A Noruega multa Xandr €8,6 milhões por dados sensíveis de Grindr compartilhados na RTB sem base legal

A Autoridade para a Protecção de Dados da Noruega (Datatilsynet) impôs uma multa administrativa de €8,6 milhões a Xandr — unidade de publicidade ligada à Microsoft — por ter transmitido dados sensíveis de usuários de Grindr a terceiros sem uma base legal adequada. O órgão regulador qualifica a infracção como “muito grave”: os fatos investigados ocorreram entre julho de 2018 e abril de 2020 e, segundo a decisão, Xandr funcionou como intermediário em processos de proposta em tempo real (real-time bidding, RTB) que divulgaram dados que poderiam revelar a orientação sexual dos usuários a potencialmente milhares de atores do ecossistema publicitário.

Atos confirmados: Datatilsynet concluiu que Xandr atuou como controlador conjunto com Grindr e, portanto, deveria ter verificado e assegurado o consentimento explícito dos afetados antes de processar e relatar esses dados; em troca, Xandr assumiu que Grindr havia coletado esse consentimento. A multa de €8,6 milhões é a maior imposta até agora pela autoridade norueguesa, e Xandr dispõe de três semanas para apresentar recurso. Grupos de defesa da privacidade, como None Of Your Business (noyb), haviam levado a demanda perante os reguladores junto com o conselho de consumidores norueguês.

Como funcionou tecnicamente a fuga de dados: O núcleo do problema é o RTB, o sistema através do qual espaços publicitários são leilões em milisegundos quando um usuário carrega uma página ou uma app. Em um leilão RTB, a plataforma que intermedia (neste caso Xandr) transmite um pacote de sinais a múltiplos compradores (identificadores publicitários, metadados da sessão e, neste caso, informações derivadas do perfil do usuário) para que os anunciantes façam ofertas. Essa transmissão massiva implica compartilhar dados com muitos fornecedores e demanda controle estrito de quais atributos são incluídos e sob que base legal são processados. Segundo a resolução, entre julho de 2018 e abril de 2020, dados de Grindr que poderiam implicar orientação sexual foram difundidos a numerosos compradores através de Xandr, sem que Xandr tenha comprovado o consentimento legalmente requerido.

Quem é afectado e porque importa: Os afetados diretos são usuários de Grindr na Noruega cujos sinais ou atributos foram transmitidos em RTB. No entanto, o alcance prático é maior: quando dados sensíveis saem de uma app para centenas ou milhares de atores publicitários, o risco não é apenas receber anúncios direcionados; existe a possibilidade de reidentificação através desses sinais com outros conjuntos de dados, o que pode conduzir a saídas do armário involuntárias, discriminação, chantagem ou estigmatização. Além disso, de uma perspectiva sistêmica, a decisão aponta a toda a cadeia de intermediários publicitários: se uma plataforma que atua simultaneamente para compradores e vendedores não verifica a base legal, pode ser declarada responsável.

A sanção também faz parte de uma tendência regulatória que não só persegue danos individuais, mas tenta corrigir falhas estruturais do modelo de negócio publicitário baseado na vigilância massiva. O caso chega em um momento em que outras empresas do setor e atores vinculados (por exemplo, Grindr em um processo no Reino Unido) enfrentaram ações e acordos por práticas semelhantes.

Consequências reais e previsíveis: No imediato, Xandr pode apelar e a multa poderia ser reduzida ou confirmada; a Microsoft declarou que revisa a decisão. Em termos práticos, a resolução cria um precedente jurídico na UE/EEE: intermediários envolvidos na RTB e que controlem partes significativas do processo poderiam ser responsáveis por garantir o consentimento e transparentar o tratamento. Para usuários e anunciantes, isso pode levar a mudanças técnicas (menor transmissão de atributos identificadores nos leilões) e contratuais (cláusulas mais rigorosas em contratos entre plataformas e editores).

O que está confirmado e o que permanece incerto: confirmado: a multa, o período investigado, a qualificação de Xandr como controlador conjunto durante esse período e a responsabilidade por transmissão de dados sensíveis. Menos claro/dependente de resolução: o número exato de usuários afetados na Noruega, a extensão da responsabilidade para a Microsoft por fatos anteriores à sua aquisição de Xandr, e o alcance que o recurso possa ter para alterar a interpretação legal sobre responsabilidades em RTB. Também é uma estimativa razoável - não um número oficial - que “miles” de atores receberam sinais; a autoridade fala de potencialidade de alcance massivo, mas a contagem detalhada de destinatários pode não estar publicada.

Para o ecossistema publicitário, a resolução implica maior exposição a sanções se não demonstrarem cumprimento activo do Regulamento Geral de Proteção de Dados (GDPR) em todas as fases do fluxo de dados. Para o usuário, destaca riscos concretos ao usar apps que gerenciam informações sensíveis.

Recomendações práticas para usuários: se você usa Grindr ou outros apps que gerenciam informações sensíveis, toma medidas imediatas: revisa e ajusta a configuração de privacidade da aplicação (limita a visibilidade do perfil e a partilha de dados), desativa a personalização de anúncios do sistema operacional (iOS: “Limit Ad Tracking”, Android: “Opt out of Ads Personalization”), restabelece seu identificador de publicidade (Advertiser ID), e valoriza desinstalar a app ou criar um novo perfil com mínimos dados se a privacidade for prioritária. Exercita os seus direitos: solicita aos controladores (Grindr e a quem corresponda) acesso aos dados que processam sobre você, rectificação ou supressão e um registro de terceiros com os quais compartilharam essa informação. Se você estiver na UE/EEE, você pode elevar queixas à autoridade nacional de proteção de dados.

Para profissionais e responsáveis por TI: verifiquem contratos com intermediários publicitários e registos de tratamento; implementem controlos técnicos para minimizar dados partilhados no RTB (por exemplo, anonimização ou redação de sinais sensíveis), realizem avaliações de impacto em proteção de dados (DPIA) específicas para o RTB e assegurem cláusulas contratuais que imponham obrigações de verificação do consentimento.

Este caso é relevante porque, além de sancionar um comportamento, obriga a repensar práticas técnicas e comerciais num mercado que até agora tem priorizado escala e velocidade sobre controle granular da privacidade. Os usuários devem proteger seus dados sensíveis com ferramentas práticas e os operadores publicitários devem demonstrar mudanças técnicas e contratuais ou assumir maiores riscos legais.

Para mais informações institucionais e organizações que impulsionaram a reclamação, consultar a página da Autoridade de Proteção de Dados da Noruega https://www.datatilsynet.no e as comunicações do grupo de defesa NOYB https://noyb.eu. Coberturas jornalísticas sobre o caso e seu contexto regulatório podem ser encontradas nos arquivos de mídia como a Reuters https://www.reuters.com.