L’ente regolatore norvegese sulla privacy ha imposto una multa record di 92 milioni di corone norvegesi (9,6 milioni di dollari) a Xandr, una società di tecnologia pubblicitaria ora di proprietà di Microsoft, per aver gestito illegalmente informazioni personali sensibili raccolte tramite l’app di incontri Grindr. La decisione evidenzia le responsabilità delle società pubblicitarie che elaborano le informazioni degli utenti senza interagire direttamente con le persone interessate.
L’Autorità Norvegese per la Protezione dei Dati, nota come Datatilsynet, ha annunciato la sanzione il 12 ottobre 2026, a seguito di un’indagine sulle pratiche pubblicitarie tra luglio 2018 e aprile 2020. Durante quel periodo, Xandr ha facilitato aste pubblicitarie automatizzate che coinvolgevano utenti di Grindr, potenzialmente rendendo disponibili informazioni personali a migliaia di aziende.
Grindr serve principalmente utenti LGBTQ+, il che significa che le informazioni che identificano qualcuno come utente di app potrebbero rivelare dettagli sensibili sul suo orientamento sessuale. La legislazione europea sulla privacy impone ulteriori restrizioni al trattamento di tali informazioni, inclusi requisiti di consenso esplicito.
Secondo l’ente regolatore, Xandr ha partecipato a un sistema noto come real-time bidding, in cui gli inserzionisti competono per mostrare pubblicità quando qualcuno apre un’applicazione. Durante questo processo vengono distribuite informazioni personali ai potenziali offerenti, permettendo alle aziende di decidere se prendere di mira un determinato utente.
Gli investigatori conclusero che Xandr non disponeva di una base legale valida per elaborare le informazioni. Sebbene la società ritenesse che Grindr avesse già ottenuto i permessi necessari, non aveva verificato in modo indipendente se tali permessi soddisfacessero i requisiti di privacy.
Datatilsynet ha stabilito che Xandr condivideva la responsabilità con Grindr per le attività di elaborazione. La sentenza stabilisce che gli intermediari pubblicitari non possono evitare i loro obblighi di protezione dei dati semplicemente affidandosi alle garanzie delle applicazioni che forniscono informazioni personali.
L’indagine è nata da reclami presentati nel 2020 dal Consiglio Norvegese dei Consumatori e dall’organizzazione europea per la privacy noyb. La loro ricerca ha messo in luce come le applicazioni mobili trasmettevano informazioni personali alle aziende pubblicitarie, spesso senza che gli utenti comprendessero quanto ampiamente venissero distribuiti i loro dati.
Grindr aveva già ricevuto una multa di 65 milioni di corone nel 2021 per violazioni correlate. La Corte d’Appello norvegese ha confermato tale sanzione nell’ottobre 2025.
Microsoft ha acquisito Xandr dopo che le attività esaminate nell’indagine erano già avvenute. In risposta all’ultima decisione, l’azienda ha sottolineato che il comportamento precedente alla sua proprietà e ha affermato di stare esaminando le conclusioni dell’ente regolatore e valutare le sue opzioni.
La sanzione, calcolata utilizzando i ricavi di Xandr e non quelli di Microsoft, è la più grande mai emessa dall’autorità norvegese per la privacy. Xandr ha tre settimane per fare ricorso.