que la apelación pueda tener para alterar la interpretación legal sobre responsabilidades en RTB. También es una estimación razonable —no una cifra oficial— que “miles” de actores recibieron señales; la autoridad habla de potencialidad de alcance masivo, pero el recuento detallado de destinatarios puede no estar publicado.

Para el ecosistema publicitario, la resolución implica mayor exposición a sanciones si no demuestran cumplimiento activo del Reglamento General de Protección de Datos (GDPR) en todas las fases del flujo de datos. Para el usuario, subraya riesgos concretos al usar apps que manejan información sensible.

Recomendaciones prácticas para usuarios: si usas Grindr u otras apps que manejan información sensible, toma medidas inmediatas: revisa y ajusta la configuración de privacidad de la aplicación (limita la visibilidad del perfil y la compartición de datos), desactiva la personalización de anuncios desde el sistema operativo (iOS: “Limit Ad Tracking”, Android: “Opt out of Ads Personalization”), restablece tu identificador de publicidad (Advertiser ID), y valora desinstalar la app o crear un nuevo perfil con mínimos datos si la privacidad es prioritaria. Exercita tus derechos: solicita a los controladores (Grindr y a quien corresponda) acceso a los datos que procesan sobre ti, rectificación o supresión y un registro de terceros con los que compartieron esa información. Si resides en la UE/EEE, puedes elevar reclamaciones ante la autoridad nacional de protección de datos.

Para profesionales y responsables de TI: revisen los contratos con intermediarios publicitarios y los registros de tratamiento; implementen controles técnicos para minimizar datos compartidos en RTB (p. ej., anonimización o redacción de señales sensibles), realicen evaluaciones de impacto en protección de datos (DPIA) específicas para RTB y aseguren cláusulas contractuales que impongan obligaciones de verificación del consentimiento.

Este caso es relevante porque, además de sancionar una conducta, obliga a replantear prácticas técnicas y comerciales en un mercado que hasta ahora ha priorizado escala y velocidad sobre control granular de la privacidad. Los usuarios deben proteger sus datos sensibles con herramientas prácticas y los operadores publicitarios deberán demostrar cambios técnicos y contractuales o asumir mayores riesgos legales.

Para más información institucional y de las organizaciones que impulsaron la reclamación, puede consultarse la página de la Autoridad de Protección de Datos de Noruega https://www.datatilsynet.no y las comunicaciones del grupo de defensa NOYB https://noyb.eu. Coberturas periodísticas sobre el caso y su contexto regulatorio pueden encontrarse en los archivos de medios como Reuters https://www.reuters.com.