Noruega multa a Xandr de Microsoft con 9,6 millones de dólares por compartir datos de Grindr

El regulador noruego de protección de datos ha impuesto a Xandr, brazo publicitario de Microsoft, una multa de 92 millones de coronas noruegas (9,6 millones de dólares) por compartir datos sensibles de usuarios de Grindr con anunciantes sin base legal. La sanción será la mayor que la agencia haya impuesto jamás a una empresa.

Datatilsynet, la autoridad noruega responsable de la resolución, afirmó que los datos involucrados contenían información que podría revelar la orientación sexual de los usuarios. La decisión final cierra un caso que ha estado en curso en Noruega durante más de seis años.

Cómo los datos de Grindr terminaron en manos de miles de postores

El caso implica la subasta en tiempo real, un proceso que vende espacios publicitarios en milisegundos cuando un usuario abre una aplicación. Cuando un individuo iniciaba la aplicación Grindr en Noruega, sus datos personales se enviaban a través de Xandr y potencialmente se compartían con miles de empresas y firmas de la industria publicitaria, según Datatilsynet. Estas empresas luego competían para ofrecer anuncios dirigidos al usuario.

Dado que Grindr está dirigido a usuarios gays, bisexuales, trans y queer, el regulador consideró que el solo uso de la aplicación era suficiente para revelar la orientación sexual de una persona. Según las normas europeas de protección de datos, esto convierte a la información en datos sensibles que requieren un consentimiento explícito para su tratamiento.

La autoridad noruega determinó que Xandr no había obtenido el consentimiento requerido. También resolvió que la empresa compartía la responsabilidad en el manejo de los datos con Grindr, en lugar de actuar únicamente como intermediaria. El beneficio financiero directo de Xandr derivado del intercambio de datos fue otro factor clave para evaluar la magnitud de las posibles multas.

Culpar a la aplicación no resultó válido

Xandr argumentó que asumía que Grindr ya había obtenido un consentimiento válido de sus usuarios, un argumento que fue rechazado por el regulador.

«La responsabilidad en materia de protección de datos no puede delegarse en terceros», afirmó Line Coll, directora general de Datatilsynet, en el comunicado de la autoridad, según citado por Tech Xplore. La directora sostuvo que cada empresa debe garantizar de forma independiente y poder demostrar que cuenta con una base legal para utilizar los datos que obtiene.

Coll afirmó que las violaciones fueron particularmente graves, señalando que los datos personales sensibles de miles de usuarios noruegos se habían compartido ilegalmente. El intercambio de datos tuvo lugar entre julio de 2018 y abril de 2020, antes de que Microsoft adquiriera la empresa, entonces conocida como AppNexus, informó PPC Land. Xandr ahora tiene tres semanas para impugnar la decisión en una apelación.

La decisión noruega sigue a un caso similar en Francia a principios de 2026, donde el Conseil d’Etat confirmó una multa de 40 millones de euros contra la empresa de retargeting Criteo, rechazando su alegato de que los sitios web socios eran responsables de recabar el consentimiento. Ambas decisiones dejan claro que las empresas siguen siendo responsables de la protección de datos y no pueden depender de sus socios para obtener el consentimiento del usuario.

Una denuncia presentada desde 2020 en Noruega

La denuncia fue interpuesta en 2020 por el Consejo Noruego del Consumidor y el grupo de privacidad noyb, relativa a las prácticas de intercambio de datos de Grindr. Fue una de las tres denuncias presentadas ese año, que apuntaban tanto al manejo de los datos de usuario por parte de la aplicación como a las empresas de adtech que los recibían.

Felix Mikolasch, abogado de protección de datos de noyb, señaló que la resolución podría exigir una mayor rendición de cuentas a empresas de adtech como Xandr, cuyas operaciones suelen pasar desapercibidas para el público, describiendo la decisión como un precedente importante para casos similares, en un comunicado del grupo.

Finn Myrstad, director de política digital en el Consejo del Consumidor de Noruega, afirmó que la decisión pone en aviso a las empresas que dependen del seguimiento de usuarios. La última resolución se produce después de que Grindr enfrentara una sanción similar en Noruega. En 2025, los tribunales del país confirmaron una multa de 65 millones de coronas contra la aplicación por compartir ilegalmente información personal sensible de los usuarios.

La multa se dirige a una empresa valorada en aproximadamente 3,97 billones de dólares, según GuruFocus. Sin embargo, noyb también ha advertido que el precedente podría perder su efecto previsto si el Digital Omnibus propuesto por la Comisión Europea debilita la forma en que el RGPD trata los identificadores de seguimiento en línea. Esta propuesta está actualmente bajo consideración del Parlamento Europeo y el Consejo.