A Autoridade de Proteção de Dados da Noruega (Datatilsynet) aplicou uma multa de 92 milhões de coroas norueguesas (cerca de R$ 48,4 milhões) à plataforma de publicidade digital Xandr — comprada pela Microsoft em 2021. A penalidade representa a maior sanção da história do órgão fiscalizador e decorre do repasse ilegal de dados pessoais e sensíveis de usuários do aplicativo de relacionamento Grindr a redes de anunciantes.
Em nota enviada à imprensa, a Microsoft declarou que a privacidade dos usuários é prioridade absoluta. “A investigação e a decisão se concentram em condutas anteriores à aquisição da Xandr pela Microsoft. Nesse período, a interpretação e a aplicação de normas legais continuaram a evoluir. Estamos revisando a decisão e avaliando nossas opções”.
A investigação constatou que, entre julho de 2018 e abril de 2020, a empresa atuou como intermediária ao repassar informações de navegação, endereços de IP e identificadores de dispositivos de frequentadores da plataforma no país. Como o aplicativo é voltado ao público LGBTQIA+, a indicação de uso do serviço expôs a orientação sexual dos clientes para leilões de publicidade em tempo real sem a devida autorização.
Em documento, a diretora-geral do órgão regulador, Line Coll, destacou a gravidade da infração:
Emitimos uma multa tão alta porque as violações identificadas foram gravíssimas. A responsabilidade pela proteção de dados não pode ser transferida para outros. Cada empresa deve garantir e comprovar que processa dados de forma legal
Line Coll, diretora-geral da Datatilsynet
Fronteiras da responsabilidade no ecossistema de anúncios
A apuração teve início após denúncias apresentadas pelo Conselho de Consumidores da Noruega e pela organização não governamental austríaca noyb. Durante o processo, a Xandr alegou que presumia que o Grindr colhia a autorização dos usuários antes de compartilhar as informações. A autoridade regulatória rejeitou a justificativa e estabeleceu que a plataforma de anúncios atuou como controladora conjunta e deveria ter verificado a validade dos consentimentos por conta própria.
A organização noyb classificou a penalidade como um golpe significativo contra a indústria de vigilância comercial e rastreamento. Segundo a entidade, intermediários de adtech costumam operar nas sombras e raramente são responsabilizados. Para o Conselho de Consumidores norueguês, a decisão sinaliza que a publicidade baseada em rastreamento em massa dificilmente consegue se adequar às exigências do Regulamento Geral sobre a Proteção de Dados (GDPR).
O montante da punição foi calculado com base na receita total da Xandr durante o período das infrações, quando a empresa ainda pertencia à companhia de telecomunicações AT&T. A adtech surgiu a partir da aquisição da AppNexus pela AT&T em 2018, em homenagem ao fundador Alexander Graham Bell, e foi vendida para a Microsoft no fim de 2021. A marca foi posteriormente descontinuada e consolidada sob a divisão Microsoft Ads.
A empresa dispõe de três semanas a partir da notificação oficial para apresentar recurso contra a decisão, segundo o órgão regulador.
Histórico de incidentes na AT&T e desdobramentos no setor
A sanção contra a ex-subsidiária coincide com a resolução de outros grandes litígios envolvendo a AT&T. A Justiça Federal do Texas, nos Estados Unidos, deu aprovação final a um acordo de US$ 177 milhões em uma ação coletiva contra a operadora de telefonia. O processo reuniu consumidores afetados por dois incidentes distintos de segurança ocorridos ao longo de 2024.
O primeiro vazamento envolveu a exposição de números de Segurança Social de cerca de 7,6 milhões de titulares de contas ativas e 65,4 milhões de antigos clientes em fóruns da dark web. O segundo incidente decorreu do download ilegal de registros de chamadas e mensagens de texto armazenados na plataforma de nuvem Snowflake, o que afetou quase totalidade dos clientes de telefonia móvel da companhia.
A decisão norueguesa também se soma a desdobramentos recentes envolvendo o Grindr, que concordou em pagar £ 26 milhões (cerca de R$ 146,3 milhões) para encerrar um processo no Reino Unido referente ao compartilhamento indevido de dados de usuários com terceiros, incluindo informações sobre status de HIV.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
Meridiano
