Autoridade norueguesa multa Xandr em 8,6 milhões de euros por partilha ilegal de dados

A Autoridade Norueguesa de Proteção de Dados aplicou uma multa de 8,6 milhões de euros à Xandr, empresa da Microsoft, por partilha ilegal de dados sensíveis.

Multa recorde por processamento ilegal de dados

A Autoridade Norueguesa de Proteção de Dados (Datatilsynet) impôs uma coima administrativa de 92 milhões de coroas norueguesas, aproximadamente 8,6 milhões de euros, à empresa de tecnologia publicitária Xandr. Esta é a maior multa aplicada pelo regulador até à data, refletindo a gravidade das infrações detetadas entre julho de 2018 e abril de 2020.

A investigação concluiu que a Xandr, que na altura operava como AppNexus antes de ser integrada na Microsoft, processou e partilhou dados pessoais sensíveis de utilizadores da aplicação de encontros Grindr sem uma base legal válida. A empresa atuava como intermediária em sistemas de real-time bidding (leilão em tempo real), onde os dados dos utilizadores eram transmitidos a milhares de empresas publicitárias num curto espaço de tempo.

O impacto na privacidade dos utilizadores

O regulador norueguês sublinhou que a utilização do Grindr revela, por si só, a orientação sexual dos utilizadores, uma categoria de dados que exige proteção especial. Line Coll, Diretora-Geral da Autoridade Norueguesa de Proteção de Dados, afirmou que a responsabilidade pela proteção de dados não pode ser delegada. A Xandr alegou que a responsabilidade pelo consentimento recaía sobre o Grindr, mas o regulador rejeitou este argumento, considerando que a Xandr, como controlador conjunto, falhou ao não verificar a validade desse consentimento.

• Dados sensíveis: Informação sobre orientação sexual foi partilhada sem base legal.
• Ecossistema opaco: O processo de real-time bidding ocorria sem o conhecimento ou controlo do utilizador.
• Responsabilidade: A autoridade reforçou que cada empresa na cadeia de processamento deve assegurar o cumprimento do RGPD.

Este caso destaca a vulnerabilidade dos utilizadores num ecossistema publicitário onde os dados pessoais são combinados com outros pontos de informação para criar perfis detalhados da vida privada. A Xandr tem agora um prazo de três semanas para recorrer da decisão. É importante notar que o cálculo da multa foi baseado no volume de faturação da Xandr durante o período da infração, não sendo aplicável o volume de negócios atual da Microsoft, uma vez que a aquisição ocorreu posteriormente.

Fontes

• https://www.datatilsynet.no/en/news/news-2026/microsoft-company-fined-nok-92-million-for-unlawfully-sharing-personal-data/