A Autoridade de Proteção de Dados da Noruega (Datatilsynet) aplicou uma multa recorde de 92 milhões de coroas norueguesas, o equivalente a aproximadamente R$ 48,4 milhões, à Xandr, empresa de publicidade digital adquirida pela Microsoft em 2021. A penalidade é a maior já imposta pelo órgão regulador e foi motivada pelo compartilhamento ilegal de dados pessoais e sensíveis de usuários do Grindr com redes de anunciantes. A prática expôs informações capazes de revelar a orientação sexual dos usuários sem que houvesse autorização válida para esse tratamento.
As irregularidades ocorreram entre julho de 2018 e abril de 2020, quando a Xandr atuava como intermediária no mercado de publicidade digital, repassando informações como endereços de IP, identificadores de dispositivos e dados de navegação de pessoas que utilizavam o Grindr na Noruega. Essas informações eram disponibilizadas em sistemas de leilão de anúncios em tempo real, permitindo que anunciantes direcionassem publicidade a determinados perfis. A investigação começou após denúncias do Conselho de Consumidores da Noruega e da organização austríaca de defesa da privacidade noyb. A Xandr argumentou que presumiu que o próprio Grindr havia obtido o consentimento dos usuários, mas o órgão regulador rejeitou a justificativa e concluiu que a empresa também tinha responsabilidade por verificar a legalidade do compartilhamento.
Em comunicado, a Microsoft afirmou que a privacidade dos usuários é uma prioridade e ressaltou que a investigação trata de práticas anteriores à aquisição da Xandr. A companhia informou que está analisando a decisão e avaliando as medidas que poderá tomar. Ao justificar o valor da multa, a diretora-geral da autoridade norueguesa, Line Coll, destacou a gravidade das violações e afirmou que nenhuma empresa pode transferir a terceiros sua responsabilidade pela proteção de dados pessoais. A organização noyb classificou a decisão como um duro golpe contra a indústria de vigilância comercial, enquanto o Conselho de Consumidores norueguês apontou que o caso reforça as dificuldades de compatibilizar o rastreamento massivo de usuários com as exigências do Regulamento Geral sobre a Proteção de Dados (GDPR). A Xandr tem três semanas, a partir da notificação oficial, para recorrer da decisão.
O caso amplia a pressão internacional sobre empresas que exploram informações pessoais para fins comerciais e se soma a outros episódios envolvendo o Grindr. No Reino Unido, a plataforma concordou em pagar 26 milhões de libras, cerca de R$ 146,3 milhões, para encerrar um processo relacionado ao compartilhamento indevido de dados de usuários com terceiros, incluindo informações sobre o status de HIV. A multa norueguesa também recai sobre uma empresa que, à época das infrações, pertencia à operadora AT&T, antes de ser vendida à Microsoft e posteriormente incorporada à estrutura do Microsoft Ads.
