La multa y lo que cubre
La autoridad noruega de protección de datos, Datatilsynet, multó el 12 de octubre con 92 millones de NOK a Xandr, hoy parte de Microsoft, por tratar y compartir datos personales sensibles de usuarios de Grindr incumpliendo la normativa de protección de datos.
| Punto | Detalle |
|---|---|
| Multa | 92 millones de NOK, unos 8,6 millones de euros según la conversión de la autoridad (noyb habla de 8,5 millones y BleepingComputer de 9,6 millones de dólares) |
| Posición | La multa más alta que ha impuesto Datatilsynet |
| Periodo | De julio de 2018 a abril de 2020, casi dos años |
| Base del importe | La facturación anual propia de Xandr, no la de Microsoft |
| Multa anterior a Grindr | 65 millones de NOK en 2021 por infracciones equivalentes |
| Plazo de recurso | Tres semanas desde la recepción de la decisión |
Xandr participó en las pujas en tiempo real como comprador y como vendedor. Cuando alguien abría Grindr, sus datos personales se retransmitían en muchos casos a través de Xandr a potencialmente miles de anunciantes que pujaban por mostrarle un anuncio, todo oculto para el usuario. Entre esos datos había información que revela la orientación sexual, a la que la autoridad atribuye una protección especial: ser usuario de Grindr ya indica esa orientación. El Tribunal de Apelación de Borgarting falló en el mismo sentido en el caso de la propia multa de 65 millones de NOK a Grindr por infracciones equivalentes en 2021.
Por qué falló apoyarse en el consentimiento de Grindr
Datatilsynet concluyó que se necesitaba consentimiento explícito para tratar estos datos y que Xandr no había hecho nada para asegurarse de que era válido. La defensa de Xandr fue que creía que Grindr había recogido el consentimiento de los usuarios, y la autoridad no acepta que las empresas puedan echarse la culpa unas a otras.
La autoridad consideró a Xandr corresponsable del tratamiento junto con Grindr, por lo que la obligación de contar con una base jurídica era de Xandr misma. La directora general, Line Coll, expuso el principio con claridad: la responsabilidad en protección de datos no se puede traspasar, y cada empresa debe asegurarse por sí misma, y poder documentarlo, de que trata los datos personales de forma lícita.
La información sobre la vida sexual o la orientación sexual pertenece a las categorías especiales del artículo 9 del RGPD, cuyo tratamiento está prohibido salvo que se aplique una excepción. Dos factores elevaron la multa: la práctica duró casi dos años y Xandr obtuvo un beneficio económico directo de la cesión ilícita.
Lo que dice Microsoft y lo que añade noyb
Microsoft dijo a BleepingComputer que la investigación y su resultado se centraron en hechos anteriores a la compra de Xandr, que los marcos legales y su aplicación han cambiado desde entonces y que revisa la decisión y evalúa sus opciones. Xandr opera hoy como Microsoft Advertising.
La autoridad calculó el importe sobre la facturación anual total de Xandr y no sobre la de Microsoft, porque Xandr no formaba parte de Microsoft en el periodo en cuestión. Aun así, la multa recae ahora en una empresa propiedad de Microsoft, un recordatorio de que el historial de datos acompaña a la compañía que se compra.
noyb, que presentó la denuncia original con el Consejo Noruego de Consumidores en 2020, califica la decisión de golpe importante para la publicidad en línea. Sostiene además que la propuesta de Digital Omnibus de la Comisión Europea, que ahora debaten el Parlamento y el Consejo, sacaría los identificadores de seguimiento en línea del ámbito del RGPD tras una fuerte presión de las grandes tecnológicas. Es la lectura de noyb sobre la propuesta, no una declaración de la Comisión.
Un hábito de verificación para quien recibe datos
La lección práctica es que la afirmación de un socio de que existe consentimiento es una declaración que hay que verificar, y la verificación le corresponde a usted.
La resolución trata de tecnología publicitaria, pero su razonamiento sirve para cualquier empresa que reciba datos personales a través de una plataforma publicitaria, un SDK, un socio de captación o una lista comprada. La tabla es una propuesta de Servola para aplicar el principio, no texto de la resolución.
| Dónde recibe datos personales | Qué verificar | Qué pruebas conservar |
|---|---|---|
| Plataforma publicitaria o feed de SDK | Qué consentimiento recogió el remitente y si su redacción cubre su uso | El texto del consentimiento y la confirmación escrita de la plataforma |
| Socio de captación o de listas | Si cada persona aceptó ser contactada por usted | Una muestra de registros de consentimiento y la cláusula contractual sobre la base jurídica |
| Etiquetas y píxeles en su propio sitio web | Qué hace cada proveedor con los datos de los visitantes y si su banner lo cubre | La lista de proveedores y el registro de consentimientos con fechas |
Trate cualquier feed que pueda revelar salud, creencias u orientación sexual como datos del artículo 9 y verifique antes de usar el primer registro. Una sola fuente sin verificar puede convertir en infracción todo lo que viene después.
Leer a continuación: Google fue multada por una prueba que no pudo aportar | Twitch entrena la IA de Amazon con tus directos por defecto
