Noruega multa con 92 millones de coronas a Xandr por no comprobar el consentimiento

Qué ha pasado

El 12 de octubre, la autoridad de protección de datos de Noruega, Datatilsynet, impuso una multa de 92 millones de coronas noruegas (unos 9,6 millones de dólares) a Xandr, la empresa de tecnología publicitaria que hoy pertenece a Microsoft. Según la autoridad, es la mayor sanción que ha puesto nunca.

El caso viene de lejos. Entre julio de 2018 y abril de 2020, Xandr participaba en las subastas de anuncios en tiempo real dentro de Grindr, la aplicación de citas. En esas subastas circulaban datos sensibles, entre ellos la orientación sexual, que podían llegar a miles de empresas. Xandr alegó que el consentimiento lo recogía Grindr. Datatilsynet considera que Xandr era corresponsable del tratamiento y que no podía limitarse a suponer que ese consentimiento era válido: tenía que comprobarlo, y no lo hizo.

La denuncia la presentaron en 2020 el Consejo de Consumidores de Noruega y la organización noyb. Microsoft, que compró Xandr en 2022, ha dicho que los hechos son anteriores a la adquisición y que está estudiando la decisión. Xandr tiene tres semanas para recurrir, así que la resolución aún no es firme.

Por qué le importa a tu empresa

Pocas pymes españolas trabajan con datos tan delicados como los de una aplicación de citas, pero casi todas tienen en su web etiquetas de publicidad, píxeles de redes sociales o herramientas de análisis de terceros. El mensaje de esta multa vale para todo ese ecosistema: cuando dos empresas deciden juntas para qué se usan unos datos, ninguna puede escudarse en que el consentimiento era cosa de la otra.

Visto desde tu web, el razonamiento es el mismo. Si cargas un píxel publicitario antes de que el visitante acepte, o con un banner de cookies que no recoge un consentimiento válido, el problema no desaparece porque el proveedor tenga una buena política de privacidad.

Mi opinión

Lo que más valoro de esta resolución es su sencillez: «di por hecho que el otro lo tenía resuelto» no es una defensa. Es una frase que oigo a menudo en pymes, referida a la agencia, al plugin de cookies o al proveedor de anuncios.

No creo que esto vaya a traer multas millonarias a una tienda pequeña de la noche a la mañana, y conviene no exagerar. Pero sí marca la dirección: las autoridades miran cada vez más la cadena publicitaria completa y piden pruebas, no suposiciones. En XEVIA comprobamos qué se carga realmente en una web antes y después de aceptar las cookies, porque lo que dice el banner y lo que pasa por debajo no siempre coincide.

Qué hacer hoy

• Haz inventario de todas las etiquetas de publicidad, píxeles y herramientas de análisis que carga tu web.
• Comprueba, con el navegador en modo privado, que ninguna se activa antes de que el visitante acepte las cookies.
• Revisa que tu banner permite rechazar con la misma facilidad que aceptar y que guarda constancia del consentimiento.
• Pide a tus proveedores de publicidad que te expliquen por escrito qué datos reciben y qué papel tienen en el tratamiento.
• Si tu negocio trata datos de salud u otros especialmente protegidos, no los mezcles con herramientas publicitarias.