La Autoridad Noruega de Protección de Datos ha multado a la empresa de tecnología publicitaria Xandr Inc. con 8.600.000 euros por tratar ilegalmente datos personales de usuarios de Grindr durante pujas en tiempo real, según un resumen publicado por el Comité Europeo de Protección de Datos. Xandr se llamaba AppNexus cuando comenzó el caso y actualmente forma parte de Microsoft.

La decisión se apoya en dos disposiciones del RGPD: el artículo 6 sobre la licitud del tratamiento y el artículo 9 sobre categorías especiales de datos personales. El EDPB registra como fecha de la decisión definitiva el 2 de octubre de 2026 y la clasifica como un caso nacional que resulta en una sanción administrativa. El resumen completo está disponible en el sitio web del EDPB.

El caso tiene un largo recorrido. Se inició en 2020, cuando el Consejo de Consumidores de Noruega presentó una reclamación contra Xandr ante la autoridad noruega de protección de datos. La reclamación tenía por objeto las pujas en tiempo real en Grindr, una aplicación de citas basada en geolocalización dirigida a personas gais, bisexuales, trans y queer. Las pujas en tiempo real son el proceso de subasta mediante el cual se venden espacios publicitarios al mejor postor en los milisegundos que transcurren entre que un usuario abre una aplicación y se carga el anuncio. Cada subasta incluye datos sobre el usuario para que los pujadores puedan determinar cuánto vale la impresión.

La autoridad consideró probado, conforme a lo que denomina una preponderancia clara de probabilidad, que Xandr trató datos personales de usuarios de Grindr durante esas pujas. Como mínimo, dichos datos incluían el hecho de que una persona utilizaba Grindr, el identificador publicitario del usuario y su dirección IP. El regulador los calificó como datos personales según el artículo 4(1) del RGPD y, dado el carácter de Grindr, como datos relativos a la orientación sexual conforme al artículo 9(1).

Esta segunda conclusión fue la que determinó el resultado. Cuando los datos entran dentro de una categoría especial, las bases jurídicas ordinarias del artículo 6 no son suficientes por sí solas. La autoridad concluyó que el consentimiento explícito previsto en el artículo 9(2)(a) era la base jurídica aplicable en este caso. Xandr no recabó ese consentimiento por sí misma, sino que se apoyó en el consentimiento obtenido por Grindr, y la autoridad declaró que dicho consentimiento era inválido conforme a los artículos 4(11) y 7 del RGPD, que establecen la definición de consentimiento y las condiciones para su validez.

La autoridad también rechazó la idea de que Xandr fuera un mero intermediario. Concluyó que la empresa era responsable conjunta del tratamiento en los dos roles que desempeñaba en la subasta: como plataforma del lado de la oferta y como plataforma del lado de la demanda. El resumen publicado expone la postura de la autoridad sin ambigüedades: la responsabilidad no puede externalizarse. El texto del EDPB disponible en el momento de redactar este artículo se interrumpe en ese punto, por lo que el razonamiento completo detrás de esa afirmación y los detalles sobre el cálculo de la multa no son aún visibles en el resumen.

El resumen tampoco indica si Xandr o Microsoft tienen intención de recurrir la decisión, y no incluye ninguna declaración de ninguna de las dos empresas. Los lectores deben tratar la multa como el dato principal y esperar a la decisión completa antes de extraer conclusiones sobre órdenes de corrección o plazos.

Para los profesionales de la identidad, esto es menos una historia sobre publicidad y más una historia sobre confianza delegada. Xandr aceptó una señal de consentimiento de una parte anterior en la cadena y construyó su tratamiento sobre ella. El regulador declaró que esa señal carecía de valor y que la parte posterior en la cadena es responsable del problema en cualquier caso. Cualquiera que gestione una federación, una plataforma CIAM o una integración con socios reconocerá la forma de ese argumento. Confiar en una afirmación que uno mismo no ha verificado es una tradición de ingeniería consagrada por el tiempo, y la multa muestra que el precio vigente por ello en Noruega es ahora de 8,6 millones de euros. Lo alentador es que la solución es aburrida y bien conocida: saber qué datos se reciben, saber por qué se está autorizado a tenerlos, y poder demostrar ambas cosas.

Los equipos de identidad y seguridad deben verificar tres aspectos. En primer lugar, inventariar todas las señales de consentimiento o base jurídica de terceros de las que dependen sus sistemas (cadenas de consentimiento, indicadores de socios, claims de SSO sobre el acuerdo del usuario) y confirmar que pueden acreditar cómo se obtuvo ese consentimiento y que cumple los artículos 4(11) y 7, en lugar de asumir que quien lo envió realizó ese trabajo. En segundo lugar, revisar si algún atributo que se trata revela datos de categoría especial por implicación, como el mero hecho de pertenecer a un servicio dirigido a un grupo protegido, y si la base jurídica para ese atributo es el consentimiento explícito en lugar del interés legítimo. En tercer lugar, revisar los roles de responsable y encargado del tratamiento en los acuerdos de tratamiento de datos para todo aquello que tenga el aspecto de una plataforma de dos caras, dado que la autoridad trató a ambos lados de la subasta como responsables conjuntos, y es posible que los contratos actuales no lo contemplen.