TL;DR
Con decisione definitiva del 2 ottobre 2026, pubblicata dall'EDPB il 16 ottobre, l'autorità norvegese per la protezione dei dati ha inflitto a Xandr Inc. (già AppNexus, oggi parte di Microsoft) una sanzione di 8,6 milioni di euro, 92 milioni di corone. Xandr trattava i dati degli utenti norvegesi di Grindr durante il real-time bidding senza base giuridica (art. 6, par. 1) e senza un'eccezione valida per i dati sull'orientamento sessuale (art. 9, par. 1). Il consenso raccolto da Grindr era invalido, e Xandr non lo aveva verificato.
Come nasce il caso
Il reclamo risale al 2020 ed è del Consiglio norvegese dei consumatori (Forbrukerrådet). Riguarda il real-time bidding dentro Grindr, l'app di incontri basata sulla posizione e rivolta a persone gay, bisessuali, trans e queer: ogni volta che si apre uno spazio pubblicitario, i dati dell'utente vengono offerti a una platea di inserzionisti che fanno un'offerta in pochi millisecondi. Nel 2021 la stessa autorità aveva sanzionato Grindr per 65 milioni di corone per la condivisione dei dati con i partner pubblicitari.
Che cosa ha accertato l'autorità
- DATI TRATTATI. Almeno il fatto che una persona usasse Grindr, l'ID pubblicitario e l'indirizzo IP: dati personali ai sensi dell'art. 4, n. 1, e, per l'uso stesso dell'app, dati relativi all'orientamento sessuale ai sensi dell'art. 9, par. 1.
- CONTITOLARITÀ. Xandr è contitolare del trattamento, sia come piattaforma lato offerta (SSP) sia come piattaforma lato domanda (DSP).
- BASE GIURIDICA. Trattandosi di categorie particolari, la base pertinente era il consenso esplicito dell'art. 9, par. 2, lett. a). Xandr non lo raccoglieva: si basava su quello di Grindr.
- CONSENSO INVALIDO. Il consenso di Grindr non rispettava gli artt. 4, n. 11, e 7, quindi non poteva coprire nemmeno il trattamento di Xandr.
- GRAVITÀ. Violazioni almeno colpose, su disposizioni centrali del regolamento e su dati sensibili: per l'autorità, di elevata gravità.
La responsabilità non si esternalizza
È il punto che va oltre l'adtech. Datatilsynet scrive che ogni contitolare deve verificare in modo autonomo che il consenso sia valido e copra il proprio trattamento. Una clausola contrattuale in cui il partner «garantisce» di aver raccolto il consenso non basta, se poi nessuno controlla come quel consenso viene chiesto.
Che cosa vuol dire per il DPO
Quattro controlli
Uno: mappare gli SDK e i partner pubblicitari presenti nelle app e nei siti del cliente, e quali dati ricevono. Due: chiedersi se il contesto stesso rivela una categoria particolare (un'app per la salute, per la religione, per l'orientamento sessuale): se sì, serve il consenso esplicito o niente. Tre: per ogni consenso ricevuto da terzi, conservare la prova di come è stato chiesto e che copre proprio quel trattamento. Quattro: formalizzare l'accordo dell'art. 26 con chi decide insieme finalità e mezzi.
La decisione si inserisce in una linea europea ormai costante sul real-time bidding, dalla sentenza della Corte di giustizia del 2024 sul TCF di IAB Europe alle indagini sulle piattaforme di intermediazione pubblicitaria. Per chi riceve dati da un'app, la domanda non è più «il partner ha un consenso?», ma «l'ho verificato io?».
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
