La multa de Noruega a Xandr por los datos de Grindr ya es definitiva: 9 millones de euros. La filial publicitaria de Microsoft no ha recurrido los 92 millones de coronas, y el regulador noruego confirmó el pasado 3 de noviembre que la resolución queda firme. Es la sanción más alta que la autoridad ha impuesto en materia de protección de datos y castiga haber subastado información que revelaba la orientación sexual de los usuarios.
Los hechos ocurrieron entre julio de 2018 y abril de 2020. En ese periodo, Xandr actuaba como intermediaria en las subastas automatizadas de publicidad: cada vez que alguien abría Grindr, sus datos viajaban a los actores del mercado sin que la persona supiera hasta dónde llegaba su información. El regulador describe infracciones continuadas durante casi dos años, no un fallo puntual.
Claves de la operación
- Quien paga es Xandr, no Microsoft. La cuantía se calculó con la facturación de la filial en el momento de los hechos, cuando la compra del negocio aún no se había cerrado.
- El intermediario pierde su escudo. Confiar en el consentimiento del socio comercial sin verificarlo deja de ser una defensa válida ante un regulador europeo.
- España queda en el punto de mira. La arquitectura de subastas que sanciona Oslo es la misma que utilizan los negocios publicitarios de los grandes grupos del IBEX 35.
El consentimiento que nadie comprobó en la subasta publicitaria
La defensa de Xandr fue una cadena de confianzas. La compañía sostuvo que daba por hecho que Grindr había recogido los permisos necesarios y que su papel era técnico. Nunca verificó que existiera un consentimiento válido, y ahí se rompe el argumento: la normativa europea exige algo más que la palabra del socio comercial.
Con ese criterio, el intermediario deja de ser un actor neutral. Cada puja arrastra un paquete de señales sobre el usuario, y algunas —la aplicación instalada, el horario de uso, el perfil— permiten inferir una orientación sexual. La autoridad noruega lo dejó por escrito: un dato no necesita declararse explícitamente para ser sensible.
La investigación arrancó en 2020 con una denuncia del Consejo de Consumidores de Noruega y de la austriaca noyb, responsable de buena parte de los expedientes europeos sobre publicidad digital. Grindr ya había sido multada con 65 millones de coronas en 2021 por las mismas prácticas. El patrón se repite: la cadena completa comparte responsabilidad, pero solo algunos tramos pagan.
Quién paga la multa: la facturación de Xandr y no la de Microsoft
El cálculo es la parte que más debería interesar a cualquier equipo jurídico. La Autoridad de Protección de Datos de Noruega fijó la cuantía en en la facturación de Xandr en el momento de las infracciones, no en los ingresos consolidados de Microsoft, porque la tecnológica todavía no había cerrado la compra. El importe se queda en 9 millones pese a la capacidad del comprador.
La subasta publicitaria reparte la culpa entre muchos actores, pero la sanción solo alcanza a quien puede afrontarla con su propio balance.
Microsoft sostuvo que la privacidad de los usuarios es una prioridad y recordó que los hechos precedieron a la adquisición. Anunció que estudiaría la resolución. El 3 de noviembre, el regulador confirmó que no había presentado recurso alguno. La compañía asume así una condena heredada de su compra.
Adtech bajo sospecha: el precedente que España aún no ha aplicado
El interés de esta resolución no está en la cifra, sino en la doctrina. Un regulador europeo acaba de tumbar la excusa más repetida del sector: que el intermediario tecnológico no responde de lo que le entrega su cliente. Ese criterio llega antes que Bruselas, que sigue sin cerrar el debate sobre las subastas en tiempo real y las obligaciones de transparencia del DMA.
En España no existe un Xandr equivalente, pero sí negocios publicitarios dentro de compañías del IBEX 35. Telefónica comercializa inventario propio y de terceros a través de subastas programáticas, igual que los grandes grupos de medios y las plataformas de comercio electrónico. Si la Agencia Española de Protección de Datos replica el criterio noruego, el expediente no apuntaría al editor de la aplicación, sino al intermediario que pujó.
Ahí está la contradicción que conviene subrayar. La sanción es la mayor de Noruega en protección de datos, pero equivale a una fracción mínima de los ingresos de Microsoft. Disuade al gestor de turno, no al grupo: calcular la multa con el balance de la filial premia comprar negocios contaminados a precio de saldo.
El siguiente movimiento no está en Oslo. Depende de si el Comité Europeo de Protección de Datos incorpora este criterio a sus directrices sobre publicidad programática y de si la AEPD lo aplica en el primer expediente contra un intermediario con actividad en España. Hasta entonces, la lección es sencilla: el consentimiento que no se verifica no es consentimiento.
