Actualizado: 19 de octubre de 2026 · Autor: Álvaro Ruipérez Candón, abogado de derecho digital y privacidad en ScandoUp Global Legal.
Multa administrativa comunicada el 16 de octubre de 2026.
92 millones de NOK, aproximadamente 8,6 millones de euros.
Artículos 6.1 y 9.1 RGPD, según la información oficial.
¿Qué ha decidido la autoridad noruega?
El caso se inició en 2020 tras una reclamación del Norwegian Consumer Council contra Xandr, entonces conocida como AppNexus e integrada en Microsoft. La resolución tiene fecha de 2 de octubre de 2026 y fue difundida por el Comité Europeo de Protección de Datos el 16 de octubre.
La autoridad noruega consideró probado que Xandr trató, durante operaciones de real-time bidding, información sobre usuarios de Grindr, identificadores publicitarios y direcciones IP. También concluyó que el hecho de utilizar Grindr podía revelar información sobre la orientación sexual de una persona, una categoría especial de datos protegida por el artículo 9 RGPD.
La sanción se dirige a Xandr como empresa que participaba en el ecosistema publicitario tanto en el lado de la oferta como en el de la demanda. La autoridad la consideró corresponsable del tratamiento junto con Grindr, y no un mero intermediario ajeno a la decisión y al flujo de datos.
¿Qué es el real-time bidding y por qué importa?
El real-time bidding permite que una aplicación o sitio web comparta determinados datos con plataformas publicitarias para que distintos anunciantes pujen automáticamente por mostrar un anuncio. La operación ocurre en milisegundos y puede implicar a numerosos participantes.
El riesgo jurídico no depende de un banner de consentimiento. La empresa debe saber qué información sale de su aplicación, qué proveedores la reciben, para qué finalidad, durante cuánto tiempo y si los datos pueden revelar categorías especiales, aunque el dato no aparezca escrito de forma literal.
En el caso analizado, la autoridad noruega destacó que el uso de Grindr podía ser, por sí mismo, un dato indicativo de orientación sexual. Esa conclusión es especialmente relevante para empresas que operan con aplicaciones, programas de fidelización, plataformas de salud, servicios de bienestar, comunidades profesionales o herramientas de segmentación.
La auditoría de protección de datos para empresas debe incluir el mapa técnico de proveedores y no limitarse a revisar la política de privacidad que ve el usuario.
Las tres lecciones RGPD para empresas
1. La base jurídica debe cubrir el flujo real
La autoridad noruega señaló que, por tratarse de datos de categoría especial, era necesario un consentimiento explícito conforme al artículo 9.2.a) RGPD. Xandr se apoyó en el consentimiento que supuestamente había recogido Grindr, pero no verificó que fuera válido y que cubriera su propio tratamiento.
No basta con preguntar “¿hay consentimiento?”. Hay que comprobar el texto mostrado, la acción realizada, los proveedores identificados, las finalidades explicadas y el alcance real del consentimiento.
2. La responsabilidad no desaparece al contratar una plataforma
La responsabilidad no puede trasladarse simplemente a otra empresa. Si dos entidades determinan conjuntamente fines o medios, cada una debe demostrar que su tratamiento es lícito y está controlado.
Esto afecta a anunciantes, agencias, redes publicitarias y empresas que incorporan SDK de terceros. El contrato mercantil no sustituye al análisis de roles del artículo 26 RGPD ni evita que una autoridad examine la operativa real.
3. Los identificadores también pueden ser datos personales
El expediente no se limitó a nombres y apellidos. Incluyó identificadores publicitarios, direcciones IP y la información que podía inferirse del uso de una aplicación. Para evaluar el riesgo hay que revisar identificadores, eventos, segmentos, señales de dispositivo y combinaciones de datos.
La cuestión es si la empresa puede vincular esos datos a una persona, dispositivo o perfil. Si la respuesta es afirmativa, el análisis RGPD no desaparece porque el dato se denomine “técnico” o se transmita automáticamente.
Qué debe revisar una empresa en su cadena adtech
| Área | Pregunta de control | Evidencia útil |
|---|---|---|
| Datos | ¿Qué identificadores, eventos o segmentos se comparten? | Inventario de SDK, etiquetas, píxeles y documentación técnica. |
| Finalidad | ¿La publicidad, analítica o personalización está separada? | Registro de actividades y descripción de cada proveedor. |
| Base jurídica | ¿El consentimiento o interés legítimo cubre el flujo completo? | Texto, CMP, registros y trazabilidad del consentimiento. |
| Roles | ¿Quién decide los fines y medios en cada fase? | Contrato, análisis funcional y acuerdo de corresponsabilidad cuando proceda. |
| Categorías especiales | ¿Puede inferirse salud, orientación sexual, religión u otra categoría? | Evaluación de impacto, pruebas de segmentación y restricciones técnicas. |
Qué debe hacer el responsable antes de activar una campaña
- Mapear todos los datos que salen de la web o aplicación.
- Identificar cada proveedor que recibe información durante la puja o la medición.
- Determinar si existe tratamiento de categorías especiales o inferencias sobre ellas.
- Verificar que la base jurídica cubre a cada entidad y cada finalidad.
- Comprobar que los mecanismos de consentimiento bloquean técnicamente los proveedores no autorizados.
- Revisar si existe corresponsabilidad, encargo o actuación independiente.
- Documentar transferencias internacionales, conservación y eliminación.
- Realizar una EIPD cuando el tratamiento pueda implicar alto riesgo.
- Establecer controles de auditoría y suspensión de proveedores.
Preguntas frecuentes
¿La multa a Xandr afecta solo a empresas de publicidad?
No necesariamente. La lección puede afectar a cualquier empresa que utilice plataformas de publicidad, analítica, personalización o medición y comparta identificadores o datos de comportamiento con terceros. El análisis debe centrarse en el flujo real y en los roles de cada entidad.
¿Basta con que el usuario haya aceptado las cookies?
No siempre. El consentimiento debe ser válido, informado, específico y demostrable, y debe cubrir el tratamiento que realiza cada entidad. Además, si se tratan categorías especiales, puede ser necesario un consentimiento explícito y deben cumplirse las condiciones del artículo 9 RGPD.
¿Xandr fue sancionada como encargada del tratamiento?
Según la información oficial de la autoridad noruega, Xandr fue considerada corresponsable junto con Grindr para el tratamiento analizado. La calificación depende de las funciones reales y no solo del nombre que figure en el contrato.
Fuentes oficiales y criterio de ScandoUp
Resumen del EDPB sobre la decisión de Xandr; comunicado de la autoridad noruega. La autoridad identifica una multa administrativa, los artículos 6 y 9 RGPD, los hechos relativos al real-time bidding, la corresponsabilidad y el plazo de recurso. Fuentes consultadas el 19 de octubre de 2026.
Este artículo distingue los hechos comunicados por las autoridades de las recomendaciones prácticas para empresas. La aplicación concreta depende del sector, los datos tratados, la configuración técnica y los contratos existentes.
Álvaro Ruipérez Candón puede revisar la base jurídica, los roles, los proveedores adtech y las medidas técnicas que sostienen el consentimiento. Revisa tu cadena con nuestros abogados de protección de datos para empresas.
Contenido informativo. No constituye asesoramiento jurídico para un caso concreto.