O regulador de privacidade da Noruega impôs uma multa recorde de 92 milhões de coroas norueguesas (9,6 milhões de dólares) à Xandr, uma empresa de tecnologia publicitária agora pertencente à Microsoft, por manusear ilegalmente informações pessoais sensíveis coletadas pelo aplicativo de namoro Grindr. A decisão destaca as responsabilidades das empresas de publicidade que processam informações dos usuários sem interagir diretamente com os indivíduos envolvidos.
A Autoridade Norueguesa de Proteção de Dados, conhecida como Datatilsynet, anunciou a penalidade em 12 de outubro de 2026, após uma investigação sobre práticas publicitárias entre julho de 2018 e abril de 2020. Durante esse período, a Xandr facilitou leilões automatizados de publicidade envolvendo usuários do Grindr, potencialmente disponibilizando informações pessoais para milhares de empresas.
O Grindr atende principalmente usuários LGBTQ+, ou seja, informações que identificam alguém como usuário de aplicativo podem revelar detalhes sensíveis sobre sua orientação sexual. A legislação europeia de privacidade impõe restrições adicionais ao processamento dessas informações, incluindo exigências de consentimento explícito.
Segundo o regulador, a Xandr participou de um sistema conhecido como lance em tempo real, onde anunciantes competem para exibir anúncios quando alguém abre um aplicativo. Informações pessoais são distribuídas para potenciais licitantes durante esse processo, permitindo que as empresas decidam se querem direcionar um usuário específico.
Os investigadores concluíram que a Xandr não possuía uma base legal válida para o processamento das informações. Embora a empresa acreditasse que o Grindr já havia obtido as permissões necessárias, não verificou de forma independente se essas permissões atendiam aos requisitos de privacidade.
A Datatilsynet determinou que a Xandr compartilhava a responsabilidade com o Grindr pelas atividades de processamento. A decisão estabelece que intermediários de publicidade não podem evitar suas obrigações de proteção de dados simplesmente confiando em garantias dos aplicativos que fornecem informações pessoais.
A investigação teve origem em reclamações apresentadas em 2020 pelo Conselho Norueguês do Consumidor e pela organização europeia de privacidade noyb. A pesquisa deles revelou como aplicativos móveis transmitiam informações pessoais para empresas de publicidade, muitas vezes sem que os usuários entendessem a extensão de seus dados sendo distribuídos.
O Grindr já havia recebido uma multa de 65 milhões de coroas em 2021 por violações relacionadas. O Tribunal de Apelação da Noruega confirmou essa penalidade em outubro de 2025.
A Microsoft adquiriu a Xandr após as atividades examinadas na investigação já terem ocorrido. Em resposta à decisão mais recente, a empresa enfatizou que a conduta antecede sua propriedade e afirmou que estava revisando as conclusões do regulador e considerando suas opções.
A penalidade, calculada com a receita da Xandr e não da Microsoft, é a maior já emitida pela autoridade de privacidade da Noruega. A Xandr tem três semanas para recorrer.