El organismo regulador de protección de datos de Noruega ha impuesto una multa de 92 millones de coronas (9,6 millones de dólares) a Xandr, la división publicitaria de Microsoft, por compartir datos sensibles de usuarios de Grindr con anunciantes sin una base legal. Será la mayor multa que el organismo haya impuesto jamás a una empresa.
Datatilsynet, la autoridad noruega responsable de la resolución, afirmó que los datos en cuestión incluían información que podía revelar la orientación sexual de los usuarios. La decisión definitiva pone fin a un caso que lleva más de seis años en curso en Noruega.
Cómo acabaron los datos de Grindr en manos de miles de postores
El caso implica subastas en tiempo real, un proceso que vende espacios publicitarios en milisegundos cuando un usuario abre una app. Cuando una persona abrió la aplicación Grindr en Noruega, sus datos personales se enviaron a través de Xandr y posiblemente se compartieron con miles de empresas y firmas de la industria publicitaria, según Datatilsynet. Luego, estas empresas compitieron para mostrar anuncios dirigidos al usuario.
Debido a que Grindr está dirigida a usuarios gays, bisexuales, trans y queer, el regulador consideró que el simple uso de la app bastaba para revelar la orientación sexual de una persona. Según las normas europeas de protección de datos, eso convierte la información en datos sensibles que requieren consentimiento explícito para su tratamiento.
La autoridad noruega concluyó que Xandr no había obtenido el consentimiento requerido. También determinó que la empresa compartía la responsabilidad del tratamiento de los datos con Grindr, en lugar de actuar solo como intermediaria. El beneficio financiero directo de Xandr del intercambio de datos fue otro factor clave al evaluar la magnitud de cualquier multa.
Culpar a la app no se sostuvo
Xandr argumentó que asumió que Grindr ya había obtenido un consentimiento válido de sus usuarios, un argumento que fue rechazado por el regulador.
«La responsabilidad de la protección de datos no puede delegarse en otros», dijo la directora general de Datatilsynet, Line Coll, en la declaración de la autoridad, según citó Tech Xplore. La directora afirmó que cada empresa debe garantizar de forma independiente y poder demostrar que tiene una base jurídica para usar los datos que obtiene.
Coll dijo que las infracciones fueron especialmente graves, señalando que los datos personales sensibles de miles de usuarios noruegos habían sido compartidos ilegalmente. El intercambio de datos tuvo lugar entre julio de 2018 y abril de 2020, antes de que Microsoft adquiriera el negocio, entonces conocido como AppNexus, informó PPC Land. Xandr ahora tiene tres semanas para impugnar el fallo en apelación.
La decisión noruega sigue a un caso similar en Francia a principios de 2026, en el que el Conseil d’Etat confirmó una multa de 40 millones de euros contra la empresa de retargeting Criteo, rechazando su afirmación de que los sitios web de socios eran responsables de recopilar el consentimiento. Las dos decisiones dejan claro que las empresas siguen siendo responsables de la protección de datos y no pueden depender de socios para recopilar el consentimiento de los usuarios.
Una denuncia que comenzó en 2020 en Noruega
La denuncia fue presentada en 2020 por el Consejo de Consumidores de Noruega y el grupo de privacidad noyb por las prácticas de intercambio de datos de Grindr. Fue una de tres denuncias presentadas ese año, dirigidas tanto al tratamiento de los datos de los usuarios por parte de la app como a las empresas de adtech que los recibieron.
Felix Mikolasch, abogado de protección de datos en noyb, dijo que el fallo podría obligar a una mayor rendición de cuentas de firmas de adtech como Xandr, cuyas operaciones a menudo pasan en gran medida desapercibidas para el público, describiendo la decisión como un precedente importante para casos similares en un comunicado del grupo.
Finn Myrstad, director de política digital del Consejo de Consumidores de Noruega, dijo que la decisión pone en aviso a las empresas que dependen del seguimiento de usuarios. El último fallo llega después de que Grindr enfrentara una sanción similar en Noruega. En 2025, los tribunales del país confirmaron una multa de 65 millones de coronas contra la app por compartir ilegalmente información personal sensible de los usuarios.
La multa afecta a una empresa valorada en alrededor de 3,97 billones de dólares, según GuruFocus. Sin embargo, noyb también ha advertido que el precedente podría perder el efecto previsto si el Digital Omnibus propuesto por la Comisión Europea debilita la forma en que el RGPD trata los identificadores de seguimiento en línea. Esta propuesta se encuentra actualmente en consideración por el Parlamento Europeo y el Consejo.
Las mentes más brillantes del mundo cripto ya leen nuestro boletín. ¿Te interesa? Únete a ellos.