Resumen

  • La decisión de Datatilsynet del 2 de octubre de 2026 impone a Xandr una multa de 92 millones de coronas noruegas (8,6 millones de euros) por datos de usuarios de Grindr tratados en pujas en tiempo real entre julio de 2018 y abril de 2020.
  • La autoridad consideró a Xandr corresponsable en ambos lados de la subasta y concluyó que debía verificar que el consentimiento fuera válido y cubriera sus propias operaciones.

La puja también es una operación de tratamiento

La autoridad noruega de protección de datos, Datatilsynet, ha impuesto a Xandr Inc. la mayor multa de su historia. La decisión, fechada el 2 de octubre de 2026, aborda datos de personas que utilizaban Grindr en Noruega y circulaban en pujas publicitarias automatizadas. El importe es de 92 millones de coronas, unos 8,6 millones de euros. El Comité Europeo de Protección de Datos recogió el caso como noticia nacional el 16 de octubre.

El expediente nació de una reclamación del Consejo Noruego de Consumidores en 2020. La investigación cubre del 20 de julio de 2018 al 7 de abril de 2020; no es una auditoría de las prácticas actuales de Xandr. Datatilsynet concluyó que las solicitudes de puja podían incluir el hecho de que alguien utilizara Grindr, su identificador publicitario y su dirección IP. Para la autoridad, el uso de la aplicación revelaba orientación sexual y activaba la protección reforzada del artículo 9 del RGPD.

La subasta en tiempo real suele describirse como una secuencia técnica: se abre un espacio publicitario, se distribuye una solicitud y distintos compradores compiten en milisegundos. Pero cada paso también puede determinar quién trata qué datos y para qué. La invisibilidad para el usuario no convierte ese intercambio en una zona sin responsable.

El consentimiento no pasa intacto de un participante a otro

Datatilsynet determinó que Xandr actuó como plataforma tanto del lado de la oferta como del lado de la demanda y fue corresponsable del tratamiento junto con Grindr. La autoridad consideró incumplido el requisito de base jurídica del artículo 6.1 y la prohibición del artículo 9, al no existir una excepción válida. El consentimiento explícito era la vía pertinente para los datos sensibles; Xandr se apoyó en el consentimiento de Grindr, pero no comprobó por sí misma que fuera válido y cubriera el tratamiento que realizaba.

La conclusión no equivale a prohibir todas las pujas publicitarias. Señala algo más concreto: una empresa no puede tomar la declaración de otro actor como prueba automática de que su propio uso está cubierto. La corresponsabilidad exige una comprobación propia. Un contrato puede asignar tareas de cumplimiento, pero no sustituye la evidencia de que la base jurídica alcanza a cada operación.

Datatilsynet afirma que Xandr pudo reenviar información a miles de empresas. El matiz es importante: la autoridad habla de destinatarios potenciales, no de un recuento acreditado de empresas que efectivamente recibieron o conservaron los datos. La escala ayuda a entender la opacidad del mercado, pero no autoriza a convertir una posibilidad en cifra comprobada.

Una misma historia de datos, responsabilidades distintas

En 2021, Datatilsynet impuso por separado una multa de 65 millones de coronas a Grindr por el tratamiento y la divulgación que correspondían a la propia aplicación. El nuevo expediente examina el papel de Xandr en el mismo entorno histórico de publicidad. No es una sanción única ampliada ni una repetición contra la misma parte: pregunta si el intermediario debía establecer la base jurídica de su propia participación.

Para un responsable de cumplimiento, el reparto de tareas no debe confundirse con el reparto de responsabilidad. La aplicación no puede suponer que el proveedor publicitario se hará cargo de todo; la plataforma no puede suponer que una pantalla de consentimiento cubre cualquier uso posterior. Si la cadena incluye varios actores, cada uno necesita saber qué datos procesa, qué papel desempeña y qué evidencia respalda el consentimiento.

El cálculo sigue a la entidad y al periodo investigado

Microsoft adquirió Xandr en 2022, después de los hechos. Datatilsynet explica que calculó la multa con los ingresos anuales de Xandr, sin sumar los de Microsoft, porque la compañía todavía no formaba parte del grupo durante el periodo examinado. La delimitación temporal evita atribuir automáticamente a la matriz posterior la escala económica de la empresa sancionada.

Xandr dispone de tres semanas desde que recibió la decisión para recurrir. El comunicado público no indica cuándo la recibió, por lo que no permite calcular la fecha límite desde el 2 de octubre; tampoco confirma si ya se presentó un recurso. La decisión es la resolución final de la autoridad, pero el propio registro conserva abierta la posibilidad procesal de apelación.

Aplicación concreta, no prohibición general

El caso aplica obligaciones existentes del RGPD a pruebas de una ruta histórica de datos. No establece que cualquier plataforma de pujas sea automáticamente corresponsable, que todas las subastas sean ilegales ni que Microsoft respondiera por las operaciones de 2018 a 2020. Lo decisivo es el papel que desempeñó cada empresa y el tratamiento que hizo por cuenta propia.

Daniel Kade propone un recibo verificable del consentimiento para cada actor y finalidad: los datos tratados, el papel del destinatario, la versión del aviso, el alcance comunicado, la base jurídica invocada y la comprobación independiente. Es una propuesta editorial, no una obligación diseñada por Datatilsynet. Haría posible auditar el relevo antes de que se difunda una solicitud de puja.

El registro público no permite inferir qué hace hoy Xandr o su actual matriz: la conducta examinada terminó en abril de 2020. Tampoco identifica a todos los posibles destinatarios ni informa del desenlace de un recurso. Sí muestra por qué una solicitud automática puede tener consecuencias de gobernanza: la responsabilidad sigue al tratamiento, aunque el consentimiento se haya recogido en otra parte.

Fuentes