TL;DR
Por decisão definitiva de 2 de outubro de 2026, publicada pelo CEPD a 16 de outubro, a autoridade norueguesa de proteção de dados aplicou à Xandr Inc. (antiga AppNexus, hoje parte da Microsoft) uma coima de 8,6 milhões de euros, 92 milhões de coroas. A Xandr tratava dados de utilizadores noruegueses do Grindr durante a licitação em tempo real sem fundamento jurídico (art. 6.º, n.º 1) e sem exceção válida para dados relativos à orientação sexual (art. 9.º, n.º 1). O consentimento recolhido pelo Grindr era inválido e a Xandr não o tinha verificado.
Como começou o caso
A queixa é de 2020 e foi apresentada pelo Conselho Norueguês dos Consumidores (Forbrukerrådet). Diz respeito à licitação em tempo real dentro do Grindr, a aplicação de encontros baseada na localização dirigida a pessoas gay, bissexuais, trans e queer: sempre que se abre um espaço publicitário, os dados do utilizador são oferecidos a uma multidão de anunciantes que licitam em milissegundos. Em 2021, a mesma autoridade tinha aplicado ao Grindr uma coima de 65 milhões de coroas pela partilha de dados com parceiros publicitários.
O que a autoridade apurou
- DADOS TRATADOS. Pelo menos o facto de a pessoa usar o Grindr, o identificador de publicidade e o endereço IP: dados pessoais na aceção do art. 4.º, ponto 1, e, pelo próprio uso da aplicação, dados relativos à orientação sexual na aceção do art. 9.º, n.º 1.
- RESPONSABILIDADE CONJUNTA. A Xandr é responsável conjunta pelo tratamento, tanto como plataforma do lado da oferta (SSP) como do lado da procura (DSP).
- FUNDAMENTO JURÍDICO. Tratando-se de categorias especiais, o fundamento pertinente era o consentimento explícito do art. 9.º, n.º 2, alínea a). A Xandr não o recolhia: baseava-se no do Grindr.
- CONSENTIMENTO INVÁLIDO. O consentimento do Grindr não cumpria os arts. 4.º, ponto 11, e 7.º, pelo que também não podia cobrir o tratamento da Xandr.
- GRAVIDADE. Infrações pelo menos negligentes, de disposições centrais do regulamento e com dados sensíveis: de gravidade elevada, segundo a autoridade.
A responsabilidade não se externaliza
É o ponto que vai além da adtech. A Datatilsynet afirma que cada responsável conjunto tem de verificar de forma autónoma que o consentimento é válido e cobre o seu próprio tratamento. Uma cláusula contratual em que o parceiro «garante» ter recolhido o consentimento não chega, se depois ninguém controla a forma como é pedido.
O que significa para o EPD
Quatro verificações
Uma: inventariar os SDK e parceiros publicitários presentes nas aplicações e sítios do cliente, e que dados recebem. Duas: perguntar se o próprio contexto revela uma categoria especial (uma aplicação de saúde, religião ou orientação sexual): se sim, é consentimento explícito ou nada. Três: para cada consentimento recebido de terceiros, conservar a prova de como foi pedido e de que cobre exatamente esse tratamento. Quatro: formalizar o acordo do art. 26.º com quem determina conjuntamente finalidades e meios.
A decisão insere-se numa linha europeia já constante sobre a licitação em tempo real, desde o acórdão do Tribunal de Justiça de 2024 sobre o TCF da IAB Europe às investigações aos intermediários publicitários. Para quem recebe dados de uma aplicação, a pergunta já não é «o parceiro tem consentimento?», mas «verifiquei-o eu?».
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
