La autoridad de control noruega ha impuesto a Xandr, compañía de tecnología publicitaria integrada en Microsoft, una sanción de, aproximadamente, 8.6 millones de euros por infringir los artículos 6.1 (licitud del tratamiento) y 9.1 (tratamiento de categorías especiales de datos personales) del RGPD, siendo la sanción más elevada impuesta por la autoridad de control hasta la fecha. La resolución sancionadora considera acreditado que la entidad trató datos personales de usuarios de Grindr sin una base jurídica válida y sin cumplir los requisitos exigidos para tratar categorías especiales de datos.
El procedimiento se inició tras una reclamación presentada por el Consejo Noruego de Consumidores. Así, los hechos se refieren a la participación de Xandr, como entidad intermediaria, en el sistema de subastas publicitarias en tiempo real en la propia aplicación de Grindr. De este modo, al utilizarse la aplicación por parte de cada usuario, se transmitía determinada información que permitía a distintos anunciantes pujar en directo para mostrar publicidad personalizada en la propia app. Entre los datos tratados figuraban, entre otros y como es lógico, la información de que la persona utilizaba Grindr.
Habida cuenta de ello, una de las cuestiones centrales de la resolución es la naturaleza de esa información relativa al mero uso de la aplicación. La autoridad de control noruega considera que el hecho de utilizar una aplicación que está dirigida exclusivamente a personas homosexuales, bisexuales, transexuales o queer permite revelar indirectamente información sobre su orientación sexual. Por ello, declara que su tratamiento debe quedar sujeto a las garantías del artículo 9 del RGPD (y ello a pesar de que no se indique expresamente una orientación concreta), siendo el consentimiento expreso, en este caso, la única base jurídica que legitimaba el tratamiento. En relación con esta cuestión, se pone de manifiesto que utilizar la aplicación no equivale a hacer públicos esos datos.
Por su parte, Xandr alegó que correspondía a Grindr obtener el consentimiento expreso de los usuarios para estas finalidades, prohibiendo sus contratos compartir categorías especiales de datos. No obstante, tal y como indica la autoridad noruega, estas previsiones contractuales no eximen a Xandr de comprobar la licitud de su propia actividad y de los tratamientos de datos que se llevan a cabo. En particular, se hace constar que los consentimientos recabados por Grindr no cumplían los requisitos del RGPD, sin que Xandr hubiera adoptado medidas para verificar su validez.
En este sentido, la resolución declara que Xandr es también responsable del tratamiento, sin que el hecho de que se establezcan determinadas garantías en el contrato permita trasladar a la otra entidad toda la responsabilidad por el cumplimiento. Así, aunque una entidad se encargue de recabar el consentimiento, ambas deben garantizar que el mismo cumple los requisitos establecidos en la normativa vigente de protección de datos. En este sentido, se afirma por la autoridad de control que “cada empresa debe garantizar, y poder documentar, que procesa los datos personales de forma lícita”.
Para cuantificar la sanción se han tenido en consideración, entre otras cuestiones, la especial sensibilidad de la información tratada (esto es, la orientación sexual de los afectados), la duración de las conductas y el beneficio económico obtenido.
Puede acceder a la resolución de la autoridad noruega aquí.
