Norvegia multa Xandr di Microsoft per 9,6 milioni di dollari per la condivisione dei dati di Grindr

L’autorità norvegese per la protezione dei dati ha irrogato una multa di 92 milioni di corone norvegesi (9,6 milioni di dollari) alla divisione pubblicitaria di Microsoft, Xandr, per aver condiviso i dati sensibili degli utenti di Grindr con gli inserzionisti senza una base giuridica. La sanzione rappresenterà la più elevata mai inflitta dall’agenzia a un’azienda.

Il Datatilsynet, l'autorità norvegese responsabile della decisione, ha sostenuto che i dati in questione contenevano informazioni in grado di rivelare l'orientamento sessuale degli utenti. La decisione finale chiude un caso che era in corso in Norvegia da oltre sei anni.

Come i dati di Grindr sono finiti nelle mani di migliaia di offerenti

Il caso riguarda il real-time bidding, un processo che vende spazi pubblicitari in millisecondi mentre un utente apre un'app. Quando un individuo lanciava l'app Grindr in Norvegia, i suoi dati personali venivano inviati tramite Xandr e potenzialmente condivisi con migliaia di aziende e imprese del settore pubblicitario, secondo quanto dichiarato dal Datatilsynet. Queste aziende poi gareggiavano per offrire annunci mirati all'utente.

Poiché Grindr si rivolge a utenti gay, bisessuali, trans e queer, il regolatore ha considerato che il solo utilizzo dell'app fosse sufficiente a rivelare l'orientamento sessuale di una persona. Secondo le norme europee sulla protezione dei dati, ciò rende queste informazioni dati sensibili che richiedono un consenso esplicito per essere trattati.

L’autorità norvegese ha ritenuto che Xandr non avesse ottenuto il consenso richiesto. Ha inoltre stabilito che la società condivide la responsabilità per la gestione dei dati con Grindr, anziché limitarsi a fungere da intermediario. Il beneficio finanziario diretto di Xandr derivante dal condivisione dei dati è stato un altro fattore chiave nell’analisi della gravità di eventuali sanzioni.

Addossare la colpa all'app non ha retto

Xandr ha sostenuto di aver dato per scontato che Grindr avesse già raccolto un consenso valido dai propri utenti, argomento che è stato respinto dal regolatore.

“Responsibility for data protection cannot be delegated to others,” Datatilsynet Director General Line Coll said in the authority’s statement, as quoted by Tech Xplore. The director claimed each company must independently ensure and be able to demonstrate that it has a legal basis for using the data it procures.

Coll ha definito le violazioni particolarmente gravi, sottolineando che i dati personali sensibili di migliaia di utenti norvegesi erano stati condivisi illegalmente. La condivisione dei dati è avvenuta tra luglio 2018 e aprile 2020, prima dell'acquisizione da parte di Microsoft del business, allora noto come AppNexus, ha riportato PPC Land. Xandr ora ha tre settimane per impugnare la decisione in appello.

La decisione norvegese segue un caso simile verificatosi in Francia all'inizio del 2026, in cui il Conseil d’Etat ha confermato una multa di 40 milioni di euro contro l'azienda di retargeting Criteo, respingendo la sua argomentazione secondo cui i siti web partner fossero responsabili della raccolta del consenso. Le due decisioni chiariscono chiaramente che le aziende rimangono responsabili per la protezione dei dati e non possono fare affidamento sui partner per raccogliere il consenso degli utenti.

Un reclamo avviato sin dal 2020 in Norvegia

Il reclamo è stato presentato nel 2020 dal Norwegian Consumer Council e dal gruppo per la privacy noyb riguardo alle pratiche di condivisione dei dati di Grindr. Si trattava di uno dei tre reclami presentati quell'anno, che miravano sia alla gestione dei dati utente da parte dell'app sia alle aziende adtech che li ricevevano.

Felix Mikolasch, a data protection lawyer at noyb, said the ruling could force greater accountability from adtech firms such as Xandr, whose operations are often largely unseen and unnoticed by the public, describing the decision as an important precedent for similar cases in a statement from the group.

Finn Myrstad, direttore della politica digitale del Consiglio norvegese per i consumatori, ha dichiarato che la decisione mette in guardia le aziende che si affidano al tracciamento degli utenti. L'ultima sentenza arriva dopo che Grindr aveva subito una sanzione simile in Norvegia. Nel 2025, i tribunali del paese hanno confermato una multa di 65 milioni di corone contro l'app per la condivisione illegale di informazioni personali sensibili degli utenti.

La multa mira un’azienda valutata a circa 3,97 trilioni di dollari, secondo GuruFocus. Tuttavia, noyb ha anche avvertito che il precedente potrebbe perdere l’effetto desiderato se il Digital Omnibus proposto dalla Commissione Europea indebolisca il modo in cui il GDPR tratta gli ID di tracciamento online. Questa proposta è attualmente in esame presso il Parlamento europeo e il Consiglio.