Multa a Xandr, filial de Microsoft, por los datos de Grindr

La Autoridad Noruega de Protección de Datos (NDPA) ha impuesto una multa de 92 millones de coronas noruegas (aproximadamente 9,6 millones de dólares) a Xandr, filial de Microsoft dedicada a las tecnologías publicitarias, por utilizar datos personales sensibles de los usuarios de Grindr con fines publicitarios sin haber obtenido los permisos necesarios. La autoridad señaló que Xandr, en lugar de verificar directamente el consentimiento expreso de los usuarios, dio por sentado que la aplicación de citas Grindr ya había obtenido los permisos necesarios. Esta resolución ha pasado a la historia como la multa más elevada impuesta hasta la fecha por la Autoridad Noruega de Protección de Datos. La investigación se centra en cómo se comparten los datos personales en el ecosistema de la publicidad digital y en qué medida se informa a los usuarios durante este proceso. La resolución incluye detalles reveladores sobre la aplicación del requisito del consentimiento expreso, especialmente en el tratamiento de datos personales sensibles con fines de publicidad dirigida.

Según el comunicado de la Autoridad Noruega de Protección de Datos, los datos personales de los usuarios que abrían la aplicación Grindr se transmitían, en muchos casos, a miles de destinatarios diferentes dentro del ecosistema publicitario a través de la infraestructura tecnológica publicitaria de Xandr. Gracias a esta información, los anunciantes podían competir entre sí para mostrar anuncios personalizados a los usuarios. Sin embargo, estas operaciones se llevaban a cabo sin el conocimiento de las personas cuyos datos personales se utilizaban. La autoridad destacó que este proceso, llevado a cabo para la presentación de anuncios, era totalmente invisible para los usuarios. De este modo, los usuarios no podían realizar un seguimiento adecuado de a qué empresas llegaban sus datos ni en qué procesos publicitarios se utilizaban.

La investigación sobre el uso de los datos de Grindr por parte de Xandr comenzó en 2020

Los antecedentes de la investigación sobre Xandr se remontan al año 2020. El Consejo de Consumidores de Noruega presentó una denuncia ante la Autoridad de Protección de Datos de Noruega alegando que la empresa había compartido datos personales de los usuarios de Grindr con fines comerciales sin obtener los permisos necesarios. En el momento en que se inició la investigación, Xandr aún no formaba parte de Microsoft. En la denuncia se alegaba que no se habían cumplido los requisitos de consentimiento expreso durante la transferencia de datos de los usuarios entre empresas de tecnología publicitaria. La investigación llevada a cabo posteriormente por la autoridad abarcó las actividades de tratamiento de datos realizadas entre julio de 2018 y abril de 2020.

La Autoridad Noruega de Protección de Datos justificó la elevada multa impuesta a Xandr por la gravedad de las infracciones. Según la autoridad, el uso de la información personal sensible de los usuarios con fines publicitarios sin una base jurídica suficiente constituye una grave infracción de la protección de datos personales. Para determinar la cuantía de la multa, se tomó como referencia la facturación total anual de Xandr. Además, el hecho de que la empresa se basara en los consentimientos de los usuarios que, supuestamente, había obtenido Grindr también influyó en la evaluación. En el marco de la normativa de protección de datos, es necesario obtener de forma válida el consentimiento expreso requerido para el tratamiento de datos personales sensibles y poder demostrarlo cuando sea necesario.

El caso gira en torno al sistema de pujas en tiempo real, ampliamente utilizado en el sector de la publicidad digital. En este sistema, cuando un usuario visita una aplicación o un sitio web, se recogen automáticamente pujas para los espacios publicitarios en un plazo muy breve. Los anunciantes pueden presentar ofertas para determinar qué anuncio se mostrará en función de la información del usuario proporcionada y los criterios de segmentación. Sin embargo, la transferencia de la información del usuario entre las distintas empresas del sistema publicitario puede generar diversos riesgos en lo que respecta a la protección de datos personales. En concreto, el tratamiento de los datos de uso de las aplicaciones que puedan relacionarse con información sensible, como la orientación sexual, puede estar sujeto a condiciones legales más estrictas que los datos habituales de segmentación publicitaria.

Galaxy Tab S12+: 66 499 TL en la cesta para tomar notas con el S Pen

Comprar

Yaber T2 Plus: 19 499 TL con un cupón de 500 TL para disfrutar del cine con batería

Comprar

Asus Vivobook 15: ordenador para el día a día con Windows 11, 23 749,05 TL en la cesta

Comprar

KTC H25T7-3: monitor IPS de 240 Hz, por 4.849 TL con un cupón de 150 TL

Comprar

Asus ROG Strix G16: el modelo con RTX 5070 Ti te permite ahorrar 8.074,95 TL en la cesta

Comprar

Ver todo Reducir

Ver todas las ofertas

PUBLICIDAD — Este contenido incluye enlaces de afiliados. Teknoblog puede obtener una comisión por las compras realizadas a través de estos enlaces.

Grindr también se había enfrentado en el pasado a sanciones relacionadas con el intercambio no autorizado de datos de usuarios. La Autoridad de Protección de Datos de Noruega ya había impuesto anteriormente a la aplicación de citas una multa de más de 5,6 millones de euros (aproximadamente 6,2 millones de dólares) por motivos similares. Además, la empresa se enfrentó en 2024 a una demanda presentada en Londres por las acusaciones de haber compartido información sanitaria sensible de sus usuarios, incluyendo su estado serológico respecto al VIH y las fechas de las pruebas. Las acusaciones de este caso y la investigación llevada a cabo en Noruega sobre Xandr constituyen procesos legales independientes. No obstante, ambos casos plantean problemas de privacidad similares en relación con el intercambio con terceros de la información personal recopilada en las aplicaciones de citas.

La sentencia dictada contra Xandr pone de manifiesto que puede no ser suficiente que los proveedores de tecnología publicitaria se basen únicamente en la suposición de que los desarrolladores de aplicaciones han obtenido el consentimiento de los usuarios. Los fines para los que se obtiene el consentimiento expreso de los usuarios, con quién se comparten los datos y cómo se documentan estas operaciones son algunos de los elementos determinantes para el cumplimiento de la legislación en materia de protección de datos. Por otra parte, la participación de numerosas empresas en los sistemas de pujas publicitarias en tiempo real complica aún más la circulación de la información de los usuarios y el seguimiento de las responsabilidades en materia de tratamiento de datos. La evaluación de las autoridades noruegas se centra también en las obligaciones de las empresas que operan en este tipo de sistemas en lo que respecta a los procesos de tratamiento de datos. La sanción impuesta pone de relieve la responsabilidad de las empresas de tecnología publicitaria de verificar el consentimiento válido de los usuarios, especialmente cuando se trata de datos personales sensibles.