Una multa de la autoridad noruega de protección de datos pone bajo la lupa las cadenas de consentimiento en la publicidad digital, después de que un intermediario publicitario se basara en un consentimiento inválido para tratar datos sensibles mediante subastas en tiempo real.
La Autoridad Noruega de Protección de Datos (Datatilsynet) ha impuesto una multa de 92 millones de coronas noruegas, aproximadamente 8,6 millones de euros, a la empresa de tecnología publicitaria Xandr por tratar y compartir ilícitamente datos personales de usuarios de Grindr en Noruega. La autoridad concluyó que Xandr actuaba como corresponsable del tratamiento en el ecosistema de subastas publicitarias en tiempo real y que no podía basarse en el consentimiento obtenido por otro participante sin verificar de forma independiente que fuera válido y que cubriera sus propias operaciones de tratamiento.
La resolución, de la que también se ha hecho eco el Comité Europeo de Protección de Datos, identificó infracciones del artículo 6.1 del RGPD, al no existir una base jurídica válida para el tratamiento, y del artículo 9.1, por tratarse datos relativos a la orientación sexual sin que concurriera una excepción válida. Datatilsynet calificó las infracciones de especialmente graves y señaló que se trataba de la multa más elevada que había impuesto hasta la fecha.
El caso tiene su origen en las subastas publicitarias en tiempo real que implicaban datos de usuarios de una aplicación de citas.
La investigación comenzó tras una reclamación presentada en 2020 por el Consejo Noruego de Consumidores sobre la participación de Xandr, anteriormente conocida como AppNexus y actualmente parte de Microsoft, en la publicidad de Grindr. Las subastas en tiempo real (real-time bidding o RTB) permiten subastar automáticamente espacios publicitarios en fracciones de segundo. La información sobre un usuario se transmite a través de distintas plataformas para que los anunciantes puedan decidir si pujan y cuánto están dispuestos a pagar por mostrar un anuncio.
Datatilsynet constató que Xandr trataba, como mínimo, información relativa al uso de Grindr por parte de determinadas personas, junto con identificadores publicitarios y direcciones IP. En muchos casos, estos datos se transmitían a través de Xandr a potencialmente miles de actores del ecosistema publicitario. La autoridad examinó las actividades de Xandr tanto del lado de la oferta como de la demanda y concluyó que actuaba como corresponsable de las operaciones de tratamiento pertinentes.
El mero uso de la aplicación se consideró un dato relativo a la orientación sexual.
Uno de los aspectos más relevantes de la resolución es que la inferencia de información sensible no dependía de que el usuario hubiera declarado expresamente su orientación sexual. Datatilsynet consideró que el hecho de utilizar Grindr, una aplicación de citas basada en la ubicación y dirigida a personas homosexuales, bisexuales, trans y queer, constituía información indicativa de la orientación sexual y, por tanto, una categoría especial de datos personales conforme al artículo 9 del RGPD.
Esta conclusión tiene implicaciones más amplias para la publicidad digital y la analítica de datos. Una aplicación, un sitio web, una comunidad, una ubicación o una categoría de contenido pueden revelar o sugerir claramente características sensibles, incluso cuando los datos transmitidos parecen ser meramente técnicos. Los responsables del tratamiento deben evaluar el contexto y la información que puede inferirse al combinar identificadores, direcciones IP, datos sobre el uso de aplicaciones y otras señales.
Se requería el consentimiento explícito, pero el intermediario publicitario no verificó su validez.
Dado que el tratamiento implicaba categorías especiales de datos personales, Datatilsynet concluyó que el consentimiento explícito previsto en el artículo 9.2.a) del RGPD era la condición pertinente. Xandr no obtenía directamente el consentimiento, sino que se basaba en el recabado por Grindr, que, según la autoridad, no cumplía los requisitos establecidos por el RGPD para que fuera válido.
Xandr argumentó que Grindr era responsable de obtener el consentimiento, pero la autoridad rechazó que los participantes pudieran trasladar la responsabilidad a otros integrantes de la cadena publicitaria. Cada responsable del tratamiento debe poder demostrar que el consentimiento en el que se basa es válido, suficientemente informado y específico, y que cubre sus propias finalidades y operaciones de tratamiento.
La corresponsabilidad del tratamiento exige una responsabilidad proactiva individual.
La conclusión de que existía corresponsabilidad del tratamiento es un elemento central del mensaje de la autoridad. Las organizaciones pueden adquirir la condición de responsables del tratamiento por su papel en la determinación de las finalidades y los medios esenciales, incluso cuando no mantienen una relación directa con el interesado y reciben los datos a través de otra empresa. Las denominaciones contractuales o los roles habituales dentro del sector no determinan, por sí solos, esta calificación.
Un acuerdo de corresponsabilidad debe distribuir las responsabilidades de forma transparente, pero no elimina la responsabilidad individual de cada parte. Antes de participar en un flujo de datos, un proveedor de tecnología publicitaria debe conocer el origen de los datos, la interfaz de consentimiento mostrada a los usuarios, las finalidades comunicadas, los destinatarios posteriores y las señales que permiten acreditar una elección válida. Cuando las evidencias sean insuficientes, el responsable no debe asumir que otro participante ya ha resuelto las cuestiones de cumplimiento normativo.
Los editores y anunciantes también necesitan visibilidad sobre toda la cadena de suministro publicitaria.
Aunque la resolución se refiere directamente a Xandr, sus enseñanzas prácticas se extienden a operadores de aplicaciones, editores, proveedores de plataformas de gestión del consentimiento, plataformas de compra programática, agencias y anunciantes. Cada organización debe identificar su papel y comprender qué datos se ponen a disposición durante una subasta, incluidos aquellos incorporados en las solicitudes de puja o que permiten realizar inferencias sobre características sensibles.
Los editores no deben considerar que la implementación de una plataforma de gestión del consentimiento garantiza, por sí sola, la licitud de todos los tratamientos posteriores. Deben verificar que las preferencias de los usuarios se transmiten correctamente, que la retirada del consentimiento produce efectos y que los proveedores utilizan los datos únicamente para las finalidades comunicadas al interesado. Los anunciantes y las agencias también deberían examinar si los segmentos de audiencia o las fuentes de inventario publicitario pueden exponerlos a categorías especiales de datos o a información obtenida sin una base jurídica válida.
La divulgación de datos en tiempo real dificulta la adopción de medidas correctivas posteriores.
Datatilsynet destacó la falta de transparencia del ecosistema publicitario y las dificultades que encuentran los interesados para conocer el destino de su información. Una vez que una solicitud de puja se distribuye entre numerosas partes, es posible que el responsable no pueda recuperar los datos, verificar todos sus usos posteriores ni ofrecer una explicación comprensible sobre la totalidad de los destinatarios.
Esta estructura aumenta la importancia de la minimización de datos y de las medidas preventivas. Las organizaciones deben limitar la información incluida en las solicitudes publicitarias, evitar la transmisión de identificadores innecesarios, impedir la comunicación de señales que revelen categorías especiales de datos salvo que pueda demostrarse la existencia de una condición válida conforme al artículo 9, y utilizar controles técnicos para prevenir reutilizaciones no autorizadas. Los requisitos relativos a la conservación, el acceso y las comunicaciones posteriores de datos deben poder aplicarse efectivamente y no limitarse a meras disposiciones contractuales.
La cuantía de la multa refleja la gravedad y la duración del tratamiento.
Las infracciones se prolongaron durante casi dos años, desde julio de 2018 hasta abril de 2020. Datatilsynet consideró como factores agravantes la duración del tratamiento, la naturaleza sensible de los datos y el beneficio económico obtenido por Xandr. La multa se calculó utilizando el volumen de negocio anual de la propia Xandr, dado que la empresa no formaba parte de Microsoft durante el periodo pertinente.
El enfoque de la autoridad demuestra que las prácticas consolidadas en un sector no reducen la necesidad de contar con una base jurídica válida. Cuando el tratamiento de datos personales constituye un elemento central del modelo de negocio, es probable que las autoridades de control esperen un nivel de madurez equivalente en la documentación y las evidencias relativas al consentimiento, los roles de los responsables del tratamiento y las medidas de protección.
Los DPD deben comprobar si las evidencias del consentimiento se mantienen a lo largo de toda la cadena de tratamiento.
Para los delegados de protección de datos (DPD), este caso plantea una cuestión práctica importante: ¿puede cada responsable demostrar por qué está legitimado para recibir y utilizar los datos, o la organización se basa únicamente en garantías de un proveedor anterior en la cadena que no han sido verificadas? Las cadenas de consentimiento (consent strings) y las garantías contractuales deben contrastarse con el recorrido real del usuario, la información que se le presenta y las operaciones de tratamiento realizadas por cada parte implicada.
La revisión también debe considerar si datos técnicos aparentemente ordinarios pueden revelar información sensible debido a su origen o contexto. Los registros de actividades de tratamiento, las evaluaciones de impacto relativas a la protección de datos (EIPD) y las evaluaciones del interés legítimo o del consentimiento deben reflejar toda la arquitectura publicitaria, incluida la corresponsabilidad del tratamiento, los destinatarios posteriores y las consecuencias de la divulgación de datos en tiempo real.
Descubre cómo Aphaia ayuda a las organizaciones a gestionar la publicidad digital y el consentimiento.
Aphaia ayuda a las organizaciones a identificar y documentar flujos de datos complejos, evaluar los roles de responsables y encargados del tratamiento, revisar los mecanismos de consentimiento y reunir evidencias que acrediten un tratamiento lícito y transparente. Las evaluaciones de impacto prácticas y una gestión adecuada de los proveedores pueden ayudar a editores, plataformas y anunciantes a identificar los riesgos asociados a los datos sensibles antes de que la información entre en un ecosistema de publicidad en tiempo real.
