Nel mercato pubblicitario il consenso non si eredita

La sanzione norvegese a Xandr richiama l’attenzione sulle responsabilità di chi tratta dati nella pubblicità digitale e sulla necessità di verificare il consenso raccolto dai partner

 

In breve

L’autorità norvegese per la protezione dei dati ha sanzionato Xandr per 92 milioni di corone norvegesi, pari a circa 8,6 milioni di euro, per aver trattato dati provenienti da Grindr nelle aste pubblicitarie in tempo reale. Secondo l’autorità, Xandr si era affidata al consenso raccolto dall’app senza verificare che fosse valido anche per i trattamenti effettuati dalla propria piattaforma. La decisione riguarda fatti avvenuti in Norvegia tra il 2018 e il 2020 e può essere impugnata, ma solleva una questione che interessa anche altre filiere pubblicitarie, perché chi tratta dati personali in qualità di contitolare deve poter verificare che il consenso raccolto copra anche le proprie attività.

La vicenda e le sue date

L’autorità norvegese ha adottato la decisione il 2 ottobre 2026 e l’ha resa pubblica il 12 ottobre. Quattro giorni dopo il Comitato europeo per la protezione dei dati ha diffuso la notizia anche a livello europeo, richiamando l’attenzione sulle responsabilità delle piattaforme che partecipano alle aste pubblicitarie.

L’accertamento riguarda il trattamento dei dati degli utenti norvegesi di Grindr tra il 2018 e il 2020. La vicenda è quindi precedente alla sua pubblicazione, ma resta attuale il problema di come un operatore possa accertare la liceità dei dati che riceve da un partner.

L’indagine prende avvio da una denuncia presentata nel 2020 dal Consiglio norvegese dei consumatori e riguarda le aste automatizzate con cui, all’apertura dell’app, le informazioni sugli utenti venivano rese disponibili agli operatori pubblicitari per scegliere gli annunci da mostrare.

 

Quali dati transitavano nelle aste

Nelle aste pubblicitarie in tempo reale un’app o un sito mette a disposizione uno spazio per gli annunci e diversi operatori competono per acquistarlo. Le piattaforme scambiano informazioni necessarie a individuare il destinatario dell’annuncio e a definire il prezzo, spesso in una frazione di secondo.

Secondo l’autorità, Xandr trattava informazioni che rivelavano l’utilizzo di Grindr, insieme all’identificativo pubblicitario e all’indirizzo IP degli utenti. La combinazione di questi elementi poteva rivelare l’orientamento sessuale di persone identificabili e rientrava pertanto nelle categorie di dati alle quali il Regolamento generale sulla protezione dei dati assicura una tutela rafforzata.

Non occorreva conoscere il nome degli utenti, perché gli identificativi online permettevano di distinguere una persona o di collegare le informazioni a un dispositivo. Anche quando non offre una certezza sull’orientamento sessuale, un’informazione può comunque rivelare aspetti particolarmente delicati della vita privata.

 

Il consenso raccolto dall’app e la responsabilità di Xandr

Xandr si era affidata al consenso raccolto da Grindr, ma secondo l’autorità quel consenso non era valido e la società non aveva verificato in modo autonomo che coprisse i trattamenti effettuati dalla propria piattaforma.

La verifica spettava anche a Xandr perché la società partecipava alle decisioni sul trattamento, operando sia sul versante della vendita degli spazi sia su quello degli acquirenti degli annunci. L’autorità l’ha quindi qualificata come contitolare insieme a Grindr.

Un accordo può attribuire a uno dei contitolari il compito di raccogliere il consenso, senza che gli altri debbano chiedere una seconda autorizzazione alla persona. Questo non li esonera però dal verificare che la scelta sia valida e comprenda le attività alle quali partecipano. Per farlo devono poter accedere a informazioni affidabili su ciò che è stato mostrato all’utente, sulle finalità dichiarate, sui soggetti coinvolti e sulla scelta effettivamente compiuta.

La qualifica di contitolare non si estende automaticamente a ogni fornitore tecnologico. Dipende dalle decisioni che ciascun soggetto prende sulle finalità e sulle modalità essenziali del trattamento. Nel caso esaminato, l’autorità ha ritenuto che Xandr esercitasse un ruolo decisionale sufficiente per rispondere del trattamento insieme a Grindr.

 

Perché una clausola contrattuale non basta

Gli accordi tra partner restano necessari per ripartire attività, obblighi informativi e responsabilità, ma una dichiarazione contrattuale secondo cui il consenso è stato raccolto regolarmente non consente, da sola, di ricostruire che cosa la persona abbia visto e accettato.

