L’Autorità norvegese per la protezione dei dati personali ha inflitto una sanzione amministrativa di 8,6 milioni di euro a Xandr Inc., società attiva nel settore della tecnologia pubblicitaria e parte del gruppo Microsoft, per il trattamento illecito dei dati personali degli utenti di Grindr, applicazione di incontri basata sulla geolocalizzazione e rivolta alla comunità LGBTQ+.

La decisione, adottata il 2 ottobre 2026, riguarda l’utilizzo dei dati degli utenti nell’ambito del real-time bidding, il sistema di aste automatizzate attraverso cui gli spazi pubblicitari online vengono acquistati e venduti in tempo reale. Il procedimento aveva avuto origine nel 2020, quando il Norwegian Consumer Council aveva presentato un reclamo nei confronti di Xandr, all’epoca denominata AppNexus.

Secondo l’Autorità, è stato dimostrato, secondo il criterio probatorio applicabile, che durante le procedure di real-time bidding Xandr trattava dati personali degli utenti di Grindr, tra cui il fatto stesso che utilizzassero l’applicazione, gli identificativi pubblicitari e gli indirizzi IP. Tali informazioni rientrano nella definizione di dato personale prevista dall’articolo 4, paragrafo 1, del Regolamento generale sulla protezione dei dati (GDPR). Nel contesto specifico, inoltre, il fatto che una persona utilizzi Grindr può rivelare informazioni relative al suo orientamento sessuale, riconducibili alle categorie particolari di dati disciplinate dall’articolo 9 del Regolamento.

L’Autorità ha qualificato Xandr come contitolare del trattamento, considerando il suo ruolo sia nelle piattaforme dal lato dell’offerta pubblicitaria sia in quelle dal lato della domanda. La società era pertanto tenuta a verificare la liceità dei trattamenti effettuati nell’ambito delle proprie attività.

Poiché le informazioni trattate potevano rivelare l’orientamento sessuale degli utenti, il trattamento richiedeva una delle condizioni derogatorie previste dall’articolo 9, paragrafo 2, del GDPR. Nel caso esaminato, il presupposto pertinente era il consenso esplicito degli interessati. Xandr non aveva raccolto direttamente tale consenso, ma si era basata su quello acquisito da Grindr, che l’Autorità ha ritenuto non valido ai sensi degli articoli 4, paragrafo 11, e 7 del GDPR.

La decisione sottolinea che la contitolarità non consente di trasferire ad altri soggetti la responsabilità di verificare la validità del consenso. Ciascun contitolare deve accertare autonomamente che il consenso sia valido e copra effettivamente i trattamenti svolti nell’ambito delle proprie attività. L’Autorità ha ritenuto che le violazioni fossero state commesse almeno per negligenza e le ha valutate come particolarmente gravi, in ragione della rilevanza delle disposizioni violate e della natura sensibile dei dati coinvolti.

La sanzione di 8,6 milioni di euro riguarda due violazioni: il trattamento dei dati personali degli utenti norvegesi di Grindr senza un’idonea base giuridica, in contrasto con l’articolo 6, paragrafo 1, del GDPR, e il trattamento di dati relativi all’orientamento sessuale senza una valida condizione che ne consentisse il trattamento, in violazione dell’articolo 9, paragrafo 1.

Il caso richiama l’attenzione sulle responsabilità degli operatori della filiera pubblicitaria digitale e sulla necessità di verificare la liceità dei dati utilizzati nei sistemi automatizzati di compravendita degli spazi pubblicitari, soprattutto quando il contesto consente di inferire informazioni appartenenti a categorie particolari di dati personali.

Approfondimenti

• Norwegian Press Release: Datatilsynet gir Microsoft-selskap 92 millioner i gebyr | Datatilsynet
• English Press Release: Microsoft company fined NOK 92 million | Datatilsynet