Noruega Multa Empresa de Publicidade da Microsoft em US$9,6 Milhões por Compartilhamento de Dados Sensíveis do Grindr

A Autoridade Norueguesa de Proteção de Dados (Datatilsynet) impôs a maior multa de sua história à Xandr, empresa de publicidade da Microsoft, por um grave caso de exposição de dados sensíveis. Entre julho de 2018 e abril de 2020, a Xandr, que atuava como intermediária em leilões de anúncios em tempo real (RTB) dentro do aplicativo Grindr, compartilhava informações sobre a orientação sexual de usuários com milhares de anunciantes. Essa prática ocorria sem o consentimento válido dos indivíduos, transformando dados pessoais altamente sensíveis em moeda de troca no ecossistema adtech. O modelo RTB, ao permitir que empresas anunciantes lanceiem por espaços publicitários com base em perfis detalhados de usuários, exige um rigoroso controle sobre a origem e a validade do consentimento para a coleta e o uso de dados.

A investigação apontou que a Xandr, como controladora conjunta dos dados com o Grindr, falhou em verificar se o consentimento obtido pelo aplicativo era, de fato, válido. A empresa assumiu, erroneamente, que o Grindr havia cumprido sua parte, ignorando a própria responsabilidade em garantir a base legal para o processamento de dados tão confidenciais. Essa negligência resultou na exposição de informações íntimas de milhares de usuários noruegueses, destacando os riscos inerentes às cadeias de fornecimento de publicidade digital quando a proteção de dados não é tratada como prioridade máxima.

Este desdobramento na Noruega, com a multa à Xandr, aprofunda a responsabilização sobre as práticas de dados do Grindr. Em setembro de 2026, o próprio Grindr concordou em pagar 26 milhões de libras em um acordo no Reino Unido, encerrando uma ação judicial por compartilhamento de dados sensíveis de usuários antes de 2020. Enquanto o acordo anterior mirava o aplicativo, a sanção atual atinge diretamente um dos seus parceiros na cadeia de adtech, mostrando que a fiscalização está se ampliando para todos os elos envolvidos no tratamento de dados. Isso indica uma evolução na forma como as autoridades de proteção de dados europeias estão aplicando as leis de privacidade, responsabilizando não só as plataformas, mas também os intermediários que facilitam a monetização desses dados.

A multa de US$9,6 milhões aplicada à Xandr é um aviso contundente para toda a indústria de adtech e para qualquer empresa que lide com dados pessoais, especialmente os sensíveis. Ela reforça que a responsabilidade pela proteção de dados não pode ser delegada ou presumida. Empresas precisam verificar ativamente a validade do consentimento em todas as etapas da cadeia de processamento. Para usuários, é a garantia de que as regulamentações de privacidade, como o GDPR, estão sendo aplicadas com seriedade, buscando coibir o uso indiscriminado de informações íntimas para fins comerciais.

Para a Microsoft, mesmo que a conduta investigada preceda sua aquisição da Xandr, a decisão da Datatilsynet serve como um lembrete das complexidades e passivos de privacidade que podem ser herdados em fusões e aquisições. Além disso, a magnitude da multa destaca a crescente pressão regulatória sobre o uso de dados em escala, sinalizando que a falha em obter consentimento explícito e em proteger informações sensíveis terá custos financeiros significativos e impactará a reputação corporativa.