TL;DR
Mediante resolución firme del 2 de octubre de 2026, publicada por el CEPD el 16 de octubre, la autoridad noruega de protección de datos impuso a Xandr Inc. (antes AppNexus, hoy parte de Microsoft) una multa de 8,6 millones de euros, 92 millones de coronas. Xandr trataba datos de usuarios noruegos de Grindr durante la puja en tiempo real sin base jurídica (art. 6.1) y sin una excepción válida para los datos de orientación sexual (art. 9.1). El consentimiento recogido por Grindr no era válido y Xandr no lo había comprobado.
Cómo empezó el caso
La reclamación es de 2020 y la presentó el Consejo Noruego de Consumidores (Forbrukerrådet). Se refiere a la puja en tiempo real dentro de Grindr, la app de citas basada en la ubicación dirigida a personas gais, bisexuales, trans y queer: cada vez que se abre un espacio publicitario, los datos del usuario se ofrecen a multitud de anunciantes que pujan en milisegundos. En 2021 la misma autoridad había multado a Grindr con 65 millones de coronas por compartir datos con socios publicitarios.
Qué constató la autoridad
- DATOS TRATADOS. Como mínimo el hecho de que una persona usaba Grindr, el identificador publicitario y la dirección IP: datos personales según el art. 4.1 y, por el propio uso de la app, datos relativos a la orientación sexual según el art. 9.1.
- CORRESPONSABILIDAD. Xandr es corresponsable del tratamiento, tanto como plataforma del lado de la oferta (SSP) como del lado de la demanda (DSP).
- BASE JURÍDICA. Al tratarse de categorías especiales, la base pertinente era el consentimiento explícito del art. 9.2.a). Xandr no lo recogía: se basaba en el de Grindr.
- CONSENTIMIENTO NO VÁLIDO. El consentimiento de Grindr no cumplía los arts. 4.11 y 7, por lo que tampoco podía amparar el tratamiento de Xandr.
- GRAVEDAD. Infracciones al menos negligentes, sobre disposiciones centrales del Reglamento y datos sensibles: de gravedad elevada, según la autoridad.
La responsabilidad no se externaliza
Es el punto que va más allá del adtech. Datatilsynet afirma que cada corresponsable debe verificar de forma independiente que el consentimiento es válido y cubre su propio tratamiento. Una cláusula contractual en la que el socio «garantiza» haber recogido el consentimiento no basta si luego nadie comprueba cómo se pide.
Qué significa para el DPD
Cuatro controles
Uno: inventariar los SDK y socios publicitarios presentes en las apps y webs del cliente, y qué datos reciben. Dos: preguntarse si el propio contexto revela una categoría especial (una app de salud, religión u orientación sexual): si es así, consentimiento explícito o nada. Tres: por cada consentimiento recibido de terceros, conservar la prueba de cómo se pidió y de que cubre exactamente ese tratamiento. Cuatro: formalizar el acuerdo del art. 26 con quien decide conjuntamente fines y medios.
La resolución encaja en una línea europea ya constante sobre la puja en tiempo real, desde la sentencia del Tribunal de Justicia de 2024 sobre el TCF de IAB Europe hasta las investigaciones sobre los intermediarios publicitarios. Para quien recibe datos de una app, la pregunta ya no es «¿tiene el socio un consentimiento?», sino «¿lo he comprobado yo?».
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
