La autoridad noruega de protección de datos sanciona con 92 millones de coronas a la antigua AppNexus, hoy integrada en Microsoft, por tratar sin base legal en pujas publicitarias los datos de usuarios de la aplicación de citas. La resolución establece que un intermediario no puede escudarse en el consentimiento que recabó otro.
La Datatilsynet, autoridad noruega de protección de datos, ha impuesto a Xandr Inc. una multa de 92 millones de coronas, 8.600.000 euros, por tratar sin base jurídica los datos personales de los usuarios de Grindr en Noruega. La resolución definitiva está fechada el 2 de octubre de 2026. El Comité Europeo de Protección de Datos (EDPB, por sus siglas en inglés) publicó su resumen el 16 de octubre en su web. Cuando ocurrieron los hechos, Xandr se llamaba AppNexus. Hoy forma parte de Microsoft. Grindr es una aplicación de citas basada en la geolocalización y dirigida a hombres gais, bisexuales, personas trans y queer.
La sanción descansa sobre un dato que el usuario nunca escribió. Datatilsynet da por probado que Xandr trató al menos tres elementos durante las pujas publicitarias que se celebraban dentro de la aplicación: que la persona usaba Grindr, su identificador publicitario y su dirección IP. Para la autoridad, son datos personales según el artículo 4.1 del Reglamento General de Protección de Datos (RGPD). Además, son datos relativos a la orientación sexual protegidos por el artículo 9.1, la lista de categorías especiales cuyo tratamiento está prohibido salvo excepciones tasadas. Basta con abrir la aplicación.
La segunda pieza de la decisión es la que debería preocupar a la industria. Xandr no pidió el consentimiento a nadie. Se apoyó en el que había recabado Grindr, que Datatilsynet considera inválido conforme a los artículos 4.11 y 7 del RGPD. Como el dato era sensible, la única base posible era el consentimiento explícito del artículo 9.2.a). El resumen del EDPB lo formula sin rodeos: la responsabilidad proactiva «no puede externalizarse», y cada corresponsable debe verificar por su cuenta que el consentimiento es válido y cubre su propio tratamiento.
Cómo viaja un dato en una subasta publicitaria
La puja en tiempo real (real-time bidding, RTB) es el mecanismo que decide qué anuncio ve cada usuario en el instante en que se carga una pantalla. La aplicación ofrece ese hueco publicitario a través de una plataforma del lado de la oferta (SSP, supply-side platform). Los anunciantes pujan por él desde plataformas del lado de la demanda (DSP, demand-side platform). Para que los compradores decidan cuánto pagar, la solicitud de puja viaja acompañada de información sobre el usuario y su dispositivo.
Xandr ocupaba los dos lados del mostrador, y Datatilsynet la considera corresponsable del tratamiento tanto en su papel de SSP como en el de DSP. La autoridad califica las infracciones de al menos negligentes. También las considera de gravedad alta, porque afectan a algunas de las disposiciones centrales del RGPD y a datos sensibles. La multa castiga la vulneración del artículo 6.1, por tratar datos sin base jurídica, y la del 9.1, por tratar datos sobre orientación sexual sin una excepción válida.
Seis años desde la reclamación de los consumidores noruegos
El expediente arrancó en 2020 con una reclamación del Consejo de Consumidores de Noruega (Forbrukerrådet), presentada junto con la organización austriaca noyb. Fue una de las tres reclamaciones que ambas entidades dirigieron ese año contra Grindr y contra varias empresas de tecnología publicitaria que recibían datos a través de la aplicación.
Grindr cayó primero. En diciembre de 2021, Datatilsynet le impuso una multa de 65 millones de coronas por comunicar datos de sus usuarios a terceros con fines de publicidad comportamental sin base legal. La Junta de Apelación de Privacidad (Personvernnemnda) confirmó la sanción en septiembre de 2023. El Tribunal de Distrito de Oslo rechazó el recurso de la compañía en julio de 2024 con una conclusión que hoy reaparece en el caso Xandr: saber que alguien es usuario registrado de Grindr es conocer información sobre su vida sexual o su orientación sexual. El Tribunal de Apelación de Borgarting mantuvo la multa en octubre de 2025.
La multa a Xandr supera en 27 millones de coronas la de Grindr. Noruega no pertenece a la UE, pero aplica el RGPD a través del Acuerdo sobre el Espacio Económico Europeo, de modo que el criterio puede invocarse en cualquiera de los 27.
Lo que ya había dicho Luxemburgo
La resolución noruega no inventa doctrina. La aplica a un eslabón que hasta ahora quedaba en penumbra.
El Tribunal de Justicia de la UE resolvió en la sentencia de 4 de julio de 2023, asunto C-252/21 (Meta Platforms y otros contra Bundeskartellamt), que la mera consulta de sitios web o aplicaciones vinculados a una categoría sensible puede revelar esa información sin que el usuario necesite registrarse ni hacer pedidos (apartado 72). La Gran Sala añadió que la prohibición del artículo 9.1 se aplica aunque la información revelada no sea exacta y aunque el responsable no pretenda obtenerla (apartado 69). También se aplica con independencia de la finalidad del tratamiento (apartado 70). Y el tribunal descartó que visitar esas páginas o aplicaciones equivalga a hacer manifiestamente públicos los datos (apartado 79).
