As práticas em causa ocorreram entre Julho de 2018 e Abril de 2020, antes de a Microsoft adquirir a Xandr. A empresa sustentou que acreditava que o Grindr já tinha obtido o consentimento dos seus utilizadores para a partilha dos dados com parceiros publicitários. O regulador rejeitou essa justificação como fundamento suficiente para afastar a responsabilidade da Xandr. A decisão reforça o princípio de que as empresas que participam na cadeia de tratamento de dados têm obrigações próprias e não podem transferir integralmente a responsabilidade para a plataforma que recolheu originalmente as informações.
A Microsoft declarou que a protecção da privacidade dos utilizadores é uma prioridade e salientou que os acontecimentos remontam ao período anterior à aquisição da Xandr. A empresa está a analisar a decisão e a avaliar os passos seguintes. A Xandr dispõe de três semanas para recorrer da sanção.
Processo teve origem numa denúncia sobre publicidade digital
O caso começou em 2020, depois de o Conselho Norueguês do Consumidor, em colaboração com a organização europeia de direitos digitais noyb, apresentar queixas contra o Grindr e cinco empresas ligadas à publicidade digital, entre as quais a Xandr.
A investigação integrou uma preocupação mais ampla com o modelo de publicidade baseada no rastreamento dos utilizadores. Neste sistema, aplicações e intermediários podem recolher, combinar e transmitir informações para construir perfis e seleccionar anúncios, tornando difícil para os consumidores perceberem quais as empresas que recebem os seus dados e para que finalidades os utilizam.
A decisão agora anunciada é distinta da sanção aplicada anteriormente ao próprio Grindr. Em 2025, os tribunais noruegueses confirmaram uma multa de 65 milhões de coroas norueguesas à aplicação por partilha ilegal de informações sensíveis. A nova decisão dirige-se à Xandr e destaca a responsabilidade dos intermediários publicitários que recebem e processam os dados.
Um aviso para o sector tecnológico
A multa constitui um sinal importante para as empresas que operam na publicidade digital e no comércio de dados. O cumprimento das regras de privacidade não depende apenas da forma como uma aplicação apresenta os seus termos de utilização: as empresas que recebem informações pessoais também têm de verificar se existe uma base legal para as processar.
O Regulamento Geral sobre a Protecção de Dados da União Europeia estabelece salvaguardas específicas para categorias sensíveis de informação, incluindo dados que revelem a orientação sexual. Estas regras são relevantes no Espaço Económico Europeu, onde a Noruega participa no quadro de protecção de dados.
Para os utilizadores, o caso evidencia a distância que pode existir entre utilizar uma aplicação e compreender o percurso das informações recolhidas durante essa utilização. Os dados podem circular entre diferentes empresas e sistemas de publicidade, mesmo quando os utilizadores não conhecem directamente os intermediários envolvidos.
A decisão não encerra necessariamente o processo, uma vez que a Xandr ainda pode recorrer. Contudo, a sanção coloca a responsabilidade dos intermediários no centro do debate sobre privacidade e reforça a pressão regulatória sobre modelos de negócio que dependem da recolha e da utilização de informações pessoais para direccionar publicidade.
