Noruega multa con 9,6 millones de dólares a la empresa publicitaria de Microsoft por compartir datos de Grindr

La Autoridad de Protección de Datos de Noruega (Datatilsynet) ha sancionado a Xandr, empresa de publicidad propiedad de Microsoft, con una multa de 9,6 millones de dólares (92 millones de coronas noruegas) por el tratamiento y la cesión ilegales de datos sensibles de usuarios de Grindr en el país. Según la autoridad, se trata de la multa más elevada que ha impuesto nunca.

«Hemos impuesto una multa tan alta en este caso porque las infracciones que identificamos eran muy graves», declaró Line Coll, directora general de Datatilsynet. «Miles de usuarios en Noruega se han visto sometidos a una cesión ilegal de sus datos sensibles».

Según las conclusiones de la autoridad, entre julio de 2018 y abril de 2020, Xandr gestionó subastas publicitarias en tiempo real dentro de Grindr que potencialmente expusieron datos de los usuarios, incluida información sensible sobre su orientación sexual, a miles de empresas. Estas subastas funcionan mediante pujas de anunciantes por el derecho a mostrar un anuncio a un usuario de Grindr tras recibir información de perfilado de Xandr, que actuaba como intermediario.

En aquel momento, Xandr era corresponsable del tratamiento junto con Grindr, lo que implicaba responsabilidad sobre el uso de los datos y la obligación de exigir y obtener el consentimiento explícito de los interesados para ese tratamiento. Grindr es una aplicación de citas basada en la ubicación dirigida principalmente a la comunidad LGBTQ+.

Según la agencia noruega de privacidad, Xandr asumió que Grindr había obtenido un consentimiento válido, pero no hizo nada para verificarlo. «Xandr omitió comprobar que los consentimientos de Grindr fueran válidos y no hizo nada para asegurarse de tener una base legal para su propio tratamiento», afirmó Coll.

Como resultado, información sensible de usuarios de Grindr de Noruega y otros países quedó expuesta a miles de anunciantes sin que los usuarios lo supieran ni hubieran otorgado nunca su consentimiento explícito.

La organización austriaca sin ánimo de lucro de derechos de privacidad Noyb, que presentó la denuncia original en enero de 2020 junto con el Consejo de Consumidores Noruego (Forbrukerrådet), aplaudió la decisión de Datatilsynet y la calificó como «un duro golpe para la industria publicitaria en línea».

Según la organización, la resolución frena las malas prácticas de los grandes actores de la publicidad en línea y la vigilancia comercial, incluido el intercambio ilimitado y encubierto de datos sensibles de usuarios entre sitios web, aplicaciones, plataformas y sistemas operativos. «La multa actual demuestra que empresas como Xandr acaban rindiendo cuentas por sus prácticas oscuras», señaló Noyb. «El perfilado de los intereses, hábitos, ubicación y comportamiento de las personas exige un consentimiento válido, que las empresas de tecnología publicitaria casi nunca obtienen».

Xandr, que ahora opera como Microsoft Advertising, dispone de tres semanas para recurrir la decisión. BleepingComputer contactó con Microsoft para obtener comentarios sobre la resolución de la agencia noruega, y un portavoz subrayó que la investigación y su resultado «se centraron en conductas anteriores a la adquisición de Xandr por parte de Microsoft». Desde entonces, añadió el portavoz, los marcos legales y la forma en que se interpretan y aplican han cambiado, y Microsoft está «revisando la decisión y evaluando nuestras opciones».