La unidad publicitaria de Microsoft recibe la sanción más alta en la historia del regulador noruego por transferir información sensible de usuarios a anunciantes sin base legal.
La Autoridad Noruega de Protección de Datos impuso una multa de €8.6 millones ($9.62 millones) a Xandr, la unidad publicitaria propiedad de Microsoft, por transferir ilegalmente datos sensibles de usuarios de Grindr a anunciantes externos. La sanción, anunciada esta semana, constituye la penalidad más alta emitida por el regulador noruego en su historia y marca un precedente en la aplicación de normativas de privacidad sobre el ecosistema de publicidad programática.
El caso se centra en la transferencia de información que revelaba la orientación sexual de usuarios de Grindr — una categoría de datos considerada especialmente sensible bajo el Reglamento General de Protección de Datos (GDPR) europeo. La autoridad noruega calificó la infracción como de naturaleza muy seria, lo que justificó el monto récord de la sanción. Xandr operaba como intermediario en la cadena de publicidad programática, procesando datos de usuarios para dirigir anuncios personalizados.
El flujo de datos que conectó identidad con orientación sexual
La infracción documentada por el regulador noruego involucró el procesamiento de datos de usuarios de Grindr — una aplicación de citas orientada a hombres que buscan hombres — a través de la plataforma publicitaria de Xandr. El simple hecho de que un usuario esté activo en Grindr constituye un dato que revela orientación sexual, categoría que el GDPR clasifica como dato sensible y que requiere protecciones adicionales más allá del consentimiento estándar.
Xandr recibía estos datos como parte del flujo de Real-Time Bidding (RTB), el sistema mediante el cual los espacios publicitarios en aplicaciones se subastan en milisegundos entre múltiples anunciantes. En ese proceso, información sobre el usuario — incluyendo identificadores de dispositivo, ubicación y el contexto de la aplicación en uso — se transmite a decenas de potenciales compradores de publicidad. Cuando la aplicación en cuestión es Grindr, el contexto mismo se convierte en dato sensible.
La autoridad noruega determinó que Xandr no contaba con base legal suficiente para procesar esta categoría de información. El GDPR establece que los datos sensibles solo pueden procesarse bajo condiciones excepcionales — consentimiento explícito y específico, necesidad para protección de intereses vitales, o cumplimiento de obligaciones legales — ninguna de las cuales aplicaba en este caso de publicidad comercial.
Por qué esta multa importa más allá de Noruega
El monto de €8.6 millones no es el más alto en la historia del GDPR — ese récord lo mantiene la multa de €746 millones a Amazon en 2021 — pero sí representa la sanción más significativa emitida por la autoridad noruega. Más importante que la cifra es el precedente que establece sobre la responsabilidad de los intermediarios en la cadena publicitaria.
Xandr no era el recolector original de los datos — ese rol correspondía a Grindr — pero la autoridad noruega determinó que como procesador y redistribuidor de esa información, Xandr tenía obligación independiente de verificar la legalidad del procesamiento. Esta interpretación amplía el alcance de responsabilidad en el ecosistema RTB, donde tradicionalmente los intermediarios argumentaban que solo ejecutaban instrucciones de terceros.
Para América Latina, donde el ecosistema de publicidad programática opera con los mismos actores globales pero bajo marcos regulatorios menos desarrollados, el caso expone una vulnerabilidad estructural. Plataformas de RTB como Xandr procesan datos de usuarios latinoamericanos en aplicaciones de citas, salud mental, finanzas personales y otros contextos sensibles, sin que exista en la mayoría de países de la región capacidad de auditoría equivalente a la europea. Brasil, con su Ley General de Protección de Datos (LGPD) vigente desde 2020, tiene el marco legal más cercano al GDPR, pero la Autoridad Nacional de Protección de Datos (ANPD) aún no ha emitido sanciones de magnitud comparable en casos de publicidad programática.
El patrón que ya había aparecido en 2020
Este no es el primer caso documentado de filtración de datos de Grindr a través de intermediarios publicitarios. En 2020, el Consejo Noruego del Consumidor publicó un informe técnico titulado «Out of Control» que detallaba cómo Grindr compartía datos de usuarios — incluyendo ubicación precisa, identificadores de dispositivo y el hecho mismo de usar la aplicación — con al menos 135 organizaciones a través de su integración con redes publicitarias.
Ese informe llevó a que la autoridad noruega iniciara investigaciones contra Grindr y sus socios publicitarios. Grindr recibió una multa de €6.3 millones en 2021, posteriormente reducida a €5.5 millones en apelación. La multa actual a Xandr forma parte de la misma investigación, pero se procesó de manera separada porque involucraba a un actor diferente en la cadena de datos.
Lo que el patrón revela es que el problema no se limitaba a las prácticas de una aplicación específica, sino a la arquitectura misma del ecosistema RTB. Cuando una aplicación integra un SDK (kit de desarrollo de software) publicitario, ese código ejecuta conexiones a múltiples servidores de terceros cada vez que se abre la app. Los datos fluyen antes de que el usuario vea ningún anuncio — el simple hecho de abrir Grindr ya había transmitido información sensible a docenas de empresas.
Nuestro análisis
La multa a Xandr confirma una tendencia que venimos observando desde 2021: los reguladores europeos están cerrando la brecha de responsabilidad en la cadena publicitaria programática. Durante años, los intermediarios RTB operaron bajo el supuesto de que su rol técnico los eximía de responsabilidad sobre el contenido de los datos que procesaban. Esa defensa ya no es viable bajo la interpretación actual del GDPR.
Lo que hace este caso particularmente significativo es que involucra a Microsoft — una empresa que ha posicionado públicamente su compromiso con la privacidad como diferenciador competitivo frente a Google y Meta. Xandr fue adquirida por Microsoft en 2021 (la empresa la había comprado previamente a AT&T) precisamente como parte de una estrategia para competir en publicidad digital con un enfoque supuestamente más respetuoso de la privacidad. La multa noruega sugiere que la integración de Xandr en Microsoft no resolvió los problemas de cumplimiento heredados de su operación anterior.
Lo que aún no sabemos es si Microsoft implementó cambios técnicos en la plataforma Xandr después de la investigación inicial de 2020, o si la multa se basa exclusivamente en infracciones anteriores a la adquisición. La autoridad noruega no ha publicado la resolución completa, y Microsoft no ha emitido declaraciones detalladas sobre qué modificaciones específicas realizó en el procesamiento de datos sensibles. Esa opacidad es en sí misma parte del problema: el ecosistema RTB opera con tan poca transparencia que ni siquiera después de una multa récord queda claro qué cambió exactamente en la cadena de datos.
Si el patrón se mantiene, deberíamos esperar sanciones similares contra otros intermediarios que participaron en el mismo flujo de datos de Grindr — la investigación noruega de 2020 identificó más de cien empresas en esa cadena. ¿Cuántas de ellas procesaron datos sensibles sin base legal, y cuántas están ahora bajo escrutinio regulatorio sin que se haya hecho público?