Xandr Fined a Record €8.6 Million for Relaying Grindr Data Revealing Sexual Orientation
The Hacker News · 13 oct, 15:12
La Autoridad Noruega de Protección de Datos ha impuesto una multa de €8,6 millones a Xandr (unidad publicitaria de Microsoft) por transmitir ilegalmente datos sensibles de usuarios de Grindr, incluida su orientación sexual, a miles de empresas publicitarias. Los incumplimientos ocurrieron entre julio de 2018 y abril de 2020, cuando Xandr participaba en subastas de publicidad en tiempo real. La multa, la mayor emitida por este organismo noruego, refleja la gravedad de exponer datos íntimos sin consentimiento explícito de los usuarios.
La investigación de la autoridad noruega estableció que Xandr actuaba como responsable conjunto del tratamiento de datos con Grindr, por lo que tenía la obligación legal de obtener el consentimiento de los usuarios antes de procesar sus datos. Sin embargo, Xandr asumió erróneamente que Grindr había obtenido el consentimiento, eludiendo su propia responsabilidad. Durante el período de infracción, cuando los usuarios abrían Grindr, sus datos personales se transmitían a través de Xandr a potencialmente miles de actores en el ecosistema publicitario, permitiendo que los anunciantes pujaran entre sí para mostrar anuncios dirigidos completamente ocultos al usuario.
La multa se calculó considerando la facturación anual total de Xandr durante el período de dos años anterior a la adquisición por Microsoft en diciembre de 2021. El organismo de defensa del consumidor noruego y la ONG austriaca noyb presentaron la denuncia en 2020. Xandr dispone de tres semanas para apelar. Este caso se suma a la multa de £26 millones que Grindr pagó en el Reino Unido por compartir información de usuarios, incluido estado de VIH, con terceros.
Puntos clave
- Xandr transmitía datos de orientación sexual de usuarios noruegos a miles de anunciantes sin consentimiento
- Actuaba como responsable conjunto con Grindr pero no obtuvo el consentimiento requerido legalmente
- Los datos se distribuían en subastas publicitarias en tiempo real (real-time bidding)
- Multa de €8,6 millones, la mayor de la autoridad noruega de protección de datos
- Xandr (adquirida por Microsoft en 2021) tiene tres semanas para apelar