El regulador de privacidad de Noruega ha impuesto una multa récord de 92 millones de coronas noruegas (9,6 millones de dólares) a Xandr, una empresa de tecnología publicitaria ahora propiedad de Microsoft, por manipular ilegalmente información personal sensible recopilada a través de la aplicación de citas Grindr. La decisión pone de relieve las responsabilidades de las empresas publicitarias que procesan información de usuarios sin interactuar directamente con las personas implicadas.
La Autoridad Noruega de Protección de Datos, conocida como Datatilsynet, anunció la sanción el 12 de octubre de 2026, tras una investigación sobre prácticas publicitarias entre julio de 2018 y abril de 2020. Durante ese periodo, Xandr facilitó subastas publicitarias automatizadas que involucraban a usuarios de Grindr, lo que podría poner a disposición de miles de empresas información personal.
Grindr atiende principalmente a usuarios LGBTQ+, lo que significa que la información que identifica a alguien como usuario de una app podría revelar detalles sensibles sobre su orientación sexual. La legislación europea de privacidad impone restricciones adicionales al procesamiento de dicha información, incluyendo requisitos de consentimiento explícito.
Según el regulador, Xandr participó en un sistema conocido como ofertas en tiempo real, en el que los anunciantes compiten para mostrar anuncios cuando alguien abre una aplicación. Durante este proceso, la información personal se distribuye a posibles licitadores, permitiendo a las empresas decidir si quieren dirigirse a un usuario en particular.
Los investigadores concluyeron que Xandr carecía de una base legal válida para procesar la información. Aunque la empresa creía que Grindr ya había obtenido los permisos necesarios, no había verificado de forma independiente si dichos permisos cumplían con los requisitos de privacidad.
Datatilsynet determinó que Xandr compartía la responsabilidad con Grindr por las actividades de procesamiento. La sentencia establece que los intermediarios publicitarios no pueden eludir sus obligaciones de protección de datos simplemente confiando en las garantías de las aplicaciones que suministran información personal.
La investigación se originó a partir de quejas presentadas en 2020 por el Consejo Noruego del Consumidor y la organización europea de privacidad noyb. Su investigación expuso cómo las aplicaciones móviles transmitían información personal a empresas publicitarias, a menudo sin que los usuarios comprendieran hasta qué punto se estaban distribuyendo sus datos.
Grindr había recibido previamente una multa de 65 millones de coronas en 2021 por infracciones relacionadas. El Tribunal de Apelación de Noruega confirmó esa sanción en octubre de 2025.
Microsoft adquirió Xandr después de que las actividades examinadas en la investigación ya hubieran ocurrido. En respuesta a la última decisión, la empresa enfatizó que la conducta precedía a su propiedad y dijo que estaba revisando las conclusiones del regulador y considerando sus opciones.
La sanción, calculada con los ingresos de Xandr en lugar de los de Microsoft, es la mayor jamás impuesta por la autoridad de privacidad de Noruega. Xandr tiene tres semanas para apelar.