Xandr multata per 8,6 milioni in Norvegia: dati Grindr ceduti nel real-time bidding

• Il Garante norvegese ha multato Xandr (Microsoft) per 8,6 milioni di euro, record nazionale
• Dati degli utenti Grindr, anche sull'orientamento sessuale, inoltrati a inserzionisti tra 2018 e 2020
• Xandr era contitolare del trattamento con Grindr e doveva ottenere il consenso
• Xandr ha tre settimane per fare ricorso; Microsoft valuta le opzioni

L’autorità norvegese per la protezione dei dati (DPA) ha multato Xandr, divisione pubblicitaria di proprietà di Microsoft, per 8,6 milioni di euro (circa 9,62 milioni di dollari). Il motivo: aver trasmesso in modo illecito a inserzionisti i dati sensibili degli utenti di Grindr. È la sanzione più alta mai emessa dal Garante norvegese, che ha motivato l’importo con la gravità “molto seria” della violazione.

Cosa è successo

Le violazioni risalgono al periodo tra luglio 2018 e aprile 2020. Secondo l’autorità, Xandr ha fatto da intermediario e ha inoltrato i dati personali degli utenti norvegesi di Grindr, compresi quelli che rivelano l’orientamento sessuale, a potenzialmente migliaia di altre aziende.

Il meccanismo è quello del real-time bidding, l’asta pubblicitaria in tempo reale. Quando un utente apriva Grindr, i suoi dati venivano spesso diffusi tramite Xandr agli attori del mercato pubblicitario. Gli inserzionisti facevano offerte per mostrare annunci mirati, all’insaputa dell’interessato. Xandr operava sia dal lato dell’acquirente sia da quello del venditore.

La responsabilità congiunta

L’indagine ha stabilito che Xandr era joint controller (contitolare del trattamento) insieme a Grindr. Doveva quindi garantire di aver ottenuto il consenso degli utenti. Secondo il Garante, Xandr ha invece scaricato la responsabilità su Grindr, sostenendo di aver dato per scontato che l’app di incontri avesse raccolto il consenso.

L’importo è stato calcolato sul fatturato annuo complessivo di Xandr nel biennio considerato, precedente all’acquisizione da parte di Microsoft. Xandr ha tre settimane per presentare ricorso.

Il contesto

Xandr è nata nel 2018, quando AT&T ha acquisito AppNexus. È stata poi ceduta a Microsoft alla fine di dicembre 2021. Il marchio è stato ritirato e assorbito in Microsoft Ads nel giugno 2023.

Il caso nasce nel 2020 da un reclamo del consiglio norvegese dei consumatori e dell’organizzazione austriaca per la privacy None of Your Business (noyb). Noyb ha definito la multa un “duro colpo” per l’industria della pubblicità online e della sorveglianza commerciale. Microsoft, in una dichiarazione a Reuters, ha detto di star esaminando la decisione e valutando le opzioni.

Altri procedimenti collegati

• Il mese scorso Grindr ha accettato di pagare 26 milioni di sterline (35,1 milioni di dollari) per chiudere una causa nel Regno Unito. L’accusa era di aver condiviso con terzi informazioni personali, tra cui lo stato HIV degli utenti.
• Un giudice federale del Texas ha approvato in via definitiva un accordo da 177 milioni di dollari con AT&T. Riguarda i clienti coinvolti in due data breach, avvenuti a marzo e luglio 2024. Le parti avevano raggiunto l’intesa nel novembre 2025.

Il primo incidente ha portato alla pubblicazione sul dark web di un dataset con numeri di Social Security, relativo a circa 7,6 milioni di titolari di account attuali e a circa 65,4 milioni di ex titolari. Nel secondo, alcuni attaccanti hanno scaricato dati dei clienti da una piattaforma cloud di terze parti ospitata da Snowflake. Sono stati compromessi i registri di chiamate e SMS tra il 1° maggio e il 31 ottobre 2022 per “quasi tutti” i clienti di telefonia mobile.

Fonte: The Hacker News · Foto: The Hacker News