La multa norvegese a Microsoft riporta al centro il caso Xandr-Grindr: dati condivisi nella rete pubblicitaria senza un consenso valido. Una vicenda che solleva questioni di responsabilità e riguarda anche chi usa app in Italia.
L’Autorità norvegese per la protezione dei dati ha sanzionato Xandr con una multa di 92 milioni di corone norvegesi, circa 8,5 milioni di euro. La società ha trattato senza una valida base giuridica informazioni personali provenienti da Grindr. La decisione, adottata nel 2026, riguarda dati che possono rivelare l’orientamento sessuale e attribuisce rilievo alla responsabilità degli intermediari pubblicitari e dell’app che raccoglie le informazioni.
La somma corrisponde a circa 9,6 milioni di dollari. Xandr, società di pubblicità digitale entrata nel gruppo Microsoft, opera nell’adtech: il settore delle tecnologie che acquistano, vendono e distribuiscono spazi pubblicitari online. Per gli operatori che ricevono dati dagli ambienti digitali e li usano per la profilazione, la sanzione norvegese richiama un rischio concreto.
Dal dating alla rete pubblicitaria
La vicenda prende avvio da un reclamo presentato nel 2020 da noyb e NCC, il Consiglio norvegese dei consumatori. Le organizzazioni contestavano il trattamento dei dati personali di Grindr e quello svolto dalle società adtech che li ricevevano attraverso l’app. I reclami erano tre e riguardavano soggetti diversi della catena: le informazioni raccolte da un servizio possono infatti raggiungere intermediari esterni.
Alla base del passaggio dei dati ci sono spesso identificatori di tracciamento legati al dispositivo o all’attività dell’utente. Le app possono inviarli ai partner pubblicitari insieme a informazioni utili a ricostruire interessi, abitudini e comportamenti. Nel caso esaminato, l’elemento particolarmente delicato era la possibilità di risalire all’orientamento sessuale degli utenti di Grindr. Secondo l’autorità, Xandr ha trattato i dati personali ricevuti dall’app senza una base giuridica valida ai sensi del GDPR.
La questione riguarda il percorso delle informazioni oltre il servizio di dating. Una volta condiviso con un intermediario, un dato può entrare nei sistemi che selezionano gli annunci e contribuire alla creazione di profili pubblicitari. L’esame dell’autorità ha raggiunto anche l’impresa che riceve e tratta le informazioni lungo la filiera, oltre al servizio utilizzato direttamente dall’utente.
Consenso e responsabilità secondo il GDPR
Al centro del caso c’è la legittimità del trattamento dei dati. Per usare informazioni personali, il GDPR richiede una base giuridica; le regole sono più rigorose quando si tratta di categorie particolari, fra cui i dati che rivelano l’orientamento sessuale. Il consenso deve essere libero, specifico e informato. L’utente deve poter capire quali informazioni vengono trasmesse, a chi e per quali finalità: l’apertura dell’app o l’accettazione di condizioni generiche non chiariscono questi aspetti.
Nel settore adtech, gli obblighi possono riguardare anche chi riceve i dati e opera dietro le quinte, senza avere un rapporto diretto con gli utenti. La sanzione a Xandr pone l’intermediario al centro della verifica sulla liceità del trattamento, anche quando la raccolta iniziale avviene su un’altra piattaforma. Felix Mikolasch, legale di noyb specializzato in protezione dei dati, ha definito la decisione un precedente utile per casi analoghi. Finn Myrstad, responsabile delle politiche digitali del NCC, ha criticato il modello pubblicitario basato sul tracciamento e sulla profilazione dei consumatori.
La pronuncia si inserisce nel procedimento norvegese e offre un riferimento al dibattito europeo. In Italia, il Garante per la protezione dei dati personali vigila sul rispetto del GDPR e ha affrontato nei propri interventi questioni legate al tracciamento online e all’impiego dei dati per la pubblicità. Anche la Commissione europea discute i confini della disciplina. La proposta di Omnibus digitale citata nel dibattito mira a modificare il GDPR e comprende pressioni perché gli identificatori online siano sottratti alla sua applicazione. Il testo è all’esame del Parlamento europeo e del Consiglio.
Che cosa cambia per chi usa app in Italia
Le impostazioni sulla privacy e le scelte relative ai cookie o alle autorizzazioni possono incidere sul trattamento dei dati. Conta anche il modo in cui app e intermediari gestiscono le informazioni ricevute. Particolare cautela è necessaria per i dati sulla vita affettiva o sessuale, perché possono rivelare aspetti intimi della persona.
Per le aziende pubblicitarie, la responsabilità attraversa l’intera filiera. Il caso Grindr-Xandr richiama la trasparenza lungo tutta la catena: dalla raccolta alla condivisione, fino all’impiego dei dati per la pubblicità. La decisione norvegese porta così in primo piano un principio già previsto dal GDPR: la profilazione richiede una base giuridica adeguata e, quando coinvolge dati sensibili, garanzie particolarmente rigorose.