El TJUE ya había fijado en Fashion ID (C-40/17, de 29 de julio de 2019) la corresponsabilidad de quien se integra en un flujo de datos ajeno. La llevó al ecosistema publicitario en IAB Europe (C-604/22, de 7 de marzo de 2024). La decisión noruega añade la consecuencia práctica. El intermediario que cobra por la puja responde de la base jurídica con la misma intensidad que la aplicación.
Felix Mikolasch, abogado especializado en protección de datos de noyb, celebró la decisión. En su opinión, compañías como Xandr «operan a menudo en segundo plano y rara vez rinden cuentas de sus prácticas». Finn Myrstad, director de política digital del Consejo de Consumidores de Noruega, fue más allá. A su juicio, si el consentimiento debe ser realmente informado y significativo, resulta difícil ver cómo puede ser lícita la publicidad basada en la vigilancia tal como funciona hoy.
Qué cambia para anunciantes, agencias y aplicaciones en España
Una cláusula que traslade al editor la obligación de recabar el consentimiento no protege a la plataforma publicitaria. Un SSP, un DSP o una agencia que decida sobre los fines y los medios del tratamiento debe poder demostrar que el consentimiento es válido y que cubre su propio uso del dato. Las aplicaciones de citas, salud, religión o militancia política tienen el problema multiplicado, porque su sola instalación puede revelar una categoría especial.
En España el listón está todavía más alto. El artículo 9.1 de la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) establece una regla para evitar situaciones discriminatorias. Cuando la finalidad principal del tratamiento sea identificar, entre otras cosas, la orientación sexual, «el solo consentimiento del afectado no bastará para levantar la prohibición». Un segmento publicitario construido sobre el uso de una aplicación de citas LGTBI tendría muy difícil superar ese filtro. La LOPDGDD califica de infracción muy grave el tratamiento de categorías especiales sin que concurra una excepción (artículo 72.1.e). Para ese tipo de infracciones, el RGPD prevé multas de hasta 20 millones de euros o el 4 % de la facturación mundial anual, si esta cifra es mayor (artículo 83.5).
Qué puede hacer un usuario español
El primer paso es el derecho de acceso del artículo 15 del RGPD. Se ejerce frente a la aplicación, a la que se puede exigir la lista de destinatarios a los que ha comunicado los datos (artículo 15.1.c). Con esa lista, el usuario puede dirigirse a cada intermediario y preguntarle qué datos conserva y de dónde los obtuvo (artículo 15.1.g). El artículo 26.3 permite ejercer los derechos frente a cada corresponsable, al margen de cómo se hayan repartido las obligaciones entre ellos. El responsable dispone de un mes para contestar, prorrogable otros dos en casos complejos (artículo 12.3).
El usuario también puede retirar el consentimiento en cualquier momento (artículo 7.3), oponerse al uso de sus datos con fines de mercadotecnia directa (artículo 21.2) y pedir la supresión (artículo 17). Si no hay respuesta, o es insuficiente, puede reclamar ante la Agencia Española de Protección de Datos (artículo 77). Si acredita un perjuicio, puede además pedir una indemnización ante los tribunales (artículo 82). En el teléfono, restablecer o eliminar el identificador publicitario dificulta que la actividad nueva se siga asociando a la anterior.
El riesgo que llega de Bruselas
La decisión noruega coincide con la negociación del Digital Omnibus, el paquete con el que la Comisión Europea propuso en noviembre de 2025 modificar el RGPD. Su pieza más discutida es una definición relativa de dato personal, según la cual la información no lo sería para una entidad que no pueda identificar razonablemente a la persona. El EDPB y el Supervisor Europeo de Protección de Datos se opusieron a ese cambio en su Dictamen conjunto 2/2026. El Consejo lo retiró en febrero de su texto de compromiso. Los textos de la Presidencia que circulan desde septiembre lo recuperan. El Parlamento Europeo todavía no tiene posición.
La conexión con el caso es directa. noyb denuncia que las grandes tecnológicas han presionado para que los identificadores de seguimiento queden fuera del ámbito del RGPD. Con una definición relativa en vigor, un intermediario como Xandr podría alegar que un identificador publicitario y una IP no le permiten identificar a nadie y que, para él, no son datos personales. Datatilsynet acaba de resolver exactamente lo contrario.
La resolución puede recurrirse ante la Personvernnemnda, la misma junta que confirmó la multa a Grindr. Si Xandr recurre, el pleito puede durar tanto como el de Grindr, que tardó casi cuatro años en llegar al Tribunal de Apelación. Entretanto, el Consejo y el Parlamento decidirán si el RGPD seguirá permitiendo imponer sanciones como esta.
