A autoridade reguladora de proteção de dados da Noruega aplicou uma multa de 92 milhões de coroas norueguesas (US$ 9,6 milhões) à Xandr, braço de publicidade da Microsoft, por compartilhar dados sensíveis de usuários do Grindr com anunciantes sem base legal. Essa será a maior multa já aplicada pela agência a uma empresa.
A Datatilsynet, autoridade norueguesa responsável pela decisão, afirmou que os dados envolvidos continham informações que poderiam revelar a orientação sexual dos usuários. A decisão final encerra um caso que está em andamento na Noruega há mais de seis anos.
Como os dados da Grindr foram parar às mãos de milhares de licitantes
O caso envolve licitação em tempo real, um processo que vende espaço publicitário em milissegundos, quando um utilizador abre uma aplicação. Segundo a Datatilsynet, quando uma pessoa abria a aplicação Grindr na Noruega, os seus dados pessoais eram enviados através da Xandr e podiam ser partilhados com milhares de empresas do setor da publicidade. Essas empresas competiam então para apresentar anúncios direcionados ao utilizador.
Como a Grindr se destina a utilizadores gays, bissexuais, trans e queer, o regulador considerou que só o uso da aplicação bastava para revelar a orientação sexual de uma pessoa. Ao abrigo das regras europeias de proteção de dados, isso torna essa informação sensível e exige consentimento explícito para o seu tratamento.
A autoridade norueguesa concluiu que a Xandr não tinha obtido o consentimento exigido. Também decidiu que a empresa partilhava com a Grindr a responsabilidade pelo tratamento dos dados, em vez de atuar apenas como intermediária. O benefício financeiro direto da Xandr resultante da partilha de dados foi outro fator fundamental na avaliação do valor de eventuais multas.
A tentativa de culpar a aplicação não convenceu
A Xandr alegou que presumiu que a Grindr já tinha recolhido o consentimento válido dos seus utilizadores, argumento rejeitado pelo regulador.
«A responsabilidade pela proteção de dados não pode ser delegada noutras entidades», afirmou a diretora-geral da Datatilsynet, Line Coll, na declaração da autoridade, citada pela Tech Xplore. A diretora acrescentou que cada empresa tem de garantir, de forma independente, e ser capaz de demonstrar que dispõe de uma base legal para utilizar os dados que obtém.
Coll afirmou que as infrações eram particularmente graves, salientando que os dados pessoais sensíveis de milhares de utilizadores noruegueses tinham sido partilhados ilegalmente. A partilha de dados ocorreu entre julho de 2018 e abril de 2020, antes de a Microsoft adquirir a empresa, então conhecida como AppNexus, noticiou a PPC Land. A Xandr tem agora três semanas para contestar a decisão através de recurso.
A decisão norueguesa segue um caso semelhante ocorrido em França no início de 2026, no qual o Conseil d’État manteve uma multa de 40 milhões de euros aplicada à empresa de retargeting Criteo, rejeitando a alegação de que os sites parceiros eram responsáveis por recolher o consentimento. As duas decisões deixam claro que as empresas continuam responsáveis pela proteção de dados e não podem confiar nos parceiros para obter o consentimento dos utilizadores.
Uma queixa apresentada na Noruega em 2020
A queixa foi apresentada em 2020 pelo Conselho Norueguês de Consumidores e pelo grupo de defesa da privacidade noyb, devido às práticas de partilha de dados da Grindr. Foi uma de três queixas apresentadas nesse ano, que visavam tanto a forma como a aplicação tratava os dados dos utilizadores como as empresas de adtech que os recebiam.
Felix Mikolasch, advogado especializado em proteção de dados da noyb, afirmou que a decisão poderá obrigar empresas de adtech como a Xandr a assumir maior responsabilidade. As operações destas empresas são muitas vezes praticamente invisíveis e passam despercebidas ao público. Numa declaração do grupo, descreveu a decisão como um precedente importante para casos semelhantes.
Finn Myrstad, diretor de política digital do Conselho Norueguês de Consumidores, afirmou que a decisão serve de aviso às empresas que dependem do rastreamento dos utilizadores. A decisão mais recente surge depois de a Grindr ter enfrentado uma sanção semelhante na Noruega. Em 2025, os tribunais do país mantiveram uma multa de 65 milhões de coroas norueguesas aplicada à aplicação por partilhar ilegalmente informações pessoais sensíveis dos utilizadores.
A multa visa uma empresa avaliada em cerca de 3,97 biliões de dólares, segundo a GuruFocus. No entanto, a noyb também alertou que o precedente poderá perder o efeito pretendido caso a proposta de Regulamento Digital Omnibus da Comissão Europeia enfraqueça a forma como o RGPD aborda os identificadores de rastreamento online. A proposta está atualmente a ser analisada pelo Parlamento Europeu e pelo Conselho.
As mentes mais brilhantes das criptomoedas já leem a nossa newsletter. Quer juntar-se a elas? Subscreva.