La sanzione da 8 milioni inflitta in Norvegia a Xandr riporta al centro il tema della tutela dei dati nella pubblicità digitale: ecco le ragioni della decisione, il ruolo di Microsoft e le possibili ricadute sul mercato italiano.
Datatilsynet, l’autorità norvegese per la protezione dei dati, ha sanzionato Xandr con 92 milioni di corone norvegesi, pari a circa 8 milioni di euro, per il trattamento illecito dei dati personali degli utenti di Grindr. La decisione, annunciata il 14 ottobre 2026, è la multa più alta mai imposta dall’ente. Al centro del caso ci sono informazioni in grado di rivelare l’orientamento sessuale e il consenso utilizzato per la pubblicità mirata.
Xandr, società di tecnologia pubblicitaria entrata nel gruppo Microsoft, ha tre settimane per impugnare il provvedimento. Datatilsynet ha esaminato il ruolo dell’intermediario che riceveva i dati e li immetteva nella filiera adtech, cioè nei sistemi che distribuiscono e vendono spazi pubblicitari online.
Perché Datatilsynet ha sanzionato Xandr
Il procedimento è partito dai reclami presentati nel 2020 da noyb, organizzazione europea per i diritti digitali, e dal Consiglio norvegese dei consumatori (NCC). Le violazioni attribuite a Xandr si collocano tra luglio 2018 e aprile 2020. In quel periodo, quando una persona apriva Grindr, identificatori e altre informazioni potevano passare attraverso i sistemi pubblicitari e arrivare a numerosi operatori.
Quei dati alimentavano la selezione degli annunci. Gli inserzionisti partecipavano ad aste automatizzate per mostrare pubblicità personalizzata; intanto, la condivisione avveniva dietro le quinte. L’utente poteva non accorgersi che le informazioni uscivano dall’app e circolavano tra soggetti esterni. Secondo Datatilsynet, l’eventuale consenso raccolto da Grindr non era sufficiente a legittimare il trattamento di Xandr: anche l’intermediario doveva disporre di una base giuridica valida.
La questione assume particolare rilievo perché l’uso di Grindr può rivelare dati sulla vita sessuale o sull’orientamento degli iscritti, categorie protette in modo rafforzato dal GDPR. Aprire l’app o accettare condizioni generiche non basta a esprimere un consenso valido. Questo deve essere libero, specifico e informato. Chi usa il servizio deve poter capire quali dati vengono comunicati, a chi e per quali scopi. Quando tali elementi non sono chiari, l’assenso non copre automaticamente l’intera catena pubblicitaria.
Il calcolo della multa e il ruolo di Microsoft
Per quantificare la sanzione, Datatilsynet ha considerato il fatturato annuo complessivo di Xandr, così da tenere conto delle dimensioni economiche dell’impresa. L’autorità ha giudicato la violazione molto grave, sia per la sensibilità dei dati sia per la loro possibile diffusione nell’ecosistema pubblicitario. I 92 milioni di corone costituiscono un record per l’ente norvegese e mostrano come gli obblighi di protezione coinvolgano anche gli operatori che partecipano alla raccolta e all’uso delle informazioni.
Xandr agiva da intermediario pubblicitario: riceveva segnali e identificatori dall’app e li utilizzava nei processi che mettono in relazione gli spazi disponibili con gli inserzionisti. I dati possono così contribuire alla profilazione, vale a dire alla creazione di categorie e preferenze associate agli utenti. Chi li tratta deve verificare che esista una base giuridica, anche quando le informazioni provengono da un’altra piattaforma.
La sanzione è stata inflitta a Xandr, oggi parte del gruppo Microsoft. L’azienda può presentare ricorso entro tre settimane e il procedimento potrà proseguire attraverso gli strumenti previsti. Il caso si aggiunge a precedenti contestazioni norvegesi sulla gestione dei dati di Grindr; questa volta l’attenzione è rivolta all’operatore che li riceve e li utilizza nella filiera commerciale.
Le ricadute per il mercato pubblicitario italiano
Il provvedimento si colloca nel quadro dei controlli europei sull’uso dei dati personali e offre un riferimento anche alle autorità degli altri Paesi, tra cui il Garante per la protezione dei dati personali italiano. I principi richiamati sono quelli comuni del GDPR: trasparenza, limitazione delle finalità e responsabilità di ogni operatore coinvolto. Il Garante ha già affrontato questioni legate al tracciamento online e alla pubblicità basata sui dati.
Per le aziende, il caso richiama l’attenzione sull’intera filiera. L’autorizzazione raccolta nell’interfaccia di un’app deve spiegare in modo comprensibile anche i successivi trasferimenti e utilizzi dei dati. Gli utenti possono incidere sulle informazioni condivise attraverso le impostazioni di privacy e le scelte sui consensi; la gestione tecnica coinvolge anche i servizi e gli intermediari che ricevono quei dati.
Nel dibattito europeo sulle regole digitali rientrano anche le proposte di revisione del GDPR, tra cui l’Omnibus digitale, esaminato da Parlamento europeo e Consiglio. Il caso Xandr-Grindr porta al centro una verifica concreta su una tecnologia pubblicitaria di uso quotidiano: il consenso deve essere valido lungo tutta la filiera, dal momento in cui si apre l’app fino agli utilizzi successivi delle informazioni.
