Noruega multa a Xandr, de Microsoft, por datos de Grindr

La Autoridad Noruega de Protección de Datos (Datatilsynet) multó con 92 millones de coronas noruegas a Xandr, empresa de publicidad digital que hoy es propiedad de Microsoft. La propia autoridad la describe como la más alta que ha dictado hasta ahora. Según el organismo, Xandr trató datos personales de usuarios de Grindr en Noruega, incluidos datos que revelan orientación sexual, sin una base legal válida. La decisión se publicó el 12 de octubre de 2026.

El tratamiento ocurrió mediante subastas publicitarias en tiempo real: sistemas que ofrecen la información de cada usuario a posibles compradores de anuncios, sin que él lo sepa. Los hechos sancionados van de julio de 2018 a abril de 2020, y la autoridad tomó esa duración como agravante.

Datatilsynet concluyó que Xandr y Grindr eran corresponsables del tratamiento. Rechazó el argumento de Xandr de que creía que Grindr había obtenido un consentimiento válido. Line Coll, directora general del organismo, resumió la postura en el comunicado: la responsabilidad de proteger los datos no se puede trasladar a terceros.

La cifra y los plazos

Cada fuente da su propia equivalencia. La autoridad habla de unos 8.6 millones de euros; noyb, la organización austriaca que presentó la queja, de 8.5 millones de euros; y BleepingComputer, de 9.6 millones de dólares. Esta nota no hace su propia conversión. La multa se calculó sobre la facturación de Xandr y no sobre la de Microsoft, porque en el periodo investigado Xandr no formaba parte de la compañía.

El plazo de Xandr para apelar es de tres semanas a partir de que le notificaron la resolución. Microsoft respondió a BleepingComputer que las pesquisas se refieren a hechos previos a la compra de Xandr y que ahora revisa el fallo y "evalúa sus opciones".

El origen del caso

El caso arrancó en 2020, cuando noyb y el Consejo Noruego del Consumidor presentaron tres quejas al amparo del RGPD, el reglamento europeo de protección de datos. Apuntaban a Grindr y a varias empresas de publicidad que recibían datos mediante la aplicación. La de Xandr es una de ellas. Grindr ya había sido sancionada en 2021 en Noruega, con 65 millones de coronas, por faltas parecidas; el Tribunal de Apelaciones de Borgarting confirmó esa multa.

Felix Mikolasch, de noyb, dijo que la decisión "sienta un valioso precedente para casos similares". En la práctica, la sanción llega a quien compra los datos y no solo a la aplicación que los entrega, algo poco frecuente en este tipo de casos. La resolución rige en Noruega y no tiene efecto jurídico en México, donde la protección de datos de particulares corresponde a la Secretaría Anticorrupción y Buen Gobierno.

Falta saber si Xandr apelará, y los artículos exactos del RGPD aplicados, que el comunicado no cita y constan en el PDF de la decisión, que esta redacción no consultó.