A autoridade de proteção de dados da Noruega, a Datatilsynet, aplicou à plataforma de publicidade digital Xandr uma multa de 92 milhões de coroas norueguesas. O valor corresponde a cerca de R$ 48,4 milhões. A penalidade é a maior já imposta pelo órgão e decorre do tratamento e do compartilhamento irregular de dados de usuários do aplicativo Grindr.

A Xandr atuava como intermediária em leilões automatizados de publicidade. Segundo a decisão, informações relacionadas a usuários noruegueses do Grindr, inclusive dados capazes de revelar sua orientação sexual, foram encaminhadas a potencialmente milhares de participantes do ecossistema de anúncios sem que houvesse consentimento válido para esse tratamento.

Embora o episódio tenha sido descrito como um “vazamento” em parte da cobertura jornalística, a apuração regulatória trata de uma prática de tratamento e compartilhamento sem base legal, não de uma invasão ou exposição acidental causada por falha de segurança. A distinção é importante: uma empresa pode violar a legislação de proteção de dados mesmo quando seus sistemas não foram atacados.

Como os dados circularam no ecossistema de publicidade

A investigação começou após uma denúncia apresentada em 2020 pelo Conselho de Consumidores da Noruega, em cooperação com a organização de defesa da privacidade noyb. O caso examinou a circulação de dados do Grindr por empresas de tecnologia publicitária, entre elas a Xandr, anteriormente conhecida como AppNexus.

Entre julho de 2018 e abril de 2020, a Xandr participou de operações de leilão de anúncios em tempo real, conhecidas como real-time bidding ou RTB. Esse modelo funciona em uma sequência automatizada:

  1. Uma pessoa abre um aplicativo ou site que possui espaço publicitário.
  2. A plataforma envia uma solicitação ao ecossistema de anúncios com informações usadas para avaliar aquele espaço e o perfil associado a ele.
  3. Intermediários distribuem a oportunidade a anunciantes e outras plataformas.
  4. Os interessados fazem ofertas para exibir um anúncio.
  5. A proposta vencedora é selecionada e a publicidade aparece em uma fração de segundo.

O problema é que essas solicitações podem transportar identificadores e outros dados pessoais para um grande número de empresas. No caso analisado, saber que determinada pessoa utilizava o Grindr poderia revelar ou permitir inferir sua orientação sexual. Pelo Regulamento Geral sobre a Proteção de Dados europeu, o GDPR, essa informação recebe proteção especial.

A Datatilsynet concluiu que a Xandr atuou como controladora conjunta com o Grindr e não poderia simplesmente presumir que o aplicativo havia obtido todas as autorizações necessárias. Cada participante do fluxo precisava verificar e demonstrar que possuía fundamento jurídico para seu próprio uso dos dados.

Por que o consentimento foi considerado inválido

A autoridade norueguesa entendeu que o tratamento em questão exigia consentimento explícito. A Xandr, porém, não teria verificado se a manifestação obtida pelo Grindr era válida nem estabelecido uma base legal que cobrisse suas próprias operações.

O caso evidencia uma falha recorrente em cadeias digitais complexas: contratos entre empresas não substituem os direitos das pessoas. Uma cláusula pela qual um fornecedor declara ter coletado consentimento não elimina automaticamente a responsabilidade dos demais participantes.

Para ser válido no contexto europeu analisado, o consentimento precisava ser livre, específico, informado e inequívoco. Também era necessário demonstrar que o usuário compreendia quais organizações receberiam seus dados e para quais finalidades. Quando o fluxo envolve milhares de possíveis destinatários, oferecer transparência real e controle efetivo torna-se ainda mais difícil.

Por que a multa atingiu um valor recorde

De acordo com a Datatilsynet, alguns fatores aumentaram a gravidade da infração:

  • os dados permitiam revelar uma característica íntima e especialmente protegida dos usuários;
  • milhares de pessoas na Noruega foram atingidas;
  • as informações podiam ser transmitidas a potencialmente milhares de organizações do setor publicitário;
  • a prática permaneceu ativa por quase dois anos;
  • a Xandr obteve benefício econômico com o uso dos dados;
  • o tratamento de informações pessoais fazia parte do núcleo de sua atividade empresarial.

O valor foi calculado com base no faturamento da própria Xandr. A receita da Microsoft não entrou no cálculo porque a aquisição da empresa ocorreu em 2021, depois do período investigado.

A Xandr dispõe de três semanas, contadas do recebimento da decisão, para apresentar recurso. Portanto, a penalidade foi formalmente aplicada pela autoridade, mas ainda pode ser discutida na esfera administrativa competente.

O que o caso ensina sobre fornecedores e parceiros

A decisão reforça que a responsabilidade por dados pessoais acompanha todo o fluxo de tratamento. Ela não termina quando uma organização envia informações a um parceiro nem desaparece quando os dados são recebidos de outra empresa.

Para reduzir riscos semelhantes, organizações que contratam plataformas de marketing, análise, nuvem, atendimento ou publicidade devem:

  • mapear quais dados são coletados, para onde são enviados e quem consegue acessá-los;
  • definir claramente os papéis de controlador e operador em cada atividade;
  • confirmar a base legal de cada finalidade, sem tratar o consentimento como autorização genérica;
  • avaliar com atenção especial qualquer dado sensível ou inferência sobre saúde, religião, vida sexual, origem racial ou étnica;
  • incluir nos contratos regras sobre finalidade, segurança, retenção, subcontratação, auditoria e eliminação;
  • verificar na prática se fornecedores cumprem as obrigações acordadas;
  • manter registros capazes de demonstrar as decisões e os controles adotados;
  • limitar a coleta e o compartilhamento ao mínimo necessário.

O ponto central é a prestação de contas. Não basta afirmar que a conformidade era responsabilidade de outro participante da cadeia. Cada empresa precisa conhecer seu papel, controlar seus fornecedores e conseguir provar por que o tratamento realizado é legítimo.

No Brasil, a LGPD e a ANPD alcançam empresas de todos os setores

O Brasil possui sua própria norma de proteção de dados, a Lei Geral de Proteção de Dados Pessoais, a LGPD, estabelecida pela Lei nº 13.709/2018. A lei disciplina operações realizadas com dados pessoais em meios digitais ou físicos e pode alcançar organizações públicas e privadas quando o tratamento se enquadra em seus critérios de aplicação territorial.

A fiscalização e a regulamentação administrativa cabem à Agência Nacional de Proteção de Dados, a ANPD. Entre suas atribuições estão orientar a sociedade, editar normas, fiscalizar operações de tratamento e aplicar sanções após processo administrativo com direito de defesa e recurso.

As penalidades previstas na LGPD não se limitam a multas. Elas incluem advertência, publicização da infração, bloqueio ou eliminação de dados e até suspensão ou proibição de atividades de tratamento. A multa simples pode chegar a 2% do faturamento da pessoa jurídica no Brasil, excluídos os tributos, limitada a R$ 50 milhões por infração. Também podem existir consequências judiciais, consumeristas, contratuais e reputacionais, conforme as características de cada caso.

Conformidade não é assunto apenas de grandes empresas

Toda empresa lida com algum tipo de dado pessoal: nome e contato de clientes, cadastro de funcionários, currículos de candidatos, imagens de câmeras, registros de acesso, dados de pagamento, informações de fornecedores ou métricas coletadas por sites. Por isso, a LGPD pode atingir negócios de qualquer porte e setor, incluindo lojas, escritórios, clínicas, indústrias, condomínios, escolas, prestadores de serviço, startups e microempresas.

A ANPD prevê regras simplificadas para determinados agentes de pequeno porte, mas isso não representa dispensa geral do cumprimento da LGPD. Mesmo uma pequena empresa deve respeitar os direitos dos titulares, utilizar dados para finalidades legítimas e adotar medidas técnicas e administrativas compatíveis com seus riscos. Quanto mais sensíveis, numerosos ou críticos forem os dados, maior deverá ser o cuidado.

O caso Xandr mostra ainda que terceirizar uma operação não significa terceirizar a responsabilidade. Uma empresa brasileira que envia dados a uma plataforma de marketing, sistema de gestão, contador, provedor de nuvem ou ferramenta de inteligência artificial precisa avaliar o fornecedor, formalizar responsabilidades e acompanhar o tratamento realizado.

Medidas práticas para reduzir riscos e demonstrar conformidade

Um programa de adequação proporcional pode começar com ações objetivas:

  1. Mapear os dados pessoais: identificar o que é coletado, de quem, por qual canal, para qual finalidade, onde fica armazenado, com quem é compartilhado e quando deve ser eliminado.
  2. Definir bases legais: relacionar cada atividade a uma hipótese permitida pela LGPD. Consentimento não é a única base legal e não deve ser usado de forma genérica ou forçada.
  3. Aplicar transparência e minimização: informar o titular de maneira clara e coletar somente os dados adequados e necessários à finalidade declarada.
  4. Revisar contratos e fornecedores: documentar responsabilidades, requisitos de segurança, subcontratações, retenção, atendimento a titulares e resposta a incidentes.
  5. Adotar controles de segurança: implementar gestão de acessos, autenticação multifator, atualizações, cópias de segurança, criptografia quando apropriada, registros de atividade e treinamento das equipes.
  6. Preparar o atendimento aos titulares: criar um canal e procedimentos para solicitações de acesso, correção, eliminação e demais direitos aplicáveis.
  7. Planejar a resposta a incidentes: definir responsáveis, critérios de escalonamento, preservação de evidências, contenção e avaliação da necessidade de comunicação à ANPD e às pessoas afetadas.
  8. Registrar decisões e revisar o programa: manter evidências das avaliações realizadas e atualizar controles quando processos, tecnologias, fornecedores ou riscos mudarem.

Adequar-se à LGPD não deve ser visto apenas como uma estratégia para evitar multas. A proteção de dados preserva a confiança de clientes e trabalhadores, reduz perdas em incidentes, melhora a gestão de fornecedores e torna decisões sobre tecnologia mais responsáveis. O caso envolvendo Grindr e Xandr demonstra que a ausência de governança pode permanecer sob investigação durante anos e gerar consequências muito depois de a prática irregular ter sido encerrada.