A Autoridade de Proteção de Dados da Noruega (Datatilsynet) impôs uma multa recorde de 92 milhões de coroas norueguesas (aproximadamente R$ 48,4 milhões) à plataforma de publicidade digital Xandr, adquirida pela Microsoft em 2021. A penalidade é a maior já aplicada pelo órgão e resulta do compartilhamento não autorizado de dados pessoais e sensíveis de usuários do aplicativo de relacionamento Grindr com redes de anunciantes.
Em comunicado, a Microsoft enfatizou que a privacidade dos usuários é uma prioridade. A empresa destacou que a investigação e a decisão se referem a ações realizadas antes da aquisição da Xandr, e que as interpretações legais estão sempre em evolução. A Microsoft está avaliando suas opções em relação à decisão.
O processo investigativo revelou que, entre julho de 2018 e abril de 2020, a Xandr atuou como intermediária, repassando informações de navegação, endereços IP e identificadores de dispositivos de usuários do Grindr. Como o aplicativo é especialmente voltado para a comunidade LGBTQIA+, o uso do serviço expôs a orientação sexual dos usuários em leilões publicitários em tempo real, sem o consentimento adequado.
A diretora-geral da Datatilsynet, Line Coll, comentou sobre a gravidade das infrações, afirmando que a multa elevada reflete a seriedade das violações e que a responsabilidade pela proteção de dados não deve ser delegada a terceiros. Cada empresa é responsável por assegurar que os dados sejam tratados legalmente.
A investigação teve início após denúncias do Conselho de Consumidores da Noruega e da ONG austríaca noyb. Durante o processo, a Xandr defendeu-se alegando que acreditava que o Grindr obtinha autorização dos usuários antes de compartilhar informações. Essa justificativa foi rejeitada pela autoridade reguladora, que determinou que a Xandr deveria ter verificado a validade dos consentimentos.
A noyb classificou a multa como um importante passo contra a indústria de vigilância comercial, ressaltando que intermediários de tecnologia publicitária frequentemente operam sem supervisão e raramente enfrentam consequências. O Conselho de Consumidores norueguês acrescentou que a decisão indica a dificuldade da publicidade baseada em rastreamento em massa em cumprir as normas do Regulamento Geral sobre a Proteção de Dados (GDPR).
O valor da multa foi calculado com base na receita da Xandr durante o período das infrações, quando a empresa ainda pertencia à AT&T. A Xandr, que surgiu da aquisição da AppNexus pela AT&T em 2018, foi vendida para a Microsoft no final de 2021 e posteriormente reestruturada sob a divisão Microsoft Ads. A empresa tem três semanas após a notificação oficial para recorrer da decisão.
A sanção contra a Xandr também ocorre em um contexto de litígios enfrentados pela AT&T, que recentemente concordou em um acordo de US$ 177 milhões relacionado a incidentes de segurança que afetaram milhões de clientes. Um dos vazamentos expôs informações sensíveis em fóruns da dark web, enquanto o outro envolveu o download ilegal de registros de chamadas e mensagens.
A decisão norueguesa se junta a desdobramentos envolvendo o Grindr, que acertou um pagamento de £ 26 milhões (aproximadamente R$ 146,3 milhões) para encerrar um processo no Reino Unido sobre o compartilhamento inadequado de dados de usuários, incluindo informações sobre status de HIV.