Noruega multa subsidiária da Microsoft, Xandr, em US$ 9,6 milhões por violações de privacidade com o Grindr

O regulador norueguês de proteção de dados aplicou à divisão de publicidade da Microsoft, Xandr, uma multa de 92 milhões de coroas norueguesas (US$ 9,6 milhões) por compartilhar dados sensíveis dos usuários do Grindr com anunciantes sem base legal. A penalidade será a maior já imposta pela agência a uma empresa.

O Datatilsynet, autoridade norueguesa responsável pela decisão, alegou que os dados envolvidos continham informações que poderiam revelar a orientação sexual dos usuários. A decisão final encerra um caso que estava em andamento na Noruega há mais de seis anos.

Como os dados do Grindr acabaram nas mãos de milhares de licitantes

O caso envolve leilão em tempo real, um processo que vende espaços publicitários em milissegundos enquanto o usuário abre um aplicativo. Quando uma pessoa iniciava o aplicativo Grindr na Noruega, seus dados pessoais eram enviados por meio da Xandr e potencialmente compartilhados com milhares de empresas e organizações do setor de publicidade, segundo a Datatilsynet. Essas empresas então competiam para entregar anúncios direcionados ao usuário.

Como o Grindr atende a usuários gays, bissexuais, transgêneros e queer, a autoridade reguladora considerou que apenas o uso do aplicativo já era suficiente para revelar a orientação sexual de uma pessoa. De acordo com as regras europeias de proteção de dados, isso torna essas informações dados sensíveis, que exigem consentimento explícito para serem processadas.

A autoridade norueguesa constatou que a Xandr não obteve o consentimento necessário. Também determinou que a empresa compartilhava a responsabilidade pelo tratamento dos dados com o Grindr, em vez de atuar apenas como intermediária. O benefício financeiro direto obtido pela Xandr por meio do compartilhamento de dados foi outro fator-chave para avaliar a magnitude das multas.

Culpar o aplicativo não se sustentou

A Xandr argumentou que assumiu que o Grindr já havia obtido consentimento válido de seus usuários, uma alegação rejeitada pela autoridade reguladora.

“A responsabilidade pela proteção de dados não pode ser delegada a terceiros”, afirmou Line Coll, diretora-geral do Datatilsynet, no comunicado da autoridade, conforme citado pela Tech Xplore. Segundo a diretora, cada empresa deve garantir independentemente e ser capaz de demonstrar que possui uma base legal para utilizar os dados que adquire.

Coll afirmou que as violações foram particularmente graves, observando que os dados pessoais sensíveis de milhares de usuários noruegueses haviam sido compartilhados ilegalmente. O compartilhamento de dados ocorreu entre julho de 2018 e abril de 2020, antes da aquisição do negócio pela Microsoft, então conhecida como AppNexus, conforme relatou a PPC Land. A Xandr agora tem três semanas para recorrer da decisão.

A decisão norueguesa segue um caso semelhante na França no início de 2026, no qual o Conseil d’Etat manteve uma multa de €40 milhões contra a empresa de retargeting Criteo, rejeitando sua alegação de que os sites parceiros eram responsáveis por coletar o consentimento. As duas decisões deixam claro que as empresas continuam sendo responsáveis pela proteção de dados e não podem depender dos parceiros para coletar o consentimento do usuário.

Uma denúncia iniciada desde 2020 na Noruega

A denúncia foi apresentada em 2020 pelo Conselho do Consumidor da Noruega e pelo grupo de privacidade noyb, referente às práticas de compartilhamento de dados do Grindr. Foi uma das três denúncias apresentadas naquele ano, direcionadas tanto ao tratamento de dados pelos usuários quanto pelas empresas de adtech que os recebiam.

Felix Mikolasch, advogado de proteção de dados no noyb, afirmou que a decisão pode forçar maior responsabilização das empresas de adtech, como a Xandr, cujas operações são frequentemente invisíveis e passam despercebidas pelo público, descrevendo o veredicto como um precedente importante para casos semelhantes em uma declaração do grupo.

Finn Myrstad, diretor de política digital do Conselho Norueguês do Consumidor, afirmou que a decisão alerta as empresas que dependem do rastreamento de usuários. A última sentença ocorre após o Grindr ter enfrentado uma penalidade semelhante na Noruega. Em 2025, os tribunais do país confirmaram uma multa de 65 milhões de coroas contra o aplicativo por compartilhar ilegalmente informações pessoais sensíveis dos usuários.

A multa incide sobre uma empresa avaliada em cerca de US$ 3,97 trilhões, segundo o GuruFocus. No entanto, o noyb também alertou que o precedente pode perder seu efeito pretendido se o Digital Omnibus proposto pela Comissão Europeia enfraquecer a forma como o RGPD trata os identificadores de rastreamento online. Esta proposta está atualmente sob análise do Parlamento Europeu e do Conselho.

Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.