Il problema riguarda anche le organizzazioni che utilizzano liste acquistate per attività di marketing. Ricevere un dato accompagnato da un indicatore come «consenso acquisito» non dimostra che siano state spiegate correttamente le finalità, i destinatari e le operazioni previste. Nella pubblicità programmatica questa verifica diventa ancora più complessa, perché le informazioni possono transitare attraverso numerose piattaforme.

Quando i dati sono idonei a rivelare informazioni su salute, orientamento sessuale, opinioni politiche o convinzioni religiose, occorre inoltre verificare le condizioni specifiche previste per il trattamento delle categorie particolari di dati personali. La base giuridica ordinaria non è sufficiente da sola e le persone devono poter comprendere a quali utilizzi acconsentono.

 

Quale rilievo ha la decisione fuori dalla Norvegia

La sanzione riguarda utenti norvegesi e trattamenti effettuati tra luglio 2018 e aprile 2020. Xandr può impugnare il provvedimento secondo le regole nazionali e la decisione, quindi, non definisce in modo irrevocabile la posizione di tutti gli operatori della pubblicità digitale.

Il principio richiamato dall’autorità discende però dal regolamento europeo ed è pertinente anche per le imprese che operano in Italia. La liceità dei flussi e la ripartizione dei ruoli devono essere valutate in relazione alle attività svolte realmente e ogni soggetto che decide insieme ad altri finalità e modalità essenziali del trattamento deve poter dimostrare di aver assolto ai propri obblighi.

 

Le verifiche da avviare nella filiera pubblicitaria

Il punto di partenza è ricostruire il percorso dei dati: quali informazioni escono dal sito o dall’app, a quali piattaforme arrivano e con quali identificativi vengono trasferite. Conoscere i destinatari permette anche di capire dove il dato potrebbe essere utilizzato per scopi ulteriori.

Occorre poi attribuire a ciascun soggetto il ruolo che gli compete sulla base delle attività effettive. La denominazione riportata nel contratto non è decisiva se un operatore partecipa, nella sostanza, alle scelte sulle finalità o sulle modalità essenziali del trattamento.

Se la raccolta del consenso è affidata a un partner, i contitolari devono poter risalire alle informazioni mostrate, alla scelta registrata, alle finalità dichiarate e ai trattamenti compresi nell’autorizzazione. La documentazione serve a verificare la liceità del flusso, non soltanto a dimostrare che un segnale tecnico è stato ricevuto.

La verifica riguarda anche il funzionamento delle tecnologie impiegate. Le piattaforme pubblicitarie, gli strumenti di gestione del consenso e i componenti integrati nelle app devono comportarsi in modo coerente con quanto comunicato agli utenti, e questo richiede riscontri tecnici sul loro effettivo funzionamento.

Quando le prove non sono disponibili oppure i dati vengono utilizzati oltre quanto dichiarato, l’organizzazione deve poter interrompere il flusso, correggere le configurazioni e documentare le misure adottate.

 

Dalla fiducia tra partner alla verifica effettiva

Nel mercato pubblicitario la collaborazione tra operatori è inevitabile, ma la fiducia nel partner deve poggiare su elementi verificabili. Per un contitolare non basta sapere che qualcuno ha raccolto un consenso: occorre accertare che la scelta dell’interessato coprisse anche il trattamento al quale partecipa.

Se l’organizzazione dispone soltanto di una garanzia contrattuale o di un segnale tecnico che non ha verificato, resta esposta al rischio che il trattamento risulti privo di una base valida. Il caso Xandr rende evidente quanto sia importante poterlo accertare prima che i dati vengano utilizzati.

Fonti

• Datatilsynet, decisione finale del 2 ottobre 2026, versione inglese integrale: https://www.datatilsynet.no/contentassets/213ea490834f4fc2a796aa495cb72fb8/overtredelsesgebyr—ulovlig-behandling-av-personopplysninger-engelsk.pdf
• Datatilsynet, “Datatilsynet gir Microsoft-selskap 92 millioner i gebyr”, 12 ottobre 2026: https://www.datatilsynet.no/aktuelt/aktuelle-nyheter-2026/datatilsynet-gir-microsoft-selskap-92-millioner-i-bot/
• Comitato europeo per la protezione dei dati, “Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of personal data”, 16 ottobre 2026: https://www.edpb.europa.eu/news/norwegian-dpa-fines-xandr-eur-8-600-000-for-unlawful-processing-of-personal-data_en
• Regolamento (UE) 2016/679: https://eur-lex.europa.eu/eli/reg/2016/679/oj

 

Nota di trasparenza. Questo articolo è stato predisposto con il supporto di strumenti di intelligenza artificiale generativa. La responsabilità editoriale dei contenuti è di iSimply.