A Autoridade de Proteção de Dados da Noruega (Datatilsynet) impôs uma multa de NOK 92 milhões à Xandr, empresa de publicidade pertencente à Microsoft, por compartilhar ilegalmente dados sensíveis de usuários do aplicativo de encontros Grindr. A penalidade, convertida em cerca de US$ 9, 6 milhões, foi anunciada em junho de 2024 e reflete a gravidade da infração detectada nas operações de segmentação de anúncios no país.
Contexto
O caso tem origem na prática adotada pela Xandr de coletar informações de perfil de usuários do Grindr, incluindo dados de orientação sexual e localização, para alimentar algoritmos de segmentação publicitária. Embora a Microsoft tenha adquirido a Xandr em 2021, a política de uso de dados da empresa continuou a permitir o cruzamento de informações pessoais com bases de dados de anunciantes, prática que contraria a Lei de Proteção de Dados Pessoais da Noruega. A investigação da Datatilsynet, iniciada após denúncias de usuários e organizações de direitos digitais, revelou que a Xandr processava esses dados sem consentimento explícito, violando princípios de minimização e finalidade estabelecidos pela legislação.
Impacto
A decisão afeta diretamente os usuários noruegueses do Grindr, que tiveram suas informações pessoais expostas a terceiros sem autorização. Além do prejuízo à privacidade individual, a multa sinaliza um alerta para o setor de publicidade digital, que depende de dados granulares para otimizar campanhas. Empresas que utilizam plataformas de anúncios de grande escala podem enfrentar escrutínio regulatório semelhante caso não revisem seus processos de coleta e compartilhamento de dados. A medida também reforça a tendência de autoridades europeias aplicarem sanções mais rigorosas, alinhadas ao padrão estabelecido pelo Regulamento Geral de Proteção de Dados (GDPR).
Detalhes técnicos
Do ponto de vista técnico, a Xandr utilizava um mecanismo de integração via API que extraía atributos de perfil do Grindr, como idade, gênero, orientação sexual e localização geográfica, e os combinava com identificadores de dispositivos móveis. Esses dados eram então enviados a servidores de anúncios para gerar perfis de segmentação em tempo real. A falta de criptografia adequada e a ausência de mecanismos de anonimização aumentaram o risco de reidentificação dos usuários. A Datatilsynet apontou que a empresa não implementou controles de consentimento granular, permitindo que anunciantes acessassem informações sensíveis mesmo quando os usuários haviam optado por não compartilhar tais dados para fins publicitários.
Encerramento
Para as organizações afetadas, a recomendação é revisar imediatamente as políticas de coleta de dados, garantir que o consentimento seja obtido de forma clara e específica, e adotar técnicas de anonimização sempre que possível. A Microsoft, controladora da Xandr, ainda não se pronunciou oficialmente sobre a multa, mas espera-se que a empresa implemente ajustes de conformidade para evitar novas sanções. Segundo a fonte, a Datatilsynet continuará monitorando o cumprimento das determinações e pode impor medidas adicionais caso sejam identificadas novas irregularidades. O caso serve como referência para outras jurisdições que buscam reforçar a proteção de dados pessoais em ambientes digitais.