RGPD, publicidad digital y responsabilidad proactiva
La multa administrativa de 8,6 millones de euros impuesta a Xandr por el tratamiento de datos de usuarios de Grindr deja una lección clara: una empresa no puede dar por válido el consentimiento de su plataforma o proveedor sin comprobar qué datos se usan, para qué finalidades y con qué garantías.
¿Tu empresa utiliza publicidad programática o plataformas de datos?
Álvaro Ruipérez puede revisar las bases jurídicas, los contratos y la trazabilidad del consentimiento antes de que el riesgo se convierta en una reclamación o una sanción.
Revisión jurídica: Álvaro Ruipérez Candón, ScandoUp Global Legal. Actualizado el 26 de octubre de 2026.
Respuesta directa
La multa de Xandr puede afectar a cualquier empresa que comparta datos con plataformas publicitarias, redes de anuncios o proveedores de analítica. El riesgo no depende solo de quién recoge el consentimiento: cada empresa debe comprobar su base jurídica, definir su papel, limitar los datos compartidos y conservar evidencia de que el tratamiento podía realizarse.
Qué ocurrió en el caso Xandr
El 16 de octubre de 2026, el Comité Europeo de Protección de Datos publicó la decisión de la autoridad noruega contra Xandr Inc. La decisión administrativa final tenía fecha de 2 de octubre de 2026 y se refería a operaciones de publicidad en tiempo real dentro de Grindr, una aplicación de citas basada en la localización.
La autoridad consideró acreditado que Xandr trataba, entre otros elementos, el hecho de que una persona utilizaba Grindr, su identificador publicitario y su dirección IP. En el contexto del servicio, esos datos podían revelar o permitir inferir información sobre orientación sexual, una categoría especial de datos del artículo 9 del RGPD.
Datos tratados
Uso de la aplicación, identificador publicitario, dirección IP y datos que podían revelar orientación sexual.
Base jurídica cuestionada
Xandr se apoyó en el consentimiento obtenido por Grindr, pero la autoridad consideró que no era válido para su propio tratamiento.
Resultado
Multa administrativa de 8.600.000 euros por infracciones de los artículos 6 y 9 del RGPD.
La resolución también calificó a Xandr como corresponsable del tratamiento. La idea central es especialmente importante para empresas tecnológicas: la responsabilidad proactiva no puede externalizarse por completo a otro participante de la cadena.
Cómo puede afectar a tu empresa
1. Si utilizas publicidad programática
Si tu empresa usa plataformas de publicidad, remarketing, segmentación o pujas en tiempo real, debes saber qué información se envía antes de que un proveedor la utilice. El nombre de la herramienta no demuestra que el tratamiento sea lícito. Hay que revisar identificadores, IP, eventos, audiencias, perfiles inferidos y categorías de datos.
2. Si compartes datos con proveedores tecnológicos
Un contrato de servicios no resuelve por sí solo la responsabilidad. El proveedor puede actuar como encargado, responsable independiente o corresponsable según quién determine las finalidades y los medios. Esa calificación debe reflejar la operativa real y no solo la etiqueta utilizada en el contrato.
3. Si te apoyas en el consentimiento de otra empresa
Que una plataforma muestre un banner o una casilla de consentimiento no significa automáticamente que cubra todos los tratamientos posteriores. Debes verificar qué se explicó a la persona, qué finalidad aceptó, qué proveedores estaban identificados, si podía retirar el consentimiento y si la prueba se conserva de forma trazable.
4. Si se tratan datos sensibles o se pueden inferir
El análisis no puede quedarse en los datos que aparecen literalmente en una base de datos. La combinación de identificadores, contexto, ubicación, comportamiento y audiencia puede revelar información especialmente protegida. Cuando exista esa posibilidad, deben reforzarse la necesidad, la minimización, la base jurídica y las medidas de protección.
Qué debería revisar una empresa
Mapa de datos
Qué datos entran, quién los recibe, qué eventos se generan y si existen perfiles o inferencias.
Roles RGPD
Quién decide las finalidades y los medios, y si el contrato refleja responsable, encargado o corresponsable.
Consentimiento
Texto mostrado, finalidades, prueba, retirada, proveedores incluidos y posibilidad real de oponerse.
Evidencia
Registros, versiones de contratos, configuraciones, evaluaciones y decisiones adoptadas por la empresa.
En empresas con publicidad digital, esta revisión debe coordinar marketing, producto, tecnología, compras y asesoría jurídica. El riesgo suele aparecer precisamente cuando cada área conserva una parte de la información y nadie puede reconstruir el tratamiento completo.
Checklist frente a un proveedor de publicidad o datos
- Identifica todos los datos y eventos que salen de tu web, aplicación o CRM.
- Clasifica si existen datos sensibles, perfiles, inferencias o segmentaciones de riesgo.
- Determina el rol RGPD de tu empresa y de cada proveedor implicado.
- Comprueba que la base jurídica cubre la finalidad concreta y no una finalidad genérica.
- Revisa contratos, transferencias internacionales, subproveedores y conservación.
- Conserva evidencia de configuraciones, consentimientos, evaluaciones y cambios.
La lección para los contratos tecnológicos
La empresa debe exigir transparencia suficiente para poder responder preguntas básicas: qué datos se utilizan, con qué finalidad, desde qué países se accede, qué proveedores participan y cómo se elimina la información. También debe poder modificar configuraciones, limitar campos y suspender tratamientos cuando la base jurídica no esté acreditada.
La documentación debe actualizarse cuando cambia el proveedor, se incorpora una nueva audiencia, se activa una funcionalidad de IA o se reutilizan datos para una finalidad distinta. La privacidad no se revisa solo al firmar el contrato: debe acompañar al ciclo de vida del producto y de la campaña.
Conclusión
El caso Xandr no significa que toda publicidad digital sea ilícita ni que cualquier empresa vaya a recibir la misma multa. Sí muestra, sin embargo, que utilizar una plataforma conocida no elimina la obligación de analizar el tratamiento. La empresa debe poder demostrar por qué utiliza los datos, qué papel desempeña cada parte y cómo verifica el consentimiento.
Fuentes oficiales
EDPB: decisión contra Xandr de 8.600.000 euros. La ficha identifica la fecha de la decisión, los artículos 6 y 9 del RGPD, la calificación de corresponsable y el carácter de multa administrativa.
La evaluación de cada empresa debe contrastarse con el texto vigente del RGPD y con la operativa real del tratamiento.
Preguntas frecuentes
¿La multa de Xandr se aplica automáticamente a todas las empresas?
No. Es una decisión administrativa concreta sobre unos tratamientos y unos hechos determinados. Su valor para otras empresas está en los criterios que utiliza sobre base jurídica, datos sensibles, corresponsabilidad y responsabilidad proactiva.
¿Si el proveedor obtiene el consentimiento, mi empresa queda protegida?
No necesariamente. Si tu empresa participa en la finalidad o en los medios del tratamiento, debe comprobar que el consentimiento es válido y que cubre su propia operación. El contrato debe asignar responsabilidades, pero no sustituye la verificación jurídica y técnica.
¿Qué debe hacer una pyme que usa publicidad programática?
Debe elaborar un mapa de datos, revisar las etiquetas y SDK instalados, identificar proveedores y transferencias, comprobar la base jurídica y conservar evidencia de la configuración y del consentimiento. Si existen perfiles o datos sensibles, conviene realizar una revisión reforzada antes de seguir escalando campañas.
Despacho en Madrid · Atención en toda España · Derecho digital para empresas
Revisa tu publicidad digital antes de que aparezca el problema
Consulta el asesoramiento RGPD para empresas que utilizan publicidad digital y cuéntanos qué plataformas, proveedores y datos intervienen.