La Autoridad de Protección de Datos de Noruega (DPA) ha impuesto una multa administrativa de 8,6 millones de euros a Xandr Inc., una empresa de tecnología publicitaria, por procesar datos personales de usuarios de Grindr sin una base legal válida. La decisión se tomó el 2 de octubre de 2026, tras una queja presentada en 2020 por el Consejo de Consumidores noruego.
El caso se centra en el uso de la aplicación de citas Grindr, que está dirigida a personas LGBTQ+. La DPA determinó que Xandr procesó datos personales de los usuarios, incluyendo su identificación publicitaria y direcciones IP, durante las subastas en tiempo real, lo que constituye un tratamiento de datos bajo el Reglamento General de Protección de Datos (GDPR).
Xandr fue considerado un controlador conjunto del procesamiento de estos datos, tanto como plataforma de oferta como de demanda. La DPA concluyó que la empresa no obtuvo el consentimiento explícito necesario para procesar datos de categorías especiales, como la orientación sexual, y que la responsabilidad no puede ser delegada a otros, en este caso, a Grindr.
Qué significa para su organización
Las organizaciones que operan en el ámbito de la tecnología publicitaria y el procesamiento de datos personales deben revisar sus prácticas de obtención de consentimiento, especialmente cuando se trata de datos sensibles. Es crucial que cada controlador conjunto verifique de manera independiente la validez del consentimiento para el procesamiento de datos personales, evitando depender de terceros para cumplir con las normativas de protección de datos.
Además, las empresas deben asegurarse de que sus políticas de privacidad y procedimientos de consentimiento estén alineados con el GDPR, especialmente en el tratamiento de datos relacionados con la orientación sexual, para evitar sanciones significativas y proteger la privacidad de los usuarios.
