A Autoridade de Proteção de Dados da Noruega multou a empresa de tecnologia publicitária Xandr Inc. em EUR 8.600.000 por processar ilegalmente dados pessoais de usuários do Grindr durante leilões em tempo real (real-time bidding), conforme resumo publicado pelo Comitê Europeu de Proteção de Dados (EDPB). A Xandr era conhecida como AppNexus quando o caso teve início e atualmente faz parte da Microsoft.

A decisão fundamenta-se em dois dispositivos do GDPR: o Artigo 6, sobre licitude do tratamento, e o Artigo 9, sobre categorias especiais de dados pessoais. O EDPB registra a data da decisão final como 2 de outubro de 2026 e a classifica como um caso nacional que resultou em multa administrativa. O resumo completo está disponível no site do EDPB.

O caso tem um histórico longo. Teve início em 2020, quando o Conselho de Consumidores da Noruega apresentou uma reclamação contra a Xandr perante a DPA norueguesa. A reclamação dizia respeito ao real-time bidding no Grindr, um aplicativo de relacionamento baseado em localização voltado para pessoas gays, bi, trans e queer. O real-time bidding é o processo de leilão no qual espaços publicitários são vendidos ao maior lance nos milissegundos entre um usuário abrir um aplicativo e o anúncio carregar. Cada leilão carrega dados sobre o usuário para que os licitantes possam decidir quanto vale a impressão.

A DPA considerou comprovado, por aquilo que denomina clara preponderância de probabilidade, que a Xandr processou dados pessoais de usuários do Grindr durante esse leilão. No mínimo, esses dados abrangiam o fato de que um indivíduo estava usando o Grindr, o ID de publicidade do usuário e o endereço IP do usuário. O regulador tratou esses elementos como dados pessoais nos termos do Artigo 4(1) do GDPR e, em razão da natureza do Grindr, como dados relativos à orientação sexual nos termos do Artigo 9(1).

Essa segunda constatação foi o que determinou o desfecho. Uma vez que os dados se enquadram em uma categoria especial, as bases legais ordinárias do Artigo 6 não são suficientes por si sós. A DPA concluiu que o consentimento explícito previsto no Artigo 9(2)(a) era a base legal aplicável ao caso. A Xandr não coletou esse consentimento diretamente. Ela se apoiou no consentimento obtido pelo Grindr, e a DPA entendeu que o consentimento do Grindr era inválido nos termos dos Artigos 4(11) e 7 do GDPR, que estabelecem a definição de consentimento e as condições para sua validade.

A DPA também rejeitou a ideia de que a Xandr era mera intermediária. Concluiu que a empresa é controladora conjunta pelo tratamento realizado nas duas funções que desempenhou no leilão, como plataforma do lado da oferta (supply-side platform) e como plataforma do lado da demanda (demand-side platform). O resumo publicado expõe a posição da DPA com clareza: a responsabilidade não pode ser terceirizada. O texto do EDPB disponível no momento da redação deste artigo é interrompido nesse ponto, de modo que o raciocínio completo por trás dessa conclusão, bem como eventuais detalhes sobre o cálculo da multa, ainda não estão visíveis no resumo.

O resumo também não informa se a Xandr ou a Microsoft pretende contestar a decisão, e não inclui qualquer declaração de nenhuma das empresas. Os leitores devem tratar a multa como o fato principal e aguardar a decisão completa antes de tirar conclusões sobre ordens de remediação ou prazos.

Para profissionais de identidade, este caso é menos uma história sobre publicidade e mais uma história sobre confiança delegada. A Xandr aceitou um sinal de consentimento de uma parte upstream e construiu tratamento de dados sobre ele. O regulador afirmou que esse sinal não tinha validade e que a parte downstream é a responsável pelo problema de qualquer forma. Quem opera uma federação, uma plataforma de CIAM ou uma integração com parceiros vai reconhecer o formato desse argumento. Confiar em uma afirmação que não foi verificada é uma tradição consagrada na engenharia, e a multa mostra que o preço praticado por isso na Noruega é agora EUR 8,6 milhões. O aspecto encorajador é que a correção é simples e bem conhecida: saber quais dados você recebe, saber por que está autorizado a tê-los e ser capaz de comprovar ambos.

Equipes de identidade e segurança devem verificar três pontos. Primeiro, faça um inventário de todos os sinais de consentimento ou base legal de terceiros dos quais seus sistemas dependem (strings de consentimento, flags de parceiros, claims de SSO sobre concordância do usuário) e confirme que você consegue demonstrar como esse consentimento foi obtido e que ele atende aos Artigos 4(11) e 7, em vez de presumir que o remetente realizou esse trabalho. Segundo, avalie se algum atributo que você trata revela dados de categoria especial por implicação, como o simples fato de pertencer a um serviço voltado para um grupo protegido, e se a sua base legal para esse atributo é o consentimento explícito em vez do interesse legítimo. Terceiro, revisite os papéis de controlador e operador nos seus acordos de processamento de dados para qualquer estrutura que se assemelhe a uma plataforma de dois lados, pois a DPA tratou ambos os lados do leilão como controlador conjunto, e seus contratos podem não contemplar isso.