Resumo

  • A decisão de 2 de outubro de 2026 impôs à Xandr uma multa de NOK 92 milhões (cerca de € 8,6 milhões) por dados de usuários do Grindr tratados em lances em tempo real na Noruega entre julho de 2018 e abril de 2020.
  • Datatilsynet considerou a Xandr controladora conjunta nos lados de oferta e demanda e entendeu que ela precisava verificar se o consentimento era válido e abrangia suas próprias operações.

A intermediação também decide como os dados são usados

Datatilsynet, a autoridade norueguesa de proteção de dados, aplicou à Xandr Inc. sua maior multa até hoje. A decisão foi assinada em 2 de outubro de 2026 e fixou a sanção em NOK 92 milhões, ou aproximadamente € 8,6 milhões. O caso trata de dados de usuários do Grindr que circulavam em lances publicitários em tempo real; o Conselho Europeu de Proteção de Dados o relacionou entre as notícias nacionais em 16 de outubro.

A investigação começou após uma reclamação do Conselho Norueguês de Consumidores em 2020. Seu recorte vai de 20 de julho de 2018 a 7 de abril de 2020, portanto não constitui uma auditoria do funcionamento atual da Xandr. A autoridade concluiu que solicitações de lance podiam incluir o fato de alguém usar o Grindr, um identificador de publicidade e um endereço IP. Na avaliação de Datatilsynet, o uso do aplicativo revelava orientação sexual e estava sujeito às proteções especiais do Artigo 9 do GDPR.

No leilão em tempo real, a solicitação chega a plataformas e compradores que disputam a oportunidade de exibir um anúncio. A sequência é automatizada e pouco visível ao usuário. Ainda assim, a cadeia técnica também é uma cadeia de decisões sobre tratamento: quais dados seguem adiante, quem os recebe e que finalidade cada ator atende.

O consentimento precisa alcançar cada operação

Datatilsynet concluiu que a Xandr atuou tanto na plataforma do lado vendedor quanto na plataforma do lado comprador, em conjunto com o Grindr como controladora. A autoridade apontou ausência de base legal nos termos do Artigo 6(1) e de uma exceção válida para os dados especiais do Artigo 9. O consentimento explícito era o fundamento relevante, mas a Xandr confiou no consentimento do Grindr sem confirmar, por conta própria, se ele era válido e se abrangia as operações da intermediária.

O alcance da decisão é específico. Ela não declara ilegais todos os leilões de anúncios. Afirma que a posição de intermediária não transforma o consentimento de outro participante em prova automática para o próprio tratamento. Quem é controlador conjunto precisa verificar sua base jurídica. Um contrato pode distribuir tarefas, mas não elimina a responsabilidade de saber o que a plataforma faz com os dados que recebe.

A autoridade diz que as informações foram encaminhadas a potencialmente milhares de outras empresas. O advérbio precisa permanecer: o comunicado aponta uma possibilidade de alcance, não confirma que cada destinatário recebeu ou guardou os dados. O tamanho potencial da cadeia ajuda a explicar por que é difícil para uma pessoa saber onde seus dados chegaram, mas não deve virar uma contagem comprovada.

Um episódio, decisões sobre empresas diferentes

Datatilsynet já havia multado o Grindr em NOK 65 milhões, em 2021, pela conduta de tratamento e divulgação atribuída ao próprio aplicativo. A decisão de 2026 examina o papel da Xandr no mesmo ambiente histórico de publicidade. Não é uma única multa ampliada nem uma repetição contra a mesma parte: a autoridade avaliou se a intermediária tinha de estabelecer a legalidade de sua própria atuação.

Para quem desenha controles, essa distinção evita um erro comum. O aplicativo não pode presumir que a plataforma publicitária assume todas as obrigações; a plataforma tampouco pode concluir que o aceite apresentado pelo aplicativo cobre todo uso posterior. As tarefas podem ser divididas, mas cada empresa precisa identificar os dados que processa, o papel que exerce e a evidência que sustenta sua própria operação.

O valor segue a entidade no período investigado

A Microsoft comprou a Xandr em 2022, depois do período dos fatos. Datatilsynet afirma que calculou a multa com base no faturamento anual da própria Xandr e não usou o da Microsoft, pois a empresa ainda não fazia parte do grupo durante as condutas. A sanção acompanha a empresa e o intervalo investigados, sem atribuir retroativamente a escala da controladora posterior.

A Xandr pode recorrer em até três semanas após receber a decisão. O comunicado não informa a data em que isso ocorreu, então não é possível calcular o prazo a partir de 2 de outubro. Também não confirma se houve recurso. O registro público mostra uma decisão final da autoridade e preserva a via de contestação anunciada.

Aplicação do GDPR, não regra nova

O caso aplica obrigações existentes a evidências de uma rota publicitária entre 2018 e 2020. Não diz que toda plataforma de lance é automaticamente controladora conjunta, que toda publicidade em tempo real viola a lei ou que a Microsoft respondeu por atos de antes da aquisição. A análise depende do papel real de cada participante e do tratamento executado por cada um.

Daniel Kade propõe um comprovante auditável de consentimento por participante e finalidade: dados envolvidos, papel do destinatário, versão do consentimento, escopo transmitido, base legal alegada e registro da checagem independente. É uma proposta editorial, não uma exigência de Datatilsynet. A ideia é permitir verificar o repasse antes da solicitação entrar no leilão, em vez de reconstruir a cadeia somente depois de uma investigação.

Os limites também são claros. A conduta examinada terminou em abril de 2020, e a decisão não descreve a operação atual da Xandr nem da Microsoft. O resumo não lista todos os potenciais destinatários e não estabelece o resultado de eventual recurso. Ainda assim, mostra que uma mensagem automática de lance pode ser um ato de governança: a responsabilidade acompanha o tratamento de cada participante, e não apenas quem construiu a tela de consentimento.

Fontes