La autoridad de protección de datos de Noruega ha multado a Xandr, propiedad de Microsoft, con aproximadamente 8,5 millones de euros por su gestión de los datos personales de los usuarios de Grindr, incluida información sensible sobre la orientación sexual. La multa de Xandr por los datos de Grindr es notable porque se dirige a una empresa que se encuentra más adelante en la cadena publicitaria, no solo a la aplicación que recopiló los datos en primer lugar.

El resumen que tenemos de la decisión es breve, por lo que esta publicación se ciñe a lo confirmado y explica el contexto más amplio para los lectores.

Por qué multó la autoridad noruega a Xandr

Según lo publicado, la sanción de aproximadamente 8,5 millones de euros se relaciona con la forma en que Xandr, un negocio publicitario propiedad de Microsoft, gestionó datos personales pertenecientes a usuarios de Grindr. Esos datos incluían información sensible sobre la orientación sexual.

No es la primera vez que las prácticas de datos de Grindr atraen el escrutinio de Noruega. La autoridad de protección de datos del país ya había multado a Grindr con 65 millones de coronas noruegas (alrededor de 5,5 millones de euros) por infringir el artículo 9 del RGPD, que restringe el tratamiento de categorías especiales de datos personales. Esa multa fue ratificada posteriormente por el Tribunal de Apelación de Borgarting. La nueva acción contra Xandr amplía el foco desde la aplicación hacia una empresa que gestionó los datos en una etapa posterior.

Cómo llegan los datos sensibles de las aplicaciones a las plataformas publicitarias

La mayoría de las aplicaciones gratuitas ganan dinero mediante la publicidad. Para mostrar anuncios relevantes, una aplicación puede transferir información sobre un usuario, como un identificador de dispositivo, la ubicación aproximada o detalles del perfil, a socios publicitarios. Esos socios pueden incluir exchanges publicitarios y plataformas que emparejan anuncios con audiencias, a menudo en milisegundos desde que se abre una aplicación.

El problema surge cuando la información en cuestión es sensible. Según el RGPD, los datos que revelan la orientación sexual pertenecen a una categoría protegida. El simple hecho de ser usuario de ciertas aplicaciones ya puede revelar algo sensible. Una vez que esa señal entra en una cadena de tecnología publicitaria, puede copiarse, combinarse con otros identificadores y pasar entre varias empresas, lo que dificulta que los usuarios sepan dónde acabó o puedan retirarla.

Por eso los reguladores examinan toda la cadena. Una empresa que recibe o trata esos datos asume sus propias responsabilidades legales, incluso si no fue la que los recopiló primero.

Qué significa la aplicación del RGPD para los usuarios

La multa es una señal de que los reguladores europeos están dispuestos a perseguir a empresas de todo el ecosistema publicitario, incluidas las propiedad de grandes grupos tecnológicos. Para los usuarios, hay algunas conclusiones prácticas.

  • Los datos de categoría especial conllevan normas más estrictas. La información sobre la orientación sexual, la salud, la religión y temas similares, por lo general, no puede tratarse sin una base jurídica válida conforme al RGPD.
  • La aplicación de la ley puede ser lenta. El caso anterior de Grindr pasó por una multa, una apelación y una sentencia judicial. La acción reguladora no revierte la exposición que ya se ha producido.
  • Las multas no son lo mismo que los remedios. Una sanción castiga a una empresa, pero las personas siguen teniendo que gestionar su propia exposición en adelante.

Las empresas de este tamaño también poseen grandes volúmenes de datos en otros contextos, y los incidentes de seguridad en otras partes del ecosistema son un recordatorio de que los datos almacenados de forma centralizada son un objetivo. Por ejemplo, informamos sobre un cazador de bugs adolescente que supuestamente obtuvo acceso de nivel administrador al servicio interno de analítica Titan de Microsoft, y sobre afirmaciones de que bases de datos de empleados fueron robadas de la infraestructura de Microsoft Azure. Son asuntos distintos de la decisión sobre Xandr, pero ilustran por qué limitar lo que compartes desde el principio es importante.

Qué significa esto para ti

No puedes ver qué socios publicitarios reciben datos de una aplicación, por lo que el enfoque más fiable es reducir lo que la aplicación puede enviar. Aquí tienes por dónde empezar:

  • Revisa los permisos de las aplicaciones. Comprueba los permisos de ubicación, contactos, fotos y seguimiento en tu teléfono. Revoca todo lo que una aplicación no necesite claramente.
  • Restablece o desactiva tu identificador de publicidad. Tanto Android como iOS te permiten eliminar o restablecer tu identificador de publicidad, o limitar el seguimiento publicitario, lo que dificulta que las plataformas publicitarias vinculen la actividad entre aplicaciones.
  • Revisa la configuración de privacidad dentro de las aplicaciones. Muchas aplicaciones incluyen interruptores para anuncios personalizados o para compartir datos con socios. Desactiva todo lo que puedas.
  • Sé selectivo con los detalles sensibles del perfil. Si una aplicación solicita información que no querrías compartir, considera dejarla en blanco.
  • Elimina las cuentas que ya no uses. Las cuentas inactivas aún pueden conservar datos.

Dónde encaja una VPN

Una VPN puede enmascarar tu dirección IP y cifrar tu tráfico entre tu dispositivo y el servidor VPN, lo cual es útil en redes Wi-Fi públicas y para limitar lo que ve tu proveedor de internet. Pero no impide que una aplicación envíe a sus socios los datos que le has dado, como detalles del perfil o un identificador de publicidad. Considera una VPN como una capa parcial, no como una solución para el intercambio de datos dentro de las aplicaciones.

Puntos clave

La multa de Xandr por los datos de Grindr muestra que los reguladores están mirando más allá de las aplicaciones que recopilan información sensible, hacia las empresas de tecnología publicitaria que la tratan. Para los usuarios cotidianos, los pasos más eficaces están bajo tu control: audita los permisos de las aplicaciones, restablece o desactiva tu identificador de publicidad, ajusta la configuración de privacidad dentro de las aplicaciones y usa una VPN solo para aquello que hace bien. Dedica diez minutos esta semana a revisar las aplicaciones de tu teléfono, empezando por las que guardan la información más personal